IA y datos de empleados: qué dice de verdad la ley española

Este artículo está escrito para dos personas que no suelen leer lo mismo. La primera tiene empleados —dos, siete, cuarenta— y quiere meter inteligencia artificial en la gestión diaria: filtrar currículums, resumir llamadas, medir productividad, clasificar el correo que entra. La segunda trabaja por cuenta ajena y ha visto aparecer herramientas nuevas en su ordenador sin que nadie explique qué miden. Las dos se hacen la misma pregunta desde lados opuestos de la mesa, y se topan con las mismas dos respuestas de barra de bar: «tu jefe puede leerlo todo» o «tienes derecho absoluto a la intimidad».

Ninguna es verdad. La ley española es más concreta de lo que parece, y lo interesante es que casi todo lo que decide si una medida de control vale o no tiene menos que ver con la tecnología que con el papeleo que la rodea. Un aviso antes de seguir: no soy abogado y esto no es asesoramiento jurídico. Leo lo que dicen las normas —el Estatuto de los Trabajadores y la Ley Orgánica 3/2018, tal como están en el BOE— y lo explico. Para tu caso concreto necesitas un abogado laboralista o un gestor. Lo digo en serio, no como fórmula.

El punto de partida: sí, el empresario puede vigilar

Mucha gente se sorprende de lo explícito que es el texto. El artículo 20.3 del Estatuto de los Trabajadores dice, literalmente:

Ahí está el tema. La facultad de vigilancia es amplia: «las medidas que estime más oportunas». Pero tiene una finalidad tasada —verificar el cumplimiento de las obligaciones y deberes laborales, no cualquier curiosidad— y un límite expreso: «la consideración debida a su dignidad». Ese límite no es decorativo. Es la puerta por la que entran todas las demás reglas.

El mismo Estatuto incorporó en 2018 el artículo 20 bis, que reconoce el derecho de los trabajadores «a la intimidad en el uso de los dispositivos digitales puestos a su disposición por el empleador, a la desconexión digital y a la intimidad frente al uso de dispositivos de videovigilancia y geolocalización», y remite para ello a la legislación de protección de datos. O sea: el Estatuto reconoce el derecho y manda a otra ley para saber cómo se ejerce. Esa ley es la Ley Orgánica 3/2018.

El artículo 87 es la bisagra: una obligación de proceso

Si solo te quedas con un artículo de todo esto, que sea este. El 87 de la Ley Orgánica 3/2018 permite el acceso del empleador a los dispositivos, con una finalidad muy estrecha:

«A los solos efectos de.» No para ver de qué se queja la gente, ni para detectar quién busca otro trabajo, ni para hacerse una idea del ánimo de la plantilla. Pero lo operativo está en el apartado 3, que convierte ese permiso en un procedimiento. Primero: «Los empleadores deberán establecer criterios de utilización de los dispositivos digitales respetando en todo caso los estándares mínimos de protección de su intimidad de acuerdo con los usos sociales y los derechos reconocidos constitucional y legalmente». Segundo, en la frase siguiente y con nueve palabras: «En su elaboración deberán participar los representantes de los trabajadores». Y tercero, al cerrar el apartado: «Los trabajadores deberán ser informados de los criterios de utilización a los que se refiere este apartado».

Entiende bien lo que es esto, porque es la idea central del artículo: es una obligación de proceso, no de intención. No basta con tener buen criterio ni con que la medida sea razonable. La norma te pide documentos y pasos previos, y si no los has dado el acceso queda cojo por impecable que fuera tu motivo. Eso es justo lo que se discute cuando un despido basado en lo que se encontró en un ordenador acaba delante de un juez. Al revés también funciona: si eres trabajador, la primera pregunta no es «¿qué software tienen?», es «¿hay criterios escritos, se informó de ellos y participaron los representantes en hacerlos?».

El artículo que casi nadie cita y que va a usarse mucho

Aquí llega la parte que rara vez aparece en los artículos sobre IA y trabajo. El Estatuto, en su artículo 64, enumera los derechos de información del comité de empresa. Y en el apartado 4, letra d), incluye este:

Léelo con la lista de casos de uso en la cabeza. El acceso al empleo es la criba de currículums. Las condiciones de trabajo son los turnos, las asignaciones, las métricas. El mantenimiento del empleo es a quién se renueva. Y «la elaboración de perfiles» cierra el círculo: es difícil imaginar un uso de IA en recursos humanos que quede fuera. Lo que hay que informar, además, no es un titular: son «los parámetros, reglas e instrucciones» del sistema.

Ahora el matiz que se salta todo el mundo y que más cambia la foto real en España: es un derecho del comité de empresa, no de cada trabajador por separado. Está en una lista encabezada así: «El comité de empresa, con la periodicidad que proceda en cada caso, tendrá derecho a:». No es un derecho individual que puedas ejercer tú solo.

¿Y en una empresa sin comité, que son casi todas las pymes españolas? Este canal, en la práctica, no se activa. Hay dos consecuencias, una para cada lector. Si eres empresario de plantilla pequeña sin representación: esta obligación no te pide una reunión informativa mañana, pero no la confundas con vía libre, porque el artículo 87 te sigue obligando a tener criterios escritos e informados y la normativa de protección de datos se aplica entera, con comité o sin él. Si eres trabajador sin comité: tu palanca no es este artículo, sino la de protección de datos —información sobre el tratamiento, acceso a tus datos— y, en su caso, la reclamación ante la Agencia Española de Protección de Datos. Y si alguien pregunta para qué sirve un comité, esta letra d) es una respuesta concreta.

Cuatro casos concretos y qué resolver antes

Bajemos al suelo, que es donde está la duda. Los cuatro usos que más me preguntan, con lo que conviene tener cerrado antes de enchufar nada.

Hay un patrón en las cuatro filas, y es el consejo más útil que puedo darte: lo que te mete en problemas casi nunca es el modelo, sino la falta de papel previo y la finalidad que se ensancha sola. Una herramienta instalada «para medir tiempos de respuesta» que seis meses después sirve para comparar personas en una evaluación ya no hace aquello de lo que se informó.

Cámaras, micrófonos y geolocalización: los artículos 89 y 90

La videovigilancia tiene artículo propio y es el más claro de todos. El apartado 1 permite tratar las imágenes de cámaras para las funciones de control del artículo 20.3 del Estatuto, «siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo», y añade la condición de forma: los empleadores «habrán de informar con carácter previo, y de forma expresa, clara y concisa», a los trabajadores y, en su caso, a sus representantes. Un cartel de «zona videovigilada» medio tapado detrás de una estantería no es eso.

Y luego viene el apartado 2, que es tajante y por eso lo cito entero:

«En ningún caso.» No hay consentimiento que lo arregle, ni información previa que lo habilite, ni finalidad legítima que lo justifique. Vestuarios, aseos, comedores «y análogos»: esa última palabra incluye la sala de descanso, el office y el rincón del café. Si estás pensando en analítica de vídeo por IA —detección de presencia, conteo de personas, cualquier cosa con cámara—, esta es la línea que no se cruza, y el sonido está en el mismo «en ningún caso» que el vídeo.

El artículo siguiente, el 90, se ocupa de la geolocalización, y si vienes de leer el 89 esperando otro «en ningún caso», no lo vas a encontrar. El 90 no prohíbe nada por sí mismo: lo que hace es enchufar el tratamiento a otra norma. «Los empleadores podrán tratar los datos obtenidos a través de sistemas de geolocalización para el ejercicio de las funciones de control de los trabajadores o los empleados públicos previstas, respectivamente, en el artículo 20.3 del Estatuto de los Trabajadores y en la legislación de función pública, siempre que estas funciones se ejerzan dentro de su marco legal y con los límites inherentes al mismo». O sea que el límite de la geolocalización no está en el artículo 90: está en el 20.3 del Estatuto, el mismo con el que empieza todo esto. Si el seguimiento no encaja en esa fórmula del 20.3 —«verificar el cumplimiento por el trabajador de sus obligaciones y deberes laborales», con la dignidad como límite—, el artículo 90 no añade ninguna habilitación por su cuenta.

El apartado 2 tiene dos mitades, y empieza por cuándo: «Con carácter previo», o sea antes de instalar nada. La primera mitad es informar «de forma expresa, clara e inequívoca» a la plantilla y, si los hay, a los representantes, «acerca de la existencia y características de estos dispositivos». La segunda: «Igualmente deberán informarles acerca del posible ejercicio de los derechos de acceso, rectificación, limitación del tratamiento y supresión». Cuatro derechos con nombre, y el de limitación del tratamiento es el que menos veces he visto escrito en políticas que sí mencionan los otros tres. El artículo 90 tiene dos apartados y no tiene más: ni un «en ningún caso» ni una lista de sitios prohibidos. Toda su fuerza está en la remisión al 20.3.

Decisiones automatizadas: el artículo 22 del RGPD

Hasta aquí todo ha sido ley española. La pieza europea que más se cita en esta materia —y peor— es el artículo 22 del Reglamento General de Protección de Datos. El apartado 1 dice: «Todo interesado tendrá derecho a no ser objeto de una decisión basada únicamente en el tratamiento automatizado, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente de modo similar».

Dos expresiones hacen todo el trabajo. «Únicamente»: si en el proceso hay una persona que revisa de verdad y puede cambiar el resultado, la decisión no está basada únicamente en tratamiento automatizado y este artículo no se activa. Y «efectos jurídicos» o «le afecte significativamente de modo similar»: extinguir un contrato está claramente de un lado y ordenarle a alguien la bandeja de entrada está claramente del otro, pero casi todo lo interesante cae en medio y lo decide el caso concreto. El titular de barra de bar —«la IA no puede decidir sobre ti»— es falso en las dos direcciones.

El apartado 2 abre tres puertas: que la decisión sea necesaria para celebrar o ejecutar un contrato entre el interesado y un responsable del tratamiento, que esté autorizada por el Derecho de la Unión o de los Estados miembros con medidas adecuadas de salvaguarda, o que se base en el consentimiento explícito del interesado. Y el apartado 3 es el que conviene tener a mano, porque fija el mínimo cuando la decisión se ampara en el contrato o en el consentimiento: el responsable adoptará medidas adecuadas, «como mínimo el derecho a obtener intervención humana por parte del responsable, a expresar su punto de vista y a impugnar la decisión». Tres cosas concretas: alguien a quien reclamar, un sitio donde explicarse y una vía para discutir el resultado. Si montas un cribado automático, esas tres tienen que existir de verdad, no en un párrafo de la política de privacidad.

Y queda el apartado 4, el que menos se cita, y conviene leer a qué se refiere: no a cualquier tratamiento automatizado, sino a «las decisiones a que se refiere el apartado 2», es decir, las que se amparan en una de esas tres puertas. Esas decisiones no se basarán en las categorías especiales de datos del artículo 9.1 —salud, origen étnico, religión, afiliación sindical y las demás— salvo que se aplique el artículo 9.2, letra a) o g), y se hayan tomado medidas adecuadas de salvaguarda. La pregunta que deja para quien monta un cribado es si el sistema puede acabar apoyándose en alguna de esas categorías sin haberlo previsto.

Lo que este artículo no resuelve

Sería deshonesto cerrar como si con esos textos estuviera todo. Faltan al menos dos sitios donde mirar, y los nombro como eso, sin citarte texto que no he abierto yo.

• El reglamento europeo de inteligencia artificial clasifica los sistemas destinados al empleo y la gestión de trabajadores como de alto riesgo, la categoría más exigente. Lo que eso implique en obligaciones y fechas merece su propio artículo, con el texto delante.
• La Agencia Española de Protección de Datos publica guías sobre tratamientos en el ámbito laboral y sobre IA. No tienen rango de ley, pero son la interpretación del organismo que resolvería una reclamación contra ti.

Y queda un tercer sitio que en España se olvida: tu convenio colectivo. La misma ley lo prevé en su artículo 91: «Los convenios colectivos podrán establecer garantías adicionales de los derechos y libertades relacionados con el tratamiento de los datos personales de los trabajadores y la salvaguarda de derechos digitales en el ámbito laboral». Adicionales: solo hacia arriba. Un convenio puede apretar más que la ley, no aflojarla. Antes de mirar a Bruselas, mira tu sector.

Resumen para cada uno de los dos lectores

Si tienes empleados: puedes vigilar el cumplimiento laboral, y el Estatuto lo dice sin rodeos. Lo que no puedes es hacerlo sin preparar el terreno. Pon por escrito los criterios de uso, cuenta con los representantes para elaborarlos si los hay, informa a la plantilla, sé preciso con el uso privado si lo permites, y si tienes comité prepárate para explicar los parámetros y reglas de cualquier IA que toque condiciones de trabajo, acceso o mantenimiento del empleo. Antes de firmar la suscripción, no después del primer conflicto.

Si eres trabajador: no tienes un derecho absoluto a la intimidad en el equipo de la empresa, y conviene saberlo antes que después. Tienes un derecho a la intimidad reconocido en el Estatuto, un procedimiento que la empresa debe cumplir para acceder a los contenidos y una prohibición sin matices de cámaras y micrófonos en vestuarios, aseos y comedores. Pregunta por los criterios escritos; si no existen, esa ausencia es el dato relevante.

Y para los dos, lo mismo: esto describe lo que dicen las normas, leyendo el BOE, y no es un dictamen. En cuanto haya un despido, una sanción, una reclamación o una herramienta concreta sobre la mesa, toca abogado laboralista. Lo que espero es que llegues a esa conversación sabiendo qué preguntar.