Información algorítmica en el trabajo: el RD 723/2026 y la nota de la AEPD

¿Qué informar, a quién y cómo demostrarlo?

Imagina una empresa que va a implantar una herramienta de IA para el cribado y evaluación de candidaturas en procesos de selección de personal y movilidad interna. Antes de ponerla en marcha informa a la representación legal de las personas trabajadoras y asegura que la decisión final la tomará una persona, que el sistema no analizará atributos sensibles y que será objeto de auditorías periódicas. ¿Son suficientes esas cautelas? ¿Debe la empresa cumplir alguna obligación adicional?

Ese es, en esencia, el supuesto de la resolución AI-00009-2026 de la AEPD, una advertencia preventiva del artículo 58.2.a del RGPD sobre una herramienta aún no implantada en España, que ni declara una infracción ni impone una sanción. La AEPD la ha utilizado en su nota informativa del 7 de octubre para explicar cómo encaja el nuevo Real Decreto 723/2026 con la normativa en materia de protección de datos. 

El Real Decreto entró en vigor el pasado 5 de octubre e impone una nueva obligación en materia laboral: informar por escrito a cada persona trabajadora de los sistemas algorítmicos que intervienen en decisiones sobre sus condiciones de trabajo. 

En un contexto donde cada vez más empresas aplican este tipo de tecnología a sus relaciones laborales es inevitable que surjan varios interrogantes sobre las obligaciones legales. Vamos por partes.

Tres planos de transparencia sobre un mismo sistema algorítmico

La nota de la AEPD concluye que, sobre un mismo sistema algorítmico, concurren obligaciones de transparencia con destinatarios, contenidos y finalidades diferentes:

Persona trabajadora (plano laboral individual)	Arts. 3.2.k, 6 y 7 del RD 723/2026	Se le debe informar sobre la existencia del sistema y, si decide sobre condiciones de trabajo, sus pautas, criterios y reglas de funcionamiento. La empresa debe poder demostrar la entrega y la recepción de la información.
Representación legal (plano laboral colectivo)	Art. 64.4 d) del Estatuto de los Trabajadores	Se le debe informar de los parámetros, reglas e instrucciones en que se basan los algoritmos o sistemas de IA que inciden en las condiciones de trabajo, el acceso y mantenimiento del empleo y los perfiles. La empresa debe poder demostrar que lo comunicado es coherente con la información individual y con la del RGPD.
Candidatos y personas afectadas (plano de protección de datos)	Arts. 12 a 14, 15 y, cuando proceda, 22 del RGPD.	Se les informa de finalidades, base jurídica, datos, origen, destinatarios, conservación y derechos y, si hay decisiones automatizadas relevantes, de la lógica aplicada y sus consecuencias. La empresa debe poder demostrar que ha efectuado la evaluación de riesgos, la EIPD cuando proceda y una supervisión humana efectiva.

A estas obligaciones se suman las recogidas en el Reglamento de IA, que exige a quienes desplieguen sistemas de alto riesgo (entre ellos, los de empleo y gestión de trabajadores) informar, antes de usarlos, a las personas trabajadoras y a sus representantes, de forma que puedan comprender su funcionamiento. A diferencia del RD 723/2026, no alcanza a cualquier sistema algorítmico, sino sólo a los de alto riesgo.

El Reglamento Ómnibus digital sobre IA (Reglamento 2026/1744) aplazó estas obligaciones al 2 de diciembre de 2027, por lo que, a día de hoy, no son exigibles en el ámbito laboral, salvo las prácticas prohibidas. 

A continuación, revisamos con más detenimiento cada uno de los tres planos.

¿Qué obliga a informar el artículo 3.2.k del RD 723/2026?

El Real Decreto 723/2026, de 9 de septiembre, desarrolla el artículo 8.5 del Estatuto de los Trabajadores y transpone parcialmente la Directiva (UE) 2019/1152 sobre condiciones laborales transparentes y previsibles. Como señala la propia AEPD, su novedad no es una autorización para usar algoritmos, sino un deber adicional de información sobre su existencia y su funcionamiento.

En este sentido, el artículo 3.2.k exige informar, primero, de la existencia de sistemas algorítmicos o automatizados de toma de decisiones. Y, segundo, cuando se empleen para decidir sobre condiciones de trabajo (por ejemplo, sobre jornada, asignación de tareas, salarios, progresión profesional, lugar de trabajo o extinción del contrato, entre otras), también de sus pautas, criterios y reglas de funcionamiento.

Con carácter general, esta obligación se aplica a las relaciones laborales de duración superior a cuatro semanas.

¿Qué son las “pautas, criterios y reglas de funcionamiento”?

La norma no lo define y la AEPD, en su nota, tampoco. Pero entre las actuaciones que recomienda antes de implantar un sistema figura la de validar, con ejemplos representativos, que la explicación sea comprensible y permita conocer qué factores pueden influir de forma favorable o desfavorable, protegiendo los secretos empresariales. A mi juicio, este podría ser un criterio inicial válido con respecto al contenido de la documentación. 

¿Cuándo y cómo hay que facilitar la información?

En las nuevas relaciones laborales, antes de su inicio. Y en las ya vigentes, cuando la persona trabajadora lo solicite. En este caso, la empresa dispondrá de un plazo de 30 días hábiles desde la recepción de la solicitud. 

Cualquier modificación relevante de la información debe comunicarse lo antes posible y, como máximo, el día en que surta efecto. Queda abierta la duda de si un cambio de versión o de modelo del algoritmo se considera una modificación relevante. Ni el Real Decreto ni la nota parecen aclararlo.

La información puede entregarse en papel o en formato electrónico. En cualquier caso, ha de ser accesible, almacenable e imprimible y la empresa deberá conservar la prueba de la entrega y recepción. Además, según recuerda la AEPD, la información algorítmica del artículo 3.2.k no puede cumplirse con una simple remisión a la ley o al convenio colectivo.

Si decide una persona, ¿se exime a la empresa de informar?

A mi juicio, no. El artículo 3.2.k habla de sistemas que se empleen para decidir sobre condiciones de trabajo, sin exigir, como sí hace el artículo 22 del RGPD, que la decisión sea “únicamente” automatizada. En otras palabras, que la decisión final la tome una persona puede ser relevante para el artículo 22, pero no parece eximir de informar conforme al Real Decreto. 

¿Hay que informar también a la representación legal?

En efecto, y desde hace tiempo. El artículo 64.4 d) del Estatuto de los Trabajadores reconoce, desde 2021, a la representación legal el derecho a conocer los parámetros, reglas e instrucciones de los algoritmos o sistemas de IA que inciden en las condiciones de trabajo, el acceso y mantenimiento del empleo y la elaboración de perfiles.

Esta comunicación colectiva no sustituye a la información individual ni a la que exige el RGPD, y debe ser coherente con ambas. 

¿Y qué ocurre con el RGPD? La protección de los candidatos al puesto de trabajo

El Real Decreto no desplaza al RGPD ni a la LOPDGDD que siguen plenamente aplicables cuando el sistema trata datos personales. Así, la empresa debe cumplir las reglas de licitud, transparencia, minimización, exactitud, protección desde el diseño, gestión del riesgo y, cuando proceda, el régimen de decisiones automatizadas del artículo 22 RGPD. 

Además, conviene resaltar que las personas que son candidatas durante un proceso de selección y no llegan a ser contratadas, están protegidas por esta normativa, pero no son destinatarias de las obligaciones laborales del Real Decreto. 

¿Bastan las cuatro cautelas tomadas por la empresa? Lo que responde la AEPD

Volvamos al caso. La empresa de la advertencia de la AEPD había comunicado cuatro cosas. La nota efectúa matizaciones a cada una de ellas:  

• Sobre la información a la representación legal de los trabajadores, la AEPD señala que la información debe adaptarse a cada fase y destinatario. No cabe presumir, por tanto, que una comunicación colectiva satisface la información individual o la transparencia que exige el RGPD.
• Sobre la existencia de un ser humano que toma la decisión final, la AEPD recuerda que su mera presencia formal no excluye la aplicación del artículo 22 RGPD.  La supervisión debe analizarse materialmente, es decir, quien revisa debe conocer las limitaciones del sistema, poder acceder a los factores relevantes, disponer de tiempo y de autoridad para modificar el resultado y poder considerar otra información adicional. Así, la nota recomienda registrar las discrepancias entre la persona revisora y la recomendación automatizada, y advierte de que su ausencia sistemática puede indicar una dependencia práctica de la puntuación. En este sentido, la sentencia SCHUFA del Tribunal de Justicia de la Unión Europea, de 7 de diciembre de 2023, C-634/21, ya estableció que una puntuación automatizada puede constituir por sí misma una decisión automatizada cuando quien decide después se apoya de forma decisiva en ella.
• Con respecto a la afirmación de que la herramienta no utiliza atributos sensibles, la AEPD señala que no basta por sí sola.  Hay que comprobar si otras variables permiten inferir esos atributos o actúan como variables sustitutivas. También hay que vigilar resultados que puedan generar discriminación. Si se tratan categorías especiales de datos, además, deben cumplirse las condiciones del artículo 9 del RGPD.
• Sobre las auditorías periódicas, la AEPD señala que no acreditan por sí solas el cumplimiento de la norma. Para ser verificables, debería constar su finalidad y alcance, la versión del sistema examinada, los datos y variables probados, las tasas de error, los impactos diferenciados, la efectividad de la supervisión humana, los incidentes y reclamaciones detectados y las medidas correctoras adoptadas. Debe, además, definirse cuándo se repetirá la evaluación tras cambios del modelo, de los datos o de la finalidad.

Una cautela adicional: el sistema algorítmico que proviene del grupo empresarial

La nota añade que el hecho de que la herramienta se desarrolle o evalúe centralmente en un grupo empresarial no libera de responsabilidad a la filial o entidad que decide usarla en España. Ésta debe determinar y documentar su posición (responsable, corresponsable o usuaria de un servicio prestado por un encargado), cómo se reparten las decisiones, qué garantías contractuales existen, dónde se localizan los datos, si hay transferencias internacionales y alcanzar a sus propias conclusiones sobre licitud, necesidad y proporcionalidad del tratamiento.

¿Cómo demostrar el cumplimiento? Algunas recomendaciones prácticas

• Preparar un inventario de todos los sistemas que apoyan o toman decisiones sobre condiciones laborales, y documentar para cada uno su finalidad, base jurídica, datos, variables principales, reglas de decisión, transferencias y el papel real de las personas revisoras, además de su nivel de riesgo, la necesidad de EIPD y su clasificación conforme al Reglamento de IA. 
• Preparar una documentación clara y comprensible para las personas trabajadoras, su representación legal y los candidatos, protegiendo los secretos empresariales y conservar las evidencias de entrega. 
• Cuando proceda, diseñar una supervisión humana demostrable en la que pueda verificarse la competencia y la autoridad de quien supervisa y el tiempo que dedica, y llevar un registro de discrepancias.

¿Qué riesgo hay si no se cumple?

El Real Decreto 723/2026 no viene acompañado de una reforma de la LISOS, de modo que no informar por escrito de las condiciones de trabajo se sanciona, en principio, como infracción leve (art. 6.4), con multas de 70 a 750 euros (art. 40.1.a). Las infracciones de las reglas de transparencia del RGPD sí pueden conllevar sanciones muy superiores, y la falta de información o de trazabilidad dificulta defender ante la jurisdicción social cualquier decisión impugnada por la persona trabajadora.

Las actuaciones podrían corresponder a la Inspección de Trabajo y Seguridad Social, en el ámbito laboral; a la AEPD, en materia de protección de datos; y, cuando resulten exigibles las obligaciones del Reglamento de IA, a la AESIA. Por ello, las empresas necesitan un enfoque completo de compliance que abarque las tres perspectivas.

—

En definitiva, el Real Decreto 723/2026 obliga a informar a las personas trabajadoras, pero la nota de la AEPD deja claro que ello no es suficiente. Corresponde a la empresa poder demostrar que el sistema se ha evaluado, que la supervisión humana es real y que lo comunicado es cierto y coherente. 

Y todo ello presupone que la empresa sabe qué sistemas utiliza. ¿Qué ocurre, entonces, si un mando intermedio usa un chatbot por su cuenta para organizar turnos o valorar candidaturas? Lo analizaremos en el próximo artículo.