Em resumo:
- Quando uma ferramenta de IA trata dados pessoais de candidatos ou colaboradores, como currículos, avaliações e registros de ponto, a LGPD se aplica, inclusive quando a equipe utiliza ferramentas públicas.
- A multa simples pode chegar a 2% do faturamento no Brasil, limitada a R$ 50 milhões por infração, conforme as condições do artigo 52 da LGPD.
- Candidatos e colaboradores devem receber informações claras sobre o tratamento de seus dados, incluindo finalidades, compartilhamentos e canais para exercer seus direitos.
- Usar IA para apoiar a triagem de candidaturas não é proibido. Decisões exclusivamente automatizadas que afetem os interesses do titular estão sujeitas ao direito de revisão previsto no artigo 20 da LGPD.
Triar candidaturas, identificar riscos de desligamento e cruzar resultados de avaliações são usos da inteligência artificial no RH que podem envolver dados pessoais. Antes de implementar essas ferramentas, o RH precisa definir como as informações serão utilizadas e protegidas, com uma base legal adequada e procedimentos para atender aos titulares.
Por que a LGPD se aplica ao uso de IA no RH?
Informações relacionadas a uma pessoa identificada ou identificável são dados pessoais. Sua proteção deve ser considerada tanto em sistemas aprovados pela empresa quanto em ferramentas públicas utilizadas pelas equipes. Contratar um fornecedor externo não elimina as responsabilidades da organização pelo tratamento que determina.
Um currículo, um resultado de entrevista, um registro de ponto ou um comentário de avaliação pode conter dados pessoais. A escolha da ferramenta precisa considerar finalidade, necessidade, transparência, segurança e prevenção.
Antes de implementar a IA, o RH deve avaliar cinco riscos recorrentes:
- Tratamento sem base legal adequada ou sem finalidade definida.
- Coleta de informações além do necessário, sem avaliar medidas para reduzir a identificação das pessoas.
- Inserção de dados em ferramentas que possam reutilizá-los para treinar modelos ou para outras finalidades.
- Falta de informação sobre o uso de algoritmos em análises que envolvem candidatos ou colaboradores.
- Dificuldade para atender pedidos de acesso, correção, eliminação ou revisão de decisões automatizadas, quando aplicáveis.
Esses riscos precisam ser avaliados antes do início do tratamento e acompanhados durante o uso da ferramenta.
Qual base legal permite tratar dados de RH com IA?
A LGPD exige uma hipótese legal adequada à finalidade e aos dados utilizados. A análise muda conforme a operação: contratar uma ferramenta de IA não autoriza automaticamente todos os tratamentos que ela permite realizar.
Legítimo interesse do empregador
O legítimo interesse pode fundamentar determinados usos de dados pessoais, desde que sejam necessários e respeitem os direitos e as expectativas legítimas dos titulares. É preciso avaliar a finalidade, a necessidade e o equilíbrio entre os interesses envolvidos, conforme as orientações da ANPD. Essa base não se aplica a dados pessoais sensíveis.
Execução do contrato de trabalho
Essa hipótese exige que o tratamento seja necessário à execução de contrato ou a procedimentos preliminares relacionados a ele, a pedido do titular. Não cobre qualquer análise sobre o colaborador: classificações comportamentais e novas finalidades precisam ser avaliadas separadamente.
Cumprimento de obrigação legal ou regulatória
Obrigações trabalhistas, previdenciárias e fiscais podem justificar tratamentos de dados no RH. É preciso identificar a obrigação correspondente. Reutilizar essas informações em uma análise adicional com IA exige verificar se a nova operação também está amparada.
Consentimento do colaborador ou candidato
O consentimento deve ser livre, informado e inequívoco, para uma finalidade determinada. A relação de subordinação exige avaliar se existe liberdade real de escolha. Um aceite genérico não substitui a definição da base legal adequada.
Transparência com colaboradores e candidatos antes da implementação
Candidatos e colaboradores devem receber informações acessíveis sobre o tratamento de seus dados. A comunicação precisa explicar as finalidades, os compartilhamentos e os canais de atendimento. Quando a IA participa de uma análise sobre a pessoa, apresente sua função real no processo.
Revise os avisos de privacidade e as orientações internas antes da implementação. RH, TI, segurança e privacidade devem alinhar as condições de uso, inclusive em processos de entrevista por voz com IA.
Verifique também os impactos trabalhistas e os instrumentos coletivos aplicáveis. Mudanças em avaliação, monitoramento ou organização do trabalho podem exigir análises específicas. Definir responsáveis e procedimentos antes da adoção facilita o acompanhamento dos efeitos da ferramenta.
Decisões automatizadas: o que diz o artigo 20 da LGPD?
O artigo 20 garante o direito de solicitar a revisão de decisões tomadas unicamente com base no tratamento automatizado de dados pessoais que afetem os interesses do titular, incluindo a definição de perfil profissional.
No uso da inteligência artificial no recrutamento e seleção, uma rejeição exclusivamente automatizada pode envolver esse direito. O processo deve permitir o recebimento e a análise das solicitações.
Quando solicitado, o controlador deve fornecer informações claras sobre os critérios e procedimentos utilizados, respeitados os segredos comercial e industrial. Consulte as orientações da ANPD sobre os direitos dos titulares.
A supervisão humana é uma salvaguarda recomendável para decisões relevantes. O responsável precisa conseguir examinar o resultado, identificar erros e reconsiderar a conclusão. Apenas confirmar a recomendação do sistema não oferece uma análise efetiva.
Como avaliar fornecedores de inteligência artificial?
Antes de contratar, esclareça os papéis de cada parte e as condições de tratamento. Avalie se as funcionalidades e configurações atendem ao uso pretendido. Recursos de segurança precisam fazer parte da análise desde a escolha do fornecedor.
Verifique controles de acesso, retenção, descarte e suporte aos titulares. Confira se os dados podem ser reutilizados para treinar modelos, quais terceiros terão acesso e onde ocorrerá o tratamento. Havendo transferência internacional, avalie os requisitos aplicáveis.
A Política de IA da Bizneo HR apresenta os princípios adotados para seus sistemas, incluindo supervisão humana, transparência, prevenção de vieses, proteção de dados e rastreabilidade.
LGPD e governança de IA: obrigações que se complementam
A governança de IA deve integrar os processos de proteção de dados. A utilização da tecnologia não afasta a LGPD. Defina usos autorizados, responsáveis, critérios de avaliação e medidas para acompanhar os resultados.
A ANPD recomenda elaborar o Relatório de Impacto à Proteção de Dados Pessoais (RIPD) quando o tratamento puder representar alto risco. O documento descreve riscos e medidas para reduzi-los.
As orientações da ANPD sobre o RIPD ajudam a avaliar sua elaboração, considerando os possíveis impactos sobre candidatos e colaboradores.
| Referência | Obrigação ou medida | Aplicação no RH |
|---|---|---|
| LGPD: bases legais e princípios | Definir o fundamento e limitar o tratamento à finalidade necessária | Avaliar cada uso de dados |
| LGPD: artigo 20 | Atender pedidos de revisão de decisões exclusivamente automatizadas que afetem interesses | Organizar canais e procedimentos de atendimento |
| Orientações da ANPD sobre o RIPD | Documentar riscos e medidas de proteção | Avaliar o relatório em tratamentos de alto risco |
Como um software de RH ajuda a reduzir os riscos?
Uma implementação responsável combina tecnologia, processos e pessoas preparadas. A IA da Bizneo HR apoia diferentes atividades de RH, com princípios de supervisão humana definidos em sua política.
- Recrutamento: recursos de IA apoiam triagem, entrevistas e classificação de candidatos. A empresa deve definir critérios e responsáveis pela análise dos resultados.
- Avaliações: a IA cruza competências, comentários e objetivos para apoiar a avaliação de desempenho. Os resultados precisam ser interpretados conforme o contexto do colaborador.
A Bizneo HR informa possuir as certificações ISO 27001, ISO 9001 e ISO/IEC 42001, com dados hospedados na União Europeia. A empresa usuária também deve avaliar seus processos e permissões.
