Subes tu CV a una herramienta de IA que anuncia «conforme con el RGPD». La empresa es española o europea, el sello está bien visible, sigues adelante. Mira la infraestructura y encontrarás a menudo OpenAI, AWS us-east-1, Azure West US. La empresa está en Europa. Tus datos, no.
Qué cubre «conforme con el RGPD» y qué no dice
La conformidad abarca dos cosas muy distintas que es fácil confundir. La primera es organizativa: contrato de encargo de tratamiento, política de privacidad, delegado de protección de datos, procedimiento de notificación de brechas. Casi todos cumplen esta parte.
La segunda es más exigente: la transferencia de datos en sí. Los artículos 44 a 49 del RGPD regulan la salida de datos personales fuera de la Unión. Cuando una empresa europea envía tu CV a un modelo alojado en Virginia, está provocando una transferencia internacional. Que sea lícita depende de las cláusulas contractuales tipo firmadas con el proveedor. Que sea lo que tú aceptabas es otra cuestión.
El problema práctico está ahí: la mención casi siempre figura en la política de privacidad, en el apartado de subencargados. Nadie lo lee.
Cómo comprobarlo en dos minutos
En cualquier herramienta, busca la política de privacidad y luego la lista de subencargados. Los nombres que importan son los de proveedores de modelos y de alojamiento: OpenAI, Anthropic, Google, Amazon Web Services, Microsoft Azure. Si aparece alguno sin mención expresa de una región europea, tu CV sale de la Unión. Una empresa con domicilio en Madrid que llama a un modelo estadounidense sigue siendo española, pero tus datos han viajado.
Segundo reflejo: busca el país de alojamiento. «Servidores en Europa» no dice nada sobre el modelo que procesa el texto. Son dos capas distintas, y es el modelo el que lee tu CV.
Por qué un CV es un documento especialmente sensible
Un CV concentra una densidad poco habitual de datos personales: identidad completa, datos de contacto, ciudad de residencia, historial laboral fechado con nombres de empresas, formación, a menudo elementos que permiten deducir la edad, y a veces información familiar o de salud en la carta de presentación.
Para un directivo que se postula en un sector regulado, banca, seguros, sanidad, defensa, el propio historial laboral puede ser sensible: las empresas para las que ha trabajado, los cargos ocupados, los proyectos dirigidos. Todo eso está en el archivo que subes a un servicio de terceros.
La AEPD recuerda con regularidad que los datos de candidatura responden a una finalidad concreta y a un plazo de conservación limitado. Una herramienta que manda tu CV a un modelo estadounidense no vulnera necesariamente ese principio, pero alarga la cadena, y cada eslabón añadido es un eslabón que ya no controlas.
El reglamento europeo de IA añade otra capa
En vigor desde agosto de 2024, clasifica como de alto riesgo los sistemas de IA usados en empleo y selección de personal. Esa calificación conlleva obligaciones de transparencia, documentación y supervisión humana. Las herramientas que analizan CV o puntúan candidatos entran de lleno en esa categoría. Usar un modelo no europeo no implica automáticamente incumplimiento, pero complica la cadena de responsabilidad el día que algo sale mal.
Qué significa soberanía en concreto
Soberano no describe el domicilio social, sino cada capa de la cadena técnica. En el caso de Job-Agent:
El modelo: Mistral Small, creado por Mistral AI, empresa francesa fundada en París en 2023. La inferencia se ejecuta en Scaleway Generative APIs, en centros de datos franceses, bajo derecho francés y europeo, sin dependencia de infraestructura cloud estadounidense.
La infraestructura: Scaleway, proveedor francés que opera únicamente en regiones europeas. Base de datos de producción, almacenamiento y contenedores están en París.
Resultado: cuando subes un CV y una oferta, todo el análisis, lectura del anuncio, evaluación del perfil y reescritura del CV, ocurre dentro de la Unión. Tus datos no salen.
Lo que nos cuesta, con honestidad
Mistral Small es un modelo de 24.000 millones de parámetros, no de 200.000 millones. Obtener resultados fiables exige más trabajo: un proceso en varias llamadas, instrucciones muy acotadas y, sobre todo, comprobaciones deterministas escritas en código en lugar de encomendadas al modelo. Es una decisión de ingeniería más costosa, y asumida.
La razón es sencilla: nuestros usuarios son mayoritariamente profesionales europeos que se postulan a puestos europeos, y hacer pasar sus CV por infraestructura estadounidense porque un modelo americano se integra algo más rápido nos parecía el peor de los intercambios.
A quién le importa esto
Si te postulas en Europa y te importa a dónde van tus datos, o si tu empresa actual regula qué herramientas puedes usar, la pregunta merece hacerse a cada servicio al que confías un CV. No solo al nuestro.
No somos la única opción para adaptar un CV con IA. Probablemente sí seamos la única en la que el modelo, la inferencia y la base de datos están los tres en Europa.