Nota informativa

Algoritmos en la empresa

Preguntas y respuestas sobre el Real Decreto 723/2026
y la Nota de la Agencia Española de Protección de Datos

7 de octubre de 2026

Lo esencial

1.¿Qué obligación nueva tiene mi empresa?

Informar por escrito a cada persona trabajadora de que existen sistemas algorítmicos o automatizados de toma de decisiones. Si esos sistemas se usan para decidir sobre sus condiciones de trabajo, hay que explicar también cómo funcionan: sus pautas, criterios y reglas (artículo 3.2.k del Real Decreto).

2.¿La norma me autoriza a usar algoritmos o me lo prohíbe?

Ni una cosa ni otra. Solo obliga a informar. Que el uso del sistema sea legal depende de otras normas, sobre todo de la de protección de datos.

3.¿A qué trabajadores afecta?

Con carácter general, a las relaciones laborales de más de cuatro semanas de duración. También alcanza a las relaciones laborales especiales y al empleo público, con sus particularidades.

4.¿Y si mi empresa es pequeña?

La Nota de la AEPD no menciona excepciones por tamaño. Lo que cuenta es si la empresa usa o no estos sistemas, no cuántos empleados tiene.

¿Tiene mi empresa algoritmos laborales?

5.¿Qué es un «algoritmo laboral»? No usamos inteligencia artificial.

No hace falta que sea inteligencia artificial. Basta con que un programa, a partir de datos de personas, puntúe, ordene, clasifique, asigne o proponga algo que afecte a su trabajo. Una sola regla sencilla, ejecutada por una máquina, ya lo es.

La pregunta útil es: ¿quién aplica el criterio, una persona o un programa?

6.¿Puede darme ejemplos?

7.¿Y si el programa solo «recomienda» y al final decide una persona?

Hay que informar, al menos, de que el sistema existe. Y atención: si en la práctica esa persona sigue siempre lo que propone el programa, se considera que quien decide es el programa.

8.¿Y si el sistema no es nuestro, sino de un proveedor o de la matriz del grupo?

La responsabilidad sigue siendo de la empresa que lo utiliza en España. Que la herramienta venga «de serie» en el software o la haya elegido el grupo no exime.

9.¿Es posible que mi empresa no tenga ninguno?

Sí. Si las decisiones sobre personas las toman responsables con su propio criterio y los programas solo registran o calculan, no hay nada que informar por este motivo. Recomendamos comprobarlo, dejarlo por escrito y revisarlo cuando se incorpore o actualice alguna herramienta.

Qué hay que informar, a quién y cuándo

10.¿Qué tengo que contar exactamente?

Depende de lo que haga el sistema:

• Si existe pero no decide sobre condiciones de trabajo: que existe.
• Si interviene en decisiones sobre jornada, tareas, salario, promoción, lugar de trabajo, despido u otras condiciones: además, sus pautas, criterios y reglas de funcionamiento.

No hay que entregar el código informático ni revelar secretos empresariales. Pero la explicación debe permitir entender qué datos se usan y qué factores influyen a favor o en contra.

11.¿Vale con remitirse a la ley o al convenio?

No. Esta información debe darse de forma concreta, referida a los sistemas que la empresa usa realmente.

12.¿Cuándo y cómo se entrega?

Puede entregarse en papel o en formato electrónico, siempre que el trabajador pueda acceder al documento, guardarlo e imprimirlo. La empresa debe conservar prueba de la entrega.

13.¿Tengo que esperar al modelo oficial?

No. La obligación ya es exigible, con independencia de que el Servicio Público de Empleo Estatal publique o no un modelo.

14.Ya informé al comité de empresa. ¿Es suficiente?

No. Son tres obligaciones distintas, y cumplir una no cumple las demás:

Protección de datos: qué añade la AEPD

15.Si informo al trabajador, ¿ya estoy cubierto?

No. Informar no hace legal el sistema. La empresa debe poder demostrar, además, que el uso de los datos es lícito, necesario y proporcionado.

16.¿Qué es la «advertencia» de la AEPD de la que habla la Nota?

Es una resolución (AI-00009-2026) sobre una empresa que tenía previsto usar inteligencia artificial para cribar y puntuar currículums. No es una sanción: la AEPD avisó antes de que el sistema se pusiera en marcha. El mensaje para todas las empresas es que la Agencia puede actuar de forma preventiva y que las garantías deben estar listas antes de implantar, no después.

17.¿Qué exige la AEPD antes de implantar uno de estos sistemas?

• Evaluar los riesgos para trabajadores y candidatos y, si el riesgo es alto, hacer una evaluación de impacto.
• Incorporar la protección de datos desde el momento de elegir y configurar la herramienta.
• Dar una información clara y comprensible.
• Garantizar que la revisión humana sea real.

18.¿Qué significa que la revisión humana sea «real»?

Que quien revisa conozca las limitaciones del sistema, tenga tiempo, información y autoridad para apartarse de su resultado, y lo haga cuando proceda. Si nunca se aparta, la AEPD lo considera un indicio de que decide la máquina.

Cuando una decisión importante (por ejemplo, descartar a un candidato) la toma solo un programa, se aplican garantías reforzadas: el afectado puede pedir que intervenga una persona, dar su opinión e impugnar la decisión.

19.Los candidatos no son trabajadores. ¿También están protegidos?

Sí, por la normativa de protección de datos, aunque no lleguen a ser contratados.

20.Nuestro proveedor asegura que la herramienta «no usa datos sensibles» y que «se audita». ¿Basta?

No. Hay que comprobar que otros datos no permitan deducir información sensible (por ejemplo, salud, origen o afiliación sindical) ni generen discriminación. Y las auditorías deben poder acreditarse: qué se revisó, con qué resultados y qué se corrigió.

21.¿Puedo basarme en el consentimiento del trabajador?

Rara vez es una base segura. En una relación laboral es difícil demostrar que el consentimiento fue verdaderamente libre.

Qué hacer ahora

22.¿Por dónde empiezo?

1. Haga inventario. Liste los programas que usan Recursos Humanos, operaciones y los mandos para seleccionar, organizar, medir o retribuir al personal, incluidos los de proveedores.
2. Identifique qué hace cada uno por sí solo. Pregunte qué decide o propone el programa sin que nadie teclee la decisión, y con qué frecuencia alguien se aparta de lo que propone.
3. Si no hay ninguno, déjelo documentado. Anote la fecha, los programas revisados y la conclusión.
4. Si los hay, describa cada uno. Para qué sirve, qué datos utiliza, qué criterios aplica y quién revisa el resultado.
5. Revise la protección de datos. Base legal, nivel de riesgo, necesidad de evaluación de impacto y contrato con el proveedor.
6. Prepare la información. Para el trabajador, para los candidatos y para la representación legal, cada una con su contenido.
7. Organice la revisión humana. Designe quién revisa, con qué criterio, y registre los casos en que se aparta del sistema.
8. Guarde las pruebas. Entregas firmadas o acuses, actualizaciones, auditorías, incidencias y reclamaciones.
9. Vuelva a revisar con cada cambio. Muchas aplicaciones incorporan funciones de inteligencia artificial en sus actualizaciones sin que nadie las haya pedido.

Errores que conviene evitar

23.¿Qué no debo hacer?

• Pensar que «no tenemos algoritmos» sin haberlo comprobado.
• Creer que informar al trabajador legaliza el sistema.
• Dar por cumplida la información individual con la comunicación al comité, o al revés.
• Entregar explicaciones genéricas o tan técnicas que nadie las entienda.
• Confiar en una revisión humana de puro trámite.
• Escudarse en que la herramienta es del proveedor o de la matriz.
• Dejar las garantías de protección de datos para después de la puesta en marcha.
• Entregar la información sin guardar prueba de haberlo hecho.