Cada vez más decisiones en el trabajo empiezan con un software. Una herramienta ordena los currículums antes de que un reclutador los lea. Una aplicación reparte turnos y tareas. Un filtro antifraude o un sistema de valoraciones decide quién sigue activo en una plataforma. A menudo, las personas afectadas nunca saben quién, si es que alguien, dio el visto bueno.
Los reguladores europeos están poniendo ahora precio a estos errores. En agosto de 2026, la autoridad neerlandesa de protección de datos multó a Uber con 824.990.000 € por permitir que un software desactivara cuentas de conductores sin intervención humana. En septiembre, el regulador español advirtió a una empresa sobre la herramienta de IA que planeaba usar para filtrar candidatos. Y antes del 2 de diciembre de 2026, los países de la UE deben haber transpuesto la Directiva sobre el trabajo en plataformas, según la cual una persona, y no un algoritmo, debe decidir suspender o cancelar la cuenta de alguien.
Este artículo es solo informativo y no constituye asesoramiento jurídico. Es una guía práctica para empresarios, responsables de RR. HH. y equipos de producto. Ya tratamos la propia resolución sobre Uber en nuestro artículo anterior sobre la decisión de Uber; aquí vemos qué significa para todos los que gestionan personas con software.
Por qué la gestión algorítmica está ahora en el punto de mira
- La decisión sobre Uber se extendió por toda Europa. La Autoriteit Persoonsgegevens (AP) anunció la multa el 21 de agosto de 2026, la CNIL francesa siguió el 24 de agosto y el Comité Europeo de Protección de Datos (CEPD) publicó un resumen el 8 de octubre de 2026.
- España se movió dos veces. El 23 de septiembre la AEPD publicó una advertencia formal sobre una herramienta de IA para selección de personal. El 7 de octubre emitió una guía sobre sistemas algorítmicos en el trabajo, dos días después de que entrara en vigor un nuevo decreto español sobre la información a los trabajadores acerca de los algoritmos.
- Hay un plazo cercano. La Directiva (UE) 2024/2831 sobre el trabajo en plataformas debe transponerse antes del 2 de diciembre de 2026.
- Puede haber más. El 6 de octubre de 2026, 2EU informó de que la vicepresidenta ejecutiva de la Comisión, Roxana Mînzatu, había dicho al Parlamento Europeo que la gestión algorítmica es uno de los temas que se estudian para la futura Ley de Empleo de Calidad (Quality Jobs Act). Aún no se ha publicado ningún texto, y que un tema esté en estudio no garantiza una medida concreta.
Qué hizo Uber y por qué el regulador dijo que no
Según la AP, entre 2018 y 2022 Uber utilizó un software para supervisar el comportamiento de los conductores y seguir las valoraciones de los clientes. Cuando sospechaba de fraude, o cuando las valoraciones eran demasiado bajas, desactivaba automáticamente la cuenta del conductor: de forma temporal o, ante valoraciones persistentemente bajas, definitiva. No hubo ninguna evaluación humana, y los conductores perdían sus ingresos de Uber mientras estaban desactivados.
La AP detectó dos infracciones del RGPD:
- El artículo 22, que da a las personas el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o les afecte significativamente de modo similar. La CNIL explica que las desactivaciones fueron decisiones automatizadas «debido a la ausencia total de intervención humana», con un efecto significativo en conductores que dejaron de poder ganarse la vida.
- El artículo 13, porque los conductores no fueron informados adecuadamente. El artículo 13, apartado 2, letra f), exige «información significativa sobre la lógica aplicada» y las consecuencias para la persona.
Tres detalles más importan:
- Empezó con una queja. 171 conductores franceses acudieron a la Ligue des droits de l'Homme, que presentó una queja ante la CNIL. Como la sede europea de Uber está en los Países Bajos, la AP lideró el caso conforme al mecanismo de ventanilla única del RGPD.
- Es elevada, pero no es el máximo. Las multas del RGPD pueden llegar al 4 % del volumen de negocio mundial. La AP situó la facturación de Uber en 2025 en unos 44.500 millones €, de modo que la multa equivale a aproximadamente el 1,9 %.
- No es firme. Uber ha puesto fin a la práctica, pero recurre la multa. Es la cuarta multa de la AP a Uber, tras 600.000 € en 2018, 10 millones € en 2023 y 290 millones € en 2024; las dos últimas también están recurridas.
Un «humano en el circuito» tiene que ser real
Pocas empresas construyen máquinas de despido totalmente automatizadas. El riesgo más habitual es más discreto: una herramienta puntúa o clasifica a las personas y un humano da el visto bueno solo de nombre. La AEPD española acaba de abordar justamente eso.
Su advertencia (AI-00009-2026) se refería a una herramienta, aún no en uso, que analizaría currículums, puntuaría a los candidatos y los priorizaría para la contratación y la movilidad interna. La empresa afirmó que siempre decidiría una persona, que la herramienta ignoraba atributos sensibles y que se auditaba periódicamente. La advertencia de la AEPD y su nota de orientación del 7 de octubre establecen, aun así, una lista exigente:
- La revisión humana debe ser sustantiva. Quien decide debe poder valorar críticamente la puntuación y apartarse de ella. Si el humano está solo sobre el papel, el artículo 22 puede seguir aplicándose.
- Registrar las discrepancias. Anote cuándo los revisores se apartan de la recomendación automatizada. Una ausencia sistemática de discrepancias puede indicar que las personas simplemente se fían de la puntuación.
- Comprobar las variables sustitutivas. No basta con decir que una herramienta no usa datos sensibles; hay que comprobar si otras variables actúan como sustitutos (proxies).
- Las herramientas de grupo no trasladan la responsabilidad. Si un grupo empresarial desarrolla una herramienta de forma centralizada, la entidad local que la usa sigue siendo responsable de su propia evaluación.
- Las auditorías deben ser verificables. Documente el alcance, la versión del sistema probada, las tasas de error, los impactos diferenciales, la eficacia de la supervisión humana y las medidas correctoras adoptadas. Afirmar que los sistemas se «revisan periódicamente» no basta.
- Evaluar primero. Evalúe los riesgos antes del uso y, cuando el riesgo sea probablemente alto, realice una evaluación de impacto relativa a la protección de datos (EIPD). El artículo 35, apartado 3, letra a), del RGPD la exige para la evaluación sistemática y exhaustiva de personas basada en un tratamiento automatizado y en la que se fundamenten decisiones significativas. Nuestro artículo sobre por qué los chatbots de IA son un problema de EIPD muestra qué debe cubrir una EIPD.
Una advertencia no es una multa. Pero la AEPD subrayó que hace recaer sobre la empresa la carga de adaptarse y de demostrar el cumplimiento.
España ha añadido además una capa de derecho laboral. El Real Decreto 723/2026, en vigor desde el 5 de octubre de 2026, obliga a los empleadores a informar por escrito a cada trabajador sobre los sistemas algorítmicos o de decisión automatizada y, cuando estos determinen las condiciones de trabajo, sobre sus criterios y reglas de funcionamiento. Los nuevos empleados deben ser informados antes de empezar; los empleados actuales pueden solicitarlo y el empleador debe responder en 30 días hábiles. La AEPD señala que esto no sustituye la transparencia del RGPD; las obligaciones se solapan.
Responda a unas pocas preguntas en nuestro árbol de decisión del RGPD para ver qué obligaciones se aplican a un uso concreto de datos personales o de IA.
Trabajo en plataformas: desde el 2 de diciembre, debe decidir una persona
La Directiva sobre el trabajo en plataformas es la primera ley de la UE redactada específicamente para la gestión algorítmica. Abarca las plataformas digitales de trabajo que organizan trabajo realizado en la UE, estén donde estén establecidas, y sus normas sobre gestión algorítmica protegen a todas las personas que realizan trabajo en plataformas, incluidas las que no tienen contrato de trabajo. Entre las normas clave:
- Datos prohibidos (artículo 7). Los sistemas automatizados no pueden tratar datos sobre el estado emocional o psicológico ni sobre conversaciones privadas, recoger datos mientras la persona no está trabajando, predecir el ejercicio de derechos como la actividad sindical ni inferir características como el origen étnico, la salud o la orientación sexual. Estos límites se aplican desde la contratación.
- EIPD por defecto (artículo 8). Se presume que el tratamiento mediante estos sistemas entraña probablemente un alto riesgo, y las plataformas deben recabar la opinión de los trabajadores y de sus representantes.
- Transparencia (artículo 9). Los trabajadores deben ser informados sobre los sistemas que les afectan, incluidos sus parámetros principales y los motivos de suspensión o cancelación de una cuenta, a más tardar el primer día de trabajo.
- Supervisión humana (artículo 10). Las plataformas deben evaluar el impacto de las decisiones automatizadas al menos cada dos años, con personal facultado para anularlas. Artículo 10, apartado 5: toda decisión de restringir, suspender o cancelar una cuenta «será adoptada por un ser humano».
- Explicación y revisión (artículo 11). Las personas reciben una exposición escrita de los motivos de decisiones como una suspensión y pueden solicitar una revisión, que debe responderse en dos semanas.
Las autoridades de protección de datos harán cumplir los artículos 7 a 11, con el techo de multas más alto del RGPD. Quedan dudas: el servicio de cumplimiento LexLint se pregunta si una suspensión automatizada inmediata por sospecha de fraude, revisada después por un humano, cumple el artículo 10, apartado 5. Las leyes nacionales podrían responderlo.
El Reglamento de IA: lo que ya se aplica y lo que viene
El Reglamento de IA (Reglamento (UE) 2024/1689) añade otra capa:
- Ya prohibido. Desde el 2 de febrero de 2025, el artículo 5, apartado 1, letra f), prohíbe la IA que infiere las emociones de las personas en el lugar de trabajo o en la educación, salvo por razones médicas o de seguridad.
- Alto riesgo desde el 2 de diciembre de 2027. El anexo III incluye la IA utilizada para reclutar y seleccionar personas, y la IA empleada en decisiones sobre promoción, despido, asignación de tareas y seguimiento del rendimiento. Tras el Ómnibus Digital sobre IA (Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026), estas normas de alto riesgo se aplican desde el 2 de diciembre de 2027. Consulte nuestro calendario de cumplimiento del Reglamento de IA para el cronograma completo.
- Informe a su plantilla. Según el artículo 26, apartado 7, los empleadores que desplieguen un sistema de IA de alto riesgo en el trabajo deben informar a los representantes de los trabajadores y a los trabajadores afectados antes de ponerlo en servicio. El artículo 26, apartado 11, añade que se debe informar a las personas sujetas a decisiones adoptadas o asistidas por tales sistemas.
Nada de esto espera a 2027 en materia de protección de datos. El RGPD, incluido el artículo 22, se aplica hoy a estas herramientas, y el artículo 88 permite a los países de la UE fijar normas más específicas sobre los datos de los empleados.
Lista de comprobación práctica para empresas que usan IA para gestionar personas
- ☐ Haga un inventario de sus sistemas de decisión: filtros antifraude, umbrales de valoración, scoring de currículums, asignación de turnos y paneles de rendimiento, incluidas las herramientas de terceros.
- ☐ Identifique las decisiones «únicamente automatizadas» que bloquean, rechazan, desactivan o clasifican a personas con efectos significativos.
- ☐ Haga real la revisión humana: dé a los revisores tiempo, los datos de base, formación y autoridad para anular el sistema.
- ☐ Registre las anulaciones. Si los revisores nunca discrepan de la herramienta, averigüe por qué.
- ☐ Realice una EIPD antes del lanzamiento y actualícela cuando cambien el modelo, los datos o la finalidad.
- ☐ Explique en lenguaje claro qué desencadena una acción y cómo pueden conseguir las personas que un humano revise su caso.
- ☐ Pruebe los sesgos y los proxies y conserve registros de auditoría que otra persona pueda verificar.
- ☐ Compruebe que ninguna herramienta infiere emociones en el trabajo.
- ☐ Involucre pronto a los representantes de los trabajadores.
- ☐ Plataformas: siga su transposición nacional de la Directiva sobre el trabajo en plataformas y asegúrese de que las suspensiones y cancelaciones las decida una persona.
- ☐ Planifique el 2 de diciembre de 2027, cuando se aplican las normas de alto riesgo del Reglamento de IA a los sistemas de empleo.
Una nota para los lectores brasileños
Los tribunales brasileños ya han aplicado la ley de protección de datos a los conductores de aplicaciones. En el REsp 2.135.783-DF, resuelto el 18 de junio de 2024, el Tribunal Superior de Justicia (STJ) sostuvo que un conductor expulsado de una plataforma tiene derecho, conforme al artículo 20 de la LGPD (Ley 13.709/2018), a la revisión de las decisiones automatizadas que definen su perfil profesional. Los resúmenes de la sentencia añaden que la plataforma puede suspender de inmediato una cuenta por una falta grave, pero debe dar sus motivos y permitir después al conductor responder. Una diferencia: la LGPD garantiza una revisión pero, a diferencia del RGPD, no exige expresamente intervención humana. Las plataformas brasileñas que organicen trabajo realizado en la UE también quedarán sujetas a la Directiva sobre el trabajo en plataformas.
Conclusión
El caso Uber trata de conductores, pero su lección sirve para cualquier organización que deje que un software decida sobre personas. La automatización en sí no es ilegal. Lo es una decisión inexplicada e irrevisable que corta los ingresos o la carrera de alguien. El mensaje de los reguladores es coherente: diga a las personas cuándo intervienen algoritmos, explique cómo funcionan y ponga a una persona real con autoridad real detrás de las decisiones importantes. Las empresas que lo hagan ahora estarán preparadas para las normas de plataformas de diciembre, el plazo de 2027 del Reglamento de IA y lo que traiga la Ley de Empleo de Calidad.
Reserve una consulta gratuita con GDPRGard → y le ayudaremos a revisar las decisiones automatizadas de sus herramientas de RR. HH. y operaciones.
Fuentes
- Autoriteit Persoonsgegevens: Uber krijgt boete van bijna 825 miljoen euro (21 ago. 2026)
- CEPD: Dutch DPA fines Uber EUR 824 990 000 (8 oct. 2026)
- CNIL: Automated decisions, Uber fined nearly EUR 825 million (24 ago. 2026)
- Reuters: Dutch regulator fines Uber $966 million for automating driver suspensions (21 ago. 2026)
- AEPD: La Agencia recuerda las garantías para utilizar IA en el análisis de currículums (23 sep. 2026)
- AEPD: Sistemas algorítmicos en el ámbito laboral (7 oct. 2026)
- A&O Shearman: Spain, AEPD warns on use of AI in recruitment (13 oct. 2026)
- EUR-Lex: Directiva (UE) 2024/2831 relativa a la mejora de las condiciones laborales en el trabajo en plataformas
- EU-OSHA: Directiva 2024/2831/UE, trabajo en plataformas
- LexLint: Directiva sobre el trabajo en plataformas, artículos 9 a 11
- LawPlayer: Directiva (UE) 2024/2831, artículo 10 (supervisión humana)
- AI Act Service Desk: artículo 26, obligaciones de los responsables del despliegue de sistemas de IA de alto riesgo
- AI Act Service Desk: anexo III, sistemas de IA de alto riesgo
- White & Case: EU AI Omnibus enters into force, amending the AI Act
- 2EU: Commission brings algorithmic management into Quality Jobs Act work (6 oct. 2026)
- RGPD, artículos 13, 22, 35 y 88 (gdpr-info.eu)
- Dizer o Direito: STJ, REsp 2.135.783-DF (ago. 2024)
- Brasil: LGPD, Ley n.º 13.709/2018
Lee también:
- Multa de 825 M€ a Uber: cuando «lo decidió el algoritmo» se convierte en responsabilidad
- El Reglamento de IA se aplazó, no se canceló: tu calendario de cumplimiento 2026 a 2028
- Tu chatbot de IA no anonimiza nada