Shadow AI en RR. HH.: usar IA sin infringir el RGPD (2026)

Si diriges un equipo de RR. HH. o talento en 2026, tu mayor riesgo de IA no es el proveedor que el equipo de compras lleva seis meses evaluando. Es el senior recruiter, la responsable de L&D y el analista de compensación que a las 23 h, desde su portátil personal, pegan CV de candidatos, evaluaciones de desempeño y tablas salariales en una cuenta gratuita de ChatGPT porque la herramienta oficial es más lenta. Esto es shadow AI en su versión RR. HH., y está en la intersección de las dos normativas con la mayor velocidad de aplicación en la UE hoy: RGPD y AI Act.

Este es el segundo artículo de nuestra serie sobre la guía de redacción de datos. La guía pilar cubre la redacción de datos para todos los casos de uso; aquí hacemos zoom específicamente sobre RR. HH. — reclutamiento, gestión del desempeño, relaciones con empleados, compensación y L&D — donde el problema shadow AI es más agudo, la exposición regulatoria es máxima y la solución operativa tiene el mayor retorno por equipo. Nota terminológica: usamos "shadow AI RRHH" y "shadow AI recruiting" de forma intercambiable, y usamos "ia en rrhh", "ia reclutamiento", "ia cribado cv", "inteligencia artificial rrhh" y "reclutamiento generativo" como sub-categorías operativas que la misma arquitectura debe cubrir. La IA evaluación desempeño es uno de los workflows más expuestos.

Si en tu despacho ya se ha tenido la conversación de "qué hacemos con ChatGPT" y la habéis perdido en silencio, este es el artículo para entregar a quien usa la IA cada día. Cubre dónde está ocurriendo el shadow AI dentro de RR. HH. (siete casos de uso concretos), por qué esos usos infringen el RGPD y el AI Act de formas específicas, el historial real de aplicación 2023-2026 (Workday, EEOC, NYC AEDT, Garante italiano sobre Foodinho/Glovo, TEDH), cómo debe ser una alternativa oficial para que sea adoptada de verdad, y una hoja de ruta de diez pasos que convierte la conversación en una decisión de tooling oficial en 90 días.

1. Por qué RR. HH. es el punto cero del shadow AI

El shadow AI es el uso de herramientas de IA de consumo — ChatGPT, Claude, Gemini, Perplexity, Mistral Le Chat, las decenas de wrappers GPT en la App Store — con datos confidenciales, fuera de la visibilidad de IT, normalmente vía cuentas personales. Cada función de la empresa tiene cierta exposición; RR. HH. tiene la peor. Cuatro razones estructurales.

Primero, los datos que RR. HH. maneja son mayoritariamente texto libre. CV, cartas de presentación, comentarios de evaluación de desempeño, quejas de empleados, exit interviews, notas de 1:1 de managers, discusiones de calibración — ninguno es un registro tabular como tienden a serlo los datos de clientes. El texto libre es exactamente donde la IA generativa parece más útil, así que la tentación de pegarlo en una ventana de chat es máxima. La guía pilar cubría la redacción de PII como problema técnico; en RR. HH. es también un problema conductual.

Segundo, el trabajo de RR. HH. es a ráfagas e intensivo en juicio. Un recruiter que criba 200 CV la semana antes de la deadline de contratación no tiene tiempo de preguntar a Legal si la nueva herramienta de sourcing cumple el RGPD. Un people manager que escribe una evaluación difícil a las 21 h quiere un partner de pensamiento, no un workflow de compras. Las herramientas oficiales, cuando existen, se compraron para casos de uso HRIS o ATS — no para esto. Así que ChatGPT RRHH se propaga.

Tercero, los datos de RR. HH. están fuertemente regulados como categoría. El artículo 88 RGPD autoriza expresamente a los Estados miembros a fijar reglas más específicas para el tratamiento de datos de empleados, y la mayoría lo ha hecho. El AI Act UE clasifica los usos de RR. HH. como de alto riesgo en el Anexo III párrafo 4. Varias jurisdicciones no-UE han escrito estatutos de IA específicos para empleo: NYC Local Law 144 (Automated Employment Decision Tools, AEDT, en vigor desde julio de 2023), Illinois AI Video Interview Act (2020), Colorado AI Act (en vigor 2026). La superficie de cumplimiento de RR. HH. es realmente mayor que en otras funciones, y el uso shadow AI crea tratamiento no documentado a través de todo ese mapa.

Cuarto, RR. HH. se sitúa entre el listón legal/cumplimiento y la presión operativa de ir rápido. La misma directora de RR. HH. a la que se le pide que impulse las ganancias de productividad con IA es responsable del registro de actividades de tratamiento de RR. HH. (art. 30), de la evaluación de impacto del art. 35 para nuevas tecnologías, del derecho del art. 22 a no ser sometido a decisiones automatizadas, y — en muchos países UE — de la consulta al comité de empresa sobre nuevas herramientas de monitorización (España: ET art. 64 y RD-Ley 9/2021). Sin una alternativa oficial que resuelva ambos problemas a la vez, el sistema se inclina hacia el shadow.

Las estadísticas que se citan sobre shadow AI en RR. HH. suelen repetirse con un alcance distinto del de la fuente, y de dónde sale cada cifra de shadow AI recoge la población, el método y la fecha de las más citadas.

2. Dónde aparece el shadow AI en los equipos de RR. HH.

Los siete casos de uso de abajo cubren aproximadamente el 95 % del shadow AI que vemos en auditorías de RR. HH. Cada uno crea una categoría de riesgo distinta y una oportunidad distinta de alternativa oficial.

1. Cribado y shortlist de CV (IA cribado CV, IA reclutamiento). Un recruiter pega 50-200 CV en una sesión de chat y pide "clasifícalos por encaje cultural y profundidad técnica en Kubernetes; dame un top 10". El modelo ve nombres completos, fotos, direcciones, fechas de nacimiento, empleadores previos, y cualquier otra PII que el candidato haya divulgado. Bajo el art. 22 RGPD una decisión totalmente automatizada con efecto jurídico o significativo equivalente requiere una base jurídica explícita; el AI Act UE clasifica el cribado de CV como alto riesgo; el sesgo IA contratación tiene su propia exposición de discriminación bajo el derecho laboral nacional. La versión shadow crea tratamiento no documentado de datos de categoría especial (algunos CV divulgan información de salud, afiliación sindical, religión) en un endpoint LLM estadounidense sin DPA. Es el workflow canónico de shadow AI en la inteligencia artificial selección.

2. Redacción de evaluaciones de desempeño (IA evaluación desempeño). Un manager pega 12 meses de notas de 1:1 y pide al modelo que redacte la evaluación de fin de año. Las notas suelen incluir citas directas del empleado, información de salud observada ("estuvo de baja tres semanas en Q3"), discusiones de comp, y a veces quejas sobre compañeros. Redactar una evaluación en un endpoint de consumo crea un problema del Considerando 71 (decisiones con efectos jurídicos o equivalentes), un problema del art. 88 (tratamiento en contexto laboral), y frecuentemente un problema del art. 9 (divulgación de categoría especial).

3. Síntesis de exit interviews (IA entrevista salida). Una HR business partner conduce exit interviews y luego pega las transcripciones en un chatbot para resumir temas a la dirección. Las transcripciones de exit contienen detalles salariales, acusaciones de acoso, quejas nominadas sobre managers, y a veces contenido whistleblowing protegido por la Directiva UE de Denunciantes (2019/1937). La versión shadow expone tanto al que se va como a los terceros nombrados en un LLM público.

4. Redacción de descripciones de puesto y anuncios (IA descripción puesto). Un talent marketer mete el anuncio anterior, el brief del hiring manager y anuncios de la competencia para escribir un nuevo anuncio. El riesgo PII aquí es bajo, pero el riesgo de discriminación es significativo: los LLM entrenados con datos históricos de contratación llevan codificación histórica de género y edad que puede producir anuncios que desincentivan sistemáticamente clases protegidas (la herramienta de CV de Amazon que degradaba "women's chess club" en 2018 es el caso de manual). El documento de asistencia técnica de la EEOC 2023 confirma que los anuncios pueden violar el Title VII incluso sin intención.

5. Benchmarking de compensación (IA compensación). Una analista de comp pega la tabla de bandas salariales de la empresa y pide al modelo comparar con datos de mercado publicados, proponer una nueva estructura, o marcar outliers. Las bandas en sí son confidenciales, las filas vinculadas a empleados son datos personales, y la salida del modelo está ahora en un LLM estadounidense con uso potencial para entrenamiento. El benchmarking vía shadow es también una fuga de información competitiva, no solo de privacidad.

6. Q&A de empleados y asistencia de políticas (IA chatbot HR). Los empleados preguntan a un chatbot de RR. HH. cosas como "estoy de baja parental; ¿cuál es mi derecho?" — y la respuesta requiere el contrato del empleado, país, rol y antigüedad. Muchas empresas han levantado un asistente de inteligencia artificial RRHH generativa en endpoint de consumo para gestionar esto sin darse cuenta de que la entrada del lado del empleado contiene información de salud ("estoy de baja porque…"), actividad sindical ("estoy en permiso sindical"), o detalles familiares. ChatGPT datos empleados ve la exposición pasar por la entrada del empleado, no la del empleador — y eso lo hace particularmente difícil de detectar. El Garante italiano ha señalado que los asistentes de IA dirigidos a empleados están sujetos a las mismas reglas del art. 88 que el tratamiento del lado del empleador.

7. Gestión algorítmica y planificación de plantilla. Un analista de workforce planning alimenta a un LLM con el organigrama con nombres, niveles, fechas de alta y notas de desempeño, y pide escenarios de reestructuración o "lista de empleados con más riesgo de marcharse en los próximos 6 meses". Esto es gestión algorítmica en sentido Foodinho/Glovo, y ha producido dos de las mayores decisiones de aplicación employment-AI en la UE: la sanción del Garante a Foodinho (Glovo Italia) de 2,6 M EUR en 2021 y el trabajo subsiguiente de la AEPD española sobre platform workers.

Los siete casos comparten un patrón. El usuario sabe que los datos son sensibles pero se siente protegido por el hecho de que la ventana de chat "es solo yo escribiendo". El modelo ve los datos como entrada; los logs del proveedor los ven como petición; la pipeline de entrenamiento puede verlos como ejemplo; el registro de tratamientos de tu despacho no los ve en absoluto.

3. La pila RGPD + AI Act + derecho nacional para la IA en RR. HH.

Cuatro capas legales se aplican simultáneamente al uso de IA en RR. HH. No son redundantes; cada una atrapa un modo de fallo distinto.

Artículo 88 RGPD (Tratamiento en contexto laboral). Los Estados miembros podrán establecer normas más específicas para el tratamiento de datos personales de empleados, incluyendo selección, ejecución del contrato laboral, planificación y organización del trabajo, igualdad y diversidad, salud y seguridad, y extinción. Italia (D.Lgs. 196/2003 modificado), Francia (Code du travail L1121-1 y L1222-4), Alemania (BDSG §26), España (LO 3/2018) y Bélgica han ejercido esta facultad. Efecto práctico: el cumplimiento pan-UE no existe — hay que cumplir el RGPD y las reglas locales sobre datos de empleados. El artículo 88 RGPD siempre se lee en combinación con la norma nacional.

Artículos 5, 9 y 22 RGPD — la espina dorsal sustantiva para la IA en empleo. El art. 5 fija los principios (licitud, lealtad, transparencia, limitación de finalidad, minimización, exactitud, limitación del plazo de conservación, integridad, responsabilidad). El art. 9 prohíbe el tratamiento de categorías especiales sin una base del art. 9(2), que en empleo suele ser el art. 9(2)(b) "para el cumplimiento de obligaciones en materia laboral" — pero solo "en la medida en que esté autorizado por el Derecho de la Unión o de los Estados miembros". El art. 22 garantiza el derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos o equivalentes significativos. Las Directrices EDPB 04/2024 sobre el art. 22 aclaran que "basada únicamente" es un filtro sustantivo — una revisión humana de fachada al final de un proceso no evita el art. 22 — y la shortlist de RR. HH. es el ejemplo canónico. El tratamiento de RGPD datos empleados bajo cualquiera de estos artículos requiere base jurídica, transparencia y evaluación documentada.

AI Act UE, Anexo III párrafo 4 — usos de RR. HH. de alto riesgo. El AI Act enumera expresamente los usos de RR. HH. como de alto riesgo: (a) sistemas de IA destinados al reclutamiento o selección de personas físicas, en particular para publicar anuncios dirigidos, analizar y filtrar candidaturas, y evaluar candidatos; (b) sistemas de IA destinados a tomar decisiones que afecten a las condiciones de la relación laboral, la promoción o la extinción de relaciones contractuales, a asignar tareas en función del comportamiento individual o de rasgos personales, o a monitorizar y evaluar el desempeño y la conducta de personas en tales relaciones. La clasificación de alto riesgo activa todas las obligaciones del Título III: sistema de gestión de riesgos (art. 9), gobernanza de datos (art. 10), documentación técnica (art. 11), registro (art. 12), transparencia (art. 13), supervisión humana (art. 14), exactitud y robustez (art. 15), evaluación de conformidad, inscripción en la base de datos de la UE, vigilancia post-comercialización, y evaluación de impacto sobre derechos fundamentales (art. 27 para entidades públicas y ciertos deployers privados). Las obligaciones AI Act RRHH son el régimen de cumplimiento más exigente que una función de RR. HH. haya tenido que operar. La IA alto riesgo RRHH bajo el AI Act anexo III es lo que dispara todo esto; la evaluación impacto IA que los equipos de RR. HH. ahora deben producir — la EIPD del RGPD y la FRIA del AI Act — es la nueva carga documental operativa.

Leyes nacionales empleo-IA. Más allá de las transposiciones del art. 88 RGPD, varias jurisdicciones han redactado estatutos de IA específicos para el empleo. NYC Local Law 144 (AEDT) exige auditorías de sesgo y aviso al candidato para cualquier "automated employment decision tool" usado para "asistir sustancialmente" la contratación o promoción en NYC desde julio de 2023. Illinois AI Video Interview Act (2020) exige consentimiento, aviso de uso de IA y límites al intercambio de datos para IA de entrevista en vídeo. Colorado AI Act (en vigor 1 de febrero de 2026) refleja gran parte de la estructura del AI Act UE para usos de alto riesgo, empleo incluido. España ha codificado la transparencia algorítmica para el trabajo en plataformas (Real Decreto-Ley 9/2021). El Garante italiano ha emitido directrices específicas sobre presencia biométrica, geolocalización y gestión algorítmica. La CNIL francesa publicó recomendaciones sobre IA en RR. HH. específicas (2024).

Conclusión práctica: cualquier despliegue de IA en RR. HH. en 2026 debe pasar simultáneamente por RGPD, AI Act, derecho nacional sobre datos de empleados y (donde aplique) un estatuto de IA específico de empleo. El uso shadow AI los evade todos.

4. Siete formas concretas en que el shadow AI RRHH rompe el cumplimiento

Si lo presentas a un consejo o a un comité de empresa y necesitas una lista concreta de qué rompe realmente el shadow AI, esta es la versión operativa.

1. Art. 28 — encargado sin DPA. Una cuenta ChatGPT de consumo no es un Acuerdo de Tratamiento de Datos. Un senior recruiter que pega CV está creando tratamiento por cuenta del despacho sin las cláusulas del art. 28(3), sin divulgación de subencargados, y sin base contractual para actuar por cuenta del despacho.
2. Art. 30 — actividad de tratamiento invisible. Los registros de actividades de tratamiento para RR. HH. cubren típicamente el ATS, el HRIS, el proveedor de payroll y la plataforma L&D. No cubren el uso ChatGPT personal del recruiter. El registro art. 30 del despacho es por tanto materialmente incompleto, lo que es en sí mismo una infracción independiente de cualquier fuga de datos.
3. Art. 9 — tratamiento de categoría especial no documentado. Los CV y discusiones de desempeño contienen rutinariamente datos del art. 9 (salud, afiliación sindical, religión, orientación sexual). Tratarlos en un LLM de consumo crea tratamiento art. 9 sin base del art. 9(2) y sin las garantías adicionales.
4. Art. 22 — decisión únicamente automatizada. Si el shadow AI se usa para clasificar candidatos y el recruiter implementa la clasificación, la revisión humana es un sello; la decisión está "basada únicamente en el tratamiento automatizado" en el sentido del art. 22 y el Considerando 71. La sentencia TJUE SCHUFA (C-634/21, diciembre 2023) confirmó una lectura amplia de "basada únicamente".
5. Arts. 5 y 35 — sin evaluación de impacto. Una operación de tratamiento de alto riesgo requiere una EIPD bajo el art. 35, y el AI Act añade una FRIA para muchos despliegues de RR. HH. El uso shadow AI nunca tiene una.
6. Art. 88 y derecho laboral nacional. La mayoría de jurisdicciones UE exigen alguna forma de consulta al comité de empresa (España ET art. 64; Italia art. 4 Statuto dei Lavoratori; Alemania BetrVG §87; Francia Code du travail L2312-38) antes de introducir tecnología de monitorización o evaluación. El shadow AI es tecnología de monitorización introducida sin consulta.
7. Transferencias transfronterizas y Schrems II. Las cuentas ChatGPT, Claude y Gemini de consumo enrutan datos a compute estadounidense por defecto. No hay evaluación de impacto de transferencias, ni Cláusulas Contractuales Tipo, y el despacho desconoce que la transferencia está ocurriendo. Es la infracción del RGPD más fácil de demostrar en una auditoría porque bastan los logs de red como prueba.

Las siete infracciones se acumulan. Una sola sesión shadow de cribado de CV puede disparar seis simultáneamente. La AEPD española ha sancionado por menos.

5. Aplicación real y el precio de no hacer nada

Los equipos de RR. HH. a veces despachan la exposición legal como teórica. El historial 2023-2026 disiente. Estos son los casos que deberían estar en la conciencia de cada líder de RR. HH. en 2026.

Workday (EE. UU., 2024-2025). La class action federal Mobley v. Workday alega que el algoritmo de cribado IA de Workday discrimina a candidatos por raza, edad y discapacidad. El tribunal rechazó la moción de desestimación de Workday en julio de 2024 y certificó la collective action en mayo de 2025, aceptando la teoría de que una herramienta de cribado IA puede ser tratada como agente del empleador a efectos del Title VII. Es el primer caso que establece que el vendor IA mismo puede ser declarado responsable de resultados discriminatorios, ampliando la superficie de responsabilidad más allá del empleador. La discriminación IA ya no es un problema solo del empleador.

EEOC asistencia técnica y registro de acuerdos (EE. UU., 2023-2026). El documento de asistencia técnica de la EEOC de mayo de 2023 sobre IA en selección de empleo fijó el marco para aplicar el Title VII (disparate impact) a herramientas IA. En EEOC v. iTutorGroup (agosto de 2023, acuerdo por 365.000 USD), la EEOC alegó que el software de reclutamiento de la empresa rechazaba programáticamente a candidatas mujeres de más edad. La EEOC ha seguido añadiendo casos de IA-discriminación a su docket hasta 2026; el plan estratégico de aplicación de mayo de 2023 nombró la discriminación impulsada por IA como prioridad.

NYC AEDT Law 144 aplicación (EE. UU., 2023-2026). Desde el 5 de julio de 2023, los empleadores que usan una "automated employment decision tool" para contratación o promoción en NYC deben realizar una auditoría de sesgo independiente anual, publicar los resultados resumidos y notificar a los candidatos. La aplicación ha sido medida pero real, y la existencia de la ley ha remodelado materialmente el comportamiento de los vendors en el mercado de reclutamiento de EE. UU. Varias empresas han retirado funcionalidades IA del mercado NYC en lugar de cumplir. La cumplimiento IA RRHH en Nueva York está hoy de facto atada a auditorías de sesgo anuales.

Garante italiano sobre Foodinho / Glovo (Italia, 2021-2024). El Garante sancionó a Foodinho (Glovo Italia) por 2,6 millones de euros en 2021 por la forma en que su algoritmo de rating de riders trataba datos personales sin base adecuada del art. 88 y sin transparencia adecuada, y de nuevo por 5 millones en 2024 sobre asuntos conexos. La decisión es fundacional para el cumplimiento de la gestión algorítmica en Italia y ha sido citada extensamente en decisiones posteriores en toda la UE.

Garante italiano sobre presencia biométrica (Italia, 2022-2025). Decisiones sucesivas han establecido que los sistemas biométricos de control de presencia y los sistemas de reconocimiento facial en accesos a lugares de trabajo exigen una base jurídica específica más allá del consentimiento (inválido en contexto laboral por desequilibrio de poder) y han tumbado varios despliegues. El patrón se aplica directamente a cualquier herramienta IA que trate datos biométricos de empleados.

Directrices CNIL sobre IA en RR. HH. (Francia, 2024-2025). La CNIL publicó directrices en 2024 que confirman que todo despliegue de IA en RR. HH. debe ir precedido de una EIPD, debe operar sobre una base jurídica distinta del consentimiento, debe incluir supervisión humana, y debe respetar la obligación de consulta al comité de empresa. La acción reguladora de la CNIL contra herramientas de gestión algorítmica en el sector público francés ha fijado referencias que se espera que los empleadores privados cumplan.

TEDH sobre vigilancia en el trabajo. La sentencia de Gran Sala Barbulescu v. Rumanía (2017) y la más reciente López Ribalda v. España (2019) fijan el listón europeo para la vigilancia en el trabajo: el empleador debe dar aviso previo, claro, transparente, y las medidas deben ser proporcionadas. La vigilancia conductual basada en IA hereda ese listón, y el uso shadow AI de datos de desempeño de empleados cae fuera de ese listón casi por definición.

OpenAI / Garante italiano (2023-2024). La suspensión temporal de ChatGPT por el Garante del 30 de marzo de 2023, los hallazgos preliminares de la Task Force ChatGPT del EDPB de mayo de 2024, y la sanción final de 15 millones de euros a OpenAI de diciembre de 2024 confirman colectivamente que el tratamiento del lado del LLM es ahora un dominio de cumplimiento activamente aplicado. El shadow AI RRHH hereda vicariamente todos esos riesgos.

El efecto cumulativo es que una directora de RR. HH. ya no puede asumir "a nosotros la aplicación aún no nos ha tocado". El historial es lo bastante denso como para que la pregunta sea cuándo, no si.

6. Cómo es una IA RRHH oficial, más rápida que el shadow

La guía pilar presentó la arquitectura general para el uso seguro de LLM: enmascarar PII en el navegador antes de que lleguen al modelo, enrutar vía LLM EU-hosted bajo DPA firmado, restaurar valores reales localmente. La versión específica de RR. HH. de esa arquitectura tiene cuatro requisitos adicionales impulsados por la pila normativa cubierta arriba.

(a) Redacción role-aware. Un workflow de cribado de CV debe redactar el nombre del candidato, foto, fecha de nacimiento, dirección y cualquier divulgación art. 9 — pero no debe redactar cualificaciones, experiencia, formación o skills. Un borrador de evaluación de desempeño debe redactar el nombre del empleado y cualquier tercero nombrado en las notas — pero debe preservar los comportamientos subyacentes. Un redactor genérico que enmascara todo destruye el valor del workflow. La herramienta oficial debe entender las categorías de entidades de RR. HH. con la granularidad que el trabajo realmente requiere.

(b) Cadena de subencargados documentada. Cada LLM que la herramienta usa debe estar en la lista de subencargados del despacho con el DPA correspondiente. Redactic publica su lista de subencargados y los cambios se pre-notifican con 30 días de antelación. Para uso de RR. HH. específicamente, el DPO del despacho debe poder demostrar, en cualquier momento, exactamente qué LLM vio qué categoría de datos en qué fecha.

(c) Higiene art. 22 por defecto. La herramienta debe impedir estructuralmente resultados "basados únicamente en el tratamiento automatizado". En la práctica significa que la salida es siempre orientativa, cada decisión individual tiene un revisor humano registrado con un paso de revisión documentado, y el log del audit de sesgo captura la tasa de override humano. Una evaluación de desempeño bajo esta disciplina produce un borrador que el manager edita sustancialmente; la capa de redacción hace la entrada segura; la capa de revisión humana hace la salida art. 22-segura.

(d) Artefactos para comité de empresa y transparencia. La herramienta debe poder producir, bajo demanda, (i) la entrada del registro art. 30 para el tratamiento, (ii) la plantilla de EIPD, (iii) la FRIA bajo art. 27 AI Act, (iv) el informe de audit de sesgo alineado al formato NYC AEDT cuando aplique, y (v) el borrador de notificación al comité de empresa. El certificado de redacción que Redactic genera para cada job se convierte en la base probatoria de estos documentos, ya que lleva hashes y conteos pero ninguna PII.

Redactic Secure Chat implementa los cuatro. La interfaz Chat enmascara PII en el navegador vía la misma pipeline GLiNER multilingüe que el workflow documental, envía el texto pseudonimizado a OpenAI / Anthropic / Google / Mistral en sus endpoints UE (zero retention, no-train sobre la entrada bajo DPA firmados), restaura los valores reales del lado cliente. El certificado de auditoría registra el job. Para workflows documentales — redacción de JD, borrador de evaluación, análisis de comp, síntesis de exit interview — el flujo upload-luego-redactar-luego-IA sigue la misma arquitectura con la capa de redacción delante del modelo. Las landings italiana, francesa, alemana, española e inglesa de redactic.eu cubren los casos de uso directamente.

7. El rollout de 90 días para líderes de RR. HH.

Este es el playbook de diez pasos que usamos con líderes de RR. HH. que adoptan IA oficial por primera vez. Asume que tienes shadow AI en tu organización hoy (casi seguro que sí) y que quieres pasar a una alternativa oficial en un trimestre.

1. Día 0-7. Censo interno del uso shadow. Encuesta a RR. HH., L&D y reclutamiento sobre qué herramientas IA usan realmente, para qué tareas, con qué datos. Promete amnistía por respuestas honestas — necesitas la verdad, no la respuesta oficial. Espera ChatGPT en más del 70 % de las respuestas, Gemini y Claude en 30-50 %, y una long tail de herramientas especializadas.
2. Día 7-14. Mapea los casos de uso a las siete categorías de arriba. Marca cada uno como sensibilidad de datos alta, media o baja. Marca cada uno como alto riesgo bajo AI Act Anexo III o no. Este es tu inventario inicial de operaciones de tratamiento.
3. Día 14-30. Línea base de cumplimiento. Ejecuta un análisis de brecha contra las siete infracciones de la sección 4. El DPO y Legal firman el análisis. Esto se convierte en el business case de la herramienta oficial — y la traza probatoria si el regulador llega mientras tanto.
4. Día 30-45. Selección de proveedor. Aplica la checklist de 8 puntos de la guía pilar con ponderación específica de RR. HH. sobre (b) y (d) de arriba (redacción role-aware + artefactos de comité). Compras firma el DPA, la lista de subencargados y las SCC donde aplique.
5. Día 45-60. EIPD y FRIA. La EIPD cubre el lado RGPD y la FRIA cubre el lado AI Act; ambas son requeridas para usos de alto riesgo en RR. HH. El certificado de redacción del proveedor, la plantilla de audit de sesgo, y la lista de subencargados alimentan directamente ambos documentos.
6. Día 60-70. Comité de empresa y transparencia con empleados. Notifica al comité bajo la normativa nacional aplicable, presenta la consulta, redacta el aviso al empleado (arts. 13/14 RGPD más art. 26 AI Act para transparencia). Publica el aviso.
7. Día 70-80. Piloto con un equipo. Elige el equipo con mayor uso shadow — normalmente recruiters senior o HRBP — e incorpóralos a la herramienta oficial. Mide la adopción contra el baseline shadow. La única prueba del éxito es si el uso shadow baja en la semana 2.
8. Día 80-85. Ajusta el perfil de fricción. Si la herramienta oficial es más lenta que el camino shadow, arregla la fricción (SSO, extensión de navegador, modelos por defecto, latencia). La arquitectura solo gana si es más rápida, no solo más segura.
9. Día 85-90. Rollout más amplio. Extiende a los siguientes 2-3 equipos. La prohibición del shadow se vuelve creíble solo después de que la herramienta oficial se haya visto funcionar en el equipo piloto.
10. Día 90+. Cumplimiento continuo. Revisión mensual del informe de audit de sesgo, revisión trimestral de la lista de subencargados, actualización anual de la EIPD/FRIA. Los logs de la herramienta oficial alimentan los artefactos dirigidos al regulador; el censo shadow se repite trimestralmente para asegurar que el uso shadow se mantiene bajo.

Dos cosas que esperar. Primero, el paso del comité de empresa es donde los rollouts más a menudo se ralentizan — arráncalo el día 60 aunque el piloto técnico no esté listo, y corre ambos en paralelo. Segundo, la afinación de fricción en los días 80-85 suele ser la diferencia entre un rollout exitoso y uno que se aplana al 20 % de adopción. El camino shadow no dejará de ser atractivo solo porque ahora está oficialmente prohibido; deja de serlo cuando el camino oficial es realmente más rápido.

8. Preguntas frecuentes

¿Puedo simplemente bloquear ChatGPT en la red corporativa?

Puedes, y muchas empresas lo han hecho. No resuelve el problema. El uso shadow se desplaza a móviles personales, portátiles personales en red doméstica, y cuentas personales en máquinas corporativas. Los bloqueos de red sin alternativa oficial son teatro de cumplimiento que produce menos visibilidad, no menos riesgo. La sección shadow AI de la guía pilar cubre la dinámica en detalle.

¿El art. 22 RGPD se dispara realmente por la shortlist con IA?

La sentencia TJUE SCHUFA (C-634/21, diciembre 2023) confirmó una lectura amplia de "basada únicamente en el tratamiento automatizado". Si en la práctica el decisor humano sella la salida IA, la decisión se trata como únicamente automatizada. Las Directrices EDPB 04/2024 lo refuerzan. La asunción segura es que cualquier herramienta de shortlist IA necesita higiene art. 22 incorporada: revisión humana sustantiva documentada, explicación, contestabilidad.

¿El AI Act UE aplica a mi uso de ChatGPT para RR. HH. aunque no lo haya construido?

Sí. El AI Act aplica a los deployers de sistemas IA de alto riesgo, no solo a los proveedores. Si tu equipo de RR. HH. usa un sistema IA para cualquier finalidad del Anexo III párrafo 4, eres un deployer y cargas las obligaciones del deployer: supervisión humana, monitorización, transparencia hacia las personas afectadas, registro, evaluación de impacto sobre derechos fundamentales en muchos casos. Usar un LLM de consumo no te exime; hace el cumplimiento más difícil porque la documentación que el proveedor debería darte bajo art. 13 está ausente.

¿El caso Workday es vinculante fuera de EE. UU.?

No directamente, pero la teoría legal — que un vendor IA puede ser tratado como agente del empleador a efectos de discriminación — viaja. La red European Equality Bodies ha citado el caso en su comentario de 2025, y varias jurisdicciones UE están considerando interpretaciones similares bajo la Directiva Raza (2000/43/CE) y la Directiva de Igualdad en el Empleo (2000/78/CE). Planifica como si la teoría aplicase.

¿El comité de empresa puede bloquear nuestro despliegue de IA?

En varias jurisdicciones UE, incluida Alemania bajo BetrVG §87(1)(6) e Italia bajo art. 4 Statuto dei Lavoratori, sí — la co-determinación del comité sobre tecnología de monitorización y evaluación es obligatoria. La falta de consulta puede llevar a la suspensión retroactiva del despliegue y a sanciones administrativas adicionales. La estrategia correcta es comenzar la consulta el día uno de la selección de proveedor, no después del rollout.

¿Redactar el CV resuelve por sí solo el problema AI Act?

No. La redacción resuelve el problema RGPD de fuga de datos para el round-trip LLM. Las obligaciones AI Act — clasificación de alto riesgo, gestión de riesgos, supervisión humana, transparencia, audit de sesgo, FRIA — aplican independientemente y no se satisfacen con redacción. Las dos pilas trabajan juntas: la capa de redacción mantiene limpio el principio de minimización; la capa de revisión humana y auditoría mantiene limpias las obligaciones AI Act.

¿Qué es la "gestión algorítmica" y en qué se diferencia de la IA en RR. HH.?

La gestión algorítmica es el uso de sistemas automatizados para asignar tareas, monitorizar desempeño, y tomar decisiones sobre trabajadores — asociada más a menudo al trabajo en plataforma (Foodinho/Glovo) pero cada vez más aplicada también al empleo tradicional. Las decisiones del Garante italiano sobre Foodinho son la aplicación fundacional UE; la Directiva UE Trabajo en Plataformas (2024) extiende derechos de transparencia específicos a trabajadores en plataformas. Cualquier "AI scheduler", "AI shift optimiser" o "AI productivity scorer" en empleo tradicional carga la misma exposición legal aunque el despacho no se vea como plataforma.

¿Las transcripciones de exit interview son realmente de alto riesgo?

Sí. Contienen típicamente información del art. 9 (salud, afiliación sindical), nombran a terceros que no han consentido al tratamiento, y pueden contener contenido whistleblowing protegido bajo la Directiva UE 2019/1937 con un régimen de confidencialidad separado. Están también entre las categorías de datos más dañinas reputacionalmente si se filtran. Sintetizarlas mediante un LLM de consumo es uno de los comportamientos shadow-AI individuales más arriesgados que vemos.

¿Cuánto dura realmente el rollout de 90 días?

En nuestra experiencia el piloto técnico toma 4-6 semanas y la consulta al comité de empresa 6-8 semanas en jurisdicciones UE donde aplica. Los 90 días asumen ejecución en paralelo. Si los corres secuencialmente, planifica 4-5 meses. La variable más grande es la velocidad de compras, no la complejidad técnica.

¿Dónde está la residencia de datos de Redactic para datos de RR. HH. específicamente?

El compute y el almacén de metadatos están en la UE (Hetzner Helsinki + Cloudflare R2 jurisdicción UE). El Secure Chat enruta a OpenAI / Anthropic / Google / Mistral en sus endpoints UE con zero retention y no-train sobre la entrada bajo DPA firmados. El certificado de redacción, la lista de subencargados y el DPA son públicos en las páginas trust de redactic.eu. Para uso específico de RR. HH. aplica la misma arquitectura; nada del caso de uso de RR. HH. evita la garantía no-trace.

Si tu despacho tiene uso shadow AI en RR. HH. — y lo tiene — el coste de no hacer nada ya no es un riesgo regulatorio abstracto. Es un caso de discriminación estilo Workday esperando a ser planteado, una prioridad de aplicación EEOC, una plantilla de acción de la CNIL o el Garante, una queja de comité de empresa, y una class action en el pipeline activo del foro de discriminación. El cumplimiento IA RRHH y la exposición a la discriminación IA son ahora riesgos entrelazados — un workflow shadow no documentado es simultáneamente una infracción RGPD y una fuente potencial de reclamación por discriminación. La cura no es prohibir más fuerte; la cura es hacer el camino oficial más rápido que el shadow y poner una capa de redacción entre el equipo y el modelo. La arquitectura existe, el reloj regulatorio corre, y el rollout de 90 días es realista. Empieza por el censo esta semana.

Para el detalle técnico fundacional detrás de la capa de redacción — modos, certificados, arquitectura no-trace, detección multilingüe — ver la guía pilar. Para ver el workflow en acción, la landing de Redactic cubre los cuatro modos de uso con una demo en vivo.