¿Cómo demostramos que la decisión la tomó una persona? El artículo 22 del RGPD y la IA

RGPD e IAÚltima actualización 11 de octubre de 20266 min de lectura

Respuesta corta

Si una decisión produce efectos jurídicos en una persona o la afecta de forma similarmente significativa (por ejemplo, rechazarla para un puesto), no puede basarse únicamente en un tratamiento automatizado (artículo 22 del RGPD). Una persona con competencia y autoridad debe valorar el caso de verdad y poder ir en contra de la recomendación de la IA. Guarda quién decidió, cuándo, con qué base y por qué. Desde el 2 de diciembre de 2027, el Reglamento de IA exige además supervisión humana en la IA de alto riesgo, como la selección de personal.

¿Cuándo se aplica el artículo 22?

El artículo 22 del RGPD trata de decisiones basadas únicamente en un tratamiento automatizado que producen efectos jurídicos o afectan de forma similarmente significativa a la persona. Rechazar a alguien para un puesto, un despido o una decisión salarial son ejemplos típicos. El propio RGPD cita la contratación por medios electrónicos sin intervención humana.

Si dejas que la IA descarte candidatos sin que una persona mire el caso de verdad, entras en el artículo 22. Si la IA recomienda y decide una persona, no, siempre que esa persona valore realmente el caso.

¿Qué es una valoración humana real?

No basta con que una persona firme lo que ha decidido la IA. Las directrices de las autoridades europeas de protección de datos señalan tres cosas:

La persona tiene autoridad para cambiar la decisión.
La persona tiene competencia para valorar el caso.
La persona examina toda la información pertinente, no solo la conclusión de la IA.

Por eso GoalCube Human Decision muestra los hechos del caso junto a la recomendación de la IA, caso por caso, y la persona puede aprobar, elegir otra decisión o pedir más información. Pruébalo:

GoalCube Human DecisionDatos ficticios

Caso 1 de 3Puesto: Controller en el departamento financiero

Hechos del caso

María Ortega

Puesto actual: Controller sénior
Experiencia: 12 años
CV: María Ortega lleva 12 años en presupuestos e informes mensuales en Maderas Navarra S.L., donde implantó un nuevo sistema ERP y dirige un equipo de tres personas. Contacto: maria.ortega@example.com.

Recomendación de la IA

Invitar a entrevista

Motivo: 12 años de experiencia en presupuestos y reporting, ha implantado un sistema ERP y viene de una empresa industrial.

Registro de auditoría

Las decisiones se guardan aquí con hora y sello de tiempo.

Candidatos ficticios. En GoalCube, la decisión también exige passkey y el registro recibe un sello de tiempo independiente.

¿Qué exige el Reglamento de IA?

La IA para la selección de personal y para decisiones sobre la relación laboral es de alto riesgo según el Reglamento de IA (anexo III, punto 4). Tras el Ómnibus digital, las normas se aplican desde el 2 de diciembre de 2027. Las empresas que usan este tipo de IA deben, entre otras cosas:

encomendar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias (artículo 26)
informar a los representantes de los trabajadores y a los empleados afectados antes de usar la IA en el trabajo (artículo 26)
poder dar una explicación a quien se vea afectado por una decisión (artículo 86)

Además, el sistema de IA debe estar diseñado para que las personas puedan vigilarlo y sean conscientes del riesgo de confiar demasiado en la IA (artículo 14).

¿Qué tienes que poder demostrar?

Si pregunta un candidato, un empleado o una autoridad, tienes que poder responder:

Pregunta	Lo que debes tener guardado
¿Quién decidió el caso?	Nombre o cargo y un inicio de sesión seguro, por ejemplo con passkey
¿Cuándo?	Fecha y hora, mejor con un sello de tiempo independiente
¿Con qué base?	Los hechos del caso y la recomendación motivada de la IA
¿Por qué?	La decisión de la persona y su motivación
¿Puede haberse cambiado después?	Un registro que no se puede modificar sin que se note

Cómo hacerlo

Localiza dónde ayuda la IA en decisiones sobre personas.Normalmente selección, ascensos, despidos, salarios, reparto de trabajo y casos de clientes con respuesta negativa.
Deja que la IA recomiende, no que decida.La IA puede preparar el caso y dar una recomendación motivada. La decisión es de una persona.
Designa quién decide.La persona debe conocer el ámbito y poder ir en contra de la recomendación de la IA. Un clic automático en «aprobar» no basta.
Muestra los hechos junto a la recomendación, caso por caso.Quien decide debe ver la base, no solo la conclusión de la IA, y tener tiempo para valorar cada caso.
Guarda la decisión para que no pueda cambiarse después.Quién, cuándo, qué recomendó la IA, qué decidió la persona y por qué. Un sello de tiempo independiente la refuerza.
Informa a los afectados.La persona tiene derecho a saber que interviene la IA, a que una persona revise su caso y a oponerse.

Lo que dice la ley

Art. 22 RGPD – decisiones individuales automatizadas: Derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado que produzca efectos jurídicos o afecte de forma similarmente significativa. Las excepciones exigen, entre otras cosas, el derecho a obtener intervención humana y a impugnar la decisión.
Considerando 71 RGPD: Cita precisamente como ejemplo la contratación por medios electrónicos sin intervención humana.
Art. 13, 14 y 15 RGPD: Hay que informar a la persona de las decisiones automatizadas y darle información significativa sobre la lógica aplicada.
Anexo III, punto 4, RIA – empleo: La IA para la contratación y selección y para decisiones sobre la relación laboral es de alto riesgo. Las normas se aplican desde el 2 de diciembre de 2027 tras el Ómnibus digital.
Art. 14 y 26 RIA – supervisión humana: La IA de alto riesgo debe poder ser vigilada por personas, y la empresa debe encomendar la supervisión a personas con la competencia, la formación y la autoridad necesarias. Hay que informar a la plantilla antes de usar la IA en el trabajo.
Art. 86 RIA – derecho a explicación: Quien se vea afectado por una decisión basada en IA de alto riesgo puede obtener una explicación clara del papel de la IA y de los elementos principales de la decisión.

Preguntas y respuestas

¿Basta con que un responsable pulse «aprobar»?

No, si en la práctica la aprobación es un trámite. Según las directrices de las autoridades europeas de protección de datos, la valoración humana debe ser real: la persona debe tener autoridad y competencia para cambiar la decisión y examinar toda la información pertinente.

¿Se aplica también a las pequeñas empresas?

Sí. El artículo 22 del RGPD se aplica sea cual sea el tamaño de la empresa, y ya está en vigor. Las normas para la IA de alto riesgo del Reglamento de IA se aplican desde el 2 de diciembre de 2027.

¿Una puntuación de IA es una decisión aunque firme una persona?

Puede serlo. El Tribunal de Justicia de la UE estableció en el asunto SCHUFA (C-634/21), en 2023, que una puntuación calculada automáticamente puede ser en sí misma una decisión si desempeña un papel determinante en el resultado final.

¿Tenemos que guardar la recomendación de la IA?

Es buena idea. Así puedes demostrar que la persona valoró el caso, también cuando estuvo de acuerdo con la IA, y explicar la decisión si el afectado pregunta.

¿Y si la persona no está de acuerdo con la IA?

Entonces decide otra cosa y explica por qué. Eso es justo lo que demuestra que la valoración es real. La IA nunca debe cambiar después la decisión de la persona.

Fuentes

Escrito por Redacción de GoalCube. Última actualización 11 de octubre de 2026. GoalCube te ayuda a cumplir el Reglamento de IA y el RGPD. No es asesoramiento jurídico.

Sé de los primeros.

Prevemos lanzar en noviembre de 2026. Apúntate y te avisaremos cuando puedas empezar.