Executive summary

What this is. An AEPD (Spanish Data Protection Authority) briefing dated 7 October 2026 on algorithmic and automated decision-making systems in the workplace. It covers Royal Decree 723/2026 of 9 September and the AEPD warning AI-00009-2026.

Royal Decree 723/2026.

• Implements Article 8.5 of the Workers’ Statute and partially transposes Directive (EU) 2019/1152. It enters into force on 5 October 2026.
• It is not an authorisation to use algorithms but an additional duty of information. Article 3.2.k requires each worker to be informed in writing of the existence of algorithmic or automated decision-making systems and, where they are used to decide on working conditions, of their parameters, criteria and operating rules.
• Information must be given before a new employment relationship starts (paper or electronic, accessible, storable and printable, with proof of transmission or receipt). Relevant changes must be notified at the latest on the day they take effect.
• For existing relationships, workers may request the information and the employer has 30 working days to respond. The Article 3.2.k information cannot be satisfied by a mere reference to the law or a collective agreement.

Relationship with the GDPR. The labour-law duty does not displace the GDPR or Organic Law 3/2018. Both apply simultaneously where personal data is processed.

AEPD warning AI-00009-2026.

• Concerns a planned AI tool to screen, score and prioritise candidates in recruitment and internal mobility. It is a preventive warning under Article 58.2.a GDPR, not an infringement finding or a sanction.
• Expected measures (accountability, Articles 24 to 35 GDPR): risk assessment and a DPIA where high risk is likely (Article 35); data protection by design and by default; security measures; clear and comprehensible information; and genuine human intervention.

Key points of analysis.

• Article 22 GDPR applies only where a decision is based solely on automated processing and produces legal or similarly significant effects. A formal human presence does not exclude it: the reviewer must be able to critically assess and depart from the score.
• Data and inferences: scores, classifications, profiles, predictions and inferences can be personal data. Minimisation and accuracy apply, and a claim that no sensitive attributes are used is insufficient without checking for proxies.
• Additional issues: unsuccessful candidates remain protected by the GDPR; collective information does not replace individual information; a group-level tool does not relieve the Spanish entity of responsibility; audits must be verifiable; human oversight must be substantive, with discrepancies recorded.

Recommended actions before deployment. Inventory the systems, document each processing, determine the legal basis, Article 22 applicability, risk level, DPIA need and AI Act classification, prepare coordinated information for workers, candidates and their representatives, validate that explanations are understandable, design demonstrable human oversight, and keep evidence of delivery, testing, audits and corrective measures.

Conclusion. Algorithmic transparency becomes a condition of the employment relationship, but informing does not by itself legitimise the system. A single system triggers three distinct transparency tracks: individual labour (workers), collective labour (legal representatives) and data protection (candidates and affected workers).

Sistemas algorítmicos en el ámbito laboral. Transparencia y garantías de protección de datos

Situación en el ámbito laboral tras el Real Decreto 723/2026, que establece nuevas obligaciones en relación con sistemas automatizados de decisión, y la advertencia AI-00009-2026 de la AEPD

7 de octubre de 2026

El Real Decreto 723/2026, de 9 de septiembre desarrolla el artículo 8.5 del Estatuto de los Trabajadores y transpone parcialmente la Directiva (UE) 2019/1152. La novedad no es una autorización para utilizar algoritmos, sino un deber adicional de información sobre su existencia y funcionamiento

El Real Decreto entra en vigor el 5 de octubre de 2026 y refuerza la transparencia de las condiciones de trabajo. Su artículo 3.2.k obliga a informar por escrito a cada persona trabajadora de la existencia de sistemas algorítmicos o automatizados de toma de decisiones y, cuando se utilicen para decidir sobre condiciones de trabajo, también de sus pautas, criterios y reglas de funcionamiento.

Esta obligación laboral no desplaza el Reglamento General de Protección de Datos (RGPD) ni la Ley Orgánica 3/2018. Cuando el sistema trate datos personales, la empresa debe cumplir simultáneamente las reglas de licitud, transparencia, minimización, exactitud, protección desde el diseño, gestión del riesgo y, en su caso, decisiones automatizadas.

Por su parte, la advertencia AI-00009-2026 de la Agencia Española de Protección de Datos (AEPD) confirma ese enfoque preventivo en un sistema de IA previsto para cribar y puntuar candidaturas: antes de su puesta en marcha deben evaluarse los riesgos, garantizarse una información comprensible, comprobarse si procede una evaluación de impacto y verificarse que la intervención humana sea efectiva.

A. Contenido del Real Decreto

El Real Decreto desarrolla el artículo 8.5 del Estatuto de los Trabajadores y transpone parcialmente la Directiva (UE) 2019/1152.

• Ámbito. El capítulo II se aplica, con carácter general, a las relaciones laborales de duración superior a cuatro semanas. El Real Decreto contempla además las relaciones laborales especiales y al personal empleado público con las peculiaridades de su normativa específica.
• Contenido. La obligación comprende la existencia del sistema, cuando intervenga en decisiones relativas a la jornada, asignación de tareas, salario, progresión profesional, lugar de trabajo, extinción u otras condiciones de trabajo, debe explicar también sus pautas, criterios y reglas de funcionamiento.
• Momento y soporte. Para nuevas relaciones laborales, la información del artículo 3 debe facilitarse antes de su inicio. Puede entregarse en papel o formato electrónico, pero ha de ser accesible, almacenable e imprimible, y la empresa debe conservar prueba de la transmisión o recepción.
• Cambios posteriores. Cualquier modificación relevante debe comunicarse lo antes posible y, como máximo, el día en que surta efecto.
• Relaciones ya vigentes. Si la información no obra ya en poder de la persona trabajadora, esta puede solicitarla a partir de la entrada en vigor y la empresa dispone de 30 días hábiles desde la recepción de la solicitud. La información algorítmica del artículo 3.2.k no figura entre los extremos que el artículo 3.3 permite cumplir mediante una simple remisión a la ley o al convenio colectivo. Debe, por tanto, ofrecerse de manera concreta. El modelo que publique el Servicio Público de Empleo Estatal puede ayudar a documentar el cumplimiento, pero su disponibilidad no condiciona la exigibilidad de la obligación.

B. La advertencia de la AEPD

La resolución AI-00009-2026 examina una herramienta aún no implantada en España que analizaría currículums, que asignaría puntuaciones y priorizaría candidaturas en selección y movilidad interna.

El expediente se inició después de que la AEPD recibiera, el 6 de enero de 2026, información sobre la posible implantación de una herramienta de inteligencia artificial destinada al cribado y evaluación de candidaturas en procesos de selección y movilidad interna. El sistema analizaría currículums, asignaría puntuaciones en función del grado de adecuación al puesto y priorizaría candidaturas, por lo que podría influir directamente en el acceso al empleo y en la promoción profesional.

La entidad había informado en diciembre de 2025 a la representación legal de las personas trabajadoras sobre su futura utilización y manifestó que la decisión final de cribado o descarte correspondería a una persona. También indicó que el sistema no analizaría atributos sensibles y que sería objeto de auditorías periódicas.

La empresa había comunicado que la decisión final sería humana y que no se analizarían atributos sensibles

La advertencia, que no es una infracción consumada ni la imposición de una sanción, supone el ejercicio de la facultad preventiva del artículo 58.2.a del RGPD ante operaciones previstas que podían infringirlo.

En este caso, esta advertencia concreta exigencias trasladables a otros sistemas laborales.

La organización debe adoptar y poder demostrar medidas técnicas y organizativas adecuadas conforme a los artículos 24 al 35 del RGPD (responsabilidad proactiva), en particular lo relativo a:

• Riesgo y evaluación de impacto. Deben evaluarse los riesgos para candidaturas y personas trabajadoras y realizarse una Evaluación de Impacto en Protección de Datos (EIPD) antes del tratamiento cuando sea probable un alto riesgo, de acuerdo con el artículo 35 del RGPD.
• Protección de datos desde el diseño y por defecto. Se deben incorporar, en función del riesgo, medidas de diseño y minimización al seleccionar, configurar, probar e implantar la herramienta, no añadirse al final.
• Medidas de seguridad. Del mismo modo, en función del riesgo, se deben determinar las medidas de seguridad para proteger los derechos de las personas, sin perjuicio de otras medidas o requisitos de seguridad que pudieran ser necesarios para proteger el sistema o la propia organización.
• Transparencia e intervención humana. La información debe ser clara, accesible y comprensible. La presencia formal de una persona no excluye el artículo 22: quien revise debe poder valorar críticamente la puntuación y apartarse de ella sin quedar condicionado de hecho por el resultado automatizado.

I. Cuándo se aplica el artículo 22 del RGPD

No todo uso de un algoritmo ni toda elaboración de perfiles constituye una decisión del artículo 22. El régimen específico opera cuando la decisión se basa únicamente en un tratamiento automatizado y produce efectos jurídicos o afecta de forma significativamente similar¹.

Cuando concurra la aplicación del artículo 22, además de verificar una excepción válida, deben establecerse las garantías correspondientes, entre ellas la posibilidad de obtener intervención humana, expresar el punto de vista e impugnar la decisión.
En el entorno laboral, la necesidad contractual debe interpretarse restrictivamente y el consentimiento rara vez será una base segura si no puede demostrarse que fue verdaderamente libre.

II. Datos, inferencias y sistemas de control

La protección no se limita a los datos introducidos en el sistema. Las puntuaciones, clasificaciones, perfiles, predicciones e inferencias asociadas a una persona identificada o identificable también pueden ser datos personales.

Por ello, deben respetarse la minimización y la exactitud, incluida la revisión de información desactualizada, variables sustitutivas y resultados que puedan generar discriminación.

Si se tratan categorías especiales de datos, deben cumplirse además las condiciones del artículo 9 del RGPD. La afirmación de que una herramienta no utiliza atributos sensibles no basta por sí sola: debe comprobarse si otras variables permiten inferirlos o actúan como proxies.

Cuando el sistema se integre con dispositivos digitales, videovigilancia, grabación de sonidos o geolocalización, resultan aplicables también los artículos 87 a 90 de la LOPDGDD y las garantías laborales correspondientes.

III. Cuestiones adicionales derivadas de la advertencia

La advertencia permite concretar otros aspectos que deberían formar parte de la evaluación jurídica y técnica del sistema.

El supuesto analizado comprende tanto procesos de selección como de movilidad interna. Las candidaturas que no lleguen a ser contratadas están protegidas por el RGPD, aunque no sean destinatarias de las obligaciones laborales propias de una relación de trabajo. En la movilidad interna concurren, además, los derechos de la persona trabajadora y los de su representación legal.

Por ello, la información debe adaptarse a cada fase y destinatario, sin presumir que una comunicación colectiva satisface la información individual o la transparencia exigida por el RGPD.

Además, la advertencia recuerda:

1. Responsabilidad de la entidad que implanta el sistema. El hecho de que la herramienta se desarrolle o evalúe centralmente por parte de un grupo empresarial no libera de responsabilidad a la entidad que decida utilizarla en España. Esta debe determinar y documentar su posición como responsable, corresponsable o usuario de un servicio prestado por un encargado; el reparto efectivo de decisiones; las garantías contractuales; la localización de los datos y eventuales transferencias internacionales; y su propia conclusión sobre la licitud, necesidad y proporcionalidad del tratamiento.

2. Auditorías verificables y seguimiento. La referencia a auditorías periódicas no acredita por sí sola el cumplimiento. Para ser verificables deberían constar su finalidad y alcance, la versión del sistema examinada, los datos y variables probados, las tasas de error, los impactos diferenciados, la efectividad de la supervisión humana, los incidentes y reclamaciones detectados y las medidas correctoras adoptadas. También debe establecerse cuándo se repetirá la evaluación tras cambios del modelo, de los datos o de la finalidad.

3. Intervención humana y automatización de hecho. La supervisión debe analizarse materialmente. La persona revisora ha de conocer las limitaciones del sistema, acceder a los factores relevantes, disponer de tiempo y autoridad para modificar el resultado y poder considerar información adicional. Conviene registrar las discrepancias respecto de la recomendación automatizada. Una ausencia sistemática de discrepancias puede ser un indicio de dependencia práctica de la puntuación y debe motivar una revisión del proceso.

IV. Alcance jurídico de la advertencia

La resolución tiene naturaleza preventiva: no declara una infracción consumada ni impone una sanción. Su relevancia reside en que recordar las garantías que la Autoridad considera necesarias antes de la implantación. La información incompleta de que pueda disponer la Autoridad no priva de eficacia a la advertencia, sino que desplaza al responsable la carga de evaluar, adaptar y poder demostrar la conformidad del tratamiento conforme al principio de responsabilidad proactiva.

V. Actuaciones recomendadas antes de implantar:

Se recogen a continuación algunas actuaciones, aunque, en todo caso, es el responsable el que debe analizar las que pudieran corresponder (estas u otras) en función del tratamiento.

1. Inventariar los sistemas que apoyan o adoptan decisiones sobre candidaturas, jornada, tareas, rendimiento, retribución, promoción, movilidad, lugar de trabajo o extinción, incluidos servicios de terceros.
2. Como resultado de dicho inventario será posible realizar una descripción sistemática de las operaciones de tratamiento con un claro detalle del ciclo de vida de los datos.
3. Documentar para cada tratamiento la finalidad, responsables, datos de entrada y su origen, inferencias generadas, variables principales, reglas de decisión, destinatarios, conservación, transferencias y papel efectivo de las personas revisoras.
4. Determinar separadamente la base jurídica de cada operación de tratamiento, la eventual aplicación del artículo 22 del RGPD, el nivel de riesgo, la necesidad de EIPD y la clasificación que proceda conforme al Reglamento de Inteligencia Artificial.
5. Preparar información coordinada para la persona trabajadora, para candidaturas y para la representación legal, sin confundir ni dar por cumplido un deber mediante otro.
6. Validar que la explicación sea comprensible mediante ejemplos representativos y que permita conocer qué factores pueden influir favorable o desfavorablemente, sin revelar secretos empresariales más allá de lo necesario.
7. Diseñar una supervisión humana demostrable: competencia, autoridad para modificar el resultado, tiempo suficiente, acceso a información pertinente, registro de discrepancias y ausencia de incentivos que conviertan la revisión en automática.
8. Mantener evidencias de entrega y de actualización de la información, así como registros de pruebas, auditorías, cambios del modelo, incidencias, reclamaciones y medidas correctoras.

VI. Conclusión

El Real Decreto 723/2026 convierte la transparencia algorítmica en una condición de la relación laboral que debe comunicarse de forma previa, escrita y trazable.

La advertencia AI-00009-2026 muestra que esa transparencia, tal como establece el RGPD debe apoyarse en una gobernanza efectiva del tratamiento: diseño preventivo, evaluación del riesgo, posible EIPD, explicación comprensible y supervisión humana real.

Informar no legitima por sí solo el sistema, permite que las personas conozcan cómo interviene en decisiones que les afectan y ejerzan sus derechos, mientras obliga a la organización a demostrar que el tratamiento es lícito, necesario, proporcionado y controlable.

En definitiva, sobre un mismo sistema, se da una concurrencia de obligaciones de transparencia, que impone el Real decreto y la normativa vigente en materia de protección de datos, pero tienen destinatarios, contenidos y finalidades diferentes.

Plano	Destinatario y fundamento	Contenido principal
Laboral individual	Cada persona trabajadora. Artículos 3.2.k, 6 y 7 del Real Decreto 723/2026	Existencia del sistema y, si decide sobre condiciones de trabajo, pautas, criterios y reglas de funcionamiento
Laboral colectiva	Representación legal. Artículo 64.4.d del Estatuto de los Trabajadores	Parámetros, reglas e instrucciones en los que se basan algoritmos o IA que inciden en condiciones de trabajo, acceso o mantenimiento del empleo y perfiles
Protección de datos	Candidaturas y personas trabajadoras afectadas. Artículos 12 a 14, 15 y, cuando proceda, 22 del RGPD.	Finalidades, base jurídica, datos, origen, destinatarios, conservación y derechos; y, si hay decisiones automatizadas relevantes, información significativa sobre la lógica, importancia y consecuencias

Referencias jurídicas principales

• Real Decreto 723/2026, de 9 de septiembre
• Texto refundido del Estatuto de los Trabajadores
• Advertencia AEPD AI-00009-2026
• Guía AEPD La protección de datos en las relaciones laborales
• Directrices del CEPD sobre decisiones automatizadas y perfiles
• TJUE, sentencia de 7 de diciembre de 2023, C-634/21, SCHUFA
• TJUE, sentencia de 27 de febrero de 2025, C-203/22, Dun & Bradstreet Austria

Notes

Footnotes

1. A este respecto, la sentencia SCHUFA del Tribunal de Justicia de la Unión Europea, de 7 de diciembre de 2023, C-634/21, confirmó que una puntuación automatizada puede constituir por sí misma una decisión automatizada cuando quien decide después se apoya intensamente en ella. Por otro lado, la sentencia Dun & Bradstreet Austria, de 27 de febrero de 2025, C-203/22, añadió que la información significativa debe explicar de forma concisa, transparente e inteligible el procedimiento y los principios efectivamente aplicados, de modo que la persona comprenda qué datos se utilizaron y cómo influyeron en el resultado. No exige entregar el código fuente, pero tampoco admite explicaciones genéricas o puramente técnicas. ↩