Las empresas y sus departamentos de RR.HH. como responsables del despliegue de IA

Por Valentín García, Jose M. Martínez, Jaime Pavía, socio, asociado y asociado senior, respectivamente, de Cuatrecasas.-  Actualmente, el volumen de datos generados por personas y máquinas supera con creces la capacidad humana para procesarlos, así como para interpretarlos y tomar decisiones complejas a partir de esos datos. La inteligencia artificial es la base del aprendizaje informático y el futuro de cualquier toma de decisiones compleja, ya que mejora la velocidad, la precisión y la eficacia del trabajo humano. Sin embargo, las capacidades de la IA avanzada conllevan importantes riesgos. Estos sistemas amenazan con amplificar la injusticia social, así como erosionar la estabilidad social y del mercado. También permiten la delincuencia a gran escala, ayudan a automatizar la guerra y potencian una vigilancia omnipresente.

Estos riesgos podrán tener un impacto directo en la actividad diaria de las empresas. Por ejemplo, el uso de un mismo algoritmo por distintos competidores podría desembocar en prácticas colusorias en varios parámetros. Además, los algoritmos de precios de aprendizaje automático pueden generar el alineamiento entre competidores, potencialmente sin su participación, su acuerdo o incluso sin su conocimiento. Tal y como refleja la jurisprudencia de la Unión Europea (“UE”), los sistemas de IA pueden generar o reforzar la capacidad de las empresas dominantes para excluir ilegalmente a los competidores del mercado.

La IA también desempeña un papel cada vez más importante en los departamentos de recursos humanos, hasta el punto de transformar la contratación, la gestión y la monitorización de los empleados. Ya existen soluciones de IA capaces de ayudar a personalizar las experiencias de los trabajadores, por ejemplo, en materia de beneficios y formación. La IA también agiliza los procesos de RRHH a lo largo del ciclo de vida del empleado y mejora la eficiencia, además de que contribuye a reducir significativamente la carga administrativa. Y de igual manera, proporcionan información inestimable sobre la plantilla, lo que permite la toma de decisiones y la gestión basadas en datos. Sin embargo, estos avances pueden conllevar riesgos en materia de discriminación, protección de datos y otros derechos fundamentales que las empresas deben abordar en el marco de las responsabilidades y obligaciones que consigna el Reglamento UE 2024/1689 de Inteligencia Artificial.

Y deben empezar a hacerlo ya porque el RIA es un reglamento, y como tal, a diferencia de una directiva, es directamente aplicable a partir de las fases de implantación que él mismo incluye. El texto que conocemos es el marco con el que tendremos que operar a partir de 2026, cuando sea efectiva su entrada en vigor en nuestro país. Ni siquiera será necesario que el legislador español elabore una normativa interna que haga las veces de conector, porque el Reglamento General de Protección de Datos es ese adaptador. Por ello, el texto aprobado por la Comisión Europea en julio de 2024 ha de ser asumido, independientemente del calendario de implantación, como el referente para reflexionar desde las organizaciones sobre cómo adaptarse a él.

Además de ser el primer instrumento legislativo del mundo sobre IA aplicable al mercado de la UE, el Reglamento de IA establece un código normativo único para proveedores, importadores, distribuidores, responsables del despliegue y particulares afectados por los sistemas de IA en el mercado europeo.

• Proveedor: Una persona física o autoridad pública que desarrolle (o para la que se desarrolle) un sistema de IA o un modelo de IA de uso general y lo introduzca en el mercado, o ponga en servicio el sistema de IA, con su propio nombre o marca.
• Distribuidor: Una persona física o jurídica que forme parte de la cadena de suministro, distinta del proveedor o el importador, que comercialice un sistema de IA en el mercado de la Unión.
• Importador: Una persona física o jurídica, ubicada o establecida en la Unión, que introduzca en el mercado un sistema de IA de un proveedor establecido fuera de la UE.
• Responsable del despliegue (deployer): Una persona física o jurídica o autoridad pública que utilice un sistema de IA bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesional.

Más allá de las obligaciones generales de los responsables del despliegue, los departamentos de RR.HH. cobran protagonismo en la adaptación de las medidas técnicas y organizativas para el adecuado uso de la IA y asumen tres responsabilidades principales.

Las empresas usuarias de IA en sus procesos de gestión de RR.HH. son responsables del despliegue y están sujetos al Reglamento siempre y cuando:

• Utilicen sistemas de IA para gestionar cuestiones relativas a la plantilla (ver apartado 3: Definición de sistema de IA).
• Los sistemas de IA empleen datos de los trabajadores o toman decisiones laborales, realizan análisis o perfiles de personas, monitorean el desempeño laboral o interactúan con los trabajadores.
• Estén establecidas en la UE, o fuera, pero los datos generados por IA se usan en la UE.
• No estén expresamente excluidas del Reglamento.

En el ámbito de la gestión laboral, ¿cuándo se considera sistema como de alto riesgo? Si la finalidad del uso de la IA con los trabajadores es:

• La selección de personal, publicitar puestos de trabajo, analizar y filtrar solicitudes y evaluar candidatos.
• Tomar decisiones sobre condiciones de trabajo; promoción o terminación de la relación laboral; asignación de tareas basadas en comportamiento o características de la persona.
• Monitorear y evaluar rendimiento y comportamiento de trabajadores.

¿Y cuándo no se considera de alto riesgo? Cuando no plantee un riesgo importante de causar un perjuicio a la salud, la seguridad o los derechos fundamentales, incluyendo el caso de que no influya sustancialmente en la toma de decisiones, excepto cuando implique la elaboración de perfiles de personas físicas. En este sentido, la Comisión Europea elaborará unas directrices específicas con una lista exhaustiva de ejemplos prácticos de utilización de sistemas de IA que sean de alto riesgo y otros que no sean de alto riesgo.

Por último, el RIA prohíbe el uso de sistemas de IA en el ámbito laboral está prohibido que busquen inferir emociones o la categorización biométrica de los trabajadores para inferir determinados datos sensibles.

¿Qué obligaciones laborales impone el RIA a las empresas? 

Sin perjuicio de las demás obligaciones impuestas a los responsables del despliegue de un sistema de IA de alto riesgo, destacamos las siguientes obligaciones en el ámbito laboral:

• Información a la plantilla y sus representantes:
  • ¿En qué casos se debe informar? Cuando se utilicen algoritmos o sistemas de IA que afecten a la toma de decisiones que puedan incidir en las condiciones de trabajo, el acceso al empleo o su mantenimiento y el desarrollo en él.
  • ¿De qué se ha de informar?
    • De su existencia.
    • De sus parámetros: variables de entrada del algoritmo y las aportadas por el modelo final.
    • Las reglas o instrucciones con las que se parametriza la lógica de funcionamiento del algoritmo.
  • ¿A quién se ha de informar? Actualmente, el ET limita el deber de informar a la representación legal de los trabajadores, pero el RIA lo hace extensivo también a las personas afectadas individualmente. La empresa está obligada a retirarlas de las pruebas de los sistemas de IA y a eliminar sus datos personales del mismo si así lo solicitaran.

• Alfabetización en materia de IA: la empresa empleadora deberá adoptar medidas para garantizar que su plantilla y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA tengan un nivel suficiente de alfabetización en materia de IA, habiendo de tener en cuenta sus conocimientos técnicos, experiencia, educación y formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los grupos de personas en que se utilizarán dichos sistemas.

• Evaluación de impacto en materia de derechos fundamentales: en determinados supuestos, la empresa empleadora deberá llevar a cabo una evaluación de impacto en materia de derechos fundamentales (EIDF) antes de poner en marcha un sistema de IA.

¿Cómo preparse desde RR.HH.?

• Realizar una auditoría de algoritmos y sistemas de IA en el ámbito laboral, analizando los algoritmos y sistemas de IA implantados y cómo funcionan.
• Analizar la aplicabilidad del Reglamento IA, determinar el rol del empleador, determinar las obligaciones asociadas al nivel de riesgo y aplicar posibles excepciones.
• Preparar las evaluaciones de impacto: estrecha conexión con el RGPD.
• Planificar el cumplimiento de las obligaciones de información individual y colectiva y, en su caso, de consulta a los representantes de los trabajadores.
• Diseñar la alfabetización/formación de la plantilla en materia de IA.
• Elaborar los protocolos de uso de IA para los trabajadores, teniendo en cuenta que el empleador puede ser responsable por mal uso de los trabajadores.