Privacidade dos dados dos colaboradores e IA: o que o RH precisa proteger

Por Kevin Kim · Atualizado em 11 de outubro de 2026

A privacidade dos dados dos colaboradores na IA é o conjunto de deveres jurídicos e práticos que se aplicam quando o RH alimenta ferramentas de IA com informações de pessoal: saber quais dados são sensíveis, ter um motivo legal para usá-los, informar as pessoas, avaliar o risco de antemão, manter pessoas nas decisões significativas, vincular os fornecedores por contrato, limitar por quanto tempo os dados são mantidos e controlar por onde eles circulam. Os dados que o RH guarda (informações de saúde, remuneração, anotações de desempenho, histórico disciplinar, às vezes impressões digitais ou rostos) estão entre os mais sensíveis da empresa. Apontar uma ferramenta de IA para eles muda o risco e, muitas vezes, muda quem é juridicamente responsável por quê.

Esta página é para diretores de RH, líderes de people operations e os gestores que aprovam ferramentas de RH. Ela percorre os principais deveres segundo a legislação da UE e do Reino Unido e as leis estaduais dos EUA que mais pesam, e depois entrega uma tabela de casos de uso e um processo passo a passo. Para o quadro geral, comece por Fundamentos de dados de RH para IA. Estas são informações gerais, não aconselhamento jurídico.

Fatos Principais

• Violações dos princípios básicos de tratamento do GDPR, das condições de consentimento, das regras de categorias especiais, dos direitos dos titulares e das regras de transferência internacional podem gerar multas de até 20 milhões de euros ou 4% do faturamento anual mundial, o que for maior; violações dos deveres de controladores e operadores (incluindo contratos com operadores e relatórios de impacto) podem gerar até 10 milhões de euros ou 2% (GDPR, artigo 83).
• O European Data Protection Board afirma que é "problemático" os empregadores tratarem dados de funcionários atuais ou futuros com base no consentimento, porque é improvável que ele seja dado livremente (EDPB Guidelines 05/2020).
• As isenções da Califórnia para informações pessoais relacionadas ao emprego expiraram em 31 de dezembro de 2022, de modo que funcionários e candidatos residentes na Califórnia agora estão sujeitos ao CCPA (California Attorney General).
• Em dezembro de 2023, o Tribunal de Justiça da UE decidiu que a "pontuação" de crédito conta como decisão individual automatizada proibida quando o cliente atribui um papel determinante à pontuação (comunicado de imprensa do Tribunal de Justiça).
• O EU-US Data Privacy Framework se apoia em uma decisão de adequação da Comissão de 10 de julho de 2023; o Tribunal Geral rejeitou uma contestação a ela em 3 de setembro de 2025 (comunicado de imprensa do Tribunal Geral), e um recurso foi apresentado em 31 de outubro de 2025 (Digital Policy Alert).

Por que a IA muda o quadro de privacidade

O RH sempre guardou registros sensíveis. A IA acrescenta três coisas. Alcance: uma ferramenta que lê toda avaliação, todo chamado e toda mensagem de chat toca muito mais do que um gestor folheando uma pasta. Inferência: a IA deduz fatos novos, como uma pontuação de risco de saída ou um palpite sobre saúde a partir de padrões de ausência, e uma inferência sobre uma pessoa continua sendo dado pessoal sobre essa pessoa. Terceiros: a maior parte da IA de RH é comprada, de modo que um fornecedor com suboperadores e servidores em outros países fica entre você e os dados. Você pode terceirizar o tratamento. Não pode terceirizar a responsabilidade.

Quanto ao controle de acesso, classificação de dados para acesso de IA mostra como decidir quais níveis de dados uma ferramenta de IA pode ver.

Os sete deveres que o RH precisa cumprir

1. Saiba quais dados são sensíveis

Pelo GDPR, o tratamento de certas categorias é proibido, a menos que uma condição específica se aplique. O artigo 9 lista os dados que revelam origem racial ou étnica, opiniões políticas, convicções religiosas ou filosóficas ou filiação sindical, além de dados genéticos, dados biométricos tratados para identificar uma pessoa de forma inequívoca, dados de saúde e dados sobre a vida sexual ou a orientação sexual (GDPR, artigo 9). O regulador do Reino Unido explica que os dados biométricos se tornam dados de categoria especial quando tratados para identificar alguém de forma inequívoca, e que uma foto comum não se qualifica, a menos que passe por um tratamento técnico específico, como a criação de um modelo para correspondência automatizada (ICO).

No RH, atestados de afastamento, pedidos de adaptação, contribuições sindicais, pesquisas de diversidade e uma impressão digital ou um modelo facial usados para marcar o ponto são todos dados de categoria especial. Até dados sem rótulo podem revelá-los: um padrão de ausências, ou uma conversa com um chatbot em que o colaborador menciona um diagnóstico.

2. Tenha uma base legal e não dependa do consentimento

Todo uso de dados pessoais precisa de uma base legal. Os empregadores costumam recorrer ao consentimento porque parece respeitoso. Em geral, é a escolha mais fraca. As diretrizes do EDPB explicam que a dependência na relação entre empregador e empregado torna improvável que um funcionário possa recusar sem temer um risco real de prejuízo, de modo que, para a maior parte do tratamento no trabalho, a base "não pode e não deve" ser o consentimento. O consentimento só continua possível em circunstâncias excepcionais, em que recusar não tem consequências adversas (EDPB Guidelines 05/2020). A ICO do Reino Unido diz o mesmo em sua orientação: o consentimento dado livremente é mais difícil de obter quando há desequilíbrio de poder, em particular para autoridades públicas e empregadores (ICO).

Então o que usar no lugar? Em geral, o contrato de trabalho, uma obrigação legal (folha de pagamento, impostos, saúde e segurança) ou o legítimo interesse, que exige um teste de ponderação documentado. Para dados de categoria especial, você também precisa de uma condição do artigo 9(2), e uma delas cobre o tratamento necessário para obrigações do direito do trabalho quando a legislação nacional o autoriza. Uma caixa de seleção "concordo com a análise por IA" raramente é a resposta.

3. Informe as pessoas com clareza

A transparência é um dever, não uma cortesia. Quando você coleta dados diretamente, o GDPR exige que informe as pessoas, entre outras coisas, se há tomada de decisão automatizada, incluindo a definição de perfis, e, pelo menos nos casos do artigo 22, informações significativas sobre a lógica envolvida e as consequências previstas (GDPR, artigo 13). "Usamos IA para melhorar os processos de RH" não atinge esse nível. Nomeie a finalidade da ferramenta, os dados que ela usa e quais decisões ela informa.

O artigo 88 também permite que cada Estado-Membro da UE acrescente regras mais específicas sobre dados de emprego, com atenção especial à transparência e aos sistemas de monitoramento no local de trabalho (GDPR, artigo 88). Na prática, isso significa consulta ao conselho de trabalhadores, em alguns países, antes de você poder ligar uma ferramenta. Veja monitoramento de colaboradores com IA para esse ângulo.

4. Faça o relatório de impacto antes do lançamento

Um relatório de impacto à proteção de dados (RIPD) é uma revisão estruturada de riscos que você executa antes de o tratamento começar. O artigo 35 exige um quando o tratamento, em particular com novas tecnologias, tende a resultar em alto risco para os direitos das pessoas. Ele exige especificamente um para a avaliação sistemática e abrangente de aspectos pessoais com base em tratamento automatizado, na qual se fundamentam decisões com efeitos significativos, e para o tratamento em grande escala de dados de categoria especial (GDPR, artigo 35). Muitos usos de IA em RH, como pontuar, classificar ou monitorar a equipe, caem exatamente aí.

Um RIPD cobre o tratamento e suas finalidades, sua necessidade e proporcionalidade, os riscos para as pessoas e as medidas que tratam esses riscos. Quando apropriado, peça a opinião das pessoas afetadas ou de seus representantes. Trate-o como uma ferramenta de desenho: se nenhuma salvaguarda reduz o risco, reduza o escopo do projeto.

A Califórnia agora tem uma exigência paralela. A agência de privacidade do estado finalizou regras que cobrem avaliações de risco e tecnologia de tomada de decisão automatizada (ADMT), com a conformidade das avaliações de risco começando em 1º de janeiro de 2026 e as obrigações de ADMT para "decisões significativas" começando em 1º de janeiro de 2027 (CPPA). Resumos de escritórios de advocacia dessas regras dizem que as decisões significativas incluem o emprego (Skadden). Se você emprega californianos, coloque isso no calendário.

5. Controle as decisões automatizadas

O artigo 22 do GDPR dá às pessoas o direito de não ficarem sujeitas a uma decisão baseada exclusivamente em tratamento automatizado, incluindo a definição de perfis, que produza efeitos jurídicos ou as afete de forma igualmente significativa. Há exceções (necessidade para um contrato, autorização por lei ou consentimento explícito), mas mesmo assim o controlador deve assegurar pelo menos o direito de obter intervenção humana, de manifestar seu ponto de vista e de contestar a decisão. As decisões amparadas por essas exceções não podem se basear em dados de categoria especial, a menos que se aplique o consentimento explícito ou uma condição de interesse público substancial e haja salvaguardas (GDPR, artigo 22).

O Tribunal de Justiça deu a isso uma leitura ampla. No caso SCHUFA, decidiu que a pontuação deve ser considerada uma "decisão individual automatizada" quando os clientes do banco atribuem a ela um papel determinante na concessão do crédito (Tribunal de Justiça). Traduzindo para o RH: se um recrutador ou gestor aprova no automático o que a pontuação disser, a pontuação é a decisão. Uma pessoa que apenas clica em "aprovar" não conta como intervenção humana. Supervisão humana em IA de RH explica como tornar real a etapa humana.

O Reino Unido mudou sua abordagem. O Data (Use and Access) Act 2025 abre toda a gama de bases legais para decisões automatizadas significativas, desde que as salvaguardas sejam mantidas, embora isso não se aplique a dados de categoria especial, e a ICO diz que as disposições de proteção de dados da lei já estão em vigor (ICO). As regras da UE não se moveram na mesma direção, então uma multinacional não pode tratar a posição do Reino Unido como o padrão do grupo.

6. Vincule os fornecedores e limite a retenção

Quando um fornecedor trata dados de colaboradores em seu nome, o artigo 28 exige um contrato vinculante. Ele deve estabelecer o objeto, a duração, a natureza e a finalidade do tratamento, o tipo de dados e as categorias de pessoas, e seus direitos e obrigações. Também deve exigir que o operador atue somente conforme as suas instruções documentadas, garanta a confidencialidade, aplique medidas de segurança, obtenha a sua autorização antes de contratar outro operador, ajude com as solicitações dos titulares dos dados, apague ou devolva os dados ao fim do serviço e disponibilize informações para auditorias (GDPR, artigo 28).

Para fornecedores de IA, acrescente o que o modelo padrão não pergunta. O fornecedor treina seus modelos com os dados dos seus colaboradores? Onde ficam armazenados os prompts e os resultados, e por quanto tempo? Quem são os suboperadores? O framework de avaliação de fornecedores de ferramentas de IA cobre o lado comercial.

A retenção é a questão silenciosa. O princípio da limitação da conservação do GDPR diz que os dados devem ser mantidos de forma identificável por no máximo o tempo necessário para as finalidades do tratamento (GDPR, artigo 5). A IA dificulta isso, porque as cópias se acumulam em logs, históricos de prompts e backups de fornecedores. Defina um prazo para cada um e confirme que o fornecedor consegue apagar mediante solicitação.

7. Observe para onde os dados vão

Enviar dados de colaboradores para fora da UE ou do Reino Unido exige um mecanismo de transferência. Um caminho é uma decisão de adequação da Comissão, com a qual a transferência não precisa de autorização específica (GDPR, artigo 45). Outro são as garantias adequadas, como as regras corporativas vinculativas (GDPR, artigo 46). Para os Estados Unidos, a Comissão adotou sua decisão de adequação para o EU-US Data Privacy Framework em 10 de julho de 2023 (European Commission). O Tribunal Geral rejeitou a contestação apresentada por Philippe Latombe em 3 de setembro de 2025, confirmando que os EUA asseguravam um nível adequado de proteção na data em que a decisão foi adotada (Tribunal Geral), e um recurso foi apresentado em 31 de outubro de 2025, de modo que o framework permanece em vigor enquanto esse recurso estiver pendente. Verifique se o seu fornecedor é certificado no framework e tem um mecanismo alternativo.

Ângulos dos EUA: Califórnia e Illinois

Não existe uma única lei de privacidade dos EUA para dados de colaboradores, então o quadro vem em camadas. Duas importam mais para a IA de RH.

Califórnia (CCPA/CPRA). As isenções do estado para informações pessoais relacionadas ao emprego expiraram em 31 de dezembro de 2022 (California Attorney General). Desde 1º de janeiro de 2023, as empresas abrangidas devem a funcionários e candidatos da Califórnia os direitos que o CCPA dá a qualquer consumidor: saber o que é coletado, apagar, corrigir, recusar a venda ou o compartilhamento e limitar o uso de informações pessoais sensíveis. A lei se aplica a empresas com fins lucrativos que atingem seus limites, então verifique se a sua atinge. As regras de ADMT da seção 4 acima acrescentam deveres de aviso e de recusa para decisões automatizadas significativas.

Illinois (BIPA). O Biometric Information Privacy Act regula a coleta de impressões digitais, geometria facial e identificadores semelhantes e exige consentimento antes da coleta. Uma emenda de 2024, a Public Act 103-0769, sancionada em 2 de agosto de 2024, determina que violações repetidas pelo mesmo método contam como uma única violação, com no máximo uma indenização por pessoa (Faegre Drinker). Isso reduziu a exposição por pessoa, mas não a eliminou: pessoas prejudicadas ainda podem apresentar ações individuais e coletivas. Se os seus relógios de ponto, o controle de acesso aos prédios ou as verificações de identidade usam impressões digitais ou leitura facial, esta é a lei a verificar primeiro.

Outros estados continuam acrescentando regras para IA no emprego, então veja leis de contratação com IA para o quadro específico da contratação.

O que cada caso de uso de IA em RH exige

Os mesmos seis controles se repetem: um RIPD, uma base legal válida, intervenção humana real, um contrato de operador rigoroso, um limite de retenção e uma verificação de transferência.

Como pôr em prática

1. Faça o inventário da sua IA de RH. Liste toda ferramenta que toca dados de colaboradores ou candidatos, incluindo recursos dentro dos softwares de RH existentes e ferramentas que os próprios gestores adotaram.

2. Mapeie os dados. Para cada ferramenta, registre o que entra, que inferências saem e se algo disso é de categoria especial ou biométrico.
3. Escolha e documente uma base legal. Não adote o consentimento como padrão. Registre a base e, para dados de categoria especial, a condição do artigo 9. Se você se apoia no legítimo interesse, escreva o teste de ponderação.
4. Faça um RIPD para tudo o que pontua, classifica, monitora ou usa dados sensíveis. Envolva o seu encarregado de proteção de dados, se tiver um, e um representante dos trabalhadores quando a lei ou a cultura o pedirem.
5. Reescreva os seus avisos. Diga em linguagem simples o que a ferramenta faz, quais dados usa e quais decisões informa, antes do primeiro uso.
6. Verifique os direitos de decisão. Para cada ferramenta que influencia contratação, remuneração, promoção, medidas disciplinares ou demissão, nomeie a pessoa que dá a palavra final e confirme que ela pode discordar do resultado.
7. Reforce o contrato com o fornecedor. Cubra os termos do artigo 28, a proibição de usar os seus dados para treinar modelos compartilhados sem o seu acordo, a aprovação de suboperadores, a notificação de violações, a exclusão na saída e os direitos de auditoria.
8. Defina a retenção e a exclusão. Decida por quanto tempo vivem entradas, resultados, logs e backups, e teste se a exclusão funciona na prática.
9. Confirme a rota de transferência. Saiba onde o fornecedor armazena e acessa os dados e qual mecanismo cobre cada fluxo.
10. Treine os gestores e revise periodicamente. A maior parte dos vazamentos vem de pessoas bem-intencionadas que colam uma avaliação de desempenho em um chatbot público. Refaça o inventário e os RIPDs quando a ferramenta, os dados ou a lei mudarem.

Para a regulação ligada especificamente às regras de IA da UE, a visão geral do EU AI Act explica os níveis de risco. A European Commission afirma que as regras de alto risco para sistemas usados em áreas como o emprego valem a partir de 2 de dezembro de 2027, após o AI omnibus que entrou em vigor em 27 de julho de 2026 (European Commission). Isso se soma ao GDPR, não o substitui.

Erros comuns

• Tratar o consentimento como a solução. Um colaborador não consegue dizer não de forma significativa ao seu empregador, então um formulário de consentimento é uma base frágil e pode ser contestado.
• Presumir "não sensível" porque o campo não tem rótulo. Padrões de ausência, conteúdo de chat e pontuações comportamentais podem revelar saúde, convicções ou atividade sindical.
• Pular o RIPD porque o fornecedor "está em conformidade". A certificação de um fornecedor não avalia o seu uso, os seus dados nem a sua força de trabalho.
• Humano só no nome. Se o revisor aprova 99% dos resultados em segundos, os reguladores tratarão o processo como automatizado.
• Esquecer os logs. Prompts, resultados e trilhas de auditoria também são dados pessoais.
• Presumir que a resposta de uma região serve para todas. As regras do Reino Unido, da UE e dos EUA diferem e continuam mudando, e o Reino Unido acabou de flexibilizar suas regras de decisão automatizada enquanto a UE não o fez.
• Nenhum plano de saída. Se o fornecedor for adquirido ou perder seu mecanismo de transferência, você precisa saber como recuperar os dados e apagá-los.