IA para analizar la actividad de la plantilla: qué dice el Reglamento de IA y qué sigue exigiendo el RGPD

Un sistema de inteligencia artificial que ordena a la plantilla por su actividad de correo ya no es una curiosidad técnica. Entra en el terreno que regula el Reglamento (UE) 2024/1689, el de la supervisión laboral, y en el que el RGPD y el Estatuto de los Trabajadores llevan años aplicándose.

Antes de cualquier análisis de IA, la pregunta previa es si se puede revisar el correo de una persona. Esa cuestión se trata en la guía sobre la revisión del correo de un empleado. Este artículo se centra en la IA: qué prohíbe el Reglamento, cuándo un sistema de este tipo pasa a ser de alto riesgo, qué obligaciones tiene quien lo usa y qué fechas se aplican. También explica cómo encaja una herramienta que solo propone hallazgos revisados por una persona.

Las normas se citan a fecha de octubre de 2026. El texto es informativo y no sustituye el asesoramiento jurídico. La clasificación de cada uso la tiene que hacer cada organización con su abogado o su asesoría laboral.

El calendario: qué se aplica ya y qué se aplaza

El Reglamento entró en vigor en agosto de 2024 y se aplica por fases. Las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 se aplican desde el 2 de febrero de 2025. Las obligaciones de los sistemas de alto riesgo del anexo III, que son las que más afectan a la supervisión laboral, estaban previstas para el 2 de agosto de 2026.

Ese calendario cambió. El Reglamento (UE) 2026/1744, de 8 de julio de 2026, conocido como Ómnibus digital sobre IA, modifica el Reglamento de IA. Entre otras cosas, aplaza las obligaciones de alto riesgo del anexo III al 2 de diciembre de 2027. Se publicó en el Diario Oficial de la Unión Europea el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026. Las del anexo I, que cubre productos regulados, pasan al 2 de agosto de 2028.

Conviene decir qué se ha comprobado. La fecha del 2 de diciembre de 2027 aparece en el texto consolidado del Reglamento que publica el AI Act Service Desk de la Comisión Europea, con marcas de modificación, y en el análisis de varios despachos de abogados. Antes de fijar un calendario interno, conviene leer la publicación en el Diario Oficial para confirmar la redacción.

Lo que ya está prohibido: inferir emociones en el trabajo

El artículo 5.1.f prohíbe introducir en el mercado, poner en servicio para ese fin específico o usar sistemas de IA destinados a inferir las emociones de una persona física en el ámbito laboral y en los centros educativos. La prohibición no se aplica cuando el uso responde a motivos médicos o de seguridad.

La definición de sistema de reconocimiento de emociones, en el artículo 3, punto 39, exige que la inferencia se base en datos biométricos. Eso deja fuera del texto de la prohibición un análisis que trate solo el contenido escrito de los correos. Pero que una práctica quede fuera de esa prohibición no la hace lícita. El tratamiento sigue sometido al RGPD, a la LOPDGDD y a la obligación de informar, y merece la misma prudencia que cualquier análisis de comunicaciones.

Por eso, una declaración como «no infiere emociones ni rasgos de personalidad» tiene que poder comprobarse en el diseño del sistema y en su configuración, no solo leerse en la descripción del proveedor. Es la diferencia entre lo que se promete y lo que se puede demostrar ante una inspección.

Cuándo un sistema laboral es de alto riesgo

El anexo III, punto 4, describe los sistemas de IA de alto riesgo en el empleo. La letra a) cubre los destinados a la contratación o la selección: publicar anuncios dirigidos, analizar y filtrar solicitudes y evaluar candidatos. La letra b) cubre los destinados a tomar decisiones que afecten a las condiciones de las relaciones laborales, como la promoción o la extinción de la relación, a asignar tareas según el comportamiento individual o rasgos personales, o a supervisar y evaluar el rendimiento y el comportamiento de las personas en esas relaciones.

El punto clave para el correo es la última parte de la letra b). Si un sistema está destinado a supervisar y evaluar el rendimiento o el comportamiento de personas en su trabajo, entra en el supuesto aunque no decida nada por sí mismo.

¿Y si una persona revisa cada resultado? Ahí está el matiz que más se malinterpreta. El artículo 6.3 permite no considerar de alto riesgo a un sistema del anexo III que no presente un riesgo significativo de daño. Lo hace en cuatro supuestos: tareas procesales estrechas, mejora de un resultado humano previo, detección de desviaciones respecto de patrones de decisión sin sustituir ni influir en la valoración humana sin revisión adecuada, y tareas preparatorias. Pero el mismo apartado añade que un sistema del anexo III siempre se considera de alto riesgo cuando realiza elaboración de perfiles de personas físicas.

Esa última frase tiene consecuencias. La elaboración de perfiles, en el sentido del RGPD, consiste en evaluar aspectos personales de alguien, como su rendimiento laboral. Si el sistema valora a personas concretas, la revisión humana no sale de la cuenta. Importa, y mucho, pero la norma no la trata como una exención.

El criterio práctico que se desprende del texto es este: pesa el uso previsto. Un sistema que describe procesos o la carga de un equipo, sin ordenar ni valorar a cada persona, tiene un argumento de riesgo bajo que la organización puede documentar. Un sistema que señala qué persona responde mal, o que compara a personas entre sí, se acerca mucho al punto 4.b y a la elaboración de perfiles. Y si el proveedor concluye que su sistema no es de alto riesgo, el artículo 6.4 le exige documentar esa evaluación antes de comercializarlo o ponerlo en servicio.

Esa clasificación no la resuelve un artículo ni un proveedor por sí solo. Depende de la finalidad prevista y del uso que da cada organización, y ambas partes tienen que dejarla por escrito.

Obligaciones de quien lo despliega

El responsable del despliegue es quien usa el sistema bajo su autoridad. Si una empresa lo activa para supervisar a su plantilla, esa empresa es el responsable del despliegue. Para los sistemas del anexo III, esas obligaciones se aplican desde el 2 de diciembre de 2027. Entre ellas están las siguientes, que enumera el artículo 26:

• Asignar la supervisión humana a personas con la competencia, la formación y la autoridad necesarias (apartado 2).
• Conservar los registros que genera el sistema, bajo su control y durante al menos seis meses, salvo que otra norma fije un plazo distinto (apartado 6).
• Antes de poner en servicio o usar el sistema en el lugar de trabajo, informar a los representantes de los trabajadores y a las personas afectadas de que quedarán sujetas a su uso (apartado 7).
• Informar a las personas físicas sobre las que el sistema toma o ayuda a tomar decisiones de que están sujetas a su uso (apartado 11).

El artículo 14 exige, además, que el sistema se diseñe para permitir una supervisión humana eficaz. Esa exigencia recae sobre el proveedor al diseñar el producto, y la organización debe poder organizarla en la práctica: quién revisa, con qué información y con capacidad real para corregir o descartar un resultado.

El deber de informar a la representación del apartado 7 es anterior a la puesta en marcha, no un trámite que se hace después. Quien lo cumple tarde no puede corregirlo con un comunicado posterior.

Lo que sigue diciendo el RGPD

El Reglamento de IA no sustituye al RGPD ni cambia sus reglas por el calendario. El artículo 22.1 del Reglamento (UE) 2016/679 reconoce a toda persona el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en ella o la afecte significativamente de modo similar.

Un ranking que sirve de base a una sanción, a un despido o a una evaluación de desempeño, sin intervención humana real, está en el terreno de ese artículo. La intervención humana tiene que ser real: alguien con competencia revisa el caso, puede cambiar la conclusión y lo hace con criterio, sin dar el visto bueno de trámite.

A esto se suman la transparencia de los artículos 13 y 14, la limitación de la finalidad y la minimización del artículo 5, y la obligación de evaluar el impacto cuando el tratamiento entrañe un alto riesgo, en los términos del artículo 35. Esa evaluación tiene su propio análisis en el blog.

Información al comité de empresa

El Estatuto de los Trabajadores ya reconocía este derecho antes del Reglamento. El artículo 64.4.d reconoce al comité de empresa el derecho a ser informado por la empresa de los parámetros, reglas e instrucciones en los que se basan los algoritmos o sistemas de inteligencia artificial que afectan a la toma de decisiones que pueden incidir en las condiciones de trabajo, el acceso y el mantenimiento del empleo, incluida la elaboración de perfiles.

La información tiene que ser comprensible. Un documento técnico del proveedor, sin explicar qué parámetros pesan y para qué decisiones se usan, no cumple la finalidad de la norma. Conviene preparar un resumen con los criterios, las fuentes de datos, la finalidad, las personas que reciben los resultados y las medidas de revisión humana.

Este deber se suma a la información del artículo 26.7 del Reglamento. Ambas pueden hacerse en la misma reunión, con el mismo documento de partida.

Cómo plantea EmailDelDia la IA

EmailDelDia incluye una función de análisis con IA. Es opcional, funciona con la clave de un proveedor de modelos que elige y contrata la propia organización (Anthropic, OpenAI o Google) y, sin esa clave, no se envía nada a ningún modelo. El descargo de responsabilidad sobre IA y el documento de cumplimiento del Reglamento de IA describen qué hace y qué no hace.

Según esos documentos, el análisis se organiza en tres niveles: métricas deterministas calculadas sin IA, correlación de acontecimientos con su grado de confianza, e interpretación con IA de lo que la organización ha autorizado analizar. Los resultados son hallazgos con su fuente enlazada, que una persona debe contrastar antes de actuar. La IA no adopta decisiones disciplinarias ni laborales, y no infiere emociones ni rasgos de personalidad.

El producto está pensado para describir la actividad de la organización: procesos, tiempos de respuesta y asuntos abiertos o cerrados. Esa finalidad prevista pesa en la clasificación, pero no la fija por sí sola. Si la organización usa los hallazgos para valorar a una persona concreta o para fundamentar decisiones sobre sus condiciones de trabajo, el análisis del punto 4.b le corresponde a ella. Y la excepción del artículo 6.3 no le sirve si hay elaboración de perfiles.

En la práctica, una organización que quiera usar hallazgos de IA sobre el correo debe fijar por escrito la finalidad y el nivel de detalle (agregado o individual), decidir quién revisa cada hallazgo, informar a la representación antes de la puesta en marcha y documentar su propia valoración de alto riesgo. Ninguna de esas tareas la hace el proveedor en su lugar.

Preguntas frecuentes

¿Está prohibido usar IA para analizar el correo de los empleados?

No con carácter general. El artículo 5 prohíbe inferir emociones en el trabajo, y esa prohibición se refiere a sistemas basados en datos biométricos. El resto no queda prohibido por el Reglamento, pero sí exige base jurídica, información y proporcionalidad según el RGPD. Si el sistema evalúa el rendimiento o el comportamiento de personas, además puede ser de alto riesgo.

¿Un sistema que solo propone hallazgos revisados por una persona queda fuera del alto riesgo?

No automáticamente. La revisión humana es una garantía, pero no basta por sí sola para salir del anexo III. Si el sistema elabora perfiles de personas físicas, el artículo 6.3 lo mantiene como alto riesgo. La clasificación depende de la finalidad y del uso concreto, y el proveedor que concluya lo contrario debe documentarlo según el artículo 6.4.

¿Desde cuándo tiene que cumplir la empresa las obligaciones de alto riesgo?

Para los sistemas del anexo III, desde el 2 de diciembre de 2027, según el Reglamento modificado por el Ómnibus digital. Antes de esa fecha siguen aplicándose el RGPD, el Estatuto y las prohibiciones del artículo 5. Conviene confirmar la fecha en el Diario Oficial de la Unión Europea antes de fijar un calendario interno.

¿Hace falta informar a la plantilla si el sistema no es de alto riesgo?

Sí, en la práctica. Aunque no hubiera obligación del artículo 26, el RGPD exige transparencia sobre el tratamiento según sus artículos 13 y 14. Además, el artículo 64.4.d del Estatuto da derecho al comité de empresa a conocer los parámetros de los algoritmos que afectan a las condiciones de trabajo.

¿En qué se diferencian el artículo 22 del RGPD y el alto riesgo del Reglamento?

Son reglas distintas. El artículo 22 del RGPD trata de decisiones que producen efectos jurídicos o afectan de forma significativa a la persona, sin intervención humana real. El alto riesgo es una clasificación de sistema y de uso que impone obligaciones de gobernanza. Un mismo sistema puede estar en los dos terrenos, y casi siempre hay que analizar ambos.