La Agencia Española de Protección de Datos (AEPD) ha publicado una nota sobre sistemas algorítmicos en el ámbito laboral que deja un mensaje claro: informar de la existencia de un algoritmo no lo convierte en lícito, y la nueva obligación del Real Decreto 723/2026 no sustituye a las del RGPD.
En resumen #
El Real Decreto 723/2026, de 9 de septiembre, en vigor desde el 5 de octubre de 2026, desarrolla el artículo 8.5 del Estatuto de los Trabajadores y transpone parcialmente la Directiva (UE) 2019/1152. Su artículo 3.2.k obliga a informar por escrito a cada persona trabajadora de la existencia de sistemas algorítmicos o automatizados de toma de decisiones y, si inciden en sus condiciones de trabajo, de sus pautas, criterios y reglas de funcionamiento.
La AEPD pone esta obligación en relación con su advertencia AI-00009-2026, sobre una herramienta de IA prevista para puntuar y priorizar candidaturas en procesos de selección y movilidad interna.
El «no aplica» es un problema #
Ya circulan contratos que resuelven el artículo 3.2.k con un «no aplica» o con una frase genérica como «la empresa cumple la normativa laboral y de protección de datos en materia de algoritmos». La AEPD recuerda que esta información no figura entre los extremos que pueden cumplirse con una simple remisión a la ley o al convenio colectivo: debe ser concreta.
La pregunta previa a la cláusula es otra: ¿qué sistemas utiliza realmente la organización y cómo intervienen en decisiones sobre jornada, tareas, salario, promoción, lugar de trabajo o extinción? Un sistema de scoring, un asignador de tareas o una herramienta de selección pueden entrar en el ámbito de aplicación aunque no se presenten como «inteligencia artificial».
RD 723/2026 y RGPD: obligaciones que se suman #
Cumplir el deber de información laboral no es una base jurídica ni una autorización para usar el sistema. Cuando se tratan datos personales, la empresa debe cumplir a la vez el RGPD y la LOPDGDD: licitud, minimización, exactitud, protección de datos desde el diseño, seguridad, gestión del riesgo y, cuando proceda, el régimen de decisiones automatizadas del artículo 22.
- Las puntuaciones también son datos personales: perfiles, clasificaciones e inferencias vinculadas a una persona identificable están protegidos.
- «Sin datos sensibles» no basta: hay que comprobar si otras variables actúan como proxies que permiten inferirlos.
- Transparencia no es entregar el código fuente, pero tampoco vale una explicación genérica. Así lo recogen las sentencias del TJUE SCHUFA (C-634/21) y Dun & Bradstreet Austria (C-203/22).
Supervisión humana: formal o real #
No todo algoritmo es una decisión del artículo 22, que exige que la decisión se base únicamente en un tratamiento automatizado y afecte de forma significativa a la persona. Pero la AEPD advierte de que una persona al final del proceso no excluye el artículo 22 si no puede apartarse realmente del resultado. Quien revise debe conocer las limitaciones del sistema, tener información, tiempo y autoridad para modificar la decisión, y conviene registrar sus discrepancias: si nunca discrepa, puede haber automatización de hecho.
Tres planos de transparencia que no se sustituyen #
| Plano | Destinatario y fundamento |
|---|---|
| Laboral individual | Cada persona trabajadora. Artículos 3.2.k, 6 y 7 del RD 723/2026. |
| Laboral colectiva | Representación legal de las personas trabajadoras. Artículo 64.4.d del Estatuto de los Trabajadores. |
| Protección de datos | Candidaturas y personas afectadas. Artículos 12 a 15 y, cuando proceda, 22 del RGPD. |
Qué deben hacer las empresas #
- Inventariar los sistemas algorítmicos, incluidos los de terceros, que apoyan decisiones sobre candidaturas, jornada, tareas, rendimiento, retribución, promoción o extinción.
- Documentar cada tratamiento: datos y origen, inferencias, variables, reglas de decisión, destinatarios, conservación y transferencias internacionales.
- Determinar la base jurídica, la aplicación del artículo 22, el nivel de riesgo, la necesidad de una EIPD y la clasificación conforme al Reglamento de Inteligencia Artificial.
- Preparar información coordinada para trabajadores, candidaturas y representación legal, con ejemplos comprensibles.
- Diseñar una supervisión humana demostrable y conservar evidencias de entrega, auditorías, cambios del modelo e incidencias.
Si la empresa no sabe qué herramientas usan algoritmos, qué datos procesan o qué variables intervienen, difícilmente podrá redactar una información suficientemente concreta. La cláusula debe ser el resultado del análisis, no su sustituto.
Preguntas frecuentes #
¿Basta con poner «no aplica» en el contrato?
No necesariamente. La información del artículo 3.2.k debe ser concreta y no puede resolverse con una remisión genérica a la ley o al convenio. Antes de redactar la cláusula hay que inventariar los sistemas realmente utilizados.
¿Informar del algoritmo legitima su uso?
No. Informar es una obligación laboral previa, pero la licitud, necesidad, proporcionalidad y seguridad del tratamiento deben analizarse por separado conforme al RGPD.
¿Hay que entregar el código fuente?
No, pero la explicación debe ser concisa, transparente e inteligible: qué datos se usan, qué principios se aplican y cómo influyen en el resultado.
¿Una comunicación a los representantes cumple con el RGPD?
No. La información colectiva, la individual laboral y la de protección de datos son planos distintos, con destinatarios y contenidos diferentes, y ninguno sustituye a los demás.
Sistemas algorítmicos en el ámbito laboral
Nota completa sobre transparencia y garantías de protección de datos tras el RD 723/2026 (8 páginas).
Descargar el documento →Conclusión
El RD 723/2026 convierte la transparencia algorítmica en una obligación laboral previa, escrita y trazable, pero convive con las exigencias del RGPD. Ante un «no aplica», la pregunta incómoda es si la empresa puede demostrar qué sistemas usa, qué decisiones apoyan y qué información concreta debe recibir cada persona afectada. Si no puede, el problema no es la cláusula: es la gobernanza del sistema.