Este artículo es para quien usa un sistema que decide, o ayuda a decidir, sobre personas —candidatos, clientes, empleados— y quiere saber cuándo el RGPD le exige algo más que una base jurídica y un aviso de privacidad. Esa exigencia está en el Art. 22, y no espera a ninguna fecha del AI Act: es parte del RGPD, que se aplica a cualquier tratamiento de datos personales.
El artículo es corto y cada palabra cuenta. Tiene un derecho con dos condiciones, tres excepciones y unas salvaguardas mínimas. Conviene leerlo en ese orden, porque casi todos los errores vienen de saltarse una de las dos condiciones.
El derecho, y sus dos condiciones
«Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar.»
Primera condición: «basada únicamente» en el tratamiento automatizado. No basta con que un sistema intervenga. El derecho se refiere a la decisión que toma el sistema solo. Si una persona revisa el resultado con capacidad real de cambiarlo, la decisión deja de descansar únicamente en el tratamiento automatizado. Si esa persona se limita a validar lo que el sistema propone, sin información ni margen para apartarse, la decisión sigue siendo del sistema aunque haya alguien pulsando un botón.
Segunda condición: los efectos. La decisión tiene que producir efectos jurídicos en la persona o afectarle significativamente de modo similar. Denegar un crédito, descartar una candidatura, resolver una reclamación o fijar una condición que afecta a alguien concreto la cumplen. Reordenar una bandeja de entrada o clasificar tickets por prioridad no la cumplen, por automatizados que sean. Es el mismo umbral que explicamos al hablar de los registros de un agente.
Y el inciso del medio: «incluida la elaboración de perfiles». Aclara que perfilar forma parte del tratamiento automatizado, no que todo perfil sea una decisión. Un perfil que nadie usa para decidir sobre la persona no activa el derecho; uno que decide por sí solo si a esa persona se le ofrece algo, se le deniega o se la descarta, sí, si además produce esos efectos.
Las dos condiciones van juntas. Una decisión automatizada sin efectos significativos queda fuera del Art. 22. Una decisión con efectos significativos que toma una persona también. Y automatizar un tratamiento no convierte cada paso en una decisión de este artículo: la AEPD lo dice expresamente en su guía sobre IA agéntica.
Las tres excepciones
El apartado 2 enumera los casos en que el apartado 1 no se aplica, es decir, en que la decisión únicamente automatizada con esos efectos está permitida. Son tres, y la lista es cerrada:
- a) El contrato. La decisión «es necesaria para la celebración o la ejecución de un contrato entre el interesado y un responsable del tratamiento». La palabra que pesa es «necesaria»: que la decisión automatizada sea cómoda o eficiente no la convierte en necesaria para el contrato.
- b) La ley. La decisión «está autorizada por el Derecho de la Unión o de los Estados miembros que se aplique al responsable del tratamiento y que establezca asimismo medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado». La autorización viene con sus propias salvaguardas, fijadas por esa misma norma.
- c) El consentimiento explícito. La decisión «se basa en el consentimiento explícito del interesado». Explícito, no el consentimiento genérico que se da al aceptar unas condiciones.
Fuera de estos tres casos, la persona tiene derecho a no ser objeto de esa decisión.
Las salvaguardas del apartado 3
Cuando la decisión se apoya en el contrato o en el consentimiento explícito, el responsable del tratamiento adoptará las medidas adecuadas para salvaguardar los derechos y libertades y los intereses legítimos del interesado, «como mínimo el derecho a obtener intervención humana por parte del responsable, a expresar su punto de vista y a impugnar la decisión».
Tres cosas, y ninguna es decorativa. La intervención humana tiene que poder cambiar el resultado, o no es intervención. Expresar el punto de vista exige un canal por el que la persona pueda hacerlo. E impugnar exige que alguien pueda revisar la decisión y que eso tenga consecuencias. Un botón de «revisar» que no lleva a nadie con autoridad para revertir la decisión no cumple ninguna de las tres.
Lo que hay que decir antes de decidir
El Art. 22 no funciona solo. Los arts. 13 y 14 obligan a informar al interesado, cuando se obtienen sus datos, de «la existencia de decisiones automatizadas, incluida la elaboración de perfiles, a que se refiere el artículo 22, apartados 1 y 4, y, al menos en tales casos, información significativa sobre la lógica aplicada, así como la importancia y las consecuencias previstas de dicho tratamiento para el interesado».
Es decir: la persona tiene que saber que existe la decisión automatizada, con qué lógica y con qué consecuencias. Sin eso, las salvaguardas del apartado 3 son difíciles de ejercer, porque nadie impugna lo que no sabe que ocurrió.
El puente con el AI Act, sin confundir fechas
El AI Act tiene una obligación que se parece y no es la misma. Su Art. 26(2) dice: «Los responsables del despliegue encomendarán la supervisión humana a personas físicas que tengan la competencia, la formación y la autoridad necesarias.» Es un deber de quien despliega un sistema de alto riesgo, y el Art. 26 se aplica desde el 2 de diciembre de 2027 para los sistemas de alto riesgo del anexo III y desde el 2 de agosto de 2028 para los del anexo I; a los productos del anexo I, sección B, no le alcanza.
La diferencia importa. El Art. 22 es un derecho de la persona afectada, se aplica ya y alcanza a cualquier decisión únicamente automatizada con efectos significativos, sea o no de alto riesgo el sistema. El Art. 26(2) es una obligación de organización para los sistemas de alto riesgo, con su propia fecha. Un filtro de CV o un modelo de solvencia de particulares pueden quedar sujetos a los dos, y cumplir uno no acredita el otro. Quién tiene la autoridad para intervenir en lo que hace un agente lo tratamos en el apartado 2 del Art. 26.
Qué conviene tener escrito
Para cada sistema que decide o ayuda a decidir sobre personas, cuatro respuestas:
- Qué decide y sobre quién. Si alguna de sus decisiones produce efectos jurídicos o significativos, y si alguna la toma el sistema solo.
- En qué excepción se apoya, si la toma solo: el contrato, la ley o el consentimiento explícito. Sin excepción, no puede tomarla.
- Cómo es la intervención humana: quién revisa, con qué información y con qué autoridad para cambiar el resultado.
- Cómo se informa: dónde se explica la existencia de la decisión, su lógica y sus consecuencias.
El Art. 22 es uno de los cinco artículos del RGPD que operan sobre tu IA sin esperar al AI Act. Si el sistema es además de alto riesgo, como los de selección que describimos en el sector de selección de personal, las dos capas se suman.
Contenido con arreglo a los artículos 13, 14 y 22 del Reglamento (UE) 2016/679, citado según el texto publicado en el DOUE L 119 de 4.5.2016 y verificado contra la versión consolidada, y al artículo 26 del Reglamento (UE) 2024/1689.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.