Compliance — Reglamento IA & RGPD
Ámbito de aplicación
Alcance: obligaciones del Desplegador (usted, como cliente), obligaciones del Proveedor (Omogen), y la implementación a nivel de producto del Reglamento de IA de la UE y del RGPD para el agente de voz de entrevistas de preselección con IA (Mio) y el escáner de CV con IA (CV Screener).
Público destinatario: responsables de cumplimiento y jurídico (Partes 1 y 2, documento completo), y reclutadores / usuarios finales (Parte 3, guía práctica).
Clasificación: uso interno y de cliente — confidencial.
| Versión del documento | 1.0 |
| Fecha | 2 de julio de 2026 |
| Preparado para | Omogen — Cumplimiento & Jurídico |
| Sistemas cubiertos | Mio (agente de voz de entrevistas de preselección con IA), Escáner de CV con IA |
| Clasificación (Reglamento IA de la UE) | Sistema de IA de alto riesgo — Anexo III, sección 4, letra a) (empleo/gestión de trabajadores) |
| Próxima revisión | 2 de julio de 2027 |
Cómo utilizar esta página
Esta página describe, en tres partes, las obligaciones de cumplimiento aplicables al despliegue de los sistemas de IA de Omogen (Mio y CV Screener) en el reclutamiento, así como la manera en que estas obligaciones se implementan en el producto.
- La Parte 1 se dirige principalmente a sus equipos de cumplimiento y jurídico, y describe las obligaciones que usted asume como Desplegador de un sistema de IA de alto riesgo en virtud del Reglamento de IA de la UE, así como las obligaciones conexas del RGPD como Responsable del tratamiento.
- La Parte 2 se dirige a la función de cumplimiento y jurídico interna de Omogen, y describe las obligaciones de Omogen como Proveedor de un sistema de IA de alto riesgo, así como las obligaciones conexas del RGPD como Encargado del tratamiento.
- La Parte 3 traduce las Partes 1 y 2 en funcionalidades de producto concretas y buenas prácticas cotidianas, dirigidas a los reclutadores y otros usuarios finales de la plataforma, así como a los responsables de cumplimiento que necesiten verificar que el comportamiento del producto se corresponde con las obligaciones legales.
A tener en cuenta
Esta página es un documento de referencia en materia de cumplimiento. No constituye asesoramiento jurídico. Debe consultar con un asesor jurídico independiente para confirmar cómo se aplican estas obligaciones a su organización y jurisdicción específicas.
Referencia rápida: quién es responsable de qué
| Ámbito | Cliente (Desplegador / Responsable del tratamiento) | Omogen (Proveedor / Encargado del tratamiento) |
|---|---|---|
| Rol legal, Reglamento IA | Desplegador de un sistema de IA de alto riesgo (art. 26-27) | Proveedor de un sistema de IA de alto riesgo (art. 8-21, 43, 47-49, 72-73) |
| Rol legal, RGPD | Responsable del tratamiento | Encargado del tratamiento (+ responsable del tratamiento independiente para su propia facturación/analítica) |
| Información a los candidatos | Informa a los candidatos del uso de la IA, y de que las entrevistas telefónicas vía Mio se graban | Proporciona el guion de consentimiento, los materiales de transparencia |
| Decisión final de contratación | Siempre el cliente, nunca Omogen | Proporciona únicamente una herramienta de apoyo a la decisión |
| Cumplimiento del sistema (marcado CE, gestión de riesgos, documentación técnica) | N/A | Responsabilidad total |
| Alojamiento y seguridad de los datos | N/A | Responsabilidad total |
| EIPD RGPD (art. 35) | Responsabilidad del Cliente — probablemente aplica a la mayoría de los despliegues | Proporciona la información a nivel de sistema para apoyar la EIPD del Cliente |
| EIDF (art. 27) — condicional, ver §1.2.7 | Responsabilidad del Cliente, solo si el Cliente es un organismo de derecho público / prestador de servicio público | Proporciona los datos fácticos a nivel de sistema previa solicitud; no completa la EIDF |
Parte 1 — Sus obligaciones como Desplegador del sistema de IA
Esta parte se dirige a sus responsables de cumplimiento y jurídico. Expone, artículo por artículo, lo que el Reglamento de IA de la UE y el RGPD exigen a una organización que despliega Mio o CV Screener de Omogen en su proceso de reclutamiento.
1.1 Calificación jurídica
En virtud del Reglamento (UE) 2024/1689 (el "Reglamento IA"), toda organización que utiliza Mio o CV Screener bajo su propia autoridad, en el marco de una actividad profesional, es un Desplegador en el sentido del artículo 3, punto 4).
Dado que Mio y CV Screener se utilizan para tomar o apoyar decisiones que tienen una incidencia importante en el resultado de un proceso de reclutamiento — incluyendo la preselección, el filtrado y la evaluación de candidatos — los sistemas quedan comprendidos en el Anexo III, sección 4, letra a) del Reglamento IA ("sistemas de IA destinados a ser utilizados para la contratación o selección de personas físicas, en particular para publicar anuncios de empleo específicos, analizar y filtrar solicitudes y evaluar candidatos"). Esto significa que el sistema de IA se clasifica como de alto riesgo, y que los Clientes que lo utilizan adquieren el conjunto completo de obligaciones del Desplegador establecidas en los artículos 26 y 27.
Base jurídica: Reglamento IA, artículos 3, punto 4), 6, apartado 2, y Anexo III, §4, letra a).
Al mismo tiempo, a efectos del RGPD, usted es el Responsable del tratamiento de la totalidad del tratamiento de datos personales de los candidatos realizado a través del Servicio, ya que usted determina las finalidades del tratamiento (a quién contratar) y los medios esenciales (a qué candidatos contactar, qué criterios aplicar). Omogen es el Encargado del tratamiento, actuando únicamente según sus instrucciones documentadas.
Base jurídica: RGPD, artículos 4, puntos 7) y 8), 24, 28.
1.2 Obligaciones fundamentales del Desplegador en virtud del Reglamento IA
El artículo 26 del Reglamento IA establece una lista cerrada de obligaciones para los desplegadores de sistemas de IA de alto riesgo. Cada una se trata a continuación con su traducción práctica para el reclutamiento.
1.2.1 Utilizar el sistema conforme a las instrucciones de uso
Exigencia: usted debe explotar Mio y CV Screener estrictamente conforme a las Instrucciones de Uso (IU) proporcionadas por Omogen, incluyendo la finalidad prevista, las condiciones de explotación y las indicaciones de configuración.
En la práctica: los criterios del puesto deben definirse de manera honesta y específica; el sistema no debe configurarse para formular preguntas prohibidas; el sistema no debe utilizarse para categorías de empleo o finalidades fuera de su uso previsto documentado.
Base jurídica: Reglamento IA, artículo 26, apartado 1.
1.2.2 Confiar la supervisión humana a personas físicas competentes, formadas y habilitadas
Obligación crítica
Usted debe designar a personas específicas que dispongan de la competencia, la formación y la autoridad necesarias para ejercer la supervisión humana, y velar por que la ejerzan en la práctica, y no solo sobre el papel.
Exigencia: la supervisión humana debe ser significativa. El revisor debe disponer de la autoridad para anular la recomendación de la IA y de la formación necesaria para hacerlo con conocimiento de causa.
En la práctica: usted debe completar el Paquete de Formación al Cliente / "Playbook" de Omogen antes de que cualquier usuario (por ejemplo, un reclutador) obtenga acceso a la revisión de los resultados de los candidatos. La identidad del revisor se registra para cada decisión (ver Parte 3.2).
Base jurídica: Reglamento IA, artículo 26, apartado 2, y artículo 14.
1.2.3 Velar por que los datos de entrada sean pertinentes y suficientemente representativos
Exigencia: cuando usted ejerce control sobre los datos de entrada (por ejemplo, al definir los criterios del puesto, cargar CVs, seleccionar grupos de candidatos), debe velar por que los datos sean pertinentes respecto a la finalidad prevista del sistema.
En la práctica: los criterios del puesto deben reflejar requisitos reales y relacionados con el empleo. Los criterios no deben definirse de manera que funcionen como un indicador indirecto (proxy) de una característica protegida (por ejemplo, "debe residir a menos de 2 km de la oficina" como medio indirecto de excluir a candidatos con discapacidad o de determinados orígenes).
Base jurídica: Reglamento IA, artículo 26, apartado 4.
1.2.4 Supervisar el funcionamiento del sistema e informar al proveedor de los riesgos
Exigencia: usted debe supervisar el funcionamiento del sistema sobre la base de las instrucciones de uso y, cuando tenga motivos para considerar que un uso conforme a las instrucciones puede llevar al sistema de IA a presentar un riesgo, informar sin demora a Omogen y al distribuidor correspondiente, y suspender el uso.
En la práctica: si un reclutador observa un patrón constante de mala transcripción para un grupo de acentos determinado, un comportamiento de puntuación inesperado, una fuga de datos confirmada, o cualquier resultado que parezca discriminatorio, esto debe reportarse a Omogen (support@omogen.ai o contactando a su CSM) y el uso de la funcionalidad afectada debe suspenderse en espera de una investigación.
Base jurídica: Reglamento IA, artículo 26, apartado 5.
1.2.5 Conservar los registros generados automáticamente
Exigencia: cuando los registros estén bajo su control, deben conservarse durante un período adecuado a la finalidad prevista del sistema, de al menos seis meses, salvo disposición contraria del derecho aplicable.
En la práctica: los registros de revisión humana (revisor, fecha, decisión, motivo) deben ser conservados por usted durante cinco (5) años. Dado que la herramienta de IA se utiliza para el reclutamiento, usted está expuesto a posibles reclamaciones por discriminación. En el derecho laboral francés, el plazo de prescripción en materia de discriminación es de cinco años y solo comienza a correr desde el descubrimiento de la discriminación, lo que implica que usted debe conservar estas pruebas para defender sus decisiones de contratación.
Base jurídica: Reglamento IA, artículo 26, apartado 6; Código de Trabajo francés, artículos L1471-1 y L1134-5.
1.2.6 Informar a los trabajadores y sus representantes
Exigencia: antes de poner en servicio un sistema de IA de alto riesgo en el lugar de trabajo, los desplegadores empleadores deben informar a los trabajadores/candidatos afectados y, en su caso, a los representantes del personal, de que estarán sujetos al uso del sistema de IA de alto riesgo.
En la práctica: los candidatos deben ser informados, antes o al inicio de la interacción, de que se utiliza un sistema de IA (Mio y/o CV Screener), y remitidos a su política de privacidad. Omogen proporciona por defecto una plantilla de aviso de transparencia.
Base jurídica: Reglamento IA, artículo 26, apartado 7.
1.2.7 Realizar una evaluación de impacto relativa a los derechos fundamentales (EIDF) — cuando proceda
Ámbito de aplicación — leer antes de actuar
A diferencia de las demás obligaciones de esta parte, la EIDF del artículo 27 no se aplica a todos los clientes. Conviene verificar cuidadosamente si se aplica a su organización antes de presumirlo — la mayoría de los empleadores del sector privado que utilizan Mio o CV Screener para contratar a su propio personal no estarán sujetos a ella, aunque la EIPD del RGPD que se indica a continuación sí se aplicará.
Quién está afectado: en virtud del artículo 27, apartado 1, una EIDF solo es estrictamente obligatoria para:
- los organismos de derecho público o las entidades privadas que prestan servicios públicos (por ejemplo, administraciones públicas, hospitales públicos, servicios de utilidad pública);
- los desplegadores de determinados sistemas de alto riesgo específicos en los sectores bancario/asegurador (calificación crediticia y fijación de precios de riesgo).
Nota: las herramientas de reclutamiento quedan comprendidas en el Anexo III, §4, letra a), lo que significa que una empresa de reclutamiento privada está exenta, salvo que actúe en virtud del derecho público o preste explícitamente un servicio público delegado.
La exigencia: cuando usted determine que está afectado, debe realizar una EIDF que evalúe sus procesos específicos, las categorías de candidatos afectados, los riesgos de perjuicio, las medidas de supervisión humana y las medidas de mitigación posteriores a la comercialización. La evaluación, así como la decisión sobre si el artículo 27 se aplica a su organización, corresponde a su propia apreciación jurídica, idealmente con su propio asesor.
Papel de Omogen: de conformidad con el artículo 27, apartado 5, la Oficina de IA de la UE proporciona la plantilla oficial y estandarizada de EIDF; Omogen no proporciona una plantilla propia. Previa solicitud, Omogen le proporcionará los indicadores técnicos a nivel de sistema (tasas de precisión, límites conocidos, puntos de anclaje de la supervisión) necesarios para completar el cuestionario oficial de la UE. Omogen no completa la EIDF en su nombre.
Base jurídica: Reglamento IA, artículo 27, apartados 1 y 5.
1.2.8 Cooperar con las autoridades competentes
Exigencia: usted debe cooperar plenamente con las autoridades de supervisión nacionales respecto a cualquier acción reglamentaria adoptada en relación con el sistema de IA de alto riesgo. Esto incluye proporcionar la información y documentación operativas solicitadas, en el idioma razonablemente solicitado.
Base jurídica: Reglamento IA, artículo 26, apartado 9.
1.2.9 Registrarse en la base de datos de la UE (organismos públicos únicamente)
Exigencia: cuando usted sea una autoridad pública, un organismo público, o una entidad privada que actúe en su nombre, debe registrar su despliegue específico del sistema de alto riesgo en la base de datos oficial de la UE mencionada en el artículo 71, antes de su puesta en servicio.
Nota: esto es distinto de la obligación propia de Omogen de registrar el software subyacente. Las agencias de reclutamiento clásicas del sector privado están exentas de esta exigencia.
Base jurídica: Reglamento IA, artículo 26, apartado 8, y artículo 49.
1.3 Obligaciones conexas del RGPD como Responsable del tratamiento
Independientemente del Reglamento IA, usted asume la plena responsabilidad de Responsable del tratamiento en virtud del RGPD por el tratamiento de los datos personales de los candidatos realizado a través del Servicio.
| Obligación | Exigencia | Artículo RGPD |
|---|---|---|
| Base legal | Identificar y documentar una base legal del tratamiento (generalmente el interés legítimo para la preselección, o el consentimiento para la grabación de voz y las etapas opcionales) | Art. 6 |
| Categorías especiales de datos | No debe intentar tratar datos sensibles (salud, religión, origen étnico, etc.); debe cooperar con el protocolo de detección/supresión de Omogen en caso de captación involuntaria | Art. 9 |
| Transparencia | Proporcionar a los candidatos un aviso de privacidad que cubra el uso de la IA, las finalidades, la conservación y los derechos | Art. 13 |
| Decisión automatizada | Velar por que ninguna decisión que produzca efectos jurídicos o que afecte significativamente a una persona se base exclusivamente en un tratamiento automatizado, sin intervención humana significativa | Art. 22 |
| Derechos de los interesados | Responder a las solicitudes de acceso, rectificación, supresión, oposición y explicación de los candidatos dentro de los plazos legales | Art. 15–22 |
| EIPD | Realizar o contribuir a una evaluación de impacto relativa a la protección de datos antes del despliegue (el filtrado automatizado + la preselección a gran escala crea una fuerte presunción legal de esta exigencia) | Art. 35 |
| Registro de actividades de tratamiento | Mantener, o contribuir con información sobre los flujos de datos a, un registro de las actividades de tratamiento | Art. 30 |
| Notificación de violación | Notificar a la autoridad de control las violaciones que lo requieran dentro de las 72 horas siguientes a su descubrimiento (Omogen le informará sin demora para permitirlo) | Art. 33 |
1.4 Consecuencias del incumplimiento
WARNING
Las sanciones del Reglamento IA y del RGPD se aplican de forma acumulativa e independiente. Un solo incidente (por ejemplo, un rechazo discriminatorio no revisado) puede generar exposición en virtud de ambos marcos, así como del derecho laboral francés.
| Infracción | Multa reglamentaria | Otras exposiciones |
|---|---|---|
| Incumplimiento de las obligaciones del Desplegador (por ejemplo, ausencia total de supervisión humana) — Reglamento IA | Hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial, si esta cifra es más elevada | Responsabilidad civil, resolución definitiva del contrato, y grave perjuicio a la reputación |
| Incumplimiento del RGPD (por ejemplo, tratamiento ilícito de datos de voz biométricos, ausencia de EIPD) | Hasta 20 millones de euros o el 4 % del volumen de negocios anual mundial, si esta cifra es más elevada | Requerimiento formal de la CNIL, auditorías públicas obligatorias, o prohibición inmediata del tratamiento |
| Discriminación en la contratación (Código de Trabajo francés) | Hasta 45.000 € de multa para las personas físicas, más una posible pena de prisión | Daños y perjuicios civiles, órdenes de reincorporación obligatoria del candidato, y inclusión en lista negra de la empresa |
| Grabación de voz ilícita (Código Penal francés, art. 226-1) | Hasta 45.000 € de multa y hasta 1 año de prisión | Procesamiento penal directo de las personas o directivos internos responsables |
Parte 2 — Las obligaciones de Omogen como Proveedor
Esta parte se dirige a la función de cumplimiento y jurídico interna de Omogen. Expone las propias obligaciones de Omogen como Proveedor de un sistema de IA de alto riesgo, y como Encargado del tratamiento de los datos personales de los candidatos.
2.1 Calificación jurídica
Omogen SAS es el Proveedor, en el sentido del artículo 3, punto 3), del Reglamento IA, de Mio y CV Screener: desarrolla estos sistemas de IA de alto riesgo y los introduce en el mercado bajo su propio nombre. Como Proveedor, Omogen asume el conjunto más amplio de obligaciones en virtud del Reglamento, establecido en los artículos 8 a 21 (requisitos sustantivos y obligaciones generales del proveedor), el artículo 43 (evaluación de la conformidad), los artículos 47 a 49 (declaración UE de conformidad, marcado CE y registro en la base de datos de la UE), y los artículos 72 a 73 (supervisión poscomercialización y notificación de incidentes graves).
A efectos del RGPD, Omogen actúa como Encargado del tratamiento de los datos personales tratados por cuenta de los Clientes en el marco de la prestación del Servicio, y como Responsable del tratamiento independiente para su propia gestión de cuentas, facturación y analítica de mejora del producto.
2.2 Obligaciones fundamentales del Proveedor en virtud del Reglamento IA
2.2.1 Sistema de gestión de riesgos
Exigencia: establecer, implementar, documentar y mantener un sistema de gestión de riesgos como proceso continuo e iterativo a lo largo de todo el ciclo de vida del sistema de IA, identificando los riesgos conocidos y previsibles para la salud, la seguridad y los derechos fundamentales.
Implementación en Omogen: riesgos identificados, evaluados según una matriz de probabilidad/impacto, planes de mitigación documentados, responsable y calendario. Registro de riesgos supervisado de forma continua — y revisado trimestralmente.
Base jurídica: Reglamento IA, artículo 9.
2.2.2 Datos y gobernanza de datos
Exigencia: los conjuntos de datos de entrenamiento, validación y prueba deben estar sujetos a una gobernanza de datos adecuada, ser pertinentes, suficientemente representativos y, en la medida de lo posible, estar libres de errores; examinar los sesgos que puedan afectar a la salud, la seguridad o los derechos fundamentales.
Implementación en Omogen: política de gobernanza de datos que cubre los controles de calidad de datos, pruebas de sesgo mensuales según las dimensiones acento/nombre/formato, la prohibición de categorías especiales de datos con detección automática y protocolo de supresión en 48 horas, y una trazabilidad documentada de los datos para los conjuntos de entrenamiento.
Base jurídica: Reglamento IA, artículo 10.
2.2.3 Documentación técnica
Exigencia: elaborar la documentación técnica antes de la introducción en el mercado del sistema y en caso de modificaciones internas/del sistema significativas, demostrando la conformidad y proporcionando a las autoridades la información necesaria para evaluarla.
Implementación en Omogen: expediente de documentación técnica mantenido conforme al Anexo IV, que cubre la descripción del sistema, el proceso de desarrollo, los resultados de la gestión de riesgos, los indicadores de rendimiento, y el diseño de la supervisión humana.
Base jurídica: Reglamento IA, artículo 11 y Anexo IV.
2.2.4 Conservación de la documentación
Exigencia: conservar la documentación técnica mencionada en el artículo 11, la documentación relativa al sistema de gestión de calidad mencionada en el artículo 17, y cualquier decisión tomada por los organismos notificados (en su caso), a disposición de las autoridades nacionales competentes durante un período de 10 años tras la introducción en el mercado o la puesta en servicio del sistema de IA.
Implementación en Omogen: documentación técnica, expedientes del SGC y documentos de evaluación de la conformidad conservados durante 10 años desde la introducción en el mercado, en un repositorio controlado y con trazabilidad de versiones, accesible previa solicitud escrita de una autoridad competente.
Base jurídica: Reglamento IA, artículo 18.
2.2.5 Registro de los logs generados automáticamente
Exigencia: diseñar el sistema de manera que permita el registro automático de eventos ("logs") a lo largo de todo su ciclo de vida, de forma adecuada a su finalidad prevista (art. 12). Los proveedores deben además conservar los logs generados automáticamente por su propio sistema de IA de alto riesgo, en la medida en que estos logs estén bajo su control, durante un período adecuado a la finalidad prevista, de al menos 6 meses, salvo disposición contraria del derecho de la Unión o nacional aplicable, en particular el derecho de la Unión en materia de protección de datos (art. 19).
Implementación en Omogen: logs del sistema conservados durante un mínimo de 6 meses (logs técnicos/operativos) y hasta 10 años (pruebas de sesgo y expedientes de cumplimiento). Los registros de anulación humana son conservados 3 años por el Cliente (ver Parte 1.2.5).
Base jurídica: Reglamento IA, artículos 12 y 19.
2.2.6 Transparencia y provisión de información a los desplegadores
Exigencia: diseñar el sistema de manera que garantice un funcionamiento suficientemente transparente, y acompañarlo de instrucciones de uso que contengan información concisa, completa, correcta y clara.
Implementación en Omogen: Instrucciones de Uso (IU) / "Playbook" entregadas a los usuarios y que cubren la identificación, la finalidad prevista, las especificaciones técnicas, el despliegue, las condiciones de explotación, los requisitos de supervisión humana, los límites conocidos, el uso indebido razonablemente previsible y la notificación de incidentes.
Base jurídica: Reglamento IA, artículo 13.
2.2.7 Supervisión humana desde el diseño
Exigencia: diseñar el sistema, incluso mediante herramientas de interfaz persona-máquina adecuadas, de modo que pueda ser efectivamente supervisado por personas físicas durante su período de uso, con vistas a prevenir o minimizar los riesgos.
Implementación en Omogen: bloqueo del flujo de trabajo que impide la notificación de rechazo mientras no se registre la revisión humana; mecanismo de anulación con introducción obligatoria del motivo; pista de auditoría "Revisado por [Nombre]"; supervisión de la tasa de anulación para detectar el incumplimiento por parte del desplegador.
Base jurídica: Reglamento IA, artículo 14.
2.2.8 Precisión, robustez y ciberseguridad
Exigencia: alcanzar un nivel adecuado de precisión, robustez y ciberseguridad, y presentar un rendimiento constante en estos aspectos a lo largo de todo el ciclo de vida.
Implementación en Omogen: referencias de rendimiento documentadas, pruebas de intrusión periódicas; cifrado AES-256 en reposo, TLS 1.3 en tránsito; conmutación multiproveedor de LLM para la resiliencia.
Base jurídica: Reglamento IA, artículo 15.
2.2.9 Sistema de gestión de calidad
Exigencia: implementar un sistema de gestión de calidad proporcional al tamaño de la organización, que garantice el cumplimiento, cubriendo la estrategia, el control del diseño, los procedimientos de examen y ensayo, y la supervisión poscomercialización.
Implementación en Omogen: SGC que documenta la estructura organizativa, el control de documentos, la gestión del cambio, los procedimientos de auditoría interna, la revisión por la dirección, y la mejora continua.
Base jurídica: Reglamento IA, artículo 17.
2.2.10 Evaluación de la conformidad, marcado CE, registro en la base de datos de la UE
Exigencia: llevar a cabo el procedimiento de evaluación de la conformidad aplicable (control interno, conforme al Anexo VI, para esta categoría), colocar el marcado CE, y registrar el sistema en la base de datos de la UE antes de su introducción en el mercado.
Base jurídica: Reglamento IA, artículo 16, letras e) a h), artículo 43, apartado 1, letra a)/Anexo VI, artículos 48 y 49.
2.2.11 Supervisión poscomercialización y notificación de incidentes graves
Exigencia: implementar un sistema de supervisión poscomercialización proporcional al sistema de IA, y notificar los incidentes graves a la autoridad de supervisión del mercado — en un plazo de 15 días con carácter general, o de 2 días en caso de infracción generalizada o de incidente grave según lo definido en el artículo 3, punto 49), letra b).
Implementación en Omogen: pruebas de sesgo mensuales, validación trimestral de la precisión, supervisión continua de la disponibilidad/errores, y un procedimiento documentado de clasificación y notificación de incidentes con plazos definidos.
Base jurídica: Reglamento IA, artículos 72 y 73.
2.2.12 Medidas correctivas y obligación de información
Exigencia: cuando Omogen tenga motivos para considerar que el sistema ya no es conforme, debe adoptar inmediatamente medidas correctivas para ponerlo en conformidad, retirarlo o recuperarlo según proceda, e informar a los Clientes y a las autoridades nacionales competentes.
Base jurídica: Reglamento IA, artículo 20.
2.2.13 Cooperación con las autoridades competentes
Exigencia: previa solicitud motivada de una autoridad competente, proporcionarle toda la información y documentación necesarias para demostrar la conformidad, en un idioma fácilmente comprensible, y, previa solicitud, dar acceso a los registros generados automáticamente, en la medida en que estén bajo el control de Omogen.
Implementación en Omogen: punto de contacto único (DPO/Cumplimiento — gillian@omogen.ai) designado para las solicitudes de los reguladores; procedimiento interno documentado para reunir y proporcionar los documentos solicitados dentro del plazo requerido.
Base jurídica: Reglamento IA, artículo 21.
2.3 Obligaciones conexas del RGPD de Omogen como Encargado del tratamiento
| Obligación | Exigencia | Artículo RGPD |
|---|---|---|
| Tratamiento únicamente según instrucciones | Tratar los datos personales de los candidatos únicamente según las instrucciones documentadas del Cliente, incluso en lo relativo a las transferencias de datos fuera del EEE | Art. 28, § 3, a) |
| Confidencialidad | Velar por que todo el personal de Omogen autorizado a acceder a los datos de los candidatos o a tratarlos esté sujeto a obligaciones de confidencialidad contractuales o legales estrictas | Art. 28, § 3, b) |
| Medidas de seguridad | Implementar medidas técnicas y organizativas robustas para proteger los datos de los candidatos, incluyendo el cifrado AES-256 en reposo, TLS 1.3 en tránsito, y un control de acceso estricto basado en roles | Art. 32 |
| Subcontratación ulterior | Obtener la autorización escrita previa (general o específica) del Cliente antes de recurrir a subencargados ulteriores, y trasladar contractualmente obligaciones de protección de datos equivalentes | Art. 28, § 2 y § 4 |
| Asistencia para los derechos de los interesados | Proporcionar los puntos de anclaje técnicos y operativos necesarios para ayudar al Cliente a responder a las solicitudes de acceso, supresión, rectificación y explicación de los candidatos | Art. 28, § 3, e) |
| Notificación de violación | Notificar al Cliente sin demora indebida (objetivo contractual: dentro de las 24 horas) tras tener conocimiento de cualquier violación de datos personales relativa a los candidatos | Art. 33, § 2 |
| Asistencia para la EIPD y la consulta | Proporcionar la arquitectura del sistema, la información sobre los flujos de datos, y la documentación de seguridad necesarias para que el Cliente pueda realizar su EIPD obligatoria del RGPD | Art. 28, § 3, f) |
| Transferencias internacionales | Garantizar mecanismos de transferencia adecuados (como las cláusulas contractuales tipo) y realizar evaluaciones de impacto relativas a las transferencias (EIT) para cualquier subencargado fuera del EEE | Art. 44–49 |
| Destino de los datos al final del contrato | A elección del Cliente, devolver o suprimir de forma segura todos los datos personales de los candidatos al final de la prestación del servicio, certificando la supresión conforme a la norma NIST SP 800-88 | Art. 28, § 3, g) |
| Facilitación de la transparencia sobre la IA | Proporcionar elementos de interfaz de usuario (por ejemplo, notificaciones o avisos integrados) que garanticen que los candidatos sean claramente informados de que interactúan con un sistema de IA, satisfaciendo las necesidades conjuntas de cumplimiento | RGPD art. 13 & Reglamento IA art. 50, § 1 |
2.4 El mecanismo de supervisión de la tasa de revisión
INFO
Se trata de un control propio del modelo de cumplimiento de Omogen, que va más allá del texto literal del Reglamento IA, diseñado para dar a Omogen visibilidad sobre si los Clientes ejercen realmente la supervisión humana exigida por el artículo 26, apartado 2.
Dado que el artículo 26 impone la obligación de ejercer la supervisión humana al Desplegador, Omogen — como Proveedor — no tiene ningún control directo sobre si los revisores de un Cliente participan realmente en el flujo de revisión, o simplemente hacen clic en "aceptar" para cada recomendación de la IA ("sellado automático"). Para gestionar este riesgo residual, Omogen supervisa, por Cliente, el porcentaje de informes de entrevistas revisados por un revisor humano y las recomendaciones de la IA que son anuladas (la "tasa de anulación").
| Tasa de anulación | Interpretación | Acción de Omogen |
|---|---|---|
| 5 % – 30 % | Rango saludable — indica una revisión humana real y sustancial | Supervisión rutinaria |
| Inferior al 5 %, de manera sostenida durante 2 meses | Riesgo posible de sellado automático / decisión automatizada | Alerta automatizada al Cliente; seguimiento documentado |
| Superior al 30 %, de manera sostenida durante 2 meses | Posible descalibración del sistema para el uso de ese Cliente | Alerta automatizada; investigación de la causa raíz con el Cliente |
| Ninguna mejora tras la alerta + período de subsanación | Riesgo continuo de incumplimiento del art. 26, § 2 para ambas partes | Ejercicio de los derechos de suspensión conforme al art. 4.6 del DPA (plazo de subsanación de 14 días) |
Parte 3 — En la práctica: funcionalidades del producto & buenas prácticas
Esta parte traduce las obligaciones legales establecidas en las Partes 1 y 2 en funcionalidades concretas integradas en Mio y CV Screener, así como en prácticas cotidianas esperadas de los reclutadores que utilizan la plataforma. Está redactada para ser directamente utilizable por los reclutadores, a la vez que ofrece a los responsables de cumplimiento un medio para verificar que el comportamiento del producto se corresponde con las obligaciones legales.
3.1 Correspondencia obligaciones → funcionalidades
La siguiente tabla presenta, para cada obligación legal importante, la funcionalidad de producto específica que la implementa. Es la referencia principal para los responsables de cumplimiento que auditan la plataforma respecto a las Partes 1 y 2.
| Obligación legal | Fuente | Funcionalidad de producto |
|---|---|---|
| Práctica prohibida: sin inferencia de emociones/comportamiento | Reglamento IA, art. 5, § 1, f) — práctica prohibida, no solo de alto riesgo | Mio solo evalúa el contenido factual de las respuestas; ningún análisis del tono, la emoción, las microexpresiones o las señales de comportamiento. Divulgado en el informe: "Sin reconocimiento emocional" |
| Supervisión humana (revisión del 100 % de los rechazos) | Reglamento IA, art. 14, 26, § 2 | Bloqueo del flujo de trabajo: los resultados "No recomendado" quedan bloqueados hasta su revisión; no pueden enviarse al candidato sin revisión. El informe de entrevista se marca como "por revisar" en Omogen y no hay desplazamiento automático en el ATS a una etapa de rechazo de la candidatura |
| Supervisión humana (muestreo de los resultados aceptados) | Buena práctica interna / art. 26, § 2 | Cola de muestreo aleatorio del 10 % generada automáticamente cada mes |
| Pista de auditoría de las decisiones humanas | Reglamento IA, art. 12, 26, § 6 | Indicador "Revisado por [Nombre]" + registro de decisión con marca de tiempo (pestaña de cumplimiento: revisor, fecha/hora de consulta), conservado 3 años |
| Supervisión de la tasa de anulación | Art. 26, § 2 (control de Omogen — ver §2.4) | Panel de la tasa de anulación; alertas automatizadas por debajo del 5 % / por encima del 30 % |
| Consentimiento para la grabación de voz | Código Penal, art. 226-1, RGPD art. 7 | Guion de consentimiento de voz obligatorio al inicio de cada llamada Mio; conservado 10 años; estado mostrado en la pestaña de cumplimiento ("Consentimiento obtenido") |
| Transparencia hacia los candidatos (uso de la IA divulgado) | Reglamento IA, art. 26, § 7, RGPD art. 13 | Divulgación durante la llamada + aviso por correo electrónico/portal antes de la entrevista; el banner del informe confirma que no se tomó ninguna decisión automatizada |
| Ningún criterio de evaluación oculto o no divulgado | Reglamento IA, art. 26, § 4, art. 13 | La pestaña de cumplimiento divulga el número exacto de criterios y confirma que todos fueron configurados y validados por el reclutador ("Ningún criterio oculto o implícito") |
| Protección de las categorías especiales de datos | RGPD art. 9 | Detección automática por PLN → alerta al DPO (24h) → supresión (48h) → registro de auditoría |
| Minimización de datos y seudonimización | RGPD art. 5, § 1, c), art. 32 | Los identificadores de los candidatos se reemplazan por seudónimos antes de cualquier llamada a la API del LLM |
| Limitación de la conservación | RGPD art. 5, § 1, e) | Supresión automatizada: 30 días (voz), 6 meses (transcripciones/datos), 3 años (registros de revisión); base de conservación mostrada en la pestaña de cumplimiento |
| Derecho del candidato a una revisión exclusivamente humana | RGPD art. 22 | Sistema de voz de marcado de exclusión disponible para los candidatos durante la entrevista, que desencadena automáticamente un correo electrónico al reclutador solicitando una revisión humana |
| Derecho del candidato a una explicación | RGPD art. 22, Reglamento IA art. 86 | Explicabilidad "Puntuaciones y Verbatims" por criterio: fragmento exacto de la transcripción que justifica cada puntuación, con reproducción "Escuchar en la transcripción"; flujo de solicitud de explicación que genera un resumen legible por humanos en un plazo de 10 días |
| Señalización de la baja confianza de transcripción | Reglamento IA, art. 14 (supervisión efectiva) | Los informes por debajo del 80 % de confianza STT se señalan automáticamente para una revisión humana prioritaria |
| Supervisión del rendimiento técnico (precisión y robustez) | Reglamento IA, art. 15 | Ficha técnica por llamada (calidad de audio — agente/candidato, latencia media) que alimenta la señal de confianza y la validación mensual de la precisión a nivel de sistema |
| Transparencia sobre los subencargados ulteriores | RGPD art. 28, § 2 | Lista en directo de los subencargados ulteriores en el Trust Center; notificación de cambio en un plazo de 30 días |
3.2 Buenas prácticas para los reclutadores
Consejo para el reclutador
Esta sección está redactada para usted como reclutador. Explica, en términos sencillos, lo que está obligado a hacer al utilizar Mio y CV Screener, y por qué esto importa tanto para los candidatos como para proteger jurídicamente a Omogen y a su organización.
3.2.1 Antes de lanzar una campaña
- Defina los criterios del puesto de manera clara y específica. Los criterios vagos ("buen comunicador") producen evaluaciones de IA vagas y menos fiables. Los criterios específicos ("mínimo 3 años de experiencia en ventas B2B") producen mejores resultados y son más fáciles de justificar en caso de impugnación.
- Nunca defina un criterio susceptible de funcionar como un indicador indirecto (proxy) de una característica protegida — por ejemplo, restricciones geográficas estrictas (en particular respecto al derecho francés del reclutamiento, salvo excepciones legales), umbrales de año de graduación utilizados como proxy de la edad, o filtrado basado en el nombre.
- Asegúrese de que los candidatos sean informados, antes de la llamada Mio o del envío del CV, de que se utilizará IA como parte del proceso.
- Revise el guion de entrevista generado por la IA y ajústelo si es necesario. Nunca lance una campaña sobre candidatos reales antes de haber probado usted mismo una llamada.
3.2.2 Revisión de los resultados "No recomendado" — obligatorio, siempre
Etapa obligatoria
Debe revisar el 100 % de los candidatos marcados como "No recomendado" antes de cualquier comunicación de rechazo. Esto no es opcional y está aplicado por la plataforma — la acción de rechazo está bloqueada mientras su revisión no esté registrada.
- Abra el informe completo del candidato: lea la transcripción íntegra, no solo la puntuación resumen.
- Verifique la señal de baja confianza. Si la confianza de transcripción era inferior al 80 %, trate la recomendación de la IA con mayor prudencia; una mala calidad de audio o el acento del candidato pueden haber causado errores de transcripción, y no una inadecuación real con el puesto.
- Pregúntese: ¿este candidato realmente no cumple los criterios, en función de lo que dijo, y no de cómo lo dijo?
- Tome su decisión: acepte la recomendación de la IA, o anúlela. En caso de anulación, seleccione un motivo y añada una breve nota.
3.2.3 Muestreo mensual de los resultados "Recomendado"
Qué hacer: cada mes, revise la muestra aleatoria del 10 % de los candidatos "Recomendado" presentada en su cola.
Por qué es importante: esto permite detectar el error inverso (candidatos sobrevalorados por la IA) y demuestra a los reguladores y a Omogen que la supervisión es real, y no se limita a los rechazos.
3.2.4 Gestión de las solicitudes de los candidatos
| El candidato solicita… | Qué hacer | Plazo |
|---|---|---|
| Una entrevista exclusivamente humana en lugar de Mio | Atender la solicitud sin penalizar la candidatura | Inmediato |
| Una explicación del motivo de no recomendación basada en la evaluación de la IA | Remitir al soporte de Omogen; Omogen ayudará a generar una explicación conforme | 10 días hábiles |
| El acceso a sus datos | Remitir al proceso de derechos de los interesados a través de Omogen | 30 días |
| La supresión de sus datos | Remitir la solicitud; no intentar gestionar la supresión manualmente fuera del proceso | 30 días |
3.2.5 Qué hacer si algo parece anormal
En caso de duda, notifique
Si observa un patrón preocupante, o un comportamiento inesperado del sistema — repórtelo de inmediato y suspenda el uso de la funcionalidad afectada. No intente evitar el problema ni ajustar los criterios de manera informal para compensarlo.
| Situación | Contacto | Plazo de respuesta |
|---|---|---|
| Error técnico o bug | support@omogen.ai | < 24 horas |
| Patrón de sesgo o discriminación sospechado | gillian@omogen.ai (DPO) | < 48h acuse de recibo, investigación < 10 días |
| Violación de datos / incidente de seguridad sospechado | gillian@omogen.ai | < 24 horas |
| Cualquier reclamación de un candidato | support@omogen.ai | < 5 días hábiles acuse de recibo |
3.2.6 Formación y certificación
Exigencia: ningún usuario puede acceder a los resultados de los candidatos de Mio o CV Screener antes de haber completado el Paquete de Formación al Cliente / Playbook de Omogen.
3.3 Lista de comprobación para los responsables de cumplimiento y jurídico
Esta lista de comprobación respalda la auditoría interna periódica del despliegue respecto a las Partes 1 y 2 de esta página.
3.3.1 Antes del despliegue
- EIPD realizada o a la que se ha contribuido para este despliegue (RGPD art. 35 — aplica a la mayoría de los Clientes, ver §1.3)
- Confirmación de la aplicabilidad de la EIDF del artículo 27 a su organización (organismo de derecho público / prestador de servicio público únicamente, o caso de uso comprendido en el Anexo III §5, b)/c) — ver §1.2.7); en su caso, realizada y validada
- DPA firmado con Omogen, incluyendo las obligaciones de supervisión humana del artículo 4
- Aviso de privacidad a los candidatos actualizado para hacer referencia al uso de la IA
- Todos los revisores previstos han completado la Formación al Cliente y obtenido la certificación
- Criterios del puesto revisados por el riesgo de discriminación indirecta (proxy)
3.3.2 De forma continua (mensual)
- Confirmar que el 100 % de los resultados "No recomendado" han sido revisados en el plazo adecuado
- Confirmar que la cola de muestreo del 10 % ha sido tratada
- Examinar su propia tasa de anulación — ¿se sitúa en el rango saludable del 5-30 %? Si no es así, investigar la causa
- Examinar cualquier escalada o reclamación de candidato planteada durante el período
- Confirmar que ninguna señalización no resuelta de datos de categorías especiales permanece abierta más de 48 horas
3.3.3 De forma continua (trimestral / anual)
- Auditoría interna de una muestra de registros de revisión humana para verificar la calidad y la coherencia
- Confirmar el cumplimiento de los calendarios de conservación (verificación puntual de los registros de supresión automática)
- Examinar cualquier informe de supervisión poscomercialización o de prueba de sesgo compartido por Omogen durante el período
- Actualizar la EIPD, y la EIDF cuando proceda, si el alcance, el volumen o la población de candidatos del despliegue ha evolucionado significativamente
- Confirmar que la lista de subencargados ulteriores (Trust Center) no ha cambiado sin la notificación adecuada
Última actualización: 2026-07-15