Herramientas de IA y Datos de Empleados: Obligaciones bajo la KVKK

Las empresas que operan en Turquía —incluidas las de capital extranjero en Antalya— recurren cada vez más a herramientas de inteligencia artificial: software de supervisión de la productividad, asistentes de redacción con IA, sistemas de planificación automatizados y plataformas de análisis del desempeño forman ya parte de la rutina de muchos centros de trabajo. Sin embargo, en el momento en que estas herramientas comienzan a tratar datos de los empleados, entra en juego la Ley n.º 6698 de Protección de Datos Personales (KVKK). El incumplimiento de sus obligaciones puede derivar en sanciones del Consejo, reclamaciones de los empleados y daños reputacionales significativos. Para conocer el marco general de la KVKK, puede consultar nuestra guía de cumplimiento de la KVKK.

¿Qué Datos de Empleados Tratan las Herramientas de IA?

El volumen de datos que se tratan suele ser mucho mayor de lo que los empleadores anticipan. Las herramientas de IA habitualmente utilizadas hoy en día pueden procesar: nombre y datos de contacto, contenido de las comunicaciones por correo electrónico —quién escribe a quién y cuándo—, registros de uso de dispositivos, puntuaciones de productividad, datos de localización de trabajadores en remoto y, en determinados casos, datos biométricos —sistemas de fichaje por reconocimiento facial, herramientas de transcripción de voz o datos de dispositivos wearables—.

Los datos biométricos merecen una mención especial. El artículo 6 de la KVKK los clasifica como datos personales de categoría especial, cuyo tratamiento está prohibido con carácter general. Para levantar esa prohibición se requiere el consentimiento explícito del empleado o la existencia de alguna de las excepciones legales taxativamente previstas, así como la adopción de las medidas de seguridad adecuadas determinadas por el Consejo de Protección de Datos. Los empleadores que deseen implantar sistemas de fichaje por reconocimiento facial o herramientas de análisis de voz con IA deben satisfacer estos requisitos con carácter previo.

¿Cuál es la Base Jurídica Correcta bajo la KVKK?

El artículo 5 de la KVKK exige que cualquier tratamiento de datos personales cuente con una base jurídica válida. El consentimiento explícito es teóricamente una opción, pero su fiabilidad jurídica en el contexto laboral es limitada: dado que el empleado puede no estar en condiciones de rechazar libremente la solicitud de su empleador, el consentimiento obtenido puede no considerarse verdaderamente «libre».

Para las aplicaciones de IA en el lugar de trabajo, las bases jurídicas más sólidas son las siguientes:

• Ejecución del contrato (art. 5/2/c): los datos estrictamente necesarios para celebrar o ejecutar el contrato de trabajo —las nóminas son el ejemplo más claro—.
• Obligación legal (art. 5/2/ç): el tratamiento impuesto por la legislación laboral, la normativa de prevención de riesgos laborales o la normativa fiscal.
• Interés legítimo (art. 5/2/f): el interés operativo legítimo del empleador; no obstante, para que esta base sea válida, el tratamiento no debe perjudicar los derechos y libertades fundamentales del empleado, y debe documentarse una prueba de proporcionalidad. Es la base más frecuente en los sistemas de supervisión de la productividad.

Conclusión práctica: una estrategia que se apoye exclusivamente en el consentimiento del empleado para las aplicaciones rutinarias de IA en el trabajo es arriesgada bajo la KVKK. Identifica una base jurídica institucional y documenta la justificación.

Deber de Información Antes de Activar el Sistema

Antes de poner en marcha cualquier herramienta de IA que trate datos de empleados, el responsable del tratamiento está obligado a informarles de acuerdo con el artículo 10 de la KVKK. Esta información debe incluir: la identidad del responsable del tratamiento, las finalidades del tratamiento, las personas a quienes pueden cederse los datos, el método de recopilación y la base jurídica utilizada, y los derechos de los empleados reconocidos en el artículo 11.

Esto significa que debe actualizar el aviso de privacidad del lugar de trabajo para que sea específico a la herramienta de IA en cuestión; las fórmulas genéricas no satisfacen el artículo 10. Para entender la diferencia entre el aviso de privacidad y el consentimiento explícito, consulte nuestro artículo sobre la separación entre deber de información y consentimiento bajo la KVKK. Si la herramienta transfiere datos de empleados fuera de Turquía, esa transferencia también debe dotarse de una base jurídica independiente y evaluarse conforme a las reglas de transferencia internacional de datos.

Derechos de los Empleados que No Pueden Suprimirse por Contrato

El artículo 11 de la KVKK reconoce a todo interesado —incluidos los empleados— derechos que no pueden eliminarse mediante el contrato de trabajo. Estos derechos comprenden: saber si sus datos están siendo tratados, obtener información sobre el tratamiento si este se está produciendo, solicitar la corrección de datos inexactos y, cuando desaparezca la base jurídica, solicitar la supresión.

En el entorno de la IA, destaca especialmente un derecho: el derecho a oponerse a las decisiones adoptadas exclusivamente mediante sistemas automatizados (art. 11/g). Si una evaluación del desempeño, una medida disciplinaria o una propuesta de extinción del contrato se basan únicamente en el output de un algoritmo y se ejecutan sin intervención humana, el empleado afectado puede ejercitar este derecho. En tal caso, el empleador podría enfrentarse a responsabilidades tanto bajo la KVKK como bajo el Derecho laboral. Esto no significa que no pueda usarse IA en los procesos de recursos humanos; significa que las decisiones significativas deben contar con aprobación humana antes de llevarse a efecto.

Preguntas Frecuentes

P: ¿Podemos proteger jurídicamente la supervisión con IA obteniendo el consentimiento explícito de los empleados?

Apoyarse únicamente en el consentimiento explícito entraña riesgos. El desequilibrio de poder propio de la relación laboral puede hacer que el consentimiento del empleado no sea considerado verdaderamente libre en el sentido de la KVKK. Las bases objetivas como el interés legítimo o la obligación legal suelen ofrecer un fundamento más sólido.

P: Usamos un servicio de IA con sede en EE. UU. que trata las comunicaciones por correo de nuestros empleados. ¿Se aplica la KVKK?

Sí. La KVKK se aplica siempre que los empleados cuyos datos se tratan se encuentren en Turquía, con independencia de dónde esté ubicado el proveedor de la herramienta. Además, la transferencia de datos al extranjero requiere su propio cumplimiento normativo.

P: ¿Puede un empleado impugnar una puntuación de desempeño generada por una IA?

Sí, en virtud del artículo 11/g de la KVKK: si la puntuación fue generada exclusivamente por sistemas automatizados y tiene consecuencias concretas —como la limitación de una bonificación o la apertura de un expediente disciplinario—, debe existir supervisión humana antes de ejecutar la medida.

P: ¿Qué debemos hacer para implantar un sistema de fichaje por reconocimiento facial?

El reconocimiento facial constituye tratamiento de datos biométricos en el sentido del artículo 6 de la KVKK. Es obligatorio contar con consentimiento explícito o con alguna de las excepciones legales de aplicación restringida, adoptar las medidas de seguridad exigidas por el Consejo y cumplir el deber de información del artículo 10.

Cómo Puede Ayudarle Mona Hukuk

Mona Hukuk, con sede en Antalya, asesora tanto a empleadores como a empleados en materia de cumplimiento de la KVKK en el uso de herramientas de IA en el lugar de trabajo: redacción de avisos de privacidad, determinación de la base jurídica adecuada y gestión de los procedimientos ante el Consejo.

Para concertar una consulta en Antalya, escríbanos a info@monahukuk.com o llámenos al +90 (242) 606 14 32.