IA y vigilancia laboral: qué puede controlar tu empresa (y qué no)

Una empresa de estructuras metálicas instaló cámaras con micrófono en su centro de trabajo. Cuando uno de sus empleados tuvo un conflicto disciplinario, la dirección usó esas grabaciones —imagen y conversación— para justificar el despido. En agosto de 2026, la AEPD le puso una multa de 4.000 euros: no por vigilar, sino por grabar audio cuando existían formas menos invasivas de acreditar los mismos hechos. Es un caso pequeño en importe, pero resume bien el problema de fondo que trae este artículo — la línea entre “controlar el trabajo” y “vigilar a la persona” no siempre es evidente, y cada vez hay más herramientas, muchas con IA de por medio, que la cruzan sin que nadie se dé cuenta hasta que llega una reclamación.

El punto de partida: sí se puede vigilar, con condiciones

El artículo 20.3 del Estatuto de los Trabajadores da al empresario la facultad de adoptar medidas de vigilancia y control para verificar el cumplimiento de las obligaciones laborales, pero añade una coletilla que lo cambia todo: guardando “la consideración debida a su dignidad”. La LOPDGDD desarrolló esa idea genérica en cuatro derechos digitales concretos que conviene tener presentes antes de instalar cualquier sistema de control:

• Art. 87: derecho a la intimidad en el uso de dispositivos digitales de la empresa (ordenador, móvil, correo corporativo).
• Art. 88: derecho a la desconexión digital fuera del horario de trabajo.
• Art. 89: derecho a la intimidad frente a videovigilancia y grabación de sonido.
• Art. 90: derecho a la intimidad frente a sistemas de geolocalización.

Ninguno de estos derechos prohíbe la vigilancia. Lo que exigen es que se ejerza de forma informada, proporcionada y limitada a su finalidad — los tres criterios que, en la práctica, deciden si una sanción o un despido basado en estos controles se sostiene ante un tribunal o se cae.

Cámaras y micrófonos: el límite está en el audio

La videovigilancia laboral tiene ya una doctrina bastante asentada gracias al caso López Ribalda contra España, que llegó hasta el Tribunal Europeo de Derechos Humanos, y a su aplicación posterior por el Tribunal Constitucional en la STC 119/2022. La instalación de cámaras es legítima cuando responde a sospechas razonables de irregularidades, se limita a las zonas y al personal necesarios, respeta la privacidad de espacios como vestuarios o zonas de descanso, y se mantiene durante un tiempo limitado. El deber de informar sobre la existencia de las cámaras sigue siendo la norma general, aunque en casos de sospecha fundada de un ilícito concreto los tribunales han admitido cierto margen para la vigilancia encubierta.

Lo que la doctrina no perdona con la misma facilidad es el audio. Grabar conversaciones añade una capa de datos mucho más invasiva que la imagen, y el caso de la empresa sancionada en agosto de 2026 lo demuestra: la AEPD no cuestionó la cámara, cuestionó el micrófono, precisamente porque existían medios menos invasivos —como un testigo o un informe escrito— para acreditar los mismos hechos que se usaron en el despido. Las grabaciones, además, solo pueden conservarse un mes salvo que capturen un hecho que atente contra personas, bienes o instalaciones, momento en el que se pueden retener el tiempo necesario para ponerlas a disposición de la autoridad competente.

GPS y geolocalización: el aviso previo lo es todo

El Tribunal Supremo zanjó buena parte de la incertidumbre sobre el GPS de los vehículos de empresa en su sentencia de 15 de septiembre de 2020: los datos de un geolocalizador son una prueba válida para un despido disciplinario si el trabajador estaba informado de su instalación, si el uso del vehículo se limita a fines profesionales, y si los datos recogidos se ciñen al movimiento y la ubicación, sin colarse otro tipo de información. Quita cualquiera de esas tres condiciones y el resultado cambia: sin aviso previo, la prueba puede anularse y el despido pasar de procedente a improcedente o incluso nulo, con toda la diferencia económica que eso supone para la empresa.

Ordenadores, correo y mensajería: hace falta una política por escrito

El artículo 87 de la LOPDGDD permite a la empresa acceder al contenido de los dispositivos digitales que pone a disposición del trabajador, pero solo “a los solos efectos de controlar el cumplimiento de las obligaciones laborales o estatutarias y de garantizar la integridad de dichos dispositivos”. La condición que casi nadie cumple del todo es la siguiente: la empresa debe fijar de antemano unos criterios de utilización, por escrito, y la representación de los trabajadores tiene que haber participado en su elaboración. Sin esa política previa, el acceso a un correo o a un historial de navegación se vuelve mucho más difícil de defender si el trabajador lo impugna.

La desconexión digital también es vigilancia, al revés

Hay una cara de esta misma moneda que se suele olvidar: el art. 88 de la LOPDGDD reconoce el derecho a la desconexión digital fuera del horario de trabajo, precisamente para evitar que la disponibilidad tecnológica constante se convierta en una forma de control encubierto. Una empresa que espera respuestas inmediatas a mensajes fuera de jornada, o que usa el hecho de no responder a esas horas como un factor de evaluación —aunque sea de forma informal, sin que nadie lo diga en voz alta—, está ejerciendo un control que la ley también regula, solo que en sentido inverso al de una cámara o un GPS. La negociación colectiva juega aquí un papel central: el art. 91 LOPDGDD remite a los convenios y acuerdos de empresa la concreción de cómo se garantiza este derecho, así que conviene revisar qué dice el convenio aplicable antes de dar por hecho que la política de “siempre conectados” de la empresa es simplemente cultura de trabajo y no una cuestión legal.

Cuando quien vigila es un algoritmo

Aquí es donde el tema se vuelve más nuevo y, para muchas empresas, más confuso. Dos normas conviven y se refuerzan:

El artículo 64.4.d) del Estatuto de los Trabajadores, añadido por la conocida como Ley Rider (Real Decreto-ley 9/2021), obliga a informar a la representación legal de los trabajadores sobre los parámetros, reglas e instrucciones de los algoritmos o sistemas de IA que puedan incidir en las condiciones de trabajo, en el acceso al empleo o en su mantenimiento, incluida la elaboración de perfiles. Pese al nombre popular de la norma, no se limita a repartidores: alcanza a cualquier empresa que use gestión algorítmica, desde un software que reparte turnos automáticamente hasta un sistema que puntúa el desempeño de cada empleado.

El Reglamento europeo de IA va todavía más lejos. Su Anexo III clasifica como sistemas de alto riesgo tanto los usados para la contratación y selección de personal (publicar ofertas dirigidas, filtrar candidaturas, evaluar aspirantes) como los que se usan dentro de una relación laboral ya existente para asignar tareas según el comportamiento individual, hacer seguimiento del rendimiento, o decidir sobre promociones y despidos. Esa clasificación no es cosmética: implica supervisión humana real, evaluación de impacto, trazabilidad de las decisiones y registro en la base de datos europea correspondiente. Si tu empresa usa —o está valorando usar— un sistema así, puede que te interese revisar primero nuestro comprobador de riesgo del AI Act, porque el régimen de esta norma es mucho más exigente que el que la mayoría de empresas espera de una simple herramienta de recursos humanos.

Contratar con un filtro automático también entra en la norma

Hasta ahora hemos hablado de vigilar a quien ya trabaja en la empresa, pero el Anexo III del AI Act pone en el mismo grupo de riesgo a los sistemas que deciden quién entra. Un software que descarta currículos automáticamente, que ordena candidaturas por una puntuación algorítmica, o que hace una primera criba de entrevistas por vídeo con análisis automatizado, encaja en la misma categoría de alto riesgo que un sistema de evaluación de desempeño. La razón no es solo de protección de datos: es que estos sistemas se entrenan con datos históricos, y los datos históricos de contratación arrastran los mismos sesgos que ya existían antes del algoritmo. Si una empresa ha contratado históricamente a pocas mujeres para un puesto técnico, un modelo entrenado con esos datos puede aprender ese patrón y reproducirlo a mayor velocidad y a mayor escala que cualquier responsable de selección humano, sin que nadie lo note hasta que alguien audita los resultados.

España ya tiene un antecedente normativo en esta dirección, aunque limitado por ahora al sector público: la Ley 15/2022, integral para la igualdad de trato y la no discriminación, obliga a las administraciones que usan algoritmos en la toma de decisiones a incorporar mecanismos de minimización de sesgos y evaluación de su impacto discriminatorio. No es una obligación que la ley extienda todavía de forma expresa a toda empresa privada, pero marca la dirección en la que se está moviendo el criterio regulatorio, y el AI Act termina de cerrar ese hueco para el sector privado en los procesos de selección de alto riesgo.

Por qué esto va a importar cada vez más

El uso de IA en empresas españolas de 10 o más empleados pasó del 12,4% en 2023 al 21,1% en el primer trimestre de 2025 — casi 9 puntos en dos años. Cuantas más empresas incorporan estas herramientas a la gestión diaria, más decisiones que antes tomaba una persona (a quién asciendo, a quién despido, cómo reparto los turnos, a quién contrato) empiezan a pasar, aunque sea parcialmente, por un sistema automatizado. Eso no es necesariamente malo: un algoritmo bien diseñado puede reducir sesgos humanos tan reales como los que pretende evitar la ley. Pero convierte el cumplimiento de estas obligaciones en algo que ya no afecta solo a grandes corporativas con departamentos legales propios, sino a cualquier pyme que compre un software de recursos humanos sin preguntar cómo toma sus decisiones por dentro.

Antes de implantar cualquier sistema de control

Un orden razonable para no acabar como la empresa sancionada en agosto:

1. Define la finalidad concreta antes de instalar nada — “controlar el absentismo” no es lo mismo que “vigilar conversaciones”, y la finalidad declarada limita después lo que puedes hacer con los datos.
2. Informa por escrito, con la representación legal de los trabajadores si la medida puede afectar a las condiciones de trabajo, y guarda constancia de que se hizo antes de activar el sistema, no después de un conflicto.
3. Valora si de verdad hace falta audio, geolocalización fuera de jornada, o acceso íntegro a un dispositivo — cuanto más invasiva la medida, más fácil que un tribunal o la AEPD consideren que había alternativas menos agresivas.
4. Si hay un algoritmo o IA de por medio, documenta sus parámetros, mantén supervisión humana real sobre las decisiones finales, y comprueba si cae dentro del Anexo III del AI Act.
5. Cuenta con asesoramiento legal laboral especializado antes de usar cualquiera de estos controles como base de una sanción o un despido — es, con diferencia, el punto donde más casos se pierden por defectos de forma que se podrían haber evitado con una revisión previa.

La cuenta sale a favor de pedir esa revisión previa casi siempre: una consulta puntual a un despacho laboral especializado cuesta una fracción de lo que supone un despido declarado improcedente (con la indemnización correspondiente) o una sanción de la AEPD por una prueba obtenida sin las garantías mínimas. La empresa del caso con el que abría este artículo no perdió el expediente disciplinario por vigilar a su empleado, sino por elegir el medio de prueba equivocado para algo que, probablemente, podía haber acreditado de otra forma. Es el mismo patrón que se repite en la mayoría de sanciones de este tipo: no falla la intención de controlar el trabajo, falla el cómo.

Fuentes

• Real Decreto Legislativo 2/2015, Estatuto de los Trabajadores, art. 20.3 y 64.4, BOE
• Ley Orgánica 3/2018 (LOPDGDD), arts. 87-90, BOE
• Multa de 4.000 euros a una empresa por grabar conversaciones de trabajadores para justificar un despido, Confilegal
• STC 119/2022, de 29 de septiembre (videovigilancia laboral), Tribunal Constitucional
• El Tribunal Supremo avala la geolocalización GPS de vehículos de empresa con aviso previo, CGPJ
• Reglamento (UE) 2024/1689 (AI Act), Anexo III, EUR-Lex