¿Es lícito utilizar IA para evaluar el rendimiento de los empleados?

⏱️ Tiempo de lectura: 14 min · 📁 Categoría: KVKK y Cumplimiento Digital

¿Es lícito usar IA en el rendimiento y los datos del personal? (Envío de archivos, análisis, conservación, perfiles y riesgos KVKK – 2026)

Los equipos de RR. HH. ya analizan habitualmente informes de rendimiento con IA,
cargan CV, evaluaciones y comentarios, preguntan si un empleado representa un riesgo, y
algunas herramientas conservan los datos en sus propios sistemas.
Desde la perspectiva de la KVKK, el verdadero riesgo comienza en estas prácticas.

🔑 Principio fundamental: El riesgo KVKK deriva de los datos entregados a la IA y de su destino y no del uso de IA en sí.
La pregunta de la KVKK es: ¿Adónde fueron los datos, quién accedió a ellos, cuánto tiempo se conservaron y para qué se usaron? 1️⃣ ¿Qué es un expediente de personal según la KVKK?

Un expediente de personal suele contener:

• Información de identidad, información de contacto
• CV y registros de formación o certificación
• Formularios de evaluación del rendimiento
• Comentarios de responsables y notas de evaluación
• Procedimientos disciplinarios y actas
• Ausencias, objetivos e información sobre primas

Todos estos elementos constituyen datos personales.
Los registros de rendimiento, disciplina y conducta suelen considerarse conjuntos de datos de alto riesgo.
Porque pueden afectar directamente a la vida laboral y al futuro económico de la persona.

2️⃣ Mapa de riesgos: envío → análisis → conservación → perfiles → decisión

En el uso de IA, el riesgo generalmente crece en esta cadena:

1. Enviar el archivo a la IA (cargar PDF, Excel o Word; copiar texto)
2. Análisis o interpretación (resumen, comentario, detección de riesgos, evaluación del potencial)
3. Registro o conservación (¿conserva la herramienta los datos?)
4. Perfiles o puntuación (puntuación, segmento, etiqueta de riesgo o alto potencial)
5. Influencia en las decisiones (uso en ascensos, primas o despidos)

📌 Señal de alerta en auditoría: Cuando intervienen los pasos 3, 4 y 5 —conservación, perfiles e influencia en las decisiones—,
aumentan considerablemente la carga de cumplimiento y la necesidad de pruebas. 3️⃣ Escenario 1: cargar un expediente de rendimiento en una herramienta de IA

Ejemplo: Un especialista de RR. HH. reunió la evaluación, comentarios del responsable y tablas de objetivos de un empleado en un PDF.
El especialista lo subió a la herramienta de IA y preguntó:
¿Cuál es el nivel de rendimiento y el potencial de ascenso de este empleado?

Criterios	Evaluación
¿Hay algún dato personal?	✅
¿Hay análisis/interpretación?	✅
¿Hay creación de perfiles o clasificación?	✅
¿Puede haber consecuencias desfavorables para la persona?	✅

Esta es una actividad de tratamiento de alto riesgo porque es probable que la IA
produzca interpretaciones a partir de los datos de rendimiento e influya en decisiones.

Tres factores que aumentan el riesgo:

• Cargar el expediente completo sin minimización de datos
• Usar los resultados en ascensos, primas o despidos
• Infraestructura extranjera de la herramienta o política de conservación poco clara

4️⃣ Escenario 2: la herramienta de IA conserva datos en su sistema

Ejemplo: Las condiciones indican que los datos introducidos pueden conservarse para mejorar el servicio.
RR. HH. carga datos de rendimiento que la herramienta puede mantener en su entorno.

Esto va más allá del análisis y genera un riesgo de conservación y posible reutilización.
La pregunta esencial según la KVKK es si los plazos de conservación, permisos de acceso y fines de uso pueden controlarse.

📌 Punto esencial: Los datos del personal pueden haber salido del control del empleador.
La conservación sin control genera riesgos graves para la limitación de la finalidad y la seguridad de los datos. 5️⃣ Escenario 3: la IA genera una puntuación de rendimiento usada para decidir

Ejemplo de resultado: Este empleado tiene bajo rendimiento, representa un riesgo y tiene poca motivación.
Este resultado se usa para evaluar ascensos o primas, o en un procedimiento de despido.

En la práctica, esto constituye creación de perfiles y evaluación automatizada.
El riesgo es máximo si el resultado deja de ser una recomendación y se convierte en la decisión.

La pregunta esencial en la auditoría es: ¿Cómo se generó esta puntuación, qué datos se usaron, cómo se corrige una puntuación incorrecta,
qué mecanismo se aplica cuando el empleado se opone y existe revisión humana? 6️⃣ Escenario 4: archivo supuestamente anonimizado (riesgo de identificación indirecta)

Ejemplo: RR. HH. retiró los nombres, pero el archivo conserva puesto, departamento, antigüedad, evaluaciones y descripciones de hechos concretos.
Con esta información en un pequeño equipo, la persona puede ser identificada indirectamente.

⚠️ Hecho: Si una persona puede identificarse indirectamente, los datos siguen siendo personales.
Especialmente en equipos pequeños, la "anonimización" a menudo falla. 7️⃣ Escenario 5: la IA recomienda, una persona decide (modelo más defendible)

Ejemplo: La IA recomienda la formación X para este empleado.
El responsable o comité de RR. HH. hace la evaluación final; la puntuación de IA no se usa sola y se informa al empleado del proceso.

Este modelo es más defendible gracias a un control humano en el proceso.
La minimización, seguridad, conservación y transferencias siguen requiriendo gestión.

8️⃣ ¿Cuándo se necesita consentimiento explícito para los datos del personal?

El consentimiento explícito no siempre es una base sólida, pues su libertad se cuestiona en la relación empleado-empleador.
Aun así, las siguientes situaciones pueden exigir consentimiento explícito y, como mínimo, un análisis jurídico muy riguroso es necesario:

• Si los datos de rendimiento se someten sistemáticamente a análisis por IA
• Si la IA produce interpretaciones, perfiles o inferencias de riesgo
• Si la herramienta de IA está almacenando datos
• Si es posible una transferencia de datos al extranjero

❌ Falsos supuestos:

• Está en el contrato de trabajo → esto, por sí solo, no basta
• La autoridad del empleador no permite tratar datos sin límites.

9️⃣ Transferencias de datos al extranjero (el punto más peligroso)

Muchas herramientas de IA funcionan en la nube y su infraestructura se puede localizar en el extranjero.
Cargar un expediente de personal en una herramienta de IA puede generar riesgo de transferencia internacional de datos.

• ¿A qué países van los datos?
• ¿Existe una cadena de subencargados del tratamiento?
• ¿Cuál es el período de retención?
• ¿Cómo se gestionan los permisos de acceso y los registros?

Advertencia práctica: Llamarlo uso interno no elimina los riesgos de transferencia si los datos van a servicios en la nube. 🔟 Enfoque del Consejo (perspectiva de 2026)

Principios que se destacan en la perspectiva de la auditoría:

• La relación empleado-empleador es desigual; siempre debe examinarse la libertad del consentimiento.
• Monitoreo y puntuación constantes se abordan con cautela
• La IA no puede ser una caja negra; el proceso debe ser auditable
• El responsable del tratamiento —el empleador— no puede delegar su responsabilidad.

1️⃣1️⃣ Límites claros para RR. HH.

• ❌ Cargar expedientes de personal en herramientas de IA sin control
• ❌ Permitir conservación o reutilización sin contrato ni control
• ❌ Usar solo puntuaciones automáticas como decisión
• ❌ No informar al empleado (sin transparencia)
• ❌ Ignorar las transferencias de datos al extranjero

1️⃣2️⃣ Crear un modelo más seguro: resumen operativo

• Minimización: Solo los campos necesarios para la finalidad, en vez del expediente completo.
• Enmascaramiento: Retirar identificadores directos e indirectos.
• Control de conservación: Sin conservación por la herramienta o con límites contractuales estrictos.
• Aprobación humana: La IA solo recomienda; una persona decide.
• Transparencia: Informar a los empleados sobre sus datos y explicar el proceso.
• Control de transferencias: Controles técnicos y contractuales para riesgos de nube e internacionales.
• Registro: ¿Quién procesó qué datos, con qué propósito, cuándo? (prueba para auditoría)

🧠 Conclusión experta

La IA puede apoyar el desempeño del empleado, pero el destino del empleado no puede dejarse a la IA.
Entregar expedientes de personal a la IA puede ser posible en configuraciones limitadas, pero suele presentar un riesgo elevado
y una implementación inadecuada puede vulnerar directamente la KVKK.

Obtenga una política de uso de IA en RR. HH. y un mapa de riesgos KVKK