Has encontrado una API de detección de IA que promete un 99 % de precisión. La integración parece sencilla. Pero antes de enviar el primer currículum a ese endpoint hay una pregunta que nadie en la página de presentación del proveedor se hace: ¿qué pasa con los datos del candidato después de enviarlos?
Si procesas currículums de candidatos a través de una API de detección de IA de terceros, estás creando una relación de tratamiento de datos sobre la que el RGPD y otras leyes de privacidad tienen criterios específicos.
Qué estás enviando realmente
Cuando tu ATS llama a una API de detección de IA, envía el texto del currículum de un candidato, o una parte importante de él, a un servidor de terceros. Ese texto contiene datos personales: nombres, datos de contacto, historial laboral, formación y, a veces, datos demográficos.
La mayoría de las API de detección de IA no están pensadas para datos de RR. HH. Se diseñaron originalmente para detectar plagio académico y para marketing de contenidos. Sus políticas de privacidad, sus prácticas de conservación de datos y sus estándares de seguridad se escribieron pensando en la revisión de redacciones, no en el cribado de candidatos.
Antes de integrarla, lee la política de privacidad del proveedor como lo haría un delegado de protección de datos. Porque será esa persona quien haga las preguntas si algo sale mal.
RGPD (GDPR): lo básico que no puedes saltarte
Si contratas en la UE, en el EEE o tratas datos de residentes de la UE, el RGPD se aplica a todos los sistemas que tocan datos de candidatos. Esto es lo que significa para una integración de detección de IA:
Base jurídica: Necesitas un motivo legal para tratar los datos del candidato a través del detector. Las dos opciones habituales son el interés legítimo (artículo 6, apartado 1, letra f, del RGPD) y el consentimiento explícito. El interés legítimo exige documentar por qué la detección es necesaria y proporcionada. El consentimiento exige que el candidato acepte antes de que se analice su currículum, y que ese consentimiento sea específico, informado y revocable (GDPR Advisor, 2026).
Transparencia: Hay que informar a los candidatos de que sus datos se enviarán a un servicio de detección de IA de terceros, qué datos se comparten, por qué y durante cuánto tiempo se conservan. Tu aviso de privacidad tiene que indicar la finalidad de forma explícita. «Podemos usar herramientas de terceros» no es lo bastante específico.
Acuerdo de tratamiento de datos: El artículo 28 del RGPD exige un acuerdo por escrito entre tú (el responsable del tratamiento) y el proveedor de la API (el encargado del tratamiento). Este acuerdo debe especificar qué datos se tratan, con qué finalidad, durante cuánto tiempo se almacenan y qué medidas de seguridad hay. Si el proveedor no ofrece un DPA, es una señal de alarma.
Leyes de privacidad de EE. UU.: no es solo un problema europeo
El RGPD copa los titulares, pero los requisitos de privacidad en EE. UU. se están ampliando. Varios estados han aprobado o propuesto leyes integrales de privacidad:
- California (CCPA/CPRA): exige informar sobre la comunicación de datos a terceros y otorga a los consumidores el derecho a oponerse a la venta o cesión de sus datos personales.
- Ley Local 144 de la ciudad de Nueva York: exige auditorías de sesgo para las herramientas automatizadas de decisión laboral. Si tu detector de IA contribuye a una decisión de contratación, podría estar sujeto a esta ley.
- Illinois AI Video Interview Act y BIPA: imponen requisitos específicos sobre los datos biométricos y las herramientas de IA utilizadas en la contratación.
El marco regulatorio avanza hacia más transparencia, más auditorías y más derechos para los candidatos. Añadir una API de terceros sin verificar a tu proceso aumenta la superficie de posibles problemas de cumplimiento.
Cinco preguntas para el proveedor de la API
Antes de firmar un contrato, pide por escrito las respuestas a estas preguntas:
- ¿Dónde están los servidores? Si la infraestructura del proveedor está fuera de tu jurisdicción, se aplican las normas de transferencias internacionales de datos. En el caso de datos de la UE enviados a servidores de EE. UU., necesitas cláusulas contractuales tipo o una decisión de adecuación.
- ¿Cuánto tiempo se conservan los datos del candidato? Algunas API guardan en caché el texto de entrada para mejorar el modelo. Si los currículums de tus candidatos se almacenan indefinidamente en los servidores del proveedor, eso choca con el principio de minimización de datos.
- ¿Se usan los datos del candidato para entrenar modelos? Muchas empresas de IA usan los datos de entrada para mejorar sus modelos. Si el texto del currículum se usa para entrenamiento, estás compartiendo datos de candidatos para una finalidad que no tiene nada que ver con la contratación, y casi con seguridad fuera del alcance de la base jurídica que has declarado.
- ¿Qué certificaciones de seguridad tiene el proveedor? SOC 2 Type II, ISO 27001 o equivalente. Si el proveedor no puede demostrar sus estándares de seguridad, estás enviando datos personales a un sistema que no puedes auditar.
- ¿Firmará el proveedor un DPA conforme al RGPD? Si la respuesta es no, o «normalmente no hacemos eso para este nivel de producto», descarta al proveedor.
La alternativa de minimización de datos
El principio de minimización de datos del RGPD establece que solo debes tratar los datos necesarios para una finalidad concreta. Un análisis de detección de IA trata todo el texto del currículum para responder a una sola pregunta: «¿Lo escribió una IA?». Es mucha información personal para una señal de poco valor.
Un enfoque basado en criterios trata menos datos para obtener un resultado más útil. CriteriaMatch evalúa cualificaciones concretas (certificaciones, derecho a trabajar, competencias lingüísticas, umbrales de experiencia) frente a requisitos definidos. El cribado está dirigido, el resultado es útil en la práctica y el tratamiento de datos es proporcionado a su finalidad.
No necesitas enviar currículums completos a un servidor de terceros para decidir si un candidato cumple tus requisitos.
Para saber más sobre cómo diseñar procesos de contratación que respeten tanto los derechos de los candidatos como la eficiencia del equipo, consulta nuestra guía sobre IA responsable en el reclutamiento.
Revisa el cumplimiento antes de firmar
El mercado de las API de detección de IA avanza deprisa. Los proveedores venden urgencia («los currículums de IA inundan tu proceso») sin abordar la infraestructura de privacidad necesaria para usar sus productos de forma responsable.
Antes de evaluar la precisión, evalúa el cumplimiento normativo. La integración técnica es la parte fácil. La gobernanza de datos es donde la mayoría de los equipos descubre que el coste no compensa la señal.