Cada vez más empresas que operan en El Salvador incorporan inteligencia artificial en sus procesos de recursos humanos: sistemas de seguimiento de candidatos (ATS) que filtran currículos, algoritmos que ordenan postulantes por afinidad, flujos automatizados que agendan entrevistas y recolectan datos personales. La adopción ha sido más rápida que la revisión legal, y ahí está el riesgo: desde 2025 el uso de IA en decisiones de contratación está expresamente regulado en el país, y el período de transición para los sistemas que ya estaban operando concluyó en septiembre de 2026.
La IA aplicada a contratación ya tiene registro obligatorio
La Resolución N.º 0001/2025 de la Agencia Nacional de Inteligencia Artificial (ANIA), vigente desde septiembre de 2025, establece un registro obligatorio para los sistemas de IA que intervienen en lo que la normativa denomina decisiones consecuentes: aquellas que afectan de forma material los derechos, el estatus legal o el acceso a servicios esenciales de una persona.
Uno de los supuestos que activa ese registro es, en términos de la propia resolución, la contratación, despido, promoción o compensación sin supervisión humana significativa. En la práctica, esto significa que si su ATS descarta, prioriza o clasifica candidatos sin que una persona revise y valide esa decisión, su empresa puede estar dentro del ámbito de registro obligatorio ante la ANIA.
La resolución contempló un período de gracia de doce meses para los sistemas que ya estaban operando. Ese plazo concluyó en septiembre de 2026: los sistemas que debían registrarse ya no pueden ampararse en el régimen transitorio.
Los datos de los candidatos también generan obligaciones
Existe un segundo frente que suele pasarse por alto. Cada vez que un candidato ingresa su nombre, correo electrónico y número de teléfono en un formulario o enlace de agendamiento automatizado, su empresa actúa como responsable del tratamiento bajo la Ley de Protección de Datos Personales, vigente desde noviembre de 2024 y supervisada por la Agencia de Ciberseguridad del Estado (ACE).
Esto implica, como mínimo, contar con una base de consentimiento informado y expreso, comunicar con claridad la finalidad del tratamiento, aplicar el principio de minimización —no recolectar más datos de los necesarios— y designar internamente a una persona responsable de atender las solicitudes ARCO-POL (acceso, rectificación, cancelación, oposición, portabilidad, olvido y limitación). La ley aplica tanto a empresas salvadoreñas como extranjeras que traten datos de personas en El Salvador. Puede conocer el alcance completo de estas obligaciones en nuestra página de cumplimiento de inteligencia artificial y protección de datos.
Un ejemplo frecuente: un candidato cuyos datos quedaron asociados a una vacante que ya se cerró tiene derecho a solicitar que se le informe con qué finalidad se conserva esa información y, si ya no aplica, a pedir su cancelación. Si su empresa no tiene definido quién responde a esa solicitud ni en qué plazo, ya existe una brecha de cumplimiento.
El incumplimiento en materia de datos ya tiene procedimiento sancionador
Hasta hace pocas semanas, estas obligaciones convivían con una duda práctica: faltaba el cauce administrativo que las hiciera exigibles. Eso cambió. Desde el 19 de agosto de 2026 está vigente la Normativa para el Desarrollo del Procedimiento Administrativo Sancionador, que desarrolla el artículo 53 de la Ley de Protección de Datos Personales y habilita a la Agencia de Ciberseguridad del Estado, por medio de su Dirección de Protección de Datos Personales, a investigar, tramitar el procedimiento e imponer multas.
La normativa no fija un importe único: la sanción se gradúa caso por caso atendiendo a la gravedad del daño causado, el efecto disuasivo perseguido, la duración de la infracción, la intencionalidad, la naturaleza de los datos afectados y la capacidad económica del infractor. Una vez firme, la multa debe pagarse dentro de los quince días hábiles siguientes.
Conviene distinguir con claridad los dos frentes, porque corren por vías separadas: el registro ante la ANIA responde al uso del sistema de inteligencia artificial; el procedimiento sancionador de la ACE alcanza al tratamiento de los datos personales de los candidatos. Una empresa puede quedar fuera del ámbito de registro obligatorio y, aun así, ser responsable por cómo recolecta, conserva o comparte la información de quienes aplicaron a sus vacantes.
Cuando la automatización mal implementada se vuelve un riesgo legal
En nuestra práctica hemos observado un patrón: los problemas rara vez vienen de la tecnología en sí, sino de su configuración. Un formulario mal etiquetado que asigna al candidato a una plaza distinta a la que aplicó. Confirmaciones duplicadas que nadie revisa. Ofertas que siguen activas y recibiendo aplicaciones semanas después de haberse cerrado la vacante. Correos institucionales de terceros expuestos en copia visible.
Cada una de esas fallas, además de generar fricción operativa y desgastar la reputación del empleador, puede traducirse en un incumplimiento concreto: tratamiento de datos sin finalidad legítima vigente, ausencia de supervisión humana en una decisión consecuente, o falta de registro de un sistema que sí lo requería.
Qué debe revisar su empresa ahora
- Inventariar los sistemas de IA utilizados en reclutamiento, evaluación de desempeño, promoción o compensación.
- Determinar si alguno califica como decisión consecuente bajo la Resolución ANIA 0001/2025 y, de ser así, iniciar el trámite de registro.
- Documentar el nivel de supervisión humana efectiva en cada decisión automatizada: quién revisa, cuándo y con qué criterio.
- Redactar o actualizar el aviso de privacidad aplicable a los datos recolectados en procesos de selección.
- Designar y capacitar al responsable interno de atender solicitudes ARCO-POL, con plazos y procedimiento definidos.
- Depurar los procesos automatizados: cierre de vacantes, etiquetado correcto de plazas, control de confirmaciones y manejo de copias en correos.
Preguntas frecuentes
¿Toda empresa que usa un ATS debe registrarse ante la ANIA?
No de forma automática. El registro se activa cuando el sistema toma o influye de manera determinante en decisiones de contratación, despido, promoción o compensación sin supervisión humana significativa. Un ATS que únicamente organiza y almacena postulaciones, con revisión humana efectiva en cada etapa de decisión, se encuentra en una posición distinta a uno que puntúa y descarta candidatos automáticamente. La evaluación debe hacerse caso por caso.
¿La normativa aplica si mi empresa es extranjera?
Sí. Tanto el marco de protección de datos como las obligaciones derivadas del uso de IA alcanzan a empresas nacionales y extranjeras que operen o traten datos de personas en El Salvador, incluidos los candidatos que aplican a vacantes publicadas para el país.
¿Qué ocurre si nuestra empresa no se registró dentro del período de gracia?
El período de gracia de doce meses previsto en el artículo 29 de la Resolución 0001/2025 ya concluyó, por lo que el sistema dejó de ampararse en el régimen transitorio. Si su empresa utiliza un sistema que requería registro y aún no lo ha inscrito, conviene regularizar la situación cuanto antes. Ese plazo no debe confundirse con el procedimiento sancionador en materia de datos personales, que corre por vía separada ante la Agencia de Ciberseguridad del Estado y está operativo desde el 19 de agosto de 2026. Las consecuencias concretas dependen del tipo de sistema, del sector y del tratamiento de datos involucrado, y se evalúan en la asesoría inicial.
¿Quién responde si el ATS lo opera un proveedor extranjero?
La responsabilidad no se traslada de forma automática al proveedor. Frente a los titulares de los datos, la empresa que decide sobre el tratamiento actúa como responsable, con independencia de quién opere técnicamente la plataforma. Por eso conviene revisar también el contrato con el proveedor y sus cláusulas de encargo del tratamiento y transferencia internacional de datos.
Revisemos el cumplimiento de su empresa
En Legal Boutique acompañamos a empresas locales y extranjeras en la revisión de sus procesos automatizados: diagnóstico frente a la Resolución ANIA 0001/2025, gestión del registro cuando corresponde, elaboración de avisos de privacidad y políticas internas de protección de datos, y definición del procedimiento de atención de solicitudes ARCO-POL. Conozca el detalle en nuestra página de cumplimiento de IA y protección de datos.
Si su empresa está estableciéndose en el país, conviene resolver esto junto con la constitución de la sociedad y el registro de marca, de modo que el cumplimiento quede integrado desde el inicio de operaciones y no como una corrección posterior.
Programe una asesoría virtual, confidencial y adaptada a su zona horaria, desde $30.00. Contáctenos aquí o escríbanos por WhatsApp al +503 7987-1398.