Filtrado de CVs con IA: por qué es alto riesgo

El filtrado de currículums con inteligencia artificial es uno de los casos de uso más citados del Anexo III del Reglamento (UE) 2024/1689: cualquier sistema de IA destinado a filtrar o evaluar candidaturas de empleo se clasifica como alto riesgo, con independencia del tamaño de la empresa que lo use. No es una zona gris ni una interpretación forzada: el propio Anexo III lo nombra de forma explícita.

¿Qué es el filtrado de currículums con IA?

Se trata de cualquier sistema —desde un módulo integrado en un ATS (Applicant Tracking System) hasta una herramienta de puntuación automática de perfiles— que analiza CVs, cartas de presentación o respuestas a cuestionarios para preseleccionar, descartar, puntuar o rankear candidatos antes de que un reclutador humano intervenga. También entran aquí los sistemas que orientan la publicación de ofertas de empleo a determinados perfiles o que evalúan a los candidatos durante entrevistas asistidas por IA.

¿Por qué el Anexo III lo clasifica como alto riesgo?

El Anexo III, punto 4, letra a) del Reglamento incluye expresamente los sistemas de IA destinados a ser utilizados para la contratación o selección de personas físicas, en particular para publicitar vacantes de forma dirigida, analizar o filtrar solicitudes de empleo, y evaluar a los candidatos. El legislador europeo entendió que estos sistemas afectan directamente al acceso al empleo, un derecho con fuerte protección en la Carta de Derechos Fundamentales de la UE, por lo que decidió someterlos al régimen de alto riesgo del Capítulo III del Reglamento.

¿Se puede aplicar la excepción del Art. 6(3)?

El Art. 6(3) permite que ciertos sistemas listados en el Anexo III escapen de la calificación de alto riesgo si realizan una tarea puramente procedimental o de apoyo, sin influir de forma significativa en el resultado de una decisión. Sin embargo, el propio artículo establece una salvedad clave: si el sistema realiza perfilado de personas físicas, siempre se considerará alto riesgo, sin excepción posible. Prácticamente cualquier herramienta de scoring o ranking de candidatos hace justamente eso —perfilado basado en datos personales—, por lo que la excepción del Art. 6(3) no suele aplicar en la práctica al filtrado de CVs.

¿Cuándo empieza a aplicarse esta obligación?

Con el calendario revisado por el Reglamento (UE) 2026/1744 (paquete Omnibus), las obligaciones de alto riesgo del Anexo III —incluido el punto 4 sobre empleo— se pospusieron al 2 de diciembre de 2027, frente al calendario original. Esto no significa que haya que esperar sin hacer nada: la fecha marca el inicio de la exigibilidad plena, no el momento para empezar a prepararse. Como explicamos en el análisis del paquete Omnibus, el aplazamiento da margen operativo, no exención.

¿Quién es proveedor y quién deployer en el filtrado de CVs?

Si tu empresa desarrolla internamente el algoritmo de scoring, eres proveedor (Art. 3.3) y asumes las obligaciones más exigentes: sistema de gestión de riesgos, documentación técnica y evaluación de conformidad. Si, en cambio, contratas un ATS de un tercero que incluye un módulo de IA para filtrar candidaturas, tu empresa actúa como deployer (Art. 3.4), con obligaciones distintas pero igualmente relevantes, como ya detallamos en nuestra guía sobre proveedor vs. deployer al integrar una API de IA. La mayoría de los departamentos de RRHH que usan herramientas de terceros son deployers, no proveedores.

¿Qué hay que tener documentado antes de seguir usándolo?

Aunque la exigibilidad plena llegue en 2027, la documentación no se improvisa el último mes. Como mínimo conviene tener preparado:

• Sistema de gestión de riesgos (Art. 9): identificación de riesgos de discriminación, sesgo y exclusión asociados al modelo de scoring.
• Gobernanza de datos (Art. 10): origen, calidad y representatividad de los datos de entrenamiento, especialmente frente a sesgos por género, edad u origen.
• Documentación técnica (Art. 11 y Anexo IV): descripción del sistema, arquitectura, métricas de precisión y limitaciones conocidas.
• Registro de eventos (Art. 12): logs que permitan trazar decisiones automatizadas relevantes.
• Instrucciones de uso (Art. 13): información clara para el deployer sobre capacidades, límites y nivel de supervisión requerido.
• Supervisión humana (Art. 14): definición del punto en el que una persona revisa y puede revertir la decisión del sistema.
• Obligaciones del deployer (Art. 26), incluida la información a los trabajadores y sus representantes antes de usar el sistema, prevista en el Art. 26(7).

A estas se suma, cuando corresponda, la evaluación de impacto sobre derechos fundamentales (Art. 27) para determinados deployers, como organismos de derecho público.

¿Qué pasa si no se documenta a tiempo?

La falta de documentación no solo expone a sanciones cuando el régimen sea plenamente exigible: también deja a la empresa sin capacidad de responder a candidatos, autoridades laborales o auditores internos si se cuestiona una decisión de descarte automatizado. Preparar esta documentación con antelación, usando una metodología de autoevaluación estructurada como la de 13 secciones de AICONTEXT, permite a los equipos de RRHH y de tecnología ordenar la evidencia antes de que el uso de estas herramientas se convierta en un problema legal o reputacional.

El filtrado de CVs con IA seguirá siendo una de las aplicaciones más escrutadas del Reglamento precisamente porque toca un derecho fundamental: el acceso al empleo en condiciones no discriminatorias. Las empresas que empiecen a documentar ahora —proveedores y deployers por igual— llegarán a 2027 con una ventaja operativa clara frente a quienes esperen al último momento.