Decisión automatizada: ¿puede la IA decidir sola?

Un programa sabe clasificar candidaturas, puntuar un riesgo de crédito, ajustar un precio o señalar a un empleado como «de bajo rendimiento». La cuestión ya no es si es capaz de hacerlo, sino si una decisión automatizada de este tipo puede prescindir de una persona que la valide.

Los dos bandos enfrentados tienen cada uno un argumento sólido, y el derecho ya ha empezado a zanjar la cuestión, en Europa como en California. Para una pyme que automatiza sus recursos humanos o sus precios, lo que está en juego es muy concreto: saber qué decisiones dejar al programa y cuáles hacer validar por alguien.

En resumen

• Desde 2018, el RGPD da derecho a no ser objeto de una decisión basada únicamente en un tratamiento automatizado, salvo excepciones reguladas.
• Para la contratación, la gestión del personal y el crédito, las obligaciones propias de los sistemas de alto riesgo del Reglamento europeo de IA se aplicarán a partir del 2 de diciembre de 2027.
• En California, una ley firmada el 30 de septiembre de 2026 prohíbe sancionar o despedir basándose únicamente en un sistema automatizado, a partir del 1 de julio de 2027.
• Para una pyme, el enfoque empieza por el inventario de las decisiones automáticas y después por una validación trazada de las que afectan a una persona.

Posición 1: el algoritmo es más justo que un humano con prisas

Los defensores de la decisión automatizada tienen buenos argumentos. Un humano cansado o con prisas no juzga igual dos expedientes idénticos. Un sistema aplica los mismos criterios a todo el mundo, a cualquier hora, sin favoritismo ni simpatía. Puede tramitar miles de solicitudes de crédito en pocos segundos, cuando un equipo tardaría semanas, y deja constancia de cada criterio utilizado.

Añaden que los sesgos humanos rara vez están documentados, mientras que los de un algoritmo se miden: se puede probar un modelo con miles de casos ficticios y corregir lo que se desvía, algo que nunca se hace con un reclutador.

Posición 2: una decisión que afecta a una vida debe poder explicarse

Enfrente, el argumento cabe en una frase: un empleado despedido o un cliente al que se le niega un crédito debe poder entender por qué e impugnar la decisión ante alguien que pueda cambiarla. Un modelo de lenguaje no siempre sabe explicar qué le ha llevado a una respuesta, y un sistema entrenado con decisiones pasadas reproduce los sesgos de esas decisiones, con apariencia de neutralidad.

Este bando subraya también un riesgo de dilución: cuando «ha decidido el sistema», nadie se siente ya responsable. El directivo con prisas de la posición 1 tiene al menos un nombre.

Lo que ya dice el derecho

En Europa, desde 2018. El artículo 22 del Reglamento General de Protección de Datos dispone, aquí en su versión inglesa:

El texto prevé tres excepciones: la decisión es necesaria para la celebración o la ejecución de un contrato, está autorizada por el derecho de la Unión o de un Estado miembro, o se basa en el consentimiento explícito de la persona. Para el contrato y el consentimiento, la empresa debe garantizar como mínimo el derecho a obtener intervención humana, a expresar su punto de vista y a impugnar la decisión; cuando es la ley la que la autoriza, debe prever ella misma medidas adecuadas.

El Reglamento europeo de IA. El anexo III del Reglamento de IA clasifica entre los sistemas de alto riesgo los que sirven para la contratación y la selección de candidatos, los que toman decisiones sobre la promoción o el despido, los que supervisan y evalúan el rendimiento de los empleados, y los que evalúan la solvencia o establecen la calificación crediticia de las personas, salvo la detección del fraude financiero. Los requisitos y obligaciones propios de estos sistemas se aplicarán a partir del 2 de diciembre de 2027: el Reglamento (UE) 2026/1744 de 8 de julio de 2026 aplazó ese plazo, fijado inicialmente en el 2 de agosto de 2026. Un empleador que utilice uno de estos sistemas deberá entonces informar a los representantes de los trabajadores y a los empleados afectados antes de ponerlo en servicio (artículo 26). En su artículo 86, el texto prevé además el derecho de la persona afectada por una decisión a obtener explicaciones claras y significativas sobre el papel del sistema de IA en el procedimiento de toma de decisiones y sobre los principales elementos de la decisión adoptada.

En California, una ley de septiembre de 2026. El gobernador firmó el 30 de septiembre de 2026 la «No Robo Bosses Act», así bautizada por su autor, y el texto oficial de la ley SB 947 prevé que se aplique a partir del 1 de julio de 2027. Prohíbe a un empleador basarse únicamente en un sistema de decisión automatizado para sancionar o despedir a un empleado. Cuando el empleador se basa principalmente en un sistema así, una persona debe corroborar la decisión a partir de los datos utilizados o de otros elementos, como las evaluaciones o el expediente del empleado; si no lo consigue, el resultado del sistema no puede utilizarse. El empleado recibe además, en el momento en que se le comunica la decisión, una notificación escrita que precisa que el sistema la ha fundamentado principalmente y que una persona la ha verificado.

¿Y los precios? Un precio mostrado a todos no es, por regla general, una decisión individual en el sentido del RGPD. Un precio personalizado, calculado para una persona a partir de su perfil, se acerca más y depende también del derecho de consumo. Es la zona menos zanjada de las tres.

Lo que pensamos

Pensamos que las dos posiciones tienen razón en un punto cada una. El algoritmo es a menudo más coherente que un humano, y es un verdadero argumento para usarlo. Pero la coherencia no es justicia: un sistema puede ser perfectamente coherente en el error, en miles de expedientes a la vez. Y una decisión que no se puede ni explicar ni impugnar ante alguien no es aceptable cuando afecta a un empleo o a un crédito.

La regla que defendemos cabe en una línea: una persona valida todo lo que compromete a la empresa con alguien o que afecta al dinero. El sistema prepara, clasifica, señala, propone; una persona identificada decide y puede decir por qué. Nuestro propio agente de registro de gastos, en producción desde julio de 2026, sigue este esquema:

Las tareas internas sin consecuencias para una persona pueden, en cambio, pasar a automático, con una revisión por muestreo.

Lo que nos haría cambiar de opinión: sistemas capaces de explicar cada decisión de forma verificable, auditados por un tercero independiente, y una vía de recurso efectiva ante un humano. No estamos ahí con los modelos de lenguaje.

Lo que cambia en concreto para una empresa

El enfoque se resume en cinco pasos:

1. 01Inventariar las decisiones automatizadas.

   Enumere lo que sus herramientas ya deciden solas: recordatorios, bloqueos de cuenta, puntuación de clientes potenciales en el CRM, clasificación de candidaturas, descuentos concedidos. El ejercicio puede sacar a la luz decisiones automáticas que nadie había formalizado.

2. 02Clasificar por lo que está en juego.

   Una nota de prioridad sobre un cliente potencial no tiene el mismo peso que una denegación de crédito o una alerta de rendimiento sobre un empleado. Lo que afecta significativamente a una persona pasa por una validación humana.

3. 03Dejar constancia de la validación.

   Anote quién validó, sobre qué elementos y en qué fecha. En un CRM bien llevado, es un campo y un historial, no una obra. Para elegir la herramienta, nuestra guía para elegir entre Twenty, Dolibarr y Odoo compara las tres, y la sección CRM y datos de clientes trata también la migración de los datos existentes.

4. 04Prever la explicación y el recurso.

   Para cada decisión sensible, prepare la respuesta a la pregunta «¿por qué?» y una forma sencilla de impugnarla. Es lo que el RGPD ya exige, y lo que el Reglamento de IA prevé para los usos de alto riesgo. Nuestra guía AI Act y RGPD para una pyme detalla lo que estos usos imponen a la empresa que los despliega.

5. 05Informar antes de desplegar.

   Si una herramienta afecta a la gestión del personal, avise a los representantes y a los empleados afectados antes de su puesta en servicio, y forme a los responsables que la usan para detectar sus errores. Las automatizaciones que suprimen tareas plantean también la cuestión del aprendizaje de los júniores, que abordamos en nuestro análisis sobre la IA y el primer empleo de los jóvenes.

Por dónde empezar

El derecho no prohíbe automatizar: rechaza que una máquina decida sola lo que pesa sobre la vida de una persona. El primer paso es, por tanto, el inventario descrito más arriba, y después un campo de validación y un historial en la herramienta donde se toman esas decisiones, a menudo el CRM. Si el suyo no permite saber quién validó qué, nuestra implantación de un CRM configurado con su vocabulario cubre esa configuración y la migración de sus datos existentes. Para elegir qué automatizar primero, consulte la sección Automatización y bots.

Preguntas frecuentes

Fuentes

1. Reglamento General de Protección de Datos (nueva pestaña)eur-lex.europa.eu
2. Reglamento de IA (nueva pestaña)eur-lex.europa.eu
3. Reglamento (UE) 2026/1744 de 8 de julio de 2026 (nueva pestaña)eur-lex.europa.eu
4. Texto oficial de la ley SB 947 (nueva pestaña)leginfo.legislature.ca.gov