La Ley de IA en el reclutamiento ya no es una perspectiva lejana: 2026 es el año bisagra. El Reglamento (UE) 2024/1689, en vigor desde el 1.º de agosto de 2024, vuelve aplicables sus obligaciones de "alto riesgo" a los sistemas de IA de reclutamiento el 2 de agosto de 2026. En concreto, si tu equipo de Talent utiliza una herramienta que criba candidaturas, puntúa perfiles o ayuda a la selección, estás afectado — no como editor de software, sino como el empleador que la usa. Este artículo explica por qué estas herramientas se clasifican como de alto riesgo, el calendario real, quién asume qué obligaciones y la checklist concreta para estar listo.

Ley de IA y reclutamiento: por qué tus herramientas de IA se clasifican como de alto riesgo

La Ley de IA aplica una lógica por nivel de riesgo. El reclutamiento no es un uso anodino: figura en el Anexo III §4, que cubre el empleo, la gestión de la mano de obra y el acceso al trabajo por cuenta propia. Todo sistema de IA destinado a estos fines es, por defecto, clasificado como de alto riesgo.

En la práctica, quedan afectados los sistemas que :

dirigen o difunden ofertas de empleo de forma personalizada ;
analizan y filtran las candidaturas recibidas ;
evalúan o clasifican a los candidatos según su adecuación ;
apoyan las decisiones de selección, promoción o fin de la relación laboral.

Dicho de otro modo, la práctica totalidad de las herramientas modernas de sourcing, matching y scoring entra en este perímetro. El legislador considera que estos sistemas tienen un efecto directo sobre el acceso al empleo y sobre derechos fundamentales — de ahí un régimen exigente. La conformidad de la IA en reclutamiento no consiste, pues, en preguntarse "¿estoy afectado?", sino "¿cómo documento y superviso herramientas que debo presumir de alto riesgo?".

Conviene señalar : el artículo 6 prevé casos en los que un sistema del Anexo III puede escapar a la clasificación de alto riesgo si solo realiza una tarea puramente preparatoria o accesoria sin influencia real en la decisión. Pero esta exención es estrecha, debe ser documentada por el proveedor y nunca se aplica a una herramienta que elabore perfiles de personas. Para una herramienta que puntúa o clasifica candidatos, el alto riesgo sigue siendo la regla.

El calendario de la Ley de IA: por qué el 2 de agosto de 2026 importa para el reclutamiento

La aplicación es escalonada. Estas son las fechas reales, con la que debe figurar en negrita en tu hoja de ruta de Talent :

1.º de agosto de 2024 — entrada en vigor del Reglamento (UE) 2024/1689.
2 de febrero de 2025 — prohibición de las prácticas prohibidas (p. ej.: puntuación social, ciertas inferencias emocionales) y entrada en vigor del deber de alfabetización en IA (artículo 4) : tus equipos deben disponer de un nivel de comprensión suficiente de los sistemas utilizados.
2 de agosto de 2025 — obligaciones aplicables a los modelos de IA de propósito general (GPAI), que alimentan por debajo a muchas herramientas de reclutamiento.
2 de agosto de 2026 — el plazo clave para los equipos de reclutamiento : las obligaciones aplicables a los sistemas de alto riesgo del Anexo III, es decir, el reclutamiento, pasan a ser plenamente aplicables.
2 de agosto de 2027 — últimas disposiciones residuales aplicables.

El 2 de agosto de 2026 es el hito a recordar porque es en esa fecha cuando las exigencias de fondo — documentación, supervisión humana, información a los candidatos, registro de eventos — dejan de ser preparación para convertirse en una obligación verificable. Como los trabajos internos (cartografía, revisión de los contratos con proveedores, actualización de los procesos de candidatura) llevan varios meses, el trabajo empieza en 2026, no en julio.

Proveedor (provider) vs. responsable del despliegue (deployer): quién asume qué obligaciones

El Reglamento de IA en reclutamiento distingue dos roles, y la confusión entre ambos es la primera fuente de error. El proveedor (provider) es la entidad que desarrolla e introduce en el mercado el sistema de IA — el editor, el vendedor. El responsable del despliegue (deployer) es la entidad que utiliza ese sistema en el marco de su actividad — es decir, tú, el empleador o la consultora de reclutamiento.

El grueso de las obligaciones técnicas recae sobre el proveedor :

implantar un sistema de gestión de riesgos ;
garantizar la gobernanza y la calidad de los datos de entrenamiento ;
elaborar y mantener actualizada la documentación técnica ;
integrar el registro automático de eventos ;
aportar transparencia e instrucciones de uso a los responsables del despliegue ;
diseñar el sistema para una supervisión humana efectiva ;
garantizar exactitud, robustez y ciberseguridad ;
realizar la evaluación de conformidad, colocar el marcado CE y registrar el sistema en la base de datos de la UE.

Pero el responsable del despliegue no es un simple usuario pasivo. Tus obligaciones propias incluyen :

utilizar el sistema conforme a las instrucciones de uso del proveedor ;
garantizar una supervisión humana por personas competentes ;
vigilar el funcionamiento y notificar los incidentes ;
conservar los registros generados por el sistema ;
informar a los candidatos y a los trabajadores de que están sometidos a un sistema de IA de alto riesgo, e informar a los representantes de los trabajadores afectados.

Algunos responsables del despliegue — en particular los organismos públicos y ciertas categorías de actores — deben además realizar una evaluación de impacto sobre los derechos fundamentales (FRIA) antes de la puesta en servicio. Comprar una herramienta "conforme" no te exime : la responsabilidad del responsable del despliegue sigue siendo tuya, en propio.

La checklist de conformidad del responsable del despliegue en reclutamiento

Este es el procedimiento concreto para afrontar el 2 de agosto de 2026 sin improvisar. Se desglosa en seis pasos operativos.

1. Cartografiar tus usos de IA en reclutamiento

Inventaría cada herramienta y cada funcionalidad de IA empleadas en el sourcing, el cribado, el scoring y la ayuda a la decisión. Para cada una, anota el proveedor, el perímetro de uso y los datos personales tratados. Muchos equipos descubren en esta etapa funciones de IA integradas en su ATS que no habían identificado.

2. Verificar el estatus de alto riesgo de cada sistema

Confronta cada uso con el Anexo III §4. Una herramienta que filtra candidaturas, evalúa, clasifica o dirige anuncios es de alto riesgo. En caso de duda, presume el alto riesgo y solicita al proveedor su propia calificación documentada.

3. Exigir la documentación de conformidad del proveedor

Solicita la documentación técnica, las instrucciones de uso, la prueba del marcado CE, el registro en la base de datos de la UE y los resultados de la evaluación de conformidad. Estos elementos deben figurar — o ser exigibles — en tu contrato.

4. Garantizar una supervisión humana real

Designa a personas formadas, capaces de comprender una recomendación, de impugnarla y de pasarla por alto. La supervisión humana no debe ser un sello simbólico : es un control efectivo, y la herramienta debe usarse según las instrucciones del proveedor, nunca como única decisión automática.

5. Informar a los candidatos y a los representantes de los trabajadores

Los candidatos deben ser informados cuando estén sometidos a una decisión que implique un sistema de IA de alto riesgo. Prevé una mención clara en tu proceso de candidatura, un canal de explicación y recurso humano, y la información de los representantes de los trabajadores.

6. Registrar, vigilar y auditar

Conserva los registros generados automáticamente, vigila el funcionamiento en producción, haz seguimiento de los sesgos y anomalías, y traza tus controles. El día de una inspección, es esa pista de auditoría la que demuestra que la supervisión existe en la práctica, y no solo sobre el papel.

Las preguntas que hacer a tu proveedor de IA de reclutamiento

Buena parte de tu conformidad depende de la calidad de tu proveedor. La due diligence se hace antes de la compra, o con ocasión de la renovación. Estas son las preguntas que conviene plantear :

¿El sistema está calificado como de alto riesgo en el sentido del Anexo III, y sobre qué base?
¿Pueden facilitar la documentación técnica y las instrucciones de uso actualizadas?
¿El marcado CE está en regla y el sistema registrado en la base de datos de la UE?
¿Qué mecanismos de supervisión humana están integrados "by design"?
¿Cómo funciona el registro automático y puedo exportar los registros?
¿Qué datos se usaron para el entrenamiento y cómo se prueban los sesgos?
¿Cómo explican una puntuación o una recomendación a un candidato que la impugna?
¿Cómo se articulan con el RGPD, en particular el artículo 22?

Este último punto merece atención. La Ley de IA no sustituye al RGPD : ambos se acumulan. El artículo 22 del RGPD prohíbe una decisión basada exclusivamente en un tratamiento automatizado que produzca efectos jurídicos o significativos, sin garantías — y abre un derecho a la intervención humana y a la explicación. Una herramienta de reclutamiento bien diseñada debe, por tanto, apoyar, y no cortocircuitar, estos derechos.

Cómo un instrumental transparente apoya tu conformidad de IA en reclutamiento

Ninguna herramienta puede "hacerte conforme" en tu lugar — la responsabilidad del responsable del despliegue sigue siendo tuya. Pero el diseño de una herramienta facilita o complica netamente tu puesta en conformidad. En TrueCalling, dos decisiones de diseño van en el sentido de las obligaciones del responsable del despliegue.

Primero, EMILY es un copiloto human-in-the-loop, no un decisor autónomo. El sistema recomienda, jerarquiza y prepara el trabajo ; es el reclutador quien decide. Esta arquitectura apoya directamente el deber de supervisión humana, y evita la trampa de la decisión "solely automated" contemplada por el artículo 22 del RGPD.

Después, la puntuación TrueFit 360 es explicable línea a línea : cada componente de la puntuación se expone, lo que hace la recomendación legible para el reclutador e impugnable por el candidato. Esta transparencia apoya el deber de explicación y la posibilidad de recurso. Para entender en detalle cómo se calcula esta puntuación y dónde puede equivocarse, consulta nuestro artículo dedicado al score de matching candidato-puesto.

En cuanto a los datos personales, nuestra postura RGPD — base legal, consentimiento trazable, plazos de conservación, canales — se detalla en la guía de reclutamiento por WhatsApp y RGPD, que complementa el marco de la Ley de IA en el apartado de protección de datos.

Un punto que conviene decir con claridad : TrueCalling no se presenta como "certificado por la Ley de IA" — esa etiqueta no tiene sentido tal cual. El empleador sigue siendo siempre el responsable del despliegue responsable. Una buena herramienta hace que tu conformidad sea más fácil de demostrar ; no la sustituye.

Sanciones: por qué lo que está en juego no es solo simbólico

La Ley de IA prevé sanciones a la altura del RGPD, e incluso más allá. El incumplimiento de las prácticas prohibidas puede sancionarse con hasta 35 M€ o el 7 % del volumen de negocio anual mundial, eligiéndose el importe más alto. El incumplimiento de las demás obligaciones — las que conciernen directamente a los responsables del despliegue en reclutamiento — puede llegar hasta 15 M€ o el 3 %. La transmisión de información incorrecta o engañosa a las autoridades puede costar hasta 7,5 M€ o el 1 %. Estos topes transforman la conformidad de un asunto jurídico periférico en un asunto de dirección.

Este artículo es informativo y no constituye asesoramiento jurídico. Las obligaciones exactas dependen de tu situación ; haz validar tu procedimiento por un asesor especializado.

¿Quieres ver cómo un copiloto human-in-the-loop y una puntuación explicable se integran en un proceso de reclutamiento concebido para la transparencia? Reserva una demo guiada de TrueCalling y trae uno de tus puestos abiertos : desplegamos el sourcing en directo y te mostramos, línea a línea, cómo se explica cada recomendación.

Ley de IA y reclutamiento: qué cambia para tus herramientas de IA el 2 de agosto de 2026