La futura Quality Jobs Act apunta al punto ciego del AI Act: quién manda cuando el algoritmo gestiona personas

La UE lleva meses repitiendo una idea que ya no suena a eslogan social sino a aviso regulatorio: la digitalización del trabajo no puede dejar al trabajador frente a una caja negra. Eso no significa que Bruselas tenga hoy una ley cerrada y lista para imponer un modelo único de supervisión humana. Significa algo más incómodo para empresas y proveedores: el cerco normativo ya existe, pero está disperso entre protección de datos, inteligencia artificial, información y consulta a trabajadores, seguridad y responsabilidad empresarial. Y cuando las normas llegan en racimo, el margen para improvisar se reduce bastante.

Ese es el punto que muchas organizaciones siguen sin querer ver. Esperan una gran norma laboral europea sobre algoritmos que les diga exactamente qué hacer, quizá porque así podrían seguir sin tocar lo que ya tienen desplegado. Mientras tanto, el problema real no es futurista. Está aquí: sistemas que puntúan candidaturas, priorizan turnos, detectan riesgos disciplinarios, recomiendan despidos, monitorizan productividad o condicionan acceso a incentivos. A veces no deciden formalmente. Deciden de hecho. Y esa diferencia semántica empieza a cotizar a la baja ante reguladores y tribunales.

La pregunta útil, por tanto, no es si una futura iniciativa europea podría algún día regular la gestión algorítmica del trabajo. La pregunta útil es otra: qué obligaciones ya activan hoy el GDPR, el AI Act y otras normas cuando una empresa usa IA o analítica automatizada para influir de forma material en decisiones laborales. Ahí está el riesgo. También la hoja de ruta seria.

El espejismo de esperar a la “gran ley”

Parte del debate público se ha llenado de referencias a futuras iniciativas sobre empleo de calidad y digitalización del trabajo. El problema es que convertir esas expectativas en hechos cerrados es periodismo de fe, no análisis regulatorio. Si no hay un texto legislativo adoptado y verificable con contenido concreto, lo honesto es decirlo. Hoy por hoy, lo relevante para una empresa no es especular con el nombre final de una posible propuesta, sino revisar qué normas vigentes y qué instrumentos ya aprobados le están pisando los talones.

La ironía es bastante europea: muchas compañías esperan una norma nueva mientras incumplen obligaciones viejas. No han mapeado decisiones automatizadas en RR. HH.; no distinguen entre un sistema que solo apoya y uno que empuja de facto una decisión; no han revisado bases jurídicas; no han preparado información comprensible para trabajadores; y llaman “supervisión humana” a que alguien pulse aceptar al final del flujo. Eso, jurídicamente, puede salir caro aunque nadie haya publicado todavía la ley perfecta con un título redondo.

Lo que sí está ya negro sobre blanco: GDPR, artículo 22, y bastante más

Conviene empezar por donde demasiadas empresas siguen tropezando. El artículo 22.1 del GDPR reconoce, como regla general, el derecho de la persona a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos sobre ella o le afecte significativamente de modo similar. No es una mera “limitación” ligera ni una recomendación. Es un derecho con excepciones tasadas en el artículo 22.2: cuando la decisión sea necesaria para un contrato, esté autorizada por el Derecho de la Unión o de los Estados miembros, o se base en el consentimiento explícito.

Y aun cuando opere una excepción, el artículo 22.3 exige salvaguardias como el derecho a obtener intervención humana, expresar el punto de vista propio y impugnar la decisión. Si la decisión trata categorías especiales de datos, el artículo 22.4 estrecha todavía más el margen. Sumemos a eso los artículos 13.2.f, 14.2.g y 15.1.h, que obligan a facilitar información significativa sobre la lógica aplicada y sobre la importancia y consecuencias previstas del tratamiento automatizado. No basta con esconder una frase opaca en la política de privacidad de empleo y dar por cumplido el expediente.

En el ámbito laboral, la fricción práctica suele aparecer antes incluso del artículo 22. Los principios del artículo 5 del GDPR ya golpean de lleno: limitación de la finalidad, minimización de datos, exactitud y transparencia. El artículo 6 obliga a sostener el tratamiento en una base jurídica válida; el artículo 9 restringe el uso de categorías especiales; el artículo 35 impone una evaluación de impacto cuando el tratamiento, en particular mediante nuevas tecnologías, pueda entrañar un alto riesgo para los derechos y libertades de las personas físicas. Un sistema que perfila rendimiento, absentismo o riesgo de fuga del talento no entra precisamente en la categoría de “riesgo bajo por intuición”.

La autoridad de protección de datos que revise el caso no necesita una gran teoría futurista. Le basta con preguntas bastante terrenales. ¿Hay una decisión con efecto real? ¿La intervención humana es genuina o decorativa? ¿Se informó al trabajador de forma inteligible? ¿Se evaluaron sesgos y errores? ¿Puede la persona cuestionar el resultado antes de sufrir el daño o solo después, cuando ya perdió un bonus, un ascenso o un puesto?

La palabra maldita es “únicamente”, pero no salva tanto como algunos creen

Buena parte de la ingeniería defensiva en recursos humanos se apoya en una lectura interesada del artículo 22: si un humano toca el expediente en algún momento, entonces la decisión ya no es “basada únicamente” en tratamiento automatizado. Sobre el papel parece elegante. En la práctica, depende.

El Comité Europeo de Protección de Datos ha insistido en sus directrices sobre decisiones automatizadas y elaboración de perfiles en que la intervención humana debe ser significativa, no simbólica. Si el revisor humano carece de autoridad real para apartarse del resultado, si recibe la recomendación como un hecho consumado, si no entiende el sistema o si procesa cientos de casos a velocidad industrial, la empresa tendrá difícil sostener que la decisión dejó de ser esencialmente automatizada. Cambiar el último clic de máquina a persona no transforma por arte de magia la naturaleza del proceso.

Aquí hay una incomodidad operacional que muchos departamentos conocen y pocos documentan bien. Cuanto más escalado está el uso de analítica laboral, más fuerte es la presión para estandarizar y seguir la recomendación del sistema. Eso mejora eficiencia. También puede vaciar de contenido la revisión humana. Y en ese punto, el debate ya no es filosófico; es probatorio. Si mañana te piden demostrar que la intervención humana era real, ¿qué enseñas? ¿Un procedimiento interno convincente, registros de apartamientos, criterios de revisión y formación específica? ¿O solo una casilla de aprobación en el software?

El AI Act no es una norma laboral, pero entra por la puerta principal

Quien siga tratando la regulación europea de IA como un asunto remoto de laboratorio se está perdiendo la parte más obvia. El AI Act clasifica como de alto riesgo, en su Anexo III, determinados sistemas de IA utilizados en empleo, gestión de trabajadores y acceso al autoempleo. Ahí entran, entre otros, sistemas destinados a reclutamiento o selección, adopción de decisiones que afecten a las condiciones de la relación laboral, promoción y terminación, asignación de tareas basada en comportamiento o rasgos personales y monitorización o evaluación del rendimiento y la conducta.

La relevancia no está solo en la etiqueta “alto riesgo”, que ya de por sí impone una carga seria. Está en la arquitectura de obligaciones: sistema de gestión de riesgos, gobernanza de datos, documentación técnica, registro de logs, transparencia e instrucciones de uso, supervisión humana, precisión, robustez y ciberseguridad. Todo ello aparece en el cuerpo del reglamento como requisito para proveedores y, en parte, para desplegadores dependiendo del rol y del uso concreto.

La supervisión humana, además, no es un adorno retórico. El AI Act exige que los sistemas de alto riesgo estén diseñados y desarrollados de modo que puedan ser supervisados eficazmente por personas físicas durante el periodo en que estén en uso. La clave está en el verbo: puedan. No basta con declarar que “siempre hay un humano en el circuito”; el sistema y el proceso deben permitir una supervisión real adaptada a sus riesgos previsibles. Eso obliga a mirar interfaz, alertas, formación, gobernanza, autoridad de decisión y procedimientos de escalado. Menos marketing y más diseño operativo.

Lo prudente aquí es no convertir esa exigencia en un catecismo inventado de cinco, seis o diez elementos universales si el texto legal no los enumera así. Lo que sí puede afirmarse con solidez es que una supervisión efectiva, a la luz del AI Act y de la lógica del GDPR, difícilmente existirá si el personal encargado no entiende para qué sirve el sistema, qué límites tiene, cómo cuestionar una salida anómala y cuándo debe detener o corregir una recomendación antes de que produzca efectos. No hace falta inventar una checklist cerrada para ver por dónde va el regulador.

La gestión algorítmica no necesita despedir a nadie para crear riesgo jurídico

Uno de los errores más frecuentes consiste en reducir todo el debate a decisiones extremas: contratación o despido. Pero el riesgo regulatorio se juega muchas veces en zonas mucho más cotidianas. Un algoritmo que distribuye turnos puede afectar salario variable, conciliación o acceso a horas extra. Un sistema de scoring de productividad puede condicionar promociones o planes de mejora. Una herramienta de monitorización puede alterar el equilibrio disciplinario sin emitir una sanción formal. Un clasificador de candidaturas puede excluir perfiles antes de entrevista sin que nadie lo llame “decisión final”.

Desde la óptica de derechos fundamentales y protección de datos, el impacto material importa más que el nombre interno del proceso. Si el sistema influye de modo sustancial en la trayectoria laboral de la persona, la empresa entra en un terreno donde transparencia, explicabilidad contextual, evaluación de impacto y capacidad de impugnación dejan de ser extras. Son la diferencia entre gobernanza y negligencia con pretensiones de eficiencia.

También conviene recordar que el derecho laboral nacional y la negociación colectiva pueden abrir frentes paralelos. En varios Estados miembros existen obligaciones de información o consulta a representantes de los trabajadores cuando se introducen tecnologías que afectan a organización del trabajo, vigilancia o condiciones laborales. La empresa que mire solo al GDPR o solo al AI Act se deja media tormenta fuera del radar.

Transparencia: no la versión cosmética, la que duele

Decir al trabajador que la empresa utiliza herramientas automatizadas no cumple, por sí solo, con casi nada. La transparencia útil exige concretar para qué se usa el sistema, qué tipo de datos alimenta el modelo, qué resultados produce, cómo influye en decisiones, qué intervención humana existe y qué vías de revisión o impugnación están disponibles. Esto no significa entregar código fuente ni secretos comerciales indiscriminadamente. Significa ofrecer información que permita entender el impacto real del sistema sobre la persona.

El problema es que muchas organizaciones han intentado resolver esta cuestión con dos malas soluciones a la vez: un aviso genérico redactado por legal y una confianza ciega en que el proveedor “ya cumple”. Ni una cosa ni la otra bastan. El responsable del tratamiento sigue teniendo obligaciones propias bajo el GDPR. Y el desplegador de un sistema de IA de alto riesgo también carga con deberes específicos bajo el AI Act. La externalización tecnológica no externaliza la responsabilidad. Ya sería bonito.

De hecho, cuando el sistema llega de un tercero, la opacidad suele aumentar. Recursos humanos no sabe explicar cómo funciona. Compras solo negoció precio y SLA. Seguridad revisó acceso y disponibilidad, pero no sesgos ni decisiones. Legal recibió un anexo de protección de datos y un folleto comercial con promesas de “IA responsable”. Si ese retrato te resulta familiar, no estás ante un caso exótico. Estás ante la estructura de riesgo más común del mercado.

La gobernanza interna importa más que el discurso ético

Hay una razón por la que tantos proyectos de IA laboral terminan expuestos. No fracasan por falta de principios en una presentación corporativa. Fracasan por algo más prosaico: nadie definió quién aprueba el caso de uso, quién revisa la base jurídica, quién valida la calidad de datos, quién mide desvíos, quién puede parar el sistema y quién responde si la recomendación automatizada perjudica a un trabajador.

Una gobernanza mínimamente seria debería conectar, como poco, cuatro funciones: RR. HH., protección de datos, tecnología y compliance. Si además el sistema entra en categorías de alto riesgo bajo el AI Act, la exigencia sube. El análisis ya no puede ser un trámite posterior al despliegue. Debe ocurrir antes de comprar, antes de entrenar, antes de integrar y antes de poner a managers a usar la herramienta como si fuera una verdad estadística inapelable.

La evaluación previa tampoco puede quedarse en una revisión abstracta. Hay que aterrizarla en casos de uso concretos. “IA para talento” no significa nada. “Modelo que clasifica candidatos con prioridad alta, media o baja usando historiales profesionales y resultados de pruebas” sí significa algo. “Sistema que asigna turnos con base en productividad y disponibilidad” también. El nivel de riesgo y las obligaciones aplicables cambian con el uso real, no con la etiqueta del proveedor.

Qué se puede sostener hoy sobre supervisión humana sin vender humo

Se ha vuelto habitual ver artículos y políticas internas que recitan una lista cerrada de requisitos para la supervisión humana como si procediera de un artículo concreto y textual. Muchas veces no procede de ningún sitio identificable. Procede del ecosistema de buenas prácticas, guías, interpretación doctrinal y sentido regulatorio. Eso puede ser útil, siempre que no se disfrace de mandato legal literal.

La formulación responsable es más precisa. Ni el GDPR ni el AI Act se satisfacen con una supervisión nominal. La intervención humana debe ser real, informada y capaz de influir en el resultado cuando el sistema se utiliza para apoyar decisiones con impacto relevante. En términos prácticos, una empresa debería poder demostrar al menos tres cosas: que la persona revisora entiende suficientemente el uso y las limitaciones del sistema; que dispone de información y tiempo razonable para cuestionar resultados anómalos; y que existe una vía efectiva para corregir, escalar o apartarse de la recomendación sin convertir el desacuerdo humano en una ficción procedimental. Eso no es una cita literal de un artículo. Es la traducción operativa prudente de obligaciones reales.

La diferencia importa mucho. Si presentas como requisito legal exacto algo que no está en el texto, te expones a que un verificador te tumbe la pieza o a que un abogado contrario te desmonte el argumento. Si, en cambio, distingues entre obligación normativa y consecuencia práctica razonable, el análisis gana rigor y sigue siendo útil.

El cruce con derecho laboral y relaciones colectivas es donde muchos tropiezan

Las empresas tecnológicas tienden a leer estos problemas como un asunto de privacidad y producto. Las empresas tradicionales, como un asunto de recursos humanos. Ambas se equivocan cuando aíslan la cuestión. La gestión algorítmica del trabajo toca también información y consulta, organización del trabajo, vigilancia, igualdad y no discriminación, prevención de riesgos e incluso prueba en litigios laborales.

Si una herramienta reorganiza tareas, intensifica ritmos, monitoriza pausas o genera indicadores disciplinarios, la pregunta ya no es solo si el tratamiento es lícito bajo el GDPR. También puede surgir si era exigible información a representantes de los trabajadores, si existe proporcionalidad en la medida de control, si se introducen sesgos indirectos o si la empresa ha creado un entorno donde la presión automatizada vacía de contenido la autonomía profesional del mando intermedio.

Ese último punto es especialmente delicado. Muchas compañías creen haber salvado el artículo 22 porque la decisión formal sigue en manos del manager. Pero si el manager recibe una puntuación, una lista ordenada y un desvío esperado, y apartarse del sistema exige justificarlo internamente o asumir fricción con objetivos de eficiencia, la autonomía humana puede encogerse bastante. No siempre será una decisión “basada únicamente” en sentido jurídico estricto. Aun así, el riesgo de impugnación, de conflicto colectivo o de escrutinio regulatorio permanece.

No todo uso de IA en empleo cae en el mismo saco

Conviene evitar el maximalismo. No toda automatización en RR. HH. activa el artículo 22 del GDPR, ni toda herramienta usada en empleo será necesariamente ilegal o desproporcionada. Tampoco todo software con componentes de IA entrará sin matices en el núcleo más exigente del AI Act. El análisis correcto depende del caso de uso, del grado de automatización, del efecto sobre la persona y del diseño de salvaguardias.

Un sistema que ayude a ordenar CV por criterios transparentes y revisables no plantea el mismo nivel de riesgo que uno que descarta automáticamente candidaturas o genera una puntuación opaca con fuerte impacto en la selección. Una herramienta de apoyo para redactar feedback no equivale a un motor de scoring disciplinario. Una analítica agregada para planificación de plantilla no es lo mismo que una clasificación individual persistente que condiciona salario o continuidad laboral.

La objeción empresarial, por tanto, tiene una parte válida: demonizar toda automatización sería un error. Pero la respuesta regulatoria tampoco puede ser ingenua. El problema no es usar tecnología; el problema es usarla para desplazar decisiones relevantes a sistemas opacos y luego fingir que un clic humano al final conserva intactos los derechos del trabajador.

Qué deberían hacer ya las empresas, sin esperar a titulares grandilocuentes

La prioridad no es redactar un manifiesto ético adicional. La prioridad es ordenar la casa. Eso exige trabajo de inventario, clasificación y evidencia. Si tu organización utiliza sistemas automatizados en empleo o relaciones laborales, hay cinco movimientos prácticos que no admiten mucha demora.

• Mapear casos de uso reales: no por categoría de herramienta, sino por decisión afectada. Reclutamiento, turnos, evaluación, disciplina, promoción, formación, bienestar, prevención de fraude interno, offboarding.
• Determinar el rol jurídico y tecnológico: responsable, encargado, proveedor, desplegador, importador o una mezcla incómoda de varios. Bajo GDPR y AI Act, el reparto importa.
• Analizar si hay decisión automatizada con efectos relevantes: aquí se conecta el artículo 22 GDPR con la intervención humana real, no teatral.
• Revisar documentación y contratos: información a empleados, DPIA cuando proceda bajo el artículo 35 GDPR, instrucciones del proveedor, logs, cláusulas de auditoría, límites de uso y vías de escalado.
• Diseñar controles operativos: formación a revisores humanos, criterios de apartamiento, revisión periódica de errores y sesgos, y gobernanza clara para suspender el sistema si genera resultados problemáticos.

Esa lista no sustituye el análisis jurídico fino. Lo aterriza. Y, sobre todo, genera prueba de diligencia. Porque otro error frecuente es trabajar mucho y documentar poco. Frente a un regulador, un comité de empresa o un juzgado, lo no documentado tiene una desagradable tendencia a no existir.

La lección incómoda para proveedores: vender “asistencia” no inmuniza

Buena parte del mercado de HR tech se ha refugiado en una fórmula comercial ingeniosa: “nuestro sistema no decide, solo recomienda”. A veces será cierto. A veces será una coartada verbal bastante transparente. Si el producto está diseñado para priorizar, puntuar, detectar anomalías o sugerir acciones sobre personas en contextos laborales, la cuestión no se resuelve con una línea de marketing.

Los proveedores sujetos al AI Act tendrán que demostrar cumplimiento técnico y documental cuando el sistema caiga en alto riesgo. Y aunque el cliente final sea quien tome la decisión laboral, la arquitectura del producto puede facilitar o sabotear la supervisión humana, la trazabilidad y la comprensión del resultado. Un panel diseñado para empujar siempre la opción “aceptar recomendación” dice mucho más sobre el riesgo real que cualquier código de conducta colgado en la web.

Para los clientes, además, confiar ciegamente en el proveedor es una mala estrategia defensiva. El responsable del tratamiento no puede delegar la comprensión de impactos básicos sobre su propia plantilla. Si no entiendes suficientemente la herramienta como para explicar por qué se usa, qué hace y cómo se corrige un error, quizá no deberías tenerla en producción.

El debate no va solo de privacidad; va de poder

Reducir este asunto a cumplimiento documental empobrece el diagnóstico. La gestión algorítmica del trabajo redistribuye poder dentro de la empresa. Desplaza criterio desde managers a sistemas, desde conversación a puntuación, desde contexto a patrón estadístico. A veces mejora consistencia y reduce arbitrariedad. Otras veces la industrializa con mejor interfaz.

Por eso la discusión sobre supervisión humana no es un tecnicismo. Es una pelea muy concreta por decidir quién puede cuestionar una recomendación automatizada, con qué información, en qué momento y con qué consecuencias internas. Si el trabajador solo puede protestar después del daño, la tutela llega tarde. Si el mando intermedio puede apartarse del sistema solo a riesgo de parecer “ineficiente” o “poco data-driven”, la autonomía humana queda bastante domesticada.

El derecho europeo ya ofrece piezas para responder a ese problema, aunque no estén empaquetadas en una única ley laboral de IA. El GDPR protege frente a ciertas decisiones automatizadas y exige transparencia y salvaguardias. El AI Act mete el bisturí en sistemas de alto riesgo en empleo. Las normas laborales nacionales y colectivas pueden exigir información, consulta o control de proporcionalidad. La suma empieza a parecerse mucho a una agenda regulatoria, aunque a algunos les resulte más cómodo fingir que todavía no.

La objeción razonable: demasiada incertidumbre regulatoria

Hay una crítica empresarial que merece tomarse en serio. El mosaico normativo es complejo. Conceptos como “afectar significativamente de modo similar”, “intervención humana significativa” o incluso el perímetro exacto de determinados casos de uso bajo el AI Act exigirán interpretación. No todo está cristalino. Y en entornos multinacionales, la capa adicional de derecho laboral local complica aún más la gobernanza.

Eso es cierto. También es irrelevante como excusa para no hacer nada. La incertidumbre no elimina obligaciones básicas de transparencia, evaluación de impacto, minimización, gobernanza y revisión humana efectiva. Si acaso, las vuelve más urgentes. Cuando el texto legal deja zonas grises, la mejor defensa no es la pasividad. Es demostrar un proceso serio, documentado y revisable de identificación y mitigación de riesgos.

Dicho de forma menos diplomática: en 2026 seguirá habiendo debate interpretativo. También seguirá habiendo inspecciones, reclamaciones, conflictos colectivos y litigios. Esperar a que todo sea indiscutible es una estrategia magnífica si tu objetivo es reaccionar tarde.

La conclusión que de verdad importa

La regulación europea del trabajo algorítmico no depende de una única promesa política, de un nombre atractivo para una futura iniciativa ni de una fecha que alguien haya querido dar por hecha. Depende ya de normas vigentes y de obligaciones bastante reconocibles. El artículo 22 del GDPR no “limita” vagamente: establece como regla general el derecho a no quedar sometido a determinadas decisiones exclusivamente automatizadas con efectos jurídicos o de impacto similar significativo, salvo excepciones y con salvaguardias. El AI Act, por su parte, coloca numerosos usos de IA en empleo dentro del perímetro de alto riesgo y exige supervisión humana, documentación, trazabilidad y control real.

La empresa que siga esperando a la futura ley milagro está mirando al sitio equivocado. El trabajo serio empieza ahora: identificar dónde manda ya el algoritmo, dónde decide de hecho aunque no lo admita nadie, y qué controles reales existen antes de que el daño se materialice. Lo demás —el titular rimbombante, el roadmap con nombre brillante, la promesa política del trimestre— puede servir para abrir conferencias. Para defender un sistema ante un regulador o un juzgado, sirve bastante menos.

Si tu organización usa IA para contratar, evaluar, asignar tareas o monitorizar empleados, la pregunta no es si el debate regulatorio llegará. Ya ha llegado. La pregunta es más incómoda: cuando te pidan demostrar que la decisión no era una caja negra con un humano decorativo al final, qué pruebas vas a enseñar.