En España, la inteligencia artificial se ha convertido en el gran tema de protección de datos de 2026. Un nuevo real decreto obliga a los empleadores a informar sobre las decisiones algorítmicas, y la Agencia Española de Protección de Datos (AEPD) fija expectativas claras para los proyectos de IA antes de que empiecen.
1. Real Decreto 723/2026: transparencia algorítmica en el ámbito laboral
El Real Decreto 723/2026, en vigor desde el 5 de octubre de 2026, desarrolla el artículo 8.5 del Estatuto de los Trabajadores y transpone parcialmente la Directiva (UE) 2019/1152 relativa a unas condiciones laborales transparentes. Sustituye al Real Decreto 1659/1998. Puntos clave:
- Los empleadores deben informar de la existencia de sistemas de decisión automatizada y, cuando estos fijen o modifiquen condiciones de trabajo, de sus principales reglas y criterios
- Esto abarca decisiones sobre jornada, asignación de tareas y turnos, retribución, promoción, centro de trabajo y despido
- El concepto de sistema algorítmico es más amplio que el de "sistema de IA": pueden incluirse herramientas de planificación de turnos y sistemas de puntuación, y también herramientas que solo recomiendan una decisión si influyen de forma significativa en ella
- Los trabajadores actuales pueden solicitar la información; según los comentarios publicados, el empleador debe responder en un máximo de 30 días hábiles
El decreto se aplica junto con el RGPD: cuando la intervención humana se limita a validar automáticamente el resultado del algoritmo, la decisión se considera totalmente automatizada a efectos del artículo 22 RGPD.
2. Advertencias de la AEPD sobre videovigilancia con IA
El 6 de octubre de 2026 la AEPD dirigió advertencias preventivas a dos ayuntamientos que planean videovigilancia con análisis automatizado de imágenes mediante IA, incluida la detección o el reconocimiento facial y la búsqueda de personas por su apariencia. Los tratamientos aún no habían comenzado. La AEPD señaló las garantías que espera:
- protección de datos desde el diseño y por defecto desde la fase de adquisición
- un análisis de necesidad y proporcionalidad para cada función: la disponibilidad técnica no justifica por sí misma su uso
- una definición clara de los datos generados, los plazos de conservación y los accesos para cada función
- una evaluación de impacto antes del inicio cuando el tratamiento pueda suponer un alto riesgo
- el régimen más estricto de los datos biométricos cuando se pueda identificar de forma unívoca a una persona
- información clara y accesible para las personas afectadas
Aunque las advertencias se dirigieron a entidades públicas, los mismos principios se aplican a las empresas que usan cámaras con IA en tiendas, almacenes u oficinas.
3. El foco más amplio de la AEPD en la IA
La AEPD también ha publicado orientaciones técnicas sobre exactitud y minimización de datos en sistemas de IA, y ha advertido a una empresa por una herramienta de IA para el cribado de candidaturas, insistiendo en la supervisión humana y la transparencia. Su práctica sancionadora muestra que desplegar tecnología biométrica sin una evaluación de impacto válida puede salir muy caro: una de las mayores multas recientes en España, de más de 10 millones de euros contra el gestor aeroportuario Aena, se refirió a un sistema de reconocimiento facial desplegado sin una evaluación de impacto válida.
4. Novedades de la UE
- Reglamento procedimental del RGPD (UE) 2025/2518: aplicable desde el 2 de abril de 2027
- Directrices del CEPD sobre multas: adoptadas el 21 de septiembre de 2026, en consulta pública hasta el 13 de noviembre de 2026
- Digital Omnibus: los cambios propuestos al RGPD están estancados en el Consejo; siguen aplicándose las reglas actuales
Su lista de verificación
- Inventaríe las herramientas algorítmicas de RR. HH. y prepare la información exigida por el Real Decreto 723/2026
- Actualice contratos de trabajo y avisos de privacidad para empleados
- Realice evaluaciones de impacto antes de desplegar analítica de vídeo con IA o sistemas biométricos
- Garantice una revisión humana real de las decisiones automatizadas
Cómo puede ayudar ResGuard
El Gestor de Protección de Datos de ResGuard incluye un módulo de evaluaciones de impacto, el registro de actividades de tratamiento y la gestión de políticas, y nuestro servicio de DPO externalizado para España le ayuda a evaluar proyectos de IA.
Este artículo ofrece información general a 20 de octubre de 2026 y no constituye asesoramiento jurídico. Fuentes: nota de prensa de la AEPD de 6 de octubre de 2026, comentarios publicados sobre el Real Decreto 723/2026 y publicaciones de la UE.