IA na triagem de currículos e LGPD: o que a PME pode fazer e o que não pode

Todo currículo que chega na sua empresa é um conjunto de dados pessoais: nome, telefone, endereço, histórico profissional, às vezes foto, data de nascimento e CPF. Pela LGPD (Lei 13.709/2018), dado pessoal é qualquer informação relacionada a pessoa natural identificada ou identificável (art. 5º, I), e tratamento é toda operação com esses dados, inclusive coleta, recepção e armazenamento (art. 5º, X). Receber currículo por e-mail e guardar numa pasta já é tratamento.

Tamanho da empresa não isenta. A primeira sanção da Autoridade Nacional de Proteção de Dados (ANPD) a uma empresa privada, publicada no Diário Oficial em 6 de julho de 2023, foi contra uma microempresa: multa de R$ 14,4 mil, que segundo a cobertura da época correspondeu a 2% do faturamento, mais uma advertência por infração ao artigo da LGPD que trata do encarregado (art. 41). A LGPD permite multa de até 2% do faturamento, limitada a R$ 50 milhões por infração (art. 52, II).

A boa notícia: para uma PME, ficar em dia no recrutamento é questão de meia dúzia de hábitos. E usar inteligência artificial na triagem é possível, desde que a decisão continue sendo de uma pessoa. O guia abaixo é prático e não substitui a orientação de um advogado para casos específicos.

A regra para PME: o regulamento de pequeno porte

A ANPD tem um regulamento específico para agentes de tratamento de pequeno porte (Resolução CD/ANPD nº 2/2022). Ele vale para microempresas, empresas de pequeno porte, startups e MEI, entre outros (art. 2º), e simplifica algumas obrigações:

• Encarregado (DPO) não é obrigatório (art. 11). Mas a empresa precisa manter um canal de comunicação com os titulares, como um e-mail que alguém lê (art. 11, §1º).
• Registro das operações de tratamento simplificado (art. 9º), em vez do registro completo do art. 37 da LGPD.
• Prazos em dobro para responder pedidos dos titulares e para outras obrigações (art. 14). A LGPD dá 15 dias para a declaração completa sobre os dados de uma pessoa (art. 19, II); para pequeno porte, são 30.

Há um porém que importa para quem pensa em IA. O regime simplificado não vale para quem faz tratamento de alto risco (art. 3º, I). E alto risco, pelo art. 4º, é o tratamento que reúne ao menos um critério geral e um específico:

Triagem de currículos mexe com acesso a emprego. Somada a uma decisão tomada só pela máquina, ou ao uso de dados sensíveis, ela pode deixar de ser tratamento simples. Mais um motivo para manter uma pessoa decidindo e não coletar dado sensível.

Base legal: por que você pode receber currículos

A LGPD exige uma base legal para cada tratamento (art. 7º). Para o currículo que o candidato envia para uma vaga, a que costuma se encaixar é a do inciso V: tratamento necessário para procedimentos preliminares relacionados a contrato, a pedido do titular. O candidato pediu para participar da seleção, que é a etapa anterior ao contrato de trabalho.

Já o banco de talentos (guardar o currículo para vagas futuras) é outra finalidade, que o candidato não pediu quando se inscreveu para uma vaga específica. Aqui, o caminho mais limpo é pedir autorização expressa, por exemplo com uma caixa de seleção no formulário. Lembre que o consentimento pode ser revogado a qualquer momento, de forma gratuita e facilitada (art. 8º, §5º): quem pedir para sair, sai.

Os quatro princípios que mais pesam no recrutamento

O art. 6º da LGPD lista dez princípios. No recrutamento, quatro resolvem quase tudo:

1. Finalidade: usar os dados para propósitos legítimos, específicos, explícitos e informados ao titular. O currículo enviado para a vaga de auxiliar serve para a vaga de auxiliar.
2. Necessidade: limitar o tratamento ao mínimo necessário. Para decidir quem entrevistar, você não precisa de CPF, RG, foto, estado civil nem data de nascimento. Peça esses dados só na admissão.
3. Transparência: informar com clareza o que você faz com os dados. Um parágrafo no anúncio ou no formulário resolve (modelo abaixo).
4. Não discriminação: é proibido tratar dados para fins discriminatórios ilícitos ou abusivos. No recrutamento, isso se soma à Constituição (art. 7º, XXX) e à Lei 9.029/1995, que vedam critério de admissão por sexo, idade, cor, estado civil, situação familiar, deficiência e outros motivos.

Dados sensíveis: não peça, e se vierem, não use

A LGPD chama de sensíveis os dados sobre origem racial ou étnica, convicção religiosa, opinião política, filiação sindical, saúde, vida sexual, dados genéticos e biométricos (art. 5º, II). O tratamento deles só pode ocorrer nas hipóteses restritas do art. 11.

Na prática:

• Não pergunte religião, opinião política, filiação a sindicato ou condição de saúde no formulário nem na entrevista.
• Se o candidato mandar (uma foto, um certificado de curso religioso, um laudo), não use na avaliação e não repasse.
• Exceção comum: pessoa com deficiência. Empresas com 100 ou mais empregados têm cota (Lei 8.213/1991, art. 93), e informação sobre deficiência é dado de saúde. A LGPD permite tratar dado sensível sem consentimento quando for indispensável para cumprir obrigação legal (art. 11, II, "a"). Use só para esse fim e guarde com acesso restrito.

Onde a IA entra, e onde não pode entrar

Ferramentas de IA conseguem ler 300 currículos em minutos e ordenar por aderência à vaga. O risco não é a velocidade, é a máquina decidir sozinha com critérios que ninguém vê.

O direito à revisão humana

O art. 20 da LGPD dá ao titular o direito de pedir revisão de decisões tomadas unicamente com base em tratamento automatizado que afetem seus interesses, incluindo as que definem seu perfil profissional. E o §1º obriga o controlador a fornecer, quando pedido, informações claras e adequadas sobre os critérios e procedimentos usados.

Tradução para o dia a dia:

• A IA pode ler, resumir e ordenar. Quem decide quem é chamado e quem é descartado é uma pessoa da empresa, que olha o ranking e os motivos.
• Você precisa conseguir explicar o critério a um candidato que pergunte. Ferramenta que dá nota sem dizer por quê é um problema seu, não do fornecedor: o controlador dos dados é a sua empresa.

O caso que todo mundo cita

Em 2018, a Reuters revelou que a Amazon abandonou uma ferramenta interna de triagem de currículos com IA. O sistema tinha sido treinado com currículos recebidos ao longo de 10 anos, a maioria de homens, e aprendeu sozinho a preferir candidatos homens: rebaixava currículos com a palavra "women's" (como em "capitã do clube de xadrez feminino") e formadas em duas faculdades só para mulheres. A empresa tentou neutralizar esses termos, mas não havia garantia de que o sistema não acharia outros jeitos de discriminar.

A lição para quem contrata em PME: IA que aprende com as suas contratações passadas copia os vieses delas. É mais seguro usar ferramenta em que os critérios são definidos por você a cada vaga, ligados à função, e que não usa idade, gênero, raça ou outros dados sensíveis.

O que vem por aí

O Projeto de Lei 2338/2023, que regula a inteligência artificial no Brasil, foi aprovado pelo Senado em dezembro de 2024. O texto aprovado classifica como de alto risco os sistemas de IA usados em "recrutamento, triagem, filtragem ou avaliação de candidatos" (art. 14, III), o que traria obrigações extras para quem desenvolve e usa esses sistemas. Em 26/10/2026, a página de tramitação do Congresso mostrava o projeto na Câmara dos Deputados, aguardando parecer do relator na comissão especial. Ainda não é lei, e o texto pode mudar. Quem já adota revisão humana, critérios explicáveis e nada de dado sensível está no caminho do que o projeto pede.

Checklist para escolher uma ferramenta de triagem com IA

Antes de colocar currículos de candidatos em qualquer sistema, pergunte ao fornecedor:

• Onde os dados ficam guardados e quem tem acesso a eles?
• Os currículos são usados para treinar modelos de IA? A resposta que você quer é "não".
• Consigo apagar os dados de um candidato, ou de uma vaga inteira, quando quiser?
• Quem define os critérios de triagem? Consigo ver e ajustar?
• A ferramenta explica a nota de cada candidato em linguagem simples?
• Ela ignora idade, gênero, raça, foto e outros dados sensíveis?
• A decisão final fica comigo, ou a ferramenta descarta candidatos sozinha?
• Que medidas de segurança protegem os dados contra acesso indevido? (A LGPD exige medidas técnicas e administrativas de segurança, art. 46.)
• O contrato diz que o fornecedor trata os dados só conforme as minhas instruções? (É o papel do operador, art. 39.)

No Ubiquo Triagem, que estamos construindo, esse é o desenho: os critérios são definidos por você e não usam idade, gênero, raça ou outros dados sensíveis; cada currículo recebe uma nota com o motivo; a decisão de chamar ou não é sempre sua; e os currículos ficam na conta da sua empresa, sem uso para treinar modelos.

Modelo de aviso de privacidade para a vaga

Cole no fim do anúncio ou no formulário de inscrição, ajustando o que estiver entre colchetes:

Seus dados e esta vaga
A [Razão social], CNPJ [número], usa os dados do seu currículo apenas
para este processo seletivo de [cargo]. [Se usar ferramenta: Usamos uma
ferramenta de apoio que lê e organiza os currículos; a decisão sobre
quem será chamado é sempre de uma pessoa da nossa equipe.]
Ao fim do processo, apagamos os currículos de quem não foi contratado
em até [6] meses, salvo se você autorizar abaixo que fiquem no nosso
banco de talentos.
Para pedir acesso, correção ou exclusão dos seus dados, escreva para
[e-mail do canal de privacidade].

[ ] Autorizo guardar meu currículo por [12] meses para outras vagas.
    (Opcional. Posso retirar a autorização a qualquer momento.)

Quanto tempo guardar os currículos

A LGPD não fixa um prazo para currículos. Ela diz que o tratamento termina quando a finalidade é alcançada ou os dados deixam de ser necessários (art. 15), e que depois disso os dados devem ser eliminados, salvo exceções como cumprimento de obrigação legal (art. 16).

Para a PME, o mais simples é definir uma regra por escrito e cumpri-la. Por exemplo:

Os prazos da tabela são sugestão, não exigência legal. Se houver discussão judicial em curso ou risco dela, converse com seu advogado antes de apagar.

Na prática, o que mais vaza é o que ninguém lembra que existe: currículos no WhatsApp pessoal do dono, no e-mail de um ex-funcionário, numa pasta compartilhada aberta. Centralizar a entrada num canal só (como no passo 1 do nosso guia de triagem de currículos) é também a melhor medida de proteção de dados.

Quando o candidato pedir os dados dele

O art. 18 da LGPD dá ao titular, entre outros, o direito de confirmar se você trata dados dele, acessar, corrigir, pedir a eliminação de dados desnecessários e revogar o consentimento. Para responder sem drama:

1. Tenha o canal (e-mail) divulgado no aviso da vaga.
2. Ao receber o pedido, confirme a identidade de forma simples (o pedido veio do mesmo e-mail ou telefone do currículo?).
3. Responda de imediato em formato simplificado, ou com a declaração completa no prazo legal (15 dias pela LGPD, art. 19, II; o dobro para pequeno porte, pela Resolução CD/ANPD nº 2/2022, art. 14).
4. Se o pedido for de exclusão, apague em todos os lugares onde o currículo está, inclusive na ferramenta de triagem, e confirme por escrito.

Erros comuns

1. Pedir CPF, RG e foto na inscrição. Não são necessários para triar e aumentam o risco se houver vazamento.
2. Guardar currículo para sempre "porque pode servir". Sem autorização e sem prazo, o banco de talentos vira passivo.
3. Deixar a ferramenta descartar candidatos sozinha. A decisão precisa ser de uma pessoa, com motivo que dê para explicar.
4. Treinar ou configurar a IA com o perfil de quem foi contratado antes. Ela vai copiar o padrão, inclusive o que ele tem de discriminatório.
5. Não ter canal de contato. Mesmo sem encarregado, a empresa de pequeno porte precisa de um canal para os titulares.
6. Repassar currículo para outra empresa ("conheço alguém que está contratando") sem autorização do candidato. É uma finalidade diferente da que ele aceitou.

Fontes

• Lei 13.709/2018 (LGPD), arts. 5º, 6º, 7º, 8º, 11, 15, 16, 18, 19, 20, 37, 39, 46 e 52
• Resolução CD/ANPD nº 2/2022 (regulamento para agentes de tratamento de pequeno porte), ANPD
• Teletime: ANPD publica primeira sanção ao setor privado por descumprimento da LGPD (06/07/2023)
• Canaltech: Governo federal aplica a primeira multa por violação da LGPD
• Euronews/Reuters: Amazon scraps secret AI recruiting tool that showed bias against women (10/10/2018)
• Senado Federal: PL 2338/2023, tramitação e autógrafo enviado à Câmara
• Congresso Nacional: tramitação bicameral do PL 2338/2023
• Constituição Federal, art. 7º, XXX
• Lei 9.029/1995 (práticas discriminatórias na admissão)
• Lei 8.213/1991, art. 93 (cota de pessoas com deficiência)