Este artículo cierra el bloque sectorial, y lo hace con el caso límite.
La idea que ordena todos los anteriores es que el alto riesgo no suele estar en la actividad sino en el software con el que se contrata a personas: pasa desapercibido porque lo compró un departamento que no participa en la conversación sobre IA.
En una consultora de selección esa distinción no existe. Recursos Humanos no es un departamento: es el producto.
Lo que eso resuelve, y lo que no
Resuelve el problema de visibilidad. Aquí nadie olvida el sistema: es la herramienta con la que se trabaja todos los días, la que se demuestra al cliente y la que aparece en la propuesta comercial. No hay nada escondido.
Y no resuelve nada más. La obligación es idéntica y llega por el mismo sitio:
«a) Sistemas de IA destinados a ser utilizados para la contratación o la selección de personas físicas, en particular para publicar anuncios de empleo específicos, analizar y filtrar las solicitudes de empleo y evaluar a los candidatos.»
Con una diferencia de escala que no es menor: donde una empresa cualquiera tiene un sistema del punto 4 aplicándose a las candidaturas que recibe al año, una firma de selección lo tiene aplicándose de forma continua, a volúmenes grandes y sobre personas que no van a trabajar con ella.
La figura recorre un proceso de selección en cinco etapas —anuncio, cribado, entrevista, evaluación y decisión— y marca en cada una el uso de IA que puede encajar en el anexo III, punto 4, letra a): nombrado expresamente en la letra, o como parte de la selección. La clasificación se hace sistema a sistema.
La asimetría que este sector tiene y ningún otro
Aquí aparece algo que merece leerse despacio, porque es propio de este caso y su literal lo dice.
El Art. 26(7) impone al responsable del despliegue una obligación de información:
«Antes de poner en servicio o utilizar un sistema de IA de alto riesgo en el lugar de trabajo, los responsables del despliegue que sean empleadores informarán a los representantes de los trabajadores y a los trabajadores afectados de que estarán expuestos a la utilización del sistema de IA de alto riesgo.»
Léase el sujeto y el destinatario. Habla de empleadores informando a trabajadores.
Una consultora de selección usa el sistema sobre candidatos de terceros: personas que no son sus trabajadores, y con las que no tiene relación laboral ni la va a tener. La obligación del 26(7), tal como está escrita, no describe esa situación.
Eso no deja a esas personas sin nada. Son interesados a efectos del RGPD, con sus derechos de información y acceso, y con el régimen propio del Art. 22 cuando la decisión produzca efectos jurídicos o les afecte significativamente — un umbral que no se cruza automáticamente y que se evalúa por decisión, no por sistema. Y la empresa cliente, que sí será su empleadora si la contratación prospera, tiene sus propias obligaciones respecto de su plantilla. Entre ellas puede estar la de informar a su comité de los parámetros, reglas e instrucciones del algoritmo, si afecta a sus decisiones de contratación: el art. 64.4.d) del Estatuto de los Trabajadores incluye el acceso al empleo.
Lo que hay es un reparto que no es evidente, y del que conviene dejar constancia por escrito entre la consultora y su cliente antes de que alguien pregunte. No porque un artículo lo exija con esas palabras, sino porque cuando la pregunta llegue, la respuesta «pensábamos que le correspondía al otro» no sirve.
Y una pregunta que este sector debe hacerse antes que ningún otro
¿Sigues siendo solo responsable del despliegue?
Una firma que usa una herramienta de selección de un tercero, bajo la marca y las instrucciones de ese tercero, es responsable del despliegue. Una que modifica sustancialmente el sistema, lo comercializa bajo su propio nombre o lo ofrece como producto propio a sus clientes puede haber cambiado de papel: el Art. 25(1) considera proveedor de un sistema de alto riesgo a quien ponga su nombre o marca en él, lo modifique sustancialmente sin que deje de serlo o cambie su finalidad de modo que pase a serlo, y lo sujeta a las obligaciones del proveedor, que son otras y bastante más pesadas.
No es una pregunta retórica en un sector donde el producto tiende a construirse sobre modelos de terceros y a presentarse con marca propia. Y no se responde aquí: se responde mirando el contrato, la marca bajo la que se presta el servicio y qué se ha modificado.
Lo que conviene tener resuelto
Tres cosas, y ninguna necesita esperar a 2027.
Qué hace exactamente el sistema con cada candidatura. Filtrar por criterios objetivos, puntuar por adecuación y ordenar una lista no son la misma operación, y la explicación que habrá que dar es distinta en cada caso.
Quién revisa, con qué margen y con qué autoridad. Si el orden que propone el sistema se acepta siempre, no hay revisión: hay una decisión automatizada con un intermediario humano.
Qué se conserva de cada proceso. Porque la pregunta que llega meses después —«¿por qué se descartó a esta persona?»— se responde con lo que se guardó entonces, no con lo que se recuerde.
La fecha, que aquí también es 2027
El régimen del Anexo III empieza el 2 de diciembre de 2027, no antes — y la fecha equivocada que circula es agosto de 2026. Hoy ninguna consultora incumple por esta vía, y decir lo contrario sería usar un plazo que no existe.
Lo que sí se aplica desde el 2 de febrero de 2025 es el Art. 4 de alfabetización —reescrito por el Digital Ómnibus sin dejar de obligar— y el Art. 5, salvo las dos letras que añadió el Reglamento (UE) 2026/1744, aplicables desde el 2 de diciembre de 2026. Y el Art. 5 tiene aquí una prohibición con nombre propio: la de los sistemas de IA para inferir las emociones de una persona en el lugar de trabajo, salvo por motivos médicos o de seguridad. Un sistema que analice expresiones, tono o gestos en una entrevista para deducir estados emocionales del candidato plantea, antes que una pregunta de clasificación, la de si cae en esa prohibición.
Contenido con arreglo a los artículos 4, 5, 25 y 26 y al Anexo III del Reglamento (UE) 2024/1689, en la redacción dada por el Reglamento (UE) 2026/1744 (DOUE de 24/07/2026), y al artículo 22 del Reglamento (UE) 2016/679.
Este artículo tiene carácter informativo y no constituye asesoramiento jurídico.