O Guia Completo de Conformidade na Contratação com IA (2026)

O que é a conformidade na contratação com IA?

A conformidade na contratação com IA refere-se ao conjunto de obrigações legais que os empregadores devem cumprir quando utilizam inteligência artificial, algoritmos ou ferramentas automatizadas em qualquer fase do processo de recrutamento. Isto inclui software de triagem de currículos, entrevistas baseadas em chatbots, modelos de pontuação e qualquer ferramenta que filtre ou classifique candidatos sem julgamento humano direto.

A partir de 2026, três quadros regulatórios definem a conformidade na contratação para a maioria dos empregadores no Reino Unido e na UE: o Regulamento Geral sobre a Proteção de Dados (RGPD), a Lei de IA da UE e a legislação sobre o direito ao trabalho. Em conjunto, criam obrigações específicas sobre como os dados dos candidatos são recolhidos, como as decisões automatizadas são tomadas e quem tem autorização para trabalhar.

A conformidade não é um simples exercício de verificação de caixas. As multas são significativas (até 6% do volume de negócios global ao abrigo da Lei de IA da UE) e a atividade de fiscalização está a aumentar. Em 2023, a Comissão Nacional de Proteção de Dados (CNPD) aplicou sanções a empresas que processavam dados pessoais de candidatos sem base jurídica adequada em processos de recrutamento automatizados, sinalizando que as autoridades de controlo aplicam um escrutínio rigoroso aos sistemas algorítmicos que tratam dados pessoais.

Por que 2026 é o ponto de viragem

As obrigações da Lei de IA da UE para sistemas de IA de alto risco, que incluem explicitamente a IA no emprego, tornaram-se aplicáveis em agosto de 2026 para a maioria das organizações. Este não é um requisito futuro. Se está a utilizar IA para triagem, classificação ou pré-seleção de candidatos hoje e opera na UE, o relógio já começou a correr.

Simultaneamente, o controlo da CNPD sobre as decisões algorítmicas no recrutamento intensifica-se, e a consciência dos candidatos sobre os seus direitos ao abrigo do RGPD cresce. Construir agora um processo conforme protege-o de multas, reclamações de candidatos e danos reputacionais.

A Lei de IA da UE e a IA na contratação

A Lei de IA da UE cria um sistema de classificação de risco em quatro níveis para a IA. A IA na contratação situa-se no nível mais regulado: alto risco. O Anexo III da Lei inclui explicitamente a IA utilizada para recrutamento e seleção, incluindo triagem de currículos, classificação de candidatos e avaliação de entrevistas, como aplicações de alto risco.

O que significa a classificação de alto risco na prática

Os empregadores e fornecedores de tecnologia de RH que implementam IA de alto risco no recrutamento devem cumprir um conjunto exigente de obrigações. Não são diretrizes opcionais, são requisitos legais com consequências.

Primeiro, deve ser realizada uma avaliação de conformidade antes de implementar o sistema de IA. Isto envolve documentar o objetivo do sistema, os dados com os quais foi treinado, as suas limitações conhecidas e as medidas tomadas para mitigar preconceitos e erros. Para os empregadores que adquirem ferramentas de terceiros, deve solicitar esta documentação ao seu fornecedor.

Requisito de supervisão humana

Cada sistema de IA de alto risco deve ser concebido para permitir revisão e substituição humana. No contexto da contratação, isto significa que nenhum candidato deve ser rejeitado ou avançado para a fase seguinte com base apenas numa decisão de IA sem que uma pessoa tenha a capacidade real de rever e reverter essa decisão.

Isto não é satisfeito por um processo de aprovação automática em que uma pessoa aprova os resultados da IA sem se envolver genuinamente com os materiais do candidato. A supervisão deve ser substantiva. O ser humano deve ter acesso ao raciocínio da IA e aos dados subjacentes do candidato, e deve ser capaz de chegar a uma conclusão diferente.

Transparência para os candidatos

Os candidatos devem ser informados de que a IA está a ser utilizada na sua avaliação. Esta divulgação deve aparecer antes do início da interação com a IA, na oferta de emprego, no fluxo de candidatura ou num aviso dedicado. A divulgação deve explicar que tipo de IA é utilizada, o que avalia e como o seu resultado é utilizado na decisão de seleção.

RGPD e dados dos candidatos

O RGPD aplica-se a todos os empregadores que tratam dados pessoais de candidatos residentes na UE ou no Reino Unido, independentemente de onde o empregador está sediado. O recrutamento é uma das áreas de maior risco de conformidade ao RGPD porque envolve grandes volumes de dados pessoais sensíveis de indivíduos que não têm qualquer relação preexistente com o empregador.

Base jurídica para o tratamento

O tratamento de dados de candidatos durante o recrutamento ativo baseia-se tipicamente em interesses legítimos (Artigo 6(1)(f)) ou na execução de um contrato (Artigo 6(1)(b), em etapas pré-contratuais). O consentimento raramente é a base certa para o recrutamento: deve ser livremente dado, o que é comprometido pelo desequilíbrio de poder entre o empregador e o candidato a emprego.

Os dados de categoria especial, incluindo saúde, deficiência, origem étnica e crença religiosa, requerem uma base jurídica adicional ao abrigo do Artigo 9, mais comumente o consentimento explícito ou a necessidade para obrigações de direito do trabalho. Se as suas perguntas de triagem ou ferramentas psicométricas recolherem inadvertidamente dados de categoria especial, é necessário documentar esta base adicional.

Minimização de dados e limitação de finalidade

Pode apenas recolher dados de candidatos que sejam necessários para a decisão de recrutamento. Este princípio abrange várias práticas comuns: solicitar a data de nascimento quando a idade não é um requisito genuíno, pedir uma fotografia antes da entrevista ou recolher informações extensivas de redes sociais sem uma ligação clara ao cargo. As ferramentas de triagem baseadas em palavras-chave também podem introduzir preconceitos não intencionais quando recolhem dados substitutivos que se correlacionam com características protegidas.

A limitação de finalidade significa que os dados recolhidos para um cargo não podem ser livremente reutilizados para outro sem uma nova base jurídica. Se quiser reter candidatos rejeitados para oportunidades futuras, isso requer consentimento explícito, e deve respeitar a retirada desse consentimento prontamente.

Períodos de retenção

Não existe um período de retenção único estabelecido pelo RGPD para dados de candidatos. No entanto, o princípio de limitação do armazenamento exige que os dados sejam eliminados quando já não são necessários. Na prática, a maioria das organizações estabelece um período de retenção de seis meses a partir do fim do recrutamento. Algumas estendem para 12 meses para acomodar potenciais reclamações por discriminação.

Independentemente do período que escolher, documente-o no seu aviso de privacidade e aplique-o. Um período de retenção que declara mas não aplica é pior do que não ter nenhum período declarado. Demonstra aos reguladores que sabia o que deveria fazer e escolheu não o fazer.

Decisões automatizadas e Artigo 22 do RGPD

O Artigo 22 do RGPD confere às pessoas o direito de não serem sujeitas a uma decisão baseada exclusivamente no tratamento automatizado que produza efeitos jurídicos ou efeitos igualmente significativos. No contexto da contratação, uma decisão de rejeição ou pré-seleção tomada inteiramente por um algoritmo sem envolvimento humano significativo aciona este direito.

O que aciona o Artigo 22

O teste fundamental é se a decisão se baseia exclusivamente no tratamento automatizado e produz um efeito significativo. A rejeição de uma candidatura a emprego é um efeito significativo. Ser classificado abaixo do limiar de entrevista por um algoritmo e, portanto, nunca ser revisto por um ser humano, também é um efeito significativo, mesmo que o empregador caracterize o processo como assistido por IA em vez de decidido por IA.

Criticamente, o Artigo 22 aplica-se mesmo quando o empregador acredita que um ser humano está envolvido, se essa revisão humana é superficial ou nominal. A CNPD esclareceu que uma pessoa que simplesmente aceita os resultados da IA sem se envolver genuinamente com as informações subjacentes não constitui envolvimento humano significativo.

Salvaguardas necessárias

Quando a tomada de decisões automatizada é utilizada licitamente, seja com o consentimento do candidato ou conforme necessário para celebrar um contrato, três salvaguardas devem estar em vigor. Primeiro, os candidatos devem ser informados de que a tomada de decisões automatizada está a ocorrer e receber informações significativas sobre a lógica envolvida. Segundo, os candidatos devem poder solicitar revisão humana de qualquer decisão automatizada. Terceiro, os candidatos devem poder contestar a decisão e expressar o seu ponto de vista.

Na prática, isto significa construir um mecanismo orientado para o candidato: um aviso claro no fluxo de candidatura, um canal de contacto para pedidos de revisão e um processo interno para lidar com esses pedidos com uma avaliação humana genuína.

Verificações da autorização de trabalho

A legislação sobre o direito ao trabalho exige que os empregadores verifiquem que todos os trabalhadores têm autorização para trabalhar em Portugal antes de o emprego começar. A Lei n.° 23/2007, de 4 de julho (Lei de Imigração), estabelece que contratar cidadãos de países terceiros sem a devida autorização de residência e trabalho constitui uma contraordenação muito grave, com coimas que podem atingir os 30.000 euros por cada trabalhador em situação irregular.

Verificação de identidade digital

Os cidadãos da UE, do EEE e da Suíça beneficiam de livre circulação em Portugal e têm direito a trabalhar sem necessidade de autorização prévia. Os cidadãos de países terceiros devem dispor de uma autorização de residência para fins laborais válida antes do início da relação de trabalho. Os empregadores devem comunicar a contratação à Autoridade para as Condições do Trabalho (ACT) e ao Centro de Emprego competente, conservando a documentação durante toda a vigência do contrato e nos dois anos subsequentes.

A verificação documental é obrigatória antes do início da relação laboral. Em Portugal não existe atualmente um sistema governamental centralizado de verificação digital equivalente ao do Reino Unido. Os empregadores verificam os documentos em suporte físico ou digital emitidos pelas autoridades competentes (autorização de residência, cartão de cidadão UE, passaporte). A utilização de empresas de trabalho temporário certificadas não isenta o empregador utilizador da responsabilidade de verificar a autorização de trabalho.

Regras sobre dados biométricos

Alguns produtos de verificação de identidade digital utilizam comparação facial biométrica, comparando uma selfie ao vivo com a fotografia num documento. Os dados biométricos são dados de categoria especial ao abrigo do RGPD, exigindo uma base jurídica explícita. Para verificações da autorização de trabalho, isto baseia-se tipicamente na necessidade de direito do trabalho ao abrigo do Artigo 9(2)(b) do RGPD.

Se está a recolher dados biométricos como parte do seu processo de contratação, isto deve ser divulgado no seu aviso de privacidade. Os candidatos devem compreender que dados biométricos são recolhidos, como são utilizados e durante quanto tempo são retidos. Os modelos biométricos devem ser eliminados assim que a verificação estiver concluída, salvo se existir obrigação legal de conservação mais prolongada.

Cidadãos da UE/EEE em Portugal

Os cidadãos da UE, do EEE e da Suíça residentes em Portugal beneficiam de livre circulação e direito ao trabalho. Podem comprovar a sua identidade com o documento de identidade nacional ou passaporte válido; não é necessária qualquer autorização de trabalho adicional. Exigir documentação adicional ou diferente da solicitada a cidadãos portugueses pode constituir discriminação direta por motivo de nacionalidade.

Construir um processo de triagem com IA conforme

Um processo conforme não significa um processo mais lento. O RGPD e a Lei de IA da UE definem obrigações, não designs de fluxo de trabalho. Com as bases certas, pode gerir um processo de triagem rápido e de grande volume que cumpra todos os requisitos. Estes são os seis passos para o construir.

Lista de verificação de auditoria de conformidade

Penalidades e fiscalização

Tanto o RGPD como a Lei de IA da UE acarretam penalidades financeiras substanciais. Compreender a estrutura de penalidades calibra o argumento de negócio: o custo de um programa de conformidade é uma fração do custo de uma ação de fiscalização material.

Penalidades do RGPD

A fiscalização do RGPD opera num sistema de dois níveis. As violações menos graves, como registos inadequados e avisos de privacidade em falta, acarretam multas até 10 milhões de euros ou 2% do volume de negócios anual global, o valor mais elevado. As violações mais graves, incluindo tratamento sem base jurídica, violação dos direitos dos titulares de dados e segurança inadequada, acarretam multas até 20 milhões de euros ou 4% do volume de negócios anual global.

Penalidades da Lei de IA da UE

A Lei de IA da UE aplica penalidades separadas. A utilização de aplicações de IA proibidas acarreta multas até 35 milhões de euros ou 7% do volume de negócios anual global. As violações relativas a sistemas de IA de alto risco, incluindo o incumprimento dos requisitos de transparência, supervisão humana ou documentação, acarretam multas até 15 milhões de euros ou 3% do volume de negócios anual.

Erros de conformidade comuns

Perguntas frequentes