Monitorización de empleados con IA, legal pero condicionada

La monitorización de empleados con IA es una de las áreas de más rápido crecimiento y más controvertidas de la IA en el ámbito laboral. El registro de pulsaciones de teclado, la captura de pantalla, el análisis de correo electrónico, la videovigilancia, la puntuación de la productividad, el análisis de sentimiento, el seguimiento por GPS y la evaluación del rendimiento basada en IA están todos en uso activo. La respuesta breve a "¿es legal?" es: en general sí, pero con condiciones importantes que muchos empleadores no están cumpliendo.

Estados Unidos

No existe una ley federal integral que regule específicamente la monitorización de empleados con IA. La Electronic Communications Privacy Act (ECPA, Ley de Privacidad de las Comunicaciones Electrónicas) permite a los empleadores monitorizar los dispositivos y sistemas propiedad de la empresa. Las leyes estatales varían considerablemente: la CCPA/CPRA de California otorga a los empleados derechos sobre sus datos personales, incluidos los datos monitorizados; la BIPA de Illinois exige el consentimiento para el tratamiento de datos biométricos; Connecticut, Delaware y Nueva York cuentan con requisitos de divulgación de la monitorización en el lugar de trabajo; la Ley de IA de Colorado fue derogada y sustituida por la SB 189 (en vigor desde el 1 de enero de 2027), que añade requisitos de divulgación para la IA en decisiones consecuentes. La NLRA protege el derecho de los empleados a sindicarse, y la monitorización que desaliente la actividad sindical puede infringir la legislación federal.

Unión Europea

El RGPD impone requisitos estrictos: base jurídica (el interés legítimo exige una prueba de ponderación); una evaluación de impacto relativa a la protección de datos (EIPD) para la monitorización sistemática; transparencia (los empleados deben saber qué se monitoriza y por qué); limitación de la finalidad (los datos recopilados para un fin no pueden reutilizarse para otro); minimización de datos (recopilar únicamente lo necesario). El Reglamento de IA de la UE prohíbe el reconocimiento de emociones en el lugar de trabajo como práctica prohibida (en vigor desde el 2 de febrero de 2025). Los sistemas de IA utilizados en la gestión del empleo se clasifican como de alto riesgo conforme al Anexo III, lo que exige evaluación de la conformidad, gestión de riesgos, supervisión humana y transparencia.

Reino Unido

El RGPD del Reino Unido se aplica con requisitos similares a los del RGPD de la UE. El Código de Prácticas Laborales de la ICO (Information Commissioner's Office) regula la monitorización. Las reformas de la DUAA 2025 (Data (Use and Access) Act, Ley de Uso y Acceso a los Datos) no modifican de forma sustancial el marco de la monitorización, pero actualizan las disposiciones sobre decisiones automatizadas (ADM). Los empleadores deben ser transparentes, proporcionados y realizar EIPD para los sistemas de monitorización con IA.

Australia

La NSW Work Health and Safety Amendment (Digital Work Systems) Act 2026 (Ley de Modificación de Seguridad y Salud en el Trabajo de Nueva Gales del Sur sobre Sistemas de Trabajo Digitales) es la primera ley australiana que aborda específicamente la monitorización con IA como una cuestión de seguridad y salud en el trabajo (WHS). Exige a las PCBU (personas que dirigen un negocio o actividad) garantizar que los trabajadores no se vean expuestos a riesgos derivados de los sistemas de trabajo digitales, incluida la monitorización con IA. Es obligatoria la evaluación del riesgo psicosocial. La Ley de Privacidad se aplica a la monitorización de empleados con IA cuando se tratan datos personales. La legislación estatal sobre vigilancia en el lugar de trabajo (por ejemplo, la NSW Workplace Surveillance Act 2005 de Nueva Gales del Sur) impone requisitos específicos de notificación.

Qué deben hacer los empleadores para monitorizar de forma legal

En todas las principales jurisdicciones: notificar claramente a los empleados qué se monitoriza, cómo y por qué; garantizar que la monitorización sea proporcional a la necesidad empresarial legítima; realizar evaluaciones de riesgo (EIPD conforme al RGPD, riesgo psicosocial conforme a la normativa de WHS); limitar la monitorización a fines empresariales, sin monitorizar actividades personales en dispositivos personales; almacenar los datos monitorizados de forma segura y conservarlos solo durante el tiempo necesario; no utilizar los datos de monitorización para fines distintos de los declarados; facilitar a los empleados el acceso a sus datos monitorizados cuando lo soliciten.

Fuentes primarias: ICO, Employment Practices · SafeWork NSW · Fair Work Ombudsman

Lecturas relacionadas