Control horario con IA: cuándo tu fichaje es 'alto riesgo'

Muchas pymes que renuevan su control horario se fijan solo en el RD-ley 8/2019: que registre entrada y salida, que sea trazable, que aguante una inspección. Pero cada vez más proveedores añaden “IA” a la ficha del producto —detección de fraude en el fichaje, predicción de absentismo, reconocimiento facial en lugar de tarjeta— sin que nadie se pregunte si eso cambia de régimen legal el sistema. En Evicron, estudio de IA y software a medida de Barcelona, lo vemos al evaluar herramientas para clientes: la pregunta que falta no es “¿cumple el registro de jornada?”, sino “¿qué tipo de sistema de IA es esto, según el Reglamento europeo?”.

Un lector de huella no es “IA de alto riesgo” por sí solo

El Reglamento de IA (AI Act) clasifica como alto riesgo los sistemas del Anexo III dedicados a “empleo, gestión de trabajadores y acceso al autoempleo”, una categoría que incluye explícitamente los sistemas destinados a supervisar y evaluar el rendimiento y el comportamiento de las personas trabajadoras. Ahí es donde muchos productos de control horario “con IA” entran sin que el fabricante lo anuncie: un panel que puntúa la puntualidad, detecta patrones de fichaje “sospechosos” o predice qué empleados van a pedir baja no es solo un reloj de fichar, es un sistema que influye en decisiones sobre personas.

La distinción importa porque no es automática. Un lector de huella o un reconocimiento facial que solo registra la hora de entrada, sin inferir ni puntuar nada, no convierte al sistema en “IA de alto riesgo” del Anexo III —ahí no hay decisión automatizada sobre la persona—. Pero sí activa otra normativa, independiente del Reglamento de IA: la de datos biométricos.

La biometría no espera al Reglamento de IA: ya la regula la AEPD

La Agencia Española de Protección de Datos publicó una guía específica sobre control de presencia biométrico que sigue vigente y se aplica hoy, al margen de cualquier plazo del AI Act. Su criterio, resumido: la huella dactilar o el reconocimiento facial son datos de categoría especial, y usarlos para fichar rara vez supera el test de necesidad y proporcionalidad frente a alternativas menos intrusivas —tarjeta NFC, PIN, app—. La AEPD también ha dejado claro que el consentimiento del trabajador no vale como base legal, porque la relación de subordinación laboral impide que sea realmente libre. En la práctica, esto obliga a documentar una evaluación de impacto antes de instalar cualquier sistema biométrico de fichaje, como recoge también el análisis de PwC sobre este criterio.

Qué se exige ya y qué tiene margen hasta 2027

Conviene no mezclar tres calendarios distintos:

• RD-ley 8/2019 (registro de jornada): en vigor desde 2019, exigible hoy, sin relación directa con IA.
• Transparencia del Reglamento de IA (artículo 50): exigible desde el 2 de agosto de 2026, y ya sancionable por AESIA. Si tu sistema usa IA para tomar o sugerir decisiones sobre el personal, avisar de ello ya no es opcional.
• Alto riesgo del Anexo III (incluida la supervisión de rendimiento): tiene margen de adaptación hasta el 2 de diciembre de 2027, pero eso solo aplaza el papeleo completo —evaluación de conformidad, supervisión humana documentada—, no exime de empezar a clasificar el sistema ya.
• Biometría (AEPD): no depende de ningún plazo del Reglamento de IA. Si ya fichas con huella o cara, la obligación de justificar necesidad y proporcionalidad es de hoy.

Cuatro preguntas para auditar tu control horario

1. ¿El sistema toma una fotografía biométrica de cada fichaje (huella, cara) o solo usa tarjeta, PIN o app? Si es lo primero, necesitas la evaluación de impacto de la AEPD antes de seguir usándolo.
2. ¿Alguna función del panel “puntúa”, “detecta anomalías” o “predice” algo sobre una persona concreta, más allá de sumar horas? Si sí, probablemente entras en el Anexo III de empleo.
3. ¿El proveedor documenta qué modelo usa y cómo llega a esas conclusiones? Si no puede explicártelo, tampoco podrás explicárselo tú a la Inspección de Trabajo ni a AESIA.
4. ¿Hay una alternativa menos intrusiva que cubriría el mismo objetivo —control de presencia fiable— sin biometría ni scoring? Si la hay, es la que exige usar la AEPD.

Si tu empresa falla en la primera o la segunda pregunta, no es motivo de pánico —el Anexo III da margen hasta 2027—, pero sí es el momento de empezar a documentar, no de esperar a que llegue una inspección para averiguarlo.

Cómo lo enfocamos en Evicron

Desarrollamos y mantenemos QWorker, nuestro software de control horario: fichaje por móvil, navegador o NFC compartido, con firma digital semanal y trazabilidad completa, sin biometría ni scoring de comportamiento. Es una decisión deliberada: cubre lo que exige el RD-ley 8/2019 sin añadir una capa de riesgo regulatorio que la mayoría de pymes no necesita ni quiere gestionar.

Si tu empresa ya usa —o está valorando— fichaje biométrico o un panel con detección de anomalías, en consultoría de IA para empresas revisamos primero qué tipo de sistema es realmente según el Reglamento de IA y la AEPD, antes de recomendar si conviene mantenerlo, ajustarlo o sustituirlo. Lo relacionado ya lo cubrimos con detalle en nuestra guía sobre qué exige la AESIA y cómo sanciona y en la clasificación completa de niveles de riesgo del Reglamento de IA.

En resumen

No todo control horario “con IA” es un sistema de alto riesgo, pero tampoco es neutro por defecto: si puntúa, detecta patrones o predice comportamiento de una persona trabajadora, entra en el Anexo III de empleo del Reglamento de IA; si usa huella o cara, entra en el terreno —ya exigible hoy— de la AEPD. Confundir “tiene IA” con “cumple la ley” es el error más caro de detectar tarde.

¿Quieres que revisemos si tu control horario actual —con o sin IA— está en el lado correcto de esta ecuación? Escríbenos: la primera consultoría es gratuita y respondemos en menos de 24 horas.