Inteligência artificial no recrutamento: cinco regimes

O essencial

• A inteligência artificial no recrutamento está hoje sujeita a cinco regimes jurídicos distintos: o regulamento europeu da IA, o direito do trabalho português, a Local Law 144 de Nova Iorque, a lei HB 3773 do Illinois e a regulamentação da Califórnia sobre sistemas de decisão automatizada. Cada um adopta uma definição diferente.
• O prazo europeu mudou. As obrigações de risco elevado do anexo III passam de 2 de Agosto de 2026 para 2 de Dezembro de 2027. Os outros quatro regimes mantiveram-se.
• Uma auditoria anual de enviesamentos é uma medição, não uma defesa. Produz rácios de impacto e não certifica qualquer conformidade.
• Uma investigação independente encontrou 18 relatórios de auditoria publicados em 391 empregadores examinados em Nova Iorque. A taxa de cumprimento observada é próxima de zero, e é essa lacuna que constitui a exposição.
• O prazo de conservação de quatro anos da Califórnia é o patamar prático. Construir a cadeia de prova uma única vez a esse nível satisfaz a maior parte dos outros quatro regimes.

O que é um sistema de decisão automatizada no emprego

A pergunta parece simples. Não é, porque nenhum legislador adoptou a definição de outro. O regulamento europeu traça o perímetro mais amplo. O ponto 4 do anexo III abrange os sistemas usados para difundir anúncios de emprego dirigidos, filtrar candidaturas, avaliar candidatos, decidir sobre condições de trabalho, promoção e cessação do contrato, atribuir tarefas e monitorizar ou avaliar o desempenho e o comportamento dos trabalhadores. A difusão de anúncios e a atribuição de tarefas entram assim no âmbito europeu, ao passo que permanecem invisíveis para o texto nova-iorquino. Nova Iorque, pelo contrário, redigiu a primeira definição vinculativa e quis-a estreita. Abrange o processo computacional cuja saída simplificada assiste substancialmente ou substitui uma decisão discricionária de contratação ou promoção. Os regulamentos de execução estreitaram ainda mais: essa saída simplificada tem de prevalecer sobre os restantes critérios ou contrariar uma conclusão humana. O estreitamento produziu efeitos concretos. Permitiu a muitos empregadores concluir que o seu analisador de currículos se limitava a informar o recrutador, sem o assistir substancialmente, ficando por isso fora da lei. A Califórnia seguiu o caminho oposto. A regulamentação em vigor desde 1 de Outubro de 2025 abrange qualquer processo computacional que tome uma decisão ou facilite uma decisão humana relativa a um benefício laboral. Facilitar é um limiar muito inferior a assistir substancialmente.

As definições não coincidem, e esse é o primeiro problema

A mesma ferramenta de pré-selecção pode ficar fora do âmbito em Nova Iorque, dentro na Califórnia e qualificada como de risco elevado na União, no mesmo dia. Não existe um teste único. A qualificação tem de ser feita ferramenta a ferramenta e regime a regime, e sobretudo tem de ficar por escrito: é exactamente esse raciocínio que uma autoridade de controlo examinará primeiro. Tomar um parecer favorável como resposta universal é o erro mais frequente.

Os cinco regimes da inteligência artificial no recrutamento

A inteligência artificial no recrutamento não é regida por um diploma único com cinco anexos, mas por cinco diplomas redigidos separadamente, em anos diferentes, por legisladores que resolviam problemas diferentes.

O regulamento europeu da IA, anexo III ponto 4

O emprego e a gestão de trabalhadores constituem uma das oito áreas de risco elevado do anexo III. O artigo 6.º, n.º 2, não deixa margem: «Para além dos sistemas de IA de risco elevado referidos no n.º 1, os sistemas de IA referidos no anexo III são considerados de risco elevado.» Essa qualificação arrasta consigo todo o bloco de obrigações do capítulo III: sistema de gestão de riscos, governação de dados, registo de eventos, documentação técnica, supervisão humana e acompanhamento pós-comercialização. O nosso guia operacional do regulamento europeu da IA detalha a repartição entre prestador e responsável pela implantação.

O direito do trabalho português

É a camada que as análises anglo-saxónicas omitem sistematicamente, e é a que se aplica hoje, sem esperar por 2027. O Código do Trabalho sujeita a utilização de meios de vigilância à distância no local de trabalho a autorização prévia da Comissão Nacional de Protecção de Dados, e impõe ao empregador deveres de informação sobre os instrumentos que recolhem dados dos trabalhadores. Um sistema que pontua candidaturas ou avalia desempenho toca directamente nestes deveres. A Agenda do Trabalho Digno acrescentou regras específicas sobre gestão algorítmica, com deveres reforçados de informação aos trabalhadores e às estruturas de representação colectiva quanto aos parâmetros e critérios que alimentam decisões automatizadas com efeitos na relação laboral. A Lei 27/2021, que aprovou a Carta Portuguesa de Direitos Humanos na Era Digital, reforça este enquadramento no plano dos princípios aplicáveis à inteligência artificial. A CNPD mantém, por seu turno, doutrina consolidada sobre o tratamento de dados em processos de selecção.

Nova Iorque: a Local Law 144

Em vigor desde Julho de 2023 e modelo dos restantes textos. O empregador só pode utilizar uma destas ferramentas se estiverem reunidas três condições: uma auditoria independente de enviesamentos realizada nos doze meses anteriores, a publicação de um resumo dos resultados e a informação aos candidatos com pelo menos dez dias úteis de antecedência. As sanções civis atingem 1500 dólares por infracção, contando cada dia de utilização como infracção autónoma.

Illinois e Califórnia

A lei HB 3773 do Illinois, aplicável desde 1 de Janeiro de 2026, proíbe o uso de IA que produza um efeito discriminatório, sem exigir qualquer auditoria. O resultado é a infracção. Proíbe ainda o recurso ao código postal como variável substituta de uma característica protegida. Na Califórnia, a regulamentação em vigor desde 1 de Outubro de 2025 abrange empregadores com cinco ou mais trabalhadores. Contam três elementos: a prova de testes proactivos de enviesamento releva em sede de defesa, a conduta do fornecedor pode ser imputada ao empregador, e a conservação da documentação laboral passa de dois para quatro anos, incluindo os registos de fluxo de candidaturas.

Colorado

A lei do Colorado, na redação alterada, produzirá efeitos em 2027 e segue uma lógica de dever de diligência em vez de auditoria publicada. Tratamo-la no nosso guia dedicado ao Colorado AI Act.

O prazo que mudou e os quatro que não mudaram

2 de Agosto de 2026 devia ser a data de aplicação das obrigações de risco elevado do anexo III. Já não é. No quadro do pacote Digital Omnibus, o Parlamento Europeu pronunciou-se em 16 de Junho de 2026 com 423 votos a favor, 57 contra e 174 abstenções, e o Conselho deu a aprovação final em 29 de Junho de 2026. Os sistemas autónomos do anexo III, categoria onde se inserem as ferramentas de recrutamento, passam para 2 de Dezembro de 2027, um adiamento de dezasseis meses. Os sistemas integrados em produtos regulados do anexo I passam para 2 de Agosto de 2028. Três coisas não mudaram. As práticas proibidas aplicam-se desde 2 de Fevereiro de 2025, sem período transitório. O reconhecimento de emoções no local de trabalho consta dessa lista e não da categoria de risco elevado: uma ferramenta que infira o entusiasmo de um candidato a partir de uma entrevista gravada já é ilícita, e não apenas regulada. O direito nacional também não mudou. O artigo 2.º, n.º 11, do regulamento prevê-o expressamente: os Estados-Membros podem manter ou introduzir disposições mais favoráveis aos trabalhadores quanto à protecção dos seus direitos face ao uso de sistemas de IA pelos empregadores, mantendo-se admissíveis convenções colectivas mais favoráveis. Os deveres de informação do Código do Trabalho e a competência da CNPD prosseguem, portanto, o seu curso. E os quatro regimes norte-americanos mantiveram-se onde estavam. Um último dado arrefece o alívio: o adiamento foi concedido em grande medida porque as normas técnicas harmonizadas não estão prontas. O referencial pelo qual um empregador será avaliado continua a ser escrito. Esses dezasseis meses são consumidos pelos organismos de normalização, não oferecidos a quem implanta.

O que uma auditoria de enviesamentos mede realmente

A auditoria exigida pela Local Law 144 é um exercício estatístico preciso, e conhecer a sua forma distingue uma auditoria útil de uma auditoria cara. O auditor calcula a taxa de selecção para cada categoria de sexo, raça e etnia, ou seja, a proporção de candidatos seleccionados dentro do grupo. Para uma ferramenta que pontua em vez de seleccionar, calcula a pontuação média por grupo. Daí retira o rácio de impacto: a taxa de selecção de um grupo dividida pela do grupo mais seleccionado. O resultado lê-se à luz da regra dos quatro quintos. Um rácio de impacto inferior a 80 por cento pode assinalar um impacto desfavorável. Trata-se de uma heurística de detecção, não de um limiar jurídico. Dois pormenores merecem mais atenção do que recebem. O auditor pode excluir qualquer categoria que represente menos de 2 por cento dos dados auditados, o que retira discretamente do cálculo os grupos pequenos, justamente onde a discriminação é mais difícil de detectar. E a independência tem alcance real: o auditor não pode ter interesse económico na ferramenta, e um fornecedor não pode auditar o seu próprio produto.

O que a auditoria não faz

Não vale como certificado de conformidade. Não cria qualquer protecção ao abrigo do Title VII norte-americano nem presunção favorável no direito português. E é uma fotografia anual de um sistema muitas vezes retreinado todos os trimestres. Os onze meses que separam duas auditorias são o intervalo em que a deriva se instala. Os mecanismos subjacentes são tratados nos nossos guias sobre enviesamento da IA e enviesamento algorítmico.

A camada federal norte-americana que ninguém revogou

Em 27 de Janeiro de 2025 a EEOC retirou do seu sítio as orientações sobre IA de Maio de 2023, na sequência da revogação da anterior ordem executiva presidencial sobre inteligência artificial. Depois iniciou o arquivamento das queixas pendentes fundadas em impacto desfavorável. Vários grupos portugueses com filial norte-americana leram isso como o encerramento da frente federal. É uma leitura errada. A proibição de práticas com impacto desfavorável consta do Title VII, que é uma lei. As Uniform Guidelines on Employee Selection Procedures e os seus requisitos de validação aplicam-se a qualquer procedimento de selecção, algorítmico ou não, e nenhum dos dois textos foi alterado. As orientações explicam a norma, não a criam, e a sua retirada não revoga nada. O que mudou foi a postura sancionatória federal, não o padrão. Os queixosos privados, as acções colectivas e os procuradores-gerais dos estados actuam à margem das prioridades da EEOC. Retirar a publicação tornou o padrão menos legível sem o tornar menos vinculativo, o que é uma posição pior e não melhor.

Uma só cadeia de prova para cinco regimes

Cinco regimes, cinco definições, três lógicas de responsabilidade. Sustentar cinco projectos de conformidade distintos não é viável. Construir uma única cadeia de prova é, porque esses textos exigem artefactos largamente sobreponíveis sob designações diferentes.

1. Inventariar toda a ferramenta que pontua, ordena, filtra ou monitoriza uma pessoa. Incluindo funcionalidades activadas dentro de um ATS ou de um sistema de recursos humanos que ninguém adquiriu como IA, onde se aloja a maior parte da exposição não declarada. O nosso guia sobre shadow AI descreve a abordagem de descoberta.
2. Qualificar o âmbito regime a regime, por escrito. A mesma ferramenta recebe cinco respostas. Deve conservar-se o raciocínio e quem o subscreveu.
3. Realizar uma avaliação prévia estruturada. O artigo 27.º do regulamento oferece um modelo utilizável muito para além da União: descrição dos processos do responsável pela implantação, período e frequência de utilização, categorias de pessoas afectadas, riscos específicos de dano, medidas de supervisão humana aplicadas e mecanismos de governação interna e de reclamação. A sua relação com a avaliação de impacto sobre a protecção de dados é abordada na nossa nota sobre a diferença entre PIA, AIPD e avaliação de impacto sobre direitos fundamentais.
4. Encomendar testes de enviesamento independentes e conservar os artefactos, não apenas o resumo: taxas de selecção e de pontuação, rácios de impacto, metodologia, declaração de independência e resultado publicado. O nosso guia sobre auditoria de IA trata a escolha do auditor.
5. Tornar efectiva a supervisão humana. O artigo 14.º exige que os sistemas de risco elevado sejam concebidos de modo a poderem ser efectivamente supervisionados por pessoas singulares durante o período de utilização. Quem valida uma lista ordenada sem tempo nem meios para a contrariar não está a supervisionar nada. A distinção é objecto do nosso guia sobre human-in-the-loop e human-on-the-loop.
6. Conservar as provas de informação durante quatro anos. Adoptar a janela californiana como patamar global evita seguir cinco calendários de conservação e cobre com folga os deveres de informação do Código do Trabalho.
7. Rever o contrato com o fornecedor. Deve impor a cooperação com a auditoria, o acesso aos dados necessários ao cálculo dos rácios de impacto, a notificação de qualquer alteração substancial do modelo e a designação de quem audita. Uma vez que um fornecedor não pode auditar a sua própria ferramenta, o silêncio contratual neste ponto significa que ninguém o fez.
8. Monitorizar entre auditorias. Seguir as taxas de selecção de forma contínua, para que a auditoria anual confirme o que já se sabia em vez de o descobrir onze meses tarde. É gestão de risco de IA comum aplicada a um funil de recrutamento.

Esta cadeia constitui um único programa. Das mesmas operações resultam a auditoria nova-iorquina, a prova de ausência de efeito discriminatório para o Illinois, o conjunto de conservação californiano, o rasto de diligência do Colorado, a documentação técnica do anexo III e a informação devida aos trabalhadores e às suas estruturas representativas.

A taxa de cumprimento que ninguém cita

O argumento mais forte para construir isto a sério vem do que a investigação revela sobre os restantes. Um estudo apresentado na conferência ACM sobre equidade, responsabilidade e transparência examinou a reacção dos empregadores à Local Law 144. Em 391 empregadores analisados por 155 investigadores, numa parceria entre o CAT Lab da Universidade de Cornell, o Data & Society Research Institute e a Consumer Reports, 18 tinham publicado um relatório de auditoria e 13 um aviso de transparência. Apenas onze tinham publicado ambos em forma conforme. Esse número admite duas leituras. A tranquilizadora: a aplicação é fraca e o risco estatisticamente reduzido. A correcta: uma ausência quase total de auditorias publicadas num mercado inteiramente regulado não é um equilíbrio estável, e quem publica não é o alvo. As organizações verdadeiramente expostas são as que concluíram estar fora do âmbito sem conservar qualquer registo do porquê.

Perguntas frequentes

O que é um sistema de decisão automatizada no emprego Qualquer software que, através de aprendizagem automática, estatística, análise de dados ou IA, produza uma pontuação, uma ordenação ou uma recomendação que assista substancialmente ou substitua uma decisão humana de contratação ou promoção. Na prática: analisadores de currículos, motores de correspondência de candidaturas, correcção de testes, análise de entrevistas em vídeo e algumas ferramentas de pesquisa activa. Se uma dada ferramenta é abrangida depende da jurisdição, porque Nova Iorque, a Califórnia e a União aplicam três limiares diferentes. O adiamento europeu elimina as obrigações para a inteligência artificial no recrutamento Não, muda a data. Os sistemas autónomos do anexo III têm agora até 2 de Dezembro de 2027 em vez de 2 de Agosto de 2026, com confirmação do Conselho em 29 de Junho de 2026. As práticas proibidas, incluindo o reconhecimento de emoções no local de trabalho, aplicam-se desde Fevereiro de 2025 e não foram adiadas. Os Estados-Membros mantêm a faculdade, nos termos do artigo 2.º, n.º 11, de conservar regras mais protectoras. E os deveres do Código do Trabalho aplicam-se hoje. É preciso informar os trabalhadores antes de implantar a ferramenta Sim. O Código do Trabalho impõe deveres de informação sobre os instrumentos que recolhem dados dos trabalhadores e sujeita os meios de vigilância à distância a autorização prévia da CNPD. A Agenda do Trabalho Digno reforçou ainda os deveres de informação quanto aos parâmetros e critérios que alimentam decisões automatizadas com efeitos na relação laboral. Nenhum destes deveres beneficia do adiamento europeu, e todos se aplicam mesmo que a ferramenta não revele enviesamento mensurável. Uma auditoria anual de enviesamentos torna a ferramenta conforme Não. Satisfaz um requisito concreto de um diploma concreto e calcula rácios de impacto num dado momento. Não valida a ferramenta como relacionada com a função e justificada por uma necessidade organizativa, não cria protecção ao abrigo do Title VII e nada diz sobre o critério de efeito do Illinois nem sobre as obrigações europeias de risco elevado. Confundir o certificado de auditoria com uma conclusão de conformidade é o erro mais difundido neste domínio. Quem responde quando a ferramenta de um fornecedor discrimina Em primeiro lugar o empregador, nos cinco regimes analisados. Nova Iorque coloca a obrigação em quem utiliza a ferramenta. A regulamentação californiana prevê a imputação da conduta do fornecedor ao empregador. O regulamento europeu reparte obrigações entre prestador e responsável pela implantação, mas este último, definido como quem utiliza o sistema sob a sua própria autoridade, suporta as obrigações de utilização. O fornecedor corre risco contratual e reputacional. O risco regulatório continua a ser do empregador. Estas regras aplicam-se a uma empresa portuguesa que não recruta nos Estados Unidos Sim, por pelo menos duas vias. O Código do Trabalho e o RGPD aplicam-se de imediato, sem esperar por Dezembro de 2027, e a CNPD mantém competência própria. O regulamento europeu abrangerá qualquer sistema de pré-selecção ou de avaliação enquadrável no ponto 4 do anexo III. Os textos norte-americanos só afectam grupos com sociedade ou candidatos naquele país, mas constituem o referencial mais exigente e, por isso, o mais útil para calibrar um dispositivo único.

Conclusão

A inteligência artificial no recrutamento é hoje a categoria de IA empresarial regulada com maior densidade, e é também aquela que com maior probabilidade foi activada dentro de uma plataforma de recursos humanos existente sem qualquer decisão de compra. Cinco regimes alcançam-na com três lógicas de responsabilidade incompatíveis, e o prazo que acaba de mudar era o único a oferecer folga. A resposta que escala não são cinco projectos de conformidade. É um inventário, uma qualificação por regime, uma estrutura de avaliação, um teste independente com artefactos conservados, uma conservação de quatro anos e um modelo de cláusula para fornecedores. Cada um dos regimes analisados satisfaz-se com prova retirada dessa cadeia única. A AI Sigil foi construída para sustentar essa cadeia: inventário de sistemas, classificação por referencial, mapeamento de controlos e prova auditável em todos os regimes que lhe sejam aplicáveis. Para ver como o seu processo de recrutamento se projecta sobre os cinco, comece pelo nosso referencial de governação da IA.