A inteligência artificial já pode apoiar diferentes etapas da gestão de pessoas. Sistemas analisam currículos, recomendam conteúdos de treinamento, organizam informações, identificam padrões em indicadores e ajudam o RH a acompanhar grandes volumes de dados com mais agilidade.
Essa capacidade também amplia a responsabilidade das empresas. O setor concentra informações profissionais, financeiras, comportamentais e cadastrais que acompanham uma pessoa desde a candidatura a uma vaga até seu eventual desligamento. Dependendo do processo, também podem ser tratados dados biométricos, informações de saúde e outros dados pessoais sensíveis.
Por isso, adotar uma ferramenta não significa apenas avaliar funcionalidades, velocidade ou precisão. A empresa precisa compreender quais informações serão utilizadas, para qual finalidade, quem terá acesso, como os resultados serão aplicados e quais riscos podem surgir para os titulares.
A relação entre IA no RH e LGPD começa antes da contratação da tecnologia. Ela precisa estar presente na definição do projeto, na escolha dos dados, nos contratos com fornecedores, nos testes e na supervisão das decisões produzidas pelo sistema.
O debate sobre uma regulamentação mais ampla da inteligência artificial continua em desenvolvimento no Brasil. Independentemente de novas regras, a Lei Geral de Proteção de Dados Pessoais (LGPD) já se aplica quando sistemas de IA coletam, armazenam, analisam, compartilham ou utilizam dados relacionados a pessoas identificadas ou identificáveis.
A LGPD determina que o tratamento observe princípios como finalidade, adequação, necessidade, transparência, segurança, prevenção, não discriminação e responsabilização. Isso significa que a organização precisa explicar por que utiliza os dados, limitar o tratamento ao necessário e demonstrar as medidas adotadas para proteger os titulares.
Na prática, não basta afirmar que as informações estão sendo usadas para "melhorar o RH". A finalidade precisa ser específica. Triar candidatos, recomendar uma trilha de aprendizagem, identificar riscos de rotatividade e apoiar uma avaliação de desempenho são atividades diferentes, com dados, impactos e justificativas próprias.
Uma mesma base de dados também não deve ser reutilizada automaticamente para qualquer novo objetivo. Informações coletadas para administrar a folha de pagamento, por exemplo, não podem ser transferidas para um modelo de análise comportamental sem que a empresa avalie a compatibilidade da finalidade, a hipótese legal e os riscos envolvidos.
Todo tratamento de dados pessoais precisa estar apoiado em uma das hipóteses previstas na LGPD. O consentimento é apenas uma delas. Dependendo da situação, o tratamento pode estar relacionado ao cumprimento de obrigação legal, à execução de contrato, ao exercício regular de direitos ou ao legítimo interesse, entre outras possibilidades previstas na lei.
A escolha não pode ser genérica nem baseada na maior conveniência para a empresa. Cada uso precisa ser analisado conforme sua finalidade, os dados envolvidos, a relação com o titular e o impacto que o resultado pode produzir.
Quando o tratamento se apoia no legítimo interesse, é necessário avaliar se existe uma finalidade legítima e específica, se os dados são realmente necessários e se os direitos e as expectativas do titular não prevalecem sobre o interesse da organização. A Autoridade Nacional de Proteção de Dados (ANPD) recomenda um teste de balanceamento que considere finalidade, necessidade, impactos e salvaguardas.
O cuidado deve ser ainda maior com dados pessoais sensíveis. A LGPD estabelece condições específicas para informações sobre origem racial ou étnica, convicção religiosa, opinião política, saúde, vida sexual, dados genéticos e biométricos vinculados a uma pessoa. O legítimo interesse, por exemplo, não é uma hipótese aplicável ao tratamento desses dados.
Antes de alimentar um sistema, a empresa precisa responder a uma pergunta básica: estes dados são necessários para alcançar a finalidade declarada? Se a resposta não estiver clara, o tratamento ainda não está suficientemente estruturado.
A capacidade de processar grandes bases pode criar a impressão de que quanto mais dados forem oferecidos ao sistema, melhor será o resultado. Essa lógica contraria o princípio da necessidade, que limita o tratamento ao mínimo pertinente, proporcional e não excessivo para a finalidade informada.
No RH, o risco aparece quando currículos completos, avaliações, registros de ponto, informações salariais, históricos médicos e comunicações internas são reunidos sem que exista uma justificativa para cada categoria.
Também merece atenção o uso de ferramentas generativas abertas. Inserir dados de candidatos ou colaboradores em um sistema externo pode representar compartilhamento com outro agente de tratamento e, dependendo da infraestrutura do fornecedor, envolver armazenamento ou transferência internacional.
Por isso, a empresa precisa conhecer as condições da plataforma. É necessário verificar se os dados enviados serão mantidos, utilizados para treinamento, compartilhados com terceiros ou processados em outros países. Também deve existir uma regra interna que determine quais informações podem ser inseridas e quais ambientes são autorizados.
A minimização de dados reduz exposição e melhora a governança. Em diversos casos, a análise pode utilizar informações agregadas, anonimizadas ou pseudonimizadas, sem revelar diretamente a identidade dos profissionais. Ainda assim, a organização precisa avaliar se existe possibilidade razoável de reidentificação antes de considerar que a informação deixou de ser pessoal.
A inteligência artificial pode ajudar a priorizar currículos, recomendar candidatos, sugerir movimentações, identificar necessidades de treinamento ou classificar perfis. O risco aumenta quando a recomendação se transforma automaticamente em uma decisão capaz de excluir uma pessoa de uma oportunidade ou afetar sua trajetória profissional.
O artigo 20 da LGPD garante ao titular o direito de solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses. O dispositivo inclui decisões destinadas a definir o perfil profissional ou aspectos da personalidade. A lei também permite que o titular solicite informações claras sobre os critérios e procedimentos utilizados, preservados os segredos comercial e industrial.
Isso não significa que a empresa precise revelar códigos, algoritmos ou propriedade intelectual. Significa que deve ser capaz de explicar quais fatores tiveram influência relevante no resultado e oferecer um canal para que a pessoa conteste informações incorretas ou uma conclusão inadequada.
A própria ANPD mantém o tratamento automatizado entre os temas prioritários de sua agenda regulatória e vem discutindo transparência algorítmica e aplicação do direito de revisão. Em junho de 2026, a Agência voltou a destacar os desafios jurídicos relacionados à contestação de decisões automatizadas.
Mesmo quando a decisão final não é totalmente automatizada, a supervisão precisa ser real. Uma pessoa que apenas confirma o resultado do sistema, sem compreender seus critérios ou ter autonomia para discordar, não oferece uma revisão efetiva.
A IA aprende a partir das informações, regras e exemplos que recebe. Se os dados históricos refletem decisões desiguais, critérios subjetivos ou pouca diversidade, o sistema pode repetir esses padrões em escala.
Esse problema nem sempre aparece de maneira explícita. Uma ferramenta pode não utilizar diretamente informações como gênero, raça, deficiência ou idade, mas considerar variáveis que funcionam como substitutos indiretos e acabam produzindo efeitos desproporcionais sobre determinados grupos.
A LGPD estabelece o princípio da não discriminação e determina que o tratamento não seja realizado para fins discriminatórios ilícitos ou abusivos. A adoção de IA no RH deve, portanto, incluir testes capazes de comparar resultados entre grupos, identificar distorções e revisar variáveis que não possuem relação justificável com a finalidade do processo.
A qualidade do dado também interfere na justiça da decisão. Currículos desatualizados, avaliações inconsistentes e registros incompletos podem levar a recomendações incorretas. Por isso, a organização precisa acompanhar tanto o desempenho técnico do sistema quanto os impactos produzidos sobre pessoas reais.
A inteligência artificial pode reduzir algumas formas de subjetividade, mas não elimina vieses automaticamente. Decisões mais justas dependem de dados confiáveis, critérios documentados e acompanhamento humano.
Muitas soluções de IA utilizadas pelo RH são desenvolvidas ou hospedadas por terceiros. A contratação não transfere toda a responsabilidade pelo tratamento dos dados.
Em termos gerais, a organização que define a finalidade e os elementos essenciais do tratamento atua como controladora. O fornecedor pode assumir o papel de operador quando processa as informações em nome e conforme as instruções da contratante. A classificação, porém, depende das atividades efetivamente realizadas, e não apenas do nome utilizado no contrato.
A avaliação do fornecedor precisa considerar controles de acesso, criptografia, registros de atividade, localização do processamento, subcontratados, prazos de retenção e procedimentos para exclusão ou devolução dos dados. O contrato deve definir responsabilidades, limites de uso, medidas de segurança e deveres em caso de incidente.
Também é importante compreender como o modelo foi desenvolvido. A empresa deve questionar quais dados foram utilizados no treinamento, como a solução foi testada, quais limitações são conhecidas e que mecanismos permitem corrigir resultados inadequados.
Uma demonstração comercial pode comprovar que o sistema funciona. Ela não demonstra, sozinha, que a ferramenta é segura, proporcional ou adequada ao contexto da organização.
Nem toda aplicação de IA produz o mesmo nível de impacto. Um sistema que organiza documentos internos apresenta riscos diferentes de uma ferramenta que elimina candidatos, analisa dados biométricos ou recomenda desligamentos.
A ANPD recomenda a elaboração do Relatório de Impacto à Proteção de Dados Pessoais (RIPD) quando uma operação pode gerar alto risco aos direitos e às liberdades dos titulares. O documento descreve os dados tratados, as finalidades, a metodologia, os riscos e as medidas de mitigação adotadas.
Entre os critérios que podem indicar alto risco estão o tratamento em larga escala, o uso de tecnologias emergentes ou inovadoras, a utilização de dados pessoais sensíveis e as decisões tomadas unicamente com base em tratamento automatizado. A combinação desses fatores merece atenção especial no RH, área em que uma decisão pode afetar acesso ao emprego, remuneração, desenvolvimento ou permanência na organização.
O relatório deve ser elaborado preferencialmente antes do início do tratamento, quando ainda é possível modificar o projeto. Se a avaliação ocorre apenas depois da implementação, a empresa pode descobrir riscos quando contratos, integrações e decisões já estão em andamento.
O RIPD não deve ser tratado como um documento produzido uma única vez. Alterações no modelo, nas fontes de dados, nas finalidades ou no perfil de risco exigem nova análise.
A segurança não termina na escolha de uma plataforma confiável. Ela depende de controles internos que acompanhem coleta, acesso, compartilhamento, armazenamento e eliminação das informações.
Perfis de acesso precisam refletir responsabilidades reais. Um gestor não deve consultar dados médicos ou salariais apenas porque ocupa uma posição de liderança. Da mesma forma, profissionais envolvidos em recrutamento não precisam necessariamente visualizar todo o histórico de um candidato ou colaborador.
Registros de atividade, autenticação, revisão periódica de permissões, backups e procedimentos de resposta a incidentes ajudam a reduzir riscos e demonstrar a responsabilidade da organização.
A Resolução nº 15/2024 da ANPD determina que incidentes capazes de ocasionar risco ou dano relevante sejam comunicados pela controladora à Agência e aos titulares no prazo de três dias úteis, salvo prazo específico previsto em outra legislação. O regulamento também exige a manutenção dos registros de incidentes por pelo menos cinco anos.
O RH precisa participar desse planejamento porque conhece a natureza das informações e os possíveis impactos para candidatos, colaboradores e dependentes. Jurídico, tecnologia da informação, segurança e o encarregado pelo tratamento de dados pessoais também devem atuar de forma integrada.
Um projeto responsável começa com um caso de uso claramente definido. A empresa identifica o problema, delimita a finalidade, mapeia os dados necessários e estabelece a hipótese legal antes de escolher ou configurar o sistema.
Em seguida, deve avaliar os fornecedores, testar a qualidade dos resultados, verificar possíveis efeitos discriminatórios e definir como as pessoas serão informadas. Também precisa criar um procedimento para correção de dados, contestação e revisão das decisões.
A implantação pode começar com um projeto-piloto, acompanhado por indicadores técnicos e humanos. Além da precisão, é necessário observar quantas recomendações são revistas, quais grupos são mais afetados, quais erros se repetem e como candidatos, colaboradores e gestores percebem o processo.
O monitoramento deve continuar após a entrada em produção. Modelos podem perder qualidade, dados podem mudar e novos riscos podem surgir. Conformidade com a LGPD não é uma aprovação definitiva, mas uma prática contínua de governança.
Com o Benner RH, as organizações podem centralizar processos e informações da jornada dos colaboradores, reduzindo a dispersão de dados entre planilhas e sistemas desconectados.
A gestão unificada contribui para estabelecer acessos por perfil, ampliar a rastreabilidade das movimentações e utilizar informações mais consistentes em processos como recrutamento, desenvolvimento, desempenho e administração de pessoal. Essa estrutura cria uma base mais segura para a automação e para o uso responsável de inteligência artificial.
A relação entre IA no RH e LGPD não deve ser vista como um obstáculo à inovação. Regras claras, dados confiáveis e supervisão adequada permitem que a tecnologia seja utilizada com mais segurança e gere resultados que possam ser explicados, revisados e sustentados ao longo do tempo.
Fale com um especialista da Benner RH e entenda como integrar processos, dados e tecnologia para construir uma gestão mais segura, inteligente e preparada para o uso responsável da inteligência artificial.
Preencha os campos abaixo e fale agora mesmo com a nossa equipe pelo WhatsApp.
