IA pode reprovar candidato sozinha? O que a LGPD já exige

A pergunta chega quase sempre nesta forma: "posso deixar a ferramenta reprovar os candidatos que não atendem aos requisitos?". A resposta curta é que ninguém proibiu isso no Brasil, e que essa é a parte menos importante da resposta. O risco relevante não é uma proibição, é o conjunto de obrigações que se acumulam quando a máquina decide sozinha, mais a dificuldade de provar depois, em uma ação trabalhista ou em uma fiscalização, por que aquele candidato específico foi descartado.

Vale separar duas coisas que costumam ser confundidas. Usar IA para organizar, transcrever, responder e priorizar é uma decisão de operação, com risco baixo. Usar IA para eliminar candidato é uma decisão sobre uma pessoa, e é aí que praticamente toda a regulação do mundo mira. O primeiro artigo desta série trata de onde a IA rende sem entrar nessa zona; este trata do que acontece quando você entra nela.

Três regimes diferentes, uma exigência comum: mostrar o critério, registrar a decisão e conseguir explicá-la depois. O que muda entre eles é o prazo e quem fiscaliza.

No Brasil, a regra já existe e não é sobre IA

A LGPD está em vigor e alcança um processo seletivo inteiro, porque candidato é titular de dados e currículo é dado pessoal. Dois pontos dela pegam diretamente em triagem automatizada.

O primeiro é o direito de revisão. O artigo 20 garante ao titular solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, e a reprovação em um processo seletivo é exatamente esse tipo de decisão. O segundo é o dever de explicar: o mesmo artigo obriga o controlador a fornecer informações claras e adequadas sobre os critérios e os procedimentos usados, quando solicitadas, observados os segredos comercial e industrial.

Nada disso exige tecnologia nova para ser cumprido. Exige que a empresa saiba responder três perguntas sobre qualquer candidato descartado: qual critério o eliminou, quem poderia ter revisto isso, e onde está o registro. Empresa que não consegue responder essas perguntas tem um problema hoje, independentemente de qualquer lei futura.

O marco legal específico continua sem existir. O PL 2338 foi aprovado pelo Senado e remetido à Câmara dos Deputados em março de 2025, onde tramita em Comissão Especial, e enquanto isso não obriga ninguém. Planejar sobre o texto atual é razoável, tratá-lo como definitivo não é. O detalhamento dessa distinção está no artigo sobre as obrigações de IA que já valem pela LGPD.

Nova York transformou auditoria de viés em obrigação

Para quem tem operação nos Estados Unidos, a referência prática mais concreta é a Local Law 144 da cidade de Nova York, que regula ferramentas automatizadas de decisão de emprego. Ela está em vigor desde 1º de janeiro de 2023, com fiscalização desde 5 de julho do mesmo ano, e é útil mesmo para quem não é alcançado por ela, porque desenha um padrão de diligência que ainda não existe formalizado no Brasil.

Fonte: legislação da cidade de Nova York sobre ferramentas automatizadas de decisão de emprego, em vigor desde janeiro de 2023.

O item que mais surpreende quem monta processo é a auditoria por terceiro independente, renovada todo ano. Ela transforma uma escolha de ferramenta em um compromisso recorrente de orçamento, e muda a conta de "quanto custa a licença" para "quanto custa a licença mais a auditoria anual dela". Vale a pena fazer essa conta antes de assinar contrato, e não depois.

Na Europa, recrutamento é alto risco, e a data mudou

O AI Act europeu classifica no Anexo III, como sistemas de alto risco, a IA usada em recrutamento e seleção de pessoas. Isso inclui anúncio direcionado de vaga, triagem e filtragem de candidaturas e avaliação de candidatos. É a classificação mais pesada que existe fora das aplicações proibidas, e carrega obrigações de documentação, gestão de risco, qualidade de dados, registro de uso e supervisão humana.

Dois pontos merecem atenção de quem está planejando agora.

O primeiro é que a supervisão humana não desclassifica o sistema. A leitura das autoridades europeias é que a ferramenta é de alto risco quando influencia materialmente a decisão de emprego, mesmo que a assinatura final seja de uma pessoa. Colocar um gestor para aprovar a lista no fim não tira o sistema da categoria.

O segundo é a data, que mudou e ainda confunde muito planejamento. As obrigações de alto risco iam começar em 2 de agosto de 2026 e foram adiadas para 2 de dezembro de 2027 pelo pacote conhecido como AI Omnibus, proposto em novembro de 2025, com acordo político em maio de 2026 e em vigor desde 27 de julho de 2026. O motivo declarado foi o atraso das normas técnicas de padronização, que não ficaram prontas no prazo pedido.

Para empresa brasileira, isso importa em três situações concretas: quando há contratação de pessoas residentes na União Europeia, quando existe controlada ou coligada europeia usando o mesmo processo, e quando a empresa vende software de recrutamento que será usado lá. Fora desses casos, o AI Act é referência de boas práticas, não obrigação.

O caso que os tribunais estão testando agora

Nos Estados Unidos corre uma ação coletiva relevante, movida contra um fornecedor de software de recrutamento, sobre discriminação etária em triagem automatizada. Ela é útil como termômetro de onde o risco está indo, e não como veredito, porque ainda não houve decisão de mérito.

1. Maio de 2025 certificação preliminar
   O tribunal admite a ação como coletiva

   A corte concede certificação preliminar do grupo no pedido baseado na lei federal americana contra discriminação por idade.

2. Fevereiro de 2026 notificação
   A notificação é autorizada e o grupo é definido

   Passam a poder aderir pessoas que se candidataram por meio da plataforma desde setembro de 2020 tendo 40 anos ou mais.

3. Março de 2026 adesões
   Cerca de 14 mil pessoas entram na ação

   O prazo de adesão se encerra em 7 de março de 2026, com aproximadamente 14 mil inscritos.

4. Junho de 2026 instrução
   Os dados de teste de viés ficam protegidos por sigilo

   O pedido dos autores para obter os dados internos de teste de viés da empresa é negado, com fundamento em sigilo entre advogado e cliente. As alegações de discriminação seguem em curso.

Fonte: acompanhamento processual publicado por escritórios de advocacia americanos entre maio de 2025 e junho de 2026. A empresa citada é externa à X-Apps e o processo segue sem decisão de mérito.

O detalhe mais instrutivo para quem contrata está na última etapa. O dado que responderia à pergunta central, se a ferramenta produzia ou não impacto desproporcional, ficou protegido por sigilo. Traduzindo para o vocabulário de quem compra software: você provavelmente não vai conseguir auditar sozinho a ferramenta que está usando, e ainda assim é você quem terá que explicar o resultado dela. Essa assimetria é o argumento mais forte a favor de manter o critério de corte dentro de casa, explicável e registrado, em vez de terceirizá-lo para uma pontuação que ninguém abre.

O que fazer independentemente da jurisdição

O denominador comum das três regulações é o mesmo, e é surpreendentemente simples: saber o que a ferramenta faz, registrar o que ela decidiu e conseguir explicar depois. Isso é desenho de processo, e vale mesmo para quem não é alcançado por nenhuma delas.

O registro que importa não é a lista de quem passou. É o fio que liga cada descarte ao critério que o produziu, porque é isso que responde a pergunta feita meses depois.

• Documente o critério de corte em linguagem que um gestor entenda, antes de ligar qualquer automação.
• Guarde o motivo de cada descarte junto do registro do candidato, com data e critério aplicado.
• Defina quem revisa, com que amostra e em que prazo, e registre que a revisão aconteceu.
• Meça a taxa de aprovação por grupo demográfico no seu próprio funil, mesmo sem obrigação legal.
• Peça ao fornecedor, por escrito, o que o sistema usa como sinal e o que ele não usa.
• Informe o candidato de que há etapa automatizada e como pedir revisão.

Os dois primeiros itens resolvem a maior parte do risco e não custam licença nenhuma. O quarto costuma ser o mais revelador: é comum uma empresa descobrir que o corte desproporcional acontece antes da IA, em um requisito de vaga que ninguém revisou há anos.

Quem responde quando dá errado

Existe uma expectativa comum de que contratar uma ferramenta de mercado transfere o risco para o fornecedor. Do ponto de vista brasileiro, isso é frágil. Quem define a finalidade e os meios do tratamento é o controlador, e em um processo seletivo o controlador é a empresa que contrata, não o software que ela usa. O fornecedor tem responsabilidades próprias como operador, o que é diferente de assumir o lugar do empregador.

Na prática, a pergunta que decide isso é sobre quem escolheu o critério. Empresa que definiu os requisitos, configurou os pesos e aceitou o corte está decidindo, mesmo que a conta tenha sido feita por um sistema de terceiro. Contrato bem escrito distribui custos entre as partes; ele não move a decisão de lugar.

O ponto onde a lei e o bom processo dizem a mesma coisa

Chama atenção que nenhuma das obrigações discutidas aqui peça algo que um processo seletivo bem feito já não fizesse: critério claro, registro do motivo, revisão por gente e capacidade de explicar a decisão para quem foi afetado por ela. A regulação está formalizando disciplina de processo, não criando burocracia nova.

Isso muda a ordem do investimento. Antes de escolher ferramenta, vale garantir que a empresa consegue dizer, sobre qualquer candidato dos últimos seis meses, por que ele não avançou. Quem consegue responder isso tem base para automatizar. Quem não consegue vai automatizar um processo que já não sabe explicar, e a automação só torna o problema mais rápido e mais documentado contra si.

Fontes e método

Apuração de 1º de setembro de 2026. As obrigações brasileiras citadas vêm da LGPD, com a redação do artigo 20 dada pela Lei 13.853/2019. A tramitação do PL 2338 reflete a situação na Câmara dos Deputados. As regras de Nova York vêm da legislação municipal sobre ferramentas automatizadas de decisão de emprego, em vigor desde janeiro de 2023. As regras europeias vêm do AI Act e do pacote de simplificação publicado pela Comissão Europeia, que adiou a aplicação das obrigações de alto risco para 2 de dezembro de 2027.

O acompanhamento da ação coletiva americana vem de publicações de escritórios de advocacia entre maio de 2025 e junho de 2026. A empresa envolvida nesse processo é externa à X-Apps, não há decisão de mérito e nada aqui afirma que houve discriminação.

Este artigo descreve exigências regulatórias e prática de processo. Ele não é parecer jurídico, e a análise de um caso concreto depende de advogado com acesso aos contratos e ao funil reais da empresa.