El Omnibus aplaza al 2 de diciembre de 2027 las obligaciones para los sistemas del Anexo III, pero el borrador de Directrices que la Comisión Europea publicó el 19 de mayo de 2026 acota la principal vía de escape de los ATS, los motores de matching y los evaluadores de vídeo-entrevistas. La cuenta atrás importa más a quien usa la herramienta que a quien la fabrica.
Ideas clave
- El perfilado lo decide todo. Si un sistema del Anexo III trata datos personales para evaluar aspectos del candidato, es siempre de alto riesgo: la vía de escape del art. 6(3) deja de aplicar.
- Casi todos los ATS quedan dentro. Puntuar, ranquear, seleccionar o sugerir puntuaciones activa el régimen de alto riesgo; solo se salvan las tareas auxiliares puras: conversión de formatos, traducción y transcripción.
- El humano en el bucle no exime. La supervisión humana es una obligación separada, no una salida, y la concatenación de varios componentes se evalúa como un único sistema.
- Más plazo no es menos trabajo. El reloj corre para el deployer: inventario, clasificación, due diligence al proveedor, supervisión operativa y comunicación a candidatos y representación.
El borrador de Directrices para los sistemas de IA de alto riesgo deja meridiano que la única vía teórica para que un sistema del Anexo III salga del régimen de alto riesgo decae cuando el sistema lleva a cabo elaboración de perfiles de personas físicas. Así las cosas, si hay perfilado, el sistema es siempre de alto riesgo, y ¿qué se entiende por elaboración de perfiles? Según el artículo 4.4 del RGPD, es «toda forma de tratamiento automatizado de datos personales para evaluar aspectos personales, en particular el rendimiento profesional, la situación económica, la fiabilidad, el comportamiento o las preferencias».
La mayoría de las herramientas que se venden hoy bajo la etiqueta «IA en selección» hacen exactamente eso, ya que toman datos personales, aplican lógica automatizada y producen una predicción de idoneidad: un ATS que puntúa candidaturas, un motor de matching que las ordena, un evaluador de vídeo-entrevistas que asigna un score, un chatbot que pre-cualifica con preguntas filtro… todos perfilan y todos son, pues, sistemas de alto riesgo.
Con ello, las Directrices, según el análisis de Bird & Bird publicado en mayo de 2026, ensanchan operativamente este perímetro en tres direcciones:
Primero, la publicidad dirigida —la IA decidiendo qué personas ven qué ofertas— entra en la categoría con todas sus consecuencias. Los sistemas de targeting de plataformas de empleo, los recomendadores de ofertas en redes profesionales y los motores que reparten visibilidad de anuncios son alto riesgo cuando deciden a qué personas físicas se muestra qué.
Segundo, la categoría incluye el acceso al autoempleo, no solo el trabajo por cuenta ajena. Esto incorpora al perímetro las plataformas de gig economy, los marketplaces de freelance y los sistemas de matching de las empresas que canalizan profesionales independientes.
Tercero, la generación de descripciones de puesto tiene un trato matizado. Si el sistema produce la descripción a partir de tareas y cualificaciones previamente definidas por un reclutador humano, puede entrar en la derogación del art. 6(3)(a) por tarea procedimental estrecha. Si, en cambio, genera los requisitos y competencias necesarios a partir de una descripción de alto nivel, queda fuera de esa derogación.
Las Directrices son explícitas al respecto y cierran la puerta a posibles filtros que eludan esta casuística:
- La presencia de un humano en el bucle no cambia la clasificación del alto riesgo porque la supervisión humana es una obligación separada y no una vía de escape.
- La concatenación de varios componentes de IA se evalúa como un único sistema si su propósito combinado influye materialmente en la decisión.
Qué entra y por qué la salida del art. 6(3) no es una salida
El Anexo III relativo a los sistemas de alto riesgo incluye a la IA empleada para procesos del mercado laboral y, entre ellos, a la destinada al reclutamiento o selección, incluida la publicidad dirigida —la IA decidiendo qué personas ven qué ofertas—, el filtrado de candidaturas y la evaluación. Las Directrices ensanchan el perímetro a las plataformas de gig economy y marketplaces de freelance (el acceso al autoempleo entra en la categoría) y matizan que la generación de descripciones de puesto solo cabe en la derogación si parte de tareas y cualificaciones ya definidas por un reclutador humano.
Antes de las Directrices, existían cuatro filtros o vías para que un sistema de IA saliera del alto riesgo:
- que realice una tarea procedimental estrecha;
- que mejore el resultado de una actividad humana previa;
- que detecte patrones en decisiones humanas sin sustituirlas o influirlas;
- que ejecute una tarea preparatoria.
Después de las Directrices, lo que sí encaja en la primera vía es la conversión de formatos entre tipos de documento antes de revisión humana, la deduplicación de registros en una pipeline de RRHH y el enrutamiento de un CV al buzón del equipo adecuado en función de un código de puesto. Y lo que no encaja es puntuar, ranquear o seleccionar candidatos, aunque la herramienta se presente como «ordenadora» o «filtradora».
En la segunda vía (mejorar un resultado humano previo) caben usos como afinar la redacción de una carta de feedback ya escrita por el reclutador o pulir el lenguaje de una motivación de decisión ya tomada. La línea se cruza cuando la IA modifica la valoración subyacente: un sistema que sugiere una puntuación distinta no está mejorando un resultado, está co-decidiendo.
La tercera vía (detección de patrones) sirve para análisis retrospectivos, esto es, detectar que un panel de selección rechaza candidaturas de una universidad concreta con una tasa atípica, por ejemplo. Lo que rompe el filtro es alimentar esa señal de desviación de vuelta en una decisión en tiempo real, y en ese momento el sistema deja de ser descriptivo y pasa a ser prescriptivo.
La cuarta vía (tarea preparatoria) ampara funciones genuinamente auxiliares como traducir un currículo en otro idioma, transcribir la grabación de una entrevista, producir material para que un humano decida. Por el contrario, no cubre ni el scoring, ni la priorización ni la recomendación.
Y, sobre todas ellas, planea el interruptor de la elaboración de perfiles: si hay tratamiento automatizado de datos personales para evaluar aspectos personales del candidato, las cuatro vías quedan inservibles. En selección, esto deja la derogación prácticamente vacía y avoca a que todos los ATS sean sistemas de alto riesgo, con todas las obligaciones que ello conlleva.
Una lectura en clave de madurez de los sistemas
El RIA, el Omnibus y las Directrices ponen a prueba la madurez de los proveedores y de los responsables del despliegue, y entre estas últimas, las más avanzadas están incorporando la gobernanza de IA a sus criterios de selección de proveedores. Si el Omnibus se publica antes del 10 de julio, concede una moratoria de 16 meses adicionales de margen para revisar los sistemas, adaptarlos y tener todas las obligaciones en perfecto estado de revista.
Cinco pasos para empezar antes de fin de año
- Inventario de todos los sistemas de IA que tocan decisiones sobre candidatos o trabajadores, incluidas las herramientas embebidas en plataformas de terceros.
- Clasificación y rol: deployer o no, encaje en el Anexo III, identificación del proveedor. Documentado para que compliance y operaciones trabajen sobre ello.
- Due diligence al proveedor por escrito: evaluación de conformidad, documentación técnica, auditorías de sesgos, registros de logs, soporte contractual de obligaciones del deployer.
- Supervisión humana operativa: personas identificadas, formadas y con autoridad real de intervención. La alfabetización en IA del art. 4 está en vigor desde febrero de 2025.
- Comunicación a candidatos y representación: notificaciones, marcos de explicación del art. 86 RIA, información colectiva del art. 64.4.d) ET.
Imagen generada con Nano Banana.
