IA para recursos humanos sin exponer datos de empleados

La IA sirve en recursos humanos para redactar ofertas, comparar hojas de vida, preparar entrevistas, escribir retroalimentaciones y explicar desprendibles de nómina. Lo que casi nunca necesita es saber quién es la persona: el cargo, los criterios, la experiencia y los valores bastan. Por eso la regla en un área de gestión humana es sencilla: antes de pegar, tapa el nombre, la cédula, el celular, el correo, la dirección y la cuenta bancaria, y deja fuera los datos de salud. Abajo está cómo hacerlo en cada tarea y qué dicen la Ley 1581 de 2012 y el Código Sustantivo del Trabajo.

Las normas que citamos las leímos el 22 de octubre de 2026 en la Secretaría del Senado y la DIAN. Esto resume, no reemplaza la asesoría de un abogado laboralista.

IA para recursos humanos: qué hace bien y qué datos necesita

tarea	lo que la IA necesita	lo que sobra
Redactar una oferta de empleo	el cargo, las funciones, el perfil	nada personal
Comparar hojas de vida	experiencia, formación, competencias	nombre, cédula, celular, correo, foto, fecha de nacimiento
Preparar una entrevista	el cargo y lo que quieres evaluar	nada personal
Escribir una retroalimentación de desempeño	los hechos y los objetivos	nombre, cédula
Explicar un desprendible de nómina	los conceptos y los valores	nombre, cédula, número de cuenta
Redactar una carta de terminación o un llamado de atención	los hechos, las fechas, la norma	nombre, cédula, dirección
Revisar el reglamento interno de trabajo	el texto del reglamento	nada personal

En la columna de la derecha está casi todo lo que identifica a una persona, y nada de eso mejora la respuesta.

Hojas de vida y selección con IA

Es el uso más tentador: pegar diez hojas de vida y pedirle a la IA un cuadro comparativo. Funciona, y la IA lo hace igual de bien sin los datos de contacto.

Una hoja de vida colombiana trae casi siempre el nombre, la cédula, el celular, el correo, la dirección, la fecha de nacimiento y, muchas veces, la foto. El candidato la entregó para un proceso de selección concreto. La Ley 1581 de 2012 dice en su artículo 4 que el tratamiento «debe obedecer a una finalidad legítima» informada al titular: pegarla en la cuenta personal de un chat no es parte de esa finalidad.

Así queda la cabecera de una hoja de vida, con datos de ejemplo:

ANTES
Nombre: Mariana Builes Zapata
Correo: nombre@example.com
Celular: +57 300 000 0000
Dirección: Calle Inexistente 0, Medellín
Cargo al que aspira: analista contable junior.
Experiencia: dos años en una firma de contadores públicos.

DESPUÉS
Nombre: [PERSONA_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]
Dirección: [DIRECCION_1]
Cargo al que aspira: analista contable junior.
Experiencia: dos años en una firma de contadores públicos.

Datos de ejemplo: el nombre es inventado, el celular es de ceros, la calle no existe y example.com es un dominio reservado para ejemplos.

El cargo y la experiencia quedan, que es lo que la IA necesita para comparar. Si la hoja de vida trae la cédula, la fecha de nacimiento o el estado civil, revísalos antes de pegar: la IA no los necesita para comparar.

Cuidado con la discriminación

La IA aprende de textos que tienen sesgos, y puede reproducirlos: preferir ciertos nombres, ciertas universidades, ciertas edades. Quitar el nombre, la foto y la fecha de nacimiento antes de pegar tiene un efecto secundario muy bueno: la IA compara sólo experiencia y formación.

El Código Sustantivo del Trabajo prohíbe al empleador, en su artículo 59, «ejecutar o autorizar cualquier acto que vulnere o restrinja los derechos de los trabajadores o que ofenda su dignidad» (numeral 9), y la reforma laboral de 2025 (Ley 2466) agregó un numeral 10 que prohíbe discriminar a las mujeres y a las personas con identidades de género diversas, y también «el racismo y la xenofobia». Un filtro automático que descarta candidatos por un sesgo de la herramienta no deja de ser una decisión de la empresa.

Hoy no encontramos en Colombia una norma vigente que regule específicamente las decisiones automatizadas en la selección de personal; hay proyectos de ley de inteligencia artificial en el Congreso que lo tocan, sin aprobar. Lo prudente mientras tanto: que la IA ordene y resuma, y que una persona decida.

Los perfiles de redes sociales

Copiar perfiles de LinkedIn u otras redes para que la IA arme una lista de candidatos parece inofensivo porque «son públicos». La Superintendencia de Industria y Comercio no lo ve así. Su Circular Externa 002 de 2024, sobre datos personales en sistemas de IA, recuerda que la información accesible al público no es, por eso, de libre uso. Para tratarla en una base propia, hace falta autorización.

Desprendible de nómina y datos del trabajador

El desprendible de nómina, o colilla de pago, es de los documentos que más se pegan en una IA: para verificar un cálculo, para entender una deducción, para explicarle a un trabajador por qué le llegó menos este mes. Y lleva datos que no hacen falta: el nombre, la cédula, el cargo, el número de cuenta y, a veces, las incapacidades.

Lo que la IA necesita son los conceptos y los valores: salario básico, auxilio de transporte, horas extras y recargos, aportes a salud y pensión, retención, préstamos. Con eso puede revisar el cálculo y explicarlo. El nombre, la cédula y la cuenta se tapan.

Un cuidado más: si el desprendible trae incapacidades o licencias, ahí hay datos de salud, que son sensibles según el artículo 5 de la Ley 1581. Si la pregunta no depende del motivo de la incapacidad, quítalo y deja sólo los días.

Nómina electrónica y datos que circulan

Desde la Resolución 000013 de 2021 de la DIAN, hoy compilada en la Resolución 227 de 2025, las empresas transmiten a la DIAN el documento soporte de pago de nómina electrónica, que recoge los valores devengados, los deducidos y la diferencia. Es decir: cada mes salen de la empresa, por el canal oficial, los datos de nómina de cada trabajador.

Eso hace que esos datos circulen por más manos: el proveedor de software de nómina, el contador, el operador que transmite. Cada uno es un punto donde alguien puede pegar un archivo en una IA para «revisarlo rápido». Si tu empresa contrata la nómina con un tercero, conviene que el contrato diga qué puede hacer con los datos, incluida la IA. La ley lo llama transmisión a un encargado del tratamiento, y el Decreto 1074 de 2015 pide un contrato que fije su alcance.

Para revisar en una IA un archivo de nómina en Excel, tápalo antes: lo explicamos en anonimizar datos en Excel.

Datos sensibles en gestión humana

El área de recursos humanos es, junto con salud, la que más datos sensibles maneja. El artículo 5 de la Ley 1581 los define como los que «afectan la intimidad del Titular o cuyo uso indebido puede generar su discriminación», y nombra, entre otros, la pertenencia a sindicatos, las convicciones religiosas, el origen étnico y «los datos relativos a la salud, a la vida sexual y los datos biométricos». Su artículo 6 prohíbe tratarlos salvo excepciones, como la autorización explícita del titular.

En una oficina de gestión humana aparecen en:

• Incapacidades y exámenes médicos de ingreso, periódicos y de egreso.
• Afiliación sindical, en los descuentos de cuota sindical.
• Huellas de los relojes biométricos de control de ingreso.
• Información de embarazo, discapacidad o enfermedad, por estabilidad laboral reforzada.
• Procesos disciplinarios y quejas de acoso laboral.

Ninguno de estos va a una IA con nombre. Si la consulta depende del dato sensible, por ejemplo cómo redactar la respuesta a una solicitud por una condición médica, quita todo lo que identifica a la persona para que el dato quede suelto. Lo desarrollamos en datos sensibles según la Ley 1581.

Y los datos de menores de edad, como los de los hijos que figuran como beneficiarios en salud o en la caja de compensación, están todavía más protegidos: el artículo 7 de la misma ley proscribe su tratamiento salvo los que son de naturaleza pública.

Lo que deben hacer los empleados: el deber de reserva

No sólo la empresa tiene deberes. El artículo 58 del Código Sustantivo del Trabajo pone entre las obligaciones del trabajador «no comunicar con terceros, salvo la autorización expresa, las informaciones que tenga sobre su trabajo, especialmente sobre las cosas que sean de naturaleza reservada».

Pegar la base de clientes en la cuenta personal de ChatGPT es, en la práctica, comunicarla a un tercero. Por eso tiene sentido que la empresa diga por escrito qué está autorizado y qué no. Si tu empresa tiene más de cinco trabajadores permanentes y es comercial (más de diez si es industrial), ya está obligada a tener un reglamento interno de trabajo según el artículo 105 del mismo código; la política de uso de IA puede ir como documento aparte que cada persona firma, o conectarse con ese reglamento si quieres que su incumplimiento tenga consecuencias disciplinarias. Esto último, mejor revisarlo con un laboralista.

Te dejamos un modelo para copiar en política de uso de IA en la empresa.

Ejemplos de uso, del más común al más delicado

Una solicitud de vacaciones

Pedirle a la IA que redacte la respuesta o calcule los días hábiles:

ANTES
Trabajadora: Silvia Ardila Prada
Correo: nombre@example.com
Motivo: solicitud de vacaciones del 2 al 16 de diciembre.

DESPUÉS
Trabajadora: [PERSONA_1]
Correo: [CORREO_1]
Motivo: solicitud de vacaciones del 2 al 16 de diciembre.

Datos de ejemplo: el nombre es inventado y example.com es un dominio reservado para ejemplos.

Una retroalimentación de desempeño

Escribe los hechos sin nombre: «Una analista con un año en el cargo cumplió los objetivos de cierre contable, pero entrega los informes con retraso». La IA redacta la retroalimentación igual, y tú pones el nombre al final.

Un llamado de atención o una terminación

Aquí hay que ir con más cuidado, porque son documentos con consecuencias jurídicas. La IA puede ayudarte con la redacción y la estructura, pero el texto final lo revisa quien conoce el caso, y si hay duda, un abogado. Los hechos, las fechas y las normas van; el nombre, la cédula y la dirección los pones tú en el documento final.

Un caso de salud o de acoso laboral

Lo más delicado. Si necesitas ayuda para redactar, describe el caso en términos generales, sin nada que identifique a las personas: ni nombres, ni cargos únicos, ni fechas exactas que permitan reconocerlas. «Una trabajadora con una recomendación médica de reubicación» basta para que la IA te ayude.

El contexto también identifica

En una empresa pequeña, un cargo es una persona. «La coordinadora de cartera de la sede de Pereira que pidió licencia en marzo» no tiene nombre, y todo el mundo sabe quién es. Antes de pegar, generaliza: «una coordinadora», «una sede», «este año». La lista de lo que conviene quitar está en qué datos no compartir con ChatGPT.

Cómo pedirle a la IA una comparación justa de hojas de vida

Una vez tapadas las hojas de vida, la forma de pedir importa tanto como lo que pegas. Un pedido que funciona bien y deja menos espacio a los sesgos:

Te paso cinco hojas de vida con los datos personales tapados. El cargo es analista contable junior. Los requisitos son: título profesional o tecnológico en contaduría, al menos un año de experiencia en conciliaciones bancarias y manejo de Excel intermedio. Para cada candidato, dime si cumple cada requisito y dónde lo dice la hoja de vida. No hagas un ranking y no tengas en cuenta nada que no esté en los requisitos.

Tres ideas detrás de ese pedido:

1. Criterios escritos antes de mirar a nadie. Si los criterios los inventa la IA, también inventa los sesgos.
2. Que cite de dónde saca cada cosa. Así puedes comprobarlo, y detectas cuando se inventa una experiencia.
3. Sin ranking automático. La IA ordena la información; quien decide es una persona del área.

Y una precaución: las etiquetas [PERSONA_1], [PERSONA_2] permiten que la IA distinga a los candidatos sin conocerlos. Cuando tengas la respuesta, la app de Nonimo te devuelve los nombres reales en tu computador, o tú los cruzas con tu lista.

Las hojas de vida de quienes no quedaron

Cada proceso de selección deja una carpeta de hojas de vida de personas que no fueron contratadas. La Ley 1581 pide que los datos se traten para la finalidad informada, y un proceso de selección tiene principio y fin. Si quieres conservarlas para procesos futuros, lo correcto es decirlo en la autorización que firma el candidato y en tu política de tratamiento. Si no, cuando el proceso termina, esas hojas de vida no deberían seguir circulando por correos, carpetas compartidas ni, desde luego, chats de IA.

Una regla práctica para el área: las hojas de vida se suben a un solo lugar, con acceso restringido; las copias de trabajo, también las tapadas que usaste con la IA, se borran al cerrar el proceso. Y lo mismo vale para el historial del chat.

Contratistas y practicantes

En muchas empresas colombianas buena parte del trabajo de gestión humana, o de cualquier área, la hacen contratistas por prestación de servicios o practicantes. No tienen contrato laboral, pero si manejan datos de la empresa, el principio de confidencialidad del artículo 4 de la Ley 1581 los cobija igual: obliga a todas las personas que intervienen en el tratamiento. La política de uso de IA debe aplicarles también, y conviene que su contrato lo diga.

Herramientas de IA para recursos humanos: qué revisar

Además de ChatGPT, Claude, Gemini o Copilot, hay plataformas de reclutamiento y de gestión humana que traen IA integrada. Antes de contratarlas, pregunta:

• ¿Dónde se guardan los datos de candidatos y empleados? Si salen del país, aplica el artículo 26 de la Ley 1581 sobre transferencias internacionales.
• ¿Entrenan sus modelos con tus datos?
• ¿Quién revisa las decisiones? Que la plataforma descarte candidatos sin intervención humana es un riesgo.
• ¿Hay contrato de transmisión de datos? El proveedor actúa como encargado del tratamiento.

Si en tu empresa usan Microsoft 365, ojo con Copilot: lee las carpetas y correos a los que tiene acceso quien lo usa, incluidas las de hojas de vida si los permisos están mal puestos. Lo explicamos en Microsoft Copilot y tus datos.

Si algo sale mal

Un desprendible enviado al trabajador equivocado, una base de nómina pegada en un chat personal, una carpeta de hojas de vida compartida con un enlace público: todos pueden ser incidentes de seguridad. La Ley 1581 obliga a informar a la SIC cuando se presenten violaciones a los códigos de seguridad y existan riesgos para los titulares, y la Circular Única de la SIC da quince días hábiles para hacerlo. El paso a paso está en incidente de seguridad con datos personales.

Checklist para el área de recursos humanos

1. Escribe la política de uso de IA y que cada persona del área la firme.
2. Define la cuenta: empresarial con contrato, no la personal de cada uno.
3. Tapa antes de pegar: nombre, cédula, celular, correo, dirección, cuenta bancaria.
4. Deja fuera los datos sensibles: salud, sindicato, biométricos, vida personal.
5. Generaliza el contexto en empresas pequeñas.
6. Revisa con una persona toda decisión sobre candidatos o trabajadores.
7. Pregunta a tus proveedores de nómina y reclutamiento qué hacen con los datos y la IA.

Nonimo para el área de gestión humana

La app de Nonimo hace el paso 3 sola: al pegar un texto en ChatGPT, Claude, Gemini o Copilot, cambia en tu computador los nombres, la cédula, el NIT, los celulares, los correos y las direcciones por etiquetas, y al copiar la respuesta te devuelve los datos reales. A Nonimo no le llega el texto. Para un área de recursos humanos de varias personas, el plan Equipo cubre de 2 a 49 personas; los detalles están en precios.