Una empresa quiere cribar currículos con IA.
Así se gobierna, paso a paso.
Alba Logística recibe cientos de candidaturas por vacante y quiere un asistente que las lea y proponga una lista corta. La decisión sigue siendo humana. Parece inofensivo, pero el EU AI Act lo clasifica de alto riesgo: el Anexo III incluye la selección de personas. Con el acompañamiento de Merlín Digital Partners en el diseño del proceso de selección, este es el recorrido completo en V-PROOF, desde la inscripción hasta el informe para el consejo, con las pantallas reales de la plataforma.
En colaboración con Merlín Digital Partners, partner de V-PROOF en selección de talento.
Recorrido realizado el 23 de septiembre de 2026 en un entorno de la plataforma. La empresa, las personas y los datos son ficticios. Ninguna captura procede de un cliente.
Inscribir
El asistente entra en el inventario con un responsable y una finalidad.
Todo sistema de IA que la organización construye, compra o usa se registra con referencia, tipo, unidad de negocio y una persona responsable. La finalidad prevista no es un campo más: es un concepto legal del EU AI Act (art. 3.12), y de ella dependen las obligaciones.
El asistente queda vinculado al modelo que usa y a los datos que trata, con su base jurídica y su plazo de conservación.
Clasificar
Once preguntas. El nivel de riesgo del EU AI Act se calcula mientras se responde.
Práctica prohibida, ámbito del Anexo III, efectos jurídicos, datos personales, grado de autonomía, proveedor externo. Con cada respuesta, el panel actualiza el nivel, la puntuación, los motivos y las obligaciones que se activan.
Resultado: Alto, 88 sobre 100. Empleo del Anexo III, decisiones con efectos significativos, datos personales, proveedor externo.
- 1Nivel Alto, 88 sobre 100, calculado con reglas fijas a partir de las respuestas
- 2Motivos Anexo III (empleo), efectos significativos, datos personales y modelo de un tercero
- 3Obligaciones Los artículos del EU AI Act y del RGPD que se activan, con NIST e ISO 42001
- 4Siguiente paso La evaluación inicial, que fija el nivel
Puntuar los riesgos
Probabilidad por impacto. Nadie puede escribir la puntuación a mano.
Cada riesgo se puntúa antes y después de las medidas: inherente y residual. El sesgo contra candidaturas de mujeres o de personas mayores parte de 20, crítico, y baja a 10, alto, con dos mitigaciones: revisión humana de cada descarte y prueba de sesgo trimestral con candidaturas anonimizadas.
La plataforma calcula a partir de probabilidad e impacto. Así nadie maquilla un riesgo.
Controles
Qué exige cada marco y en qué punto está el sistema, control a control.
La biblioteca trae 76 controles: EU AI Act, NIST AI RMF, ISO/IEC 42001, RGPD y principios internos. La matriz muestra los aplicables al nivel Alto, agrupados por marco, y cada cambio de estado queda en el registro de auditoría.
Cuatro políticas de la organización se aplican con salvaguardas de la propia plataforma: filtro del chat, auditoría de cumplimiento, sello obligatorio y revisión humana.
Firmar por turnos
Dos personas aprueban, en orden, y cada una deja escrito qué ha comprobado.
La evaluación abre una solicitud. Se configuran los pasos: primero el responsable de gobernanza de la IA, después la delegada de protección de datos. Cada firma exige una atestación, que queda registrada literalmente, y admite condiciones: aquí, completar la FRIA antes de producción.
Solo puede decidir la persona cuyo correo figura en el paso. Si otra lo intenta, la plataforma lo rechaza.
- 1Paso nominal Solo decide la persona cuyo correo figura en el paso
- 2Decisión La de ese paso, en el orden configurado
- 3Atestación Obligatoria para aprobar: qué se ha comprobado, registrado literalmente
- 4Condición Completar la FRIA (art. 27) antes de producción
Sellar la evidencia
El informe de sesgo entra con su huella criptográfica y queda asociado a evidencia verificable.
Una evidencia es un documento que prueba algo: un informe de sesgo, una prueba de seguridad, un acta. Al incorporarlo, la plataforma calcula su huella criptográfica, que es la misma que se obtiene calculándola fuera: es la del archivo, no una copia.
Con un V-Seal®, esa huella queda registrada como evidencia criptográfica verificable. Un auditor comprueba más adelante que el documento no ha cambiado, sin acceder a la plataforma ni al contenido. El sellado queda registrado y se confirma de forma explícita antes de completarlo.
- 1Vínculo La evidencia queda vinculada a su V-Seal®
- 2Huella La huella criptográfica del archivo, la misma que se calcula fuera de la plataforma
- 3Estado Sellada, o solo con huella a la espera de sellar
- 4Sellar Registrar la huella como evidencia verificable mediante V-Seal®
Informar
Para el auditor, la ficha completa. Para el consejo, una página.
Cuatro informes: la ficha del sistema, la ficha del modelo, el informe de cumplimiento por marco y el resumen para dirección, con los indicadores, los peores riesgos, las aprobaciones pendientes y los incidentes abiertos.
Detrás de todo, el registro de auditoría: cada acción con quién, cuándo, antes y después. Nadie puede editar ni borrar esas filas, ni siquiera un administrador.
Qué sabe ahora la plataforma del asistente.
AI-0100 registrado, con responsable, finalidad, modelo vinculado y ficha del sistema.
Currículos de candidatos: datos personales, base jurídica RGPD 6.1.b, conservación de 12 meses.
Alto según el EU AI Act, Anexo III, empleo. Fijado por la evaluación inicial, 88 sobre 100.
Dos abiertos con mitigaciones: sesgo, residual 10, y privacidad, residual 6.
Doce controles del EU AI Act evaluados, con su estado y las evidencias que los respaldan.
Dos firmas con atestación literal y una condición: FRIA antes de producción.
Informe de sesgo con huella SHA-256, sellado con V-Seal® y verificable por un tercero.
Cada paso anterior está en el registro de auditoría, con antes y después, sin ruta de borrado.
Lo que hoy sigue haciendo una persona.
Preferimos contarlo antes de que lo descubra en la demo. La plataforma registra, audita y sella; no sustituye el criterio de quien decide.
¿Qué sistemas de IA tiene su organización sin inscribir todavía?
Diagnóstico con dirección ejecutiva: inventario, clasificación según el EU AI Act, brechas de evidencia y plan de sellado en sus procesos reales.