Plataformas de recrutamento e software de RH

• Regulation (EU) 2016/679 — GDPR, Article 27
• Regulation (EU) 2024/1689 — AI Act, Annex III employment
• Directive 2019/1152 on transparent working conditions

Quem tem de designar

Fornecedores estabelecidos fora da União que oferecem sistemas de recrutamento ou RH para empregadores na UE. O empregador é geralmente o controlador e o fornecedor um processador, mas qualquer uso de dados de candidatos para treinamento de modelos ou benchmarking torna o fornecedor um controlador para esse fim e aciona suas próprias obrigações.

Limiares e isenções

Sem limite do GDPR. Sob a Lei de IA, sistemas usados para recrutar, filtrar candidaturas, avaliar candidatos, alocar tarefas ou monitorar desempenho são considerados de alto risco sob o Anexo III, com obrigações aplicáveis a partir de 2 de agosto de 2026.

O que deve constar do rótulo

Não físico. A identidade do representante no aviso de privacidade e na documentação contratual fornecida aos clientes empregadores. Onde a IA é utilizada, os candidatos devem ser informados e o empregador deve ser capaz de explicar a lógica envolvida.

Campos nos marketplaces

Empregadores da UE solicitam a classificação da Lei de IA, a análise de transferência e o representante na aquisição, e os conselhos de trabalho na Alemanha, Áustria e Países Baixos frequentemente bloqueiam a implementação onde as respostas são insatisfatórias.

Documentação a conservar

Registros do Artigo 30, termos de processamento do Artigo 28, a designação do Artigo 27, uma avaliação de impacto sobre a proteção de dados cobrindo a profilagem de candidatos, regras de retenção distinguindo candidatos não selecionados de contratações, e o mecanismo de transferência. Para IA de alto risco: documentação técnica, gestão de riscos, governança de dados abordando viés, registro e a avaliação de conformidade.

Normas e ensaios

A avaliação de viés e precisão é efetivamente exigida: a Lei de IA obriga os fornecedores a examinar os dados de treinamento em busca de viés e a declarar níveis de precisão, e a legislação sobre discriminação se aplica de forma independente.

Requisitos linguísticos

Informações voltadas para candidatos na língua dos candidatos, e documentação do empregador na língua do mercado.

A partir de quando

O representante antes do início do processamento. Obrigações de alto risco da Lei de IA a partir de 2 de agosto de 2026, com o empregador como implementador também assumindo deveres, incluindo informar os trabalhadores.

Prazo de conservação

Dados de candidatos não selecionados apenas pelo tempo necessário, o que várias autoridades interpretam como seis a doze meses na ausência de um período de reclamação específico. Pools de talentos indefinidos sem uma base são uma constatação recorrente.

Em caso de incumprimento

Até €20 milhões ou 4% do faturamento sob o GDPR, e até €15 milhões ou 3% sob a Lei de IA para obrigações de alto risco. Reclamações de discriminação tramitam em paralelo pelos tribunais de trabalho nacionais.

Quem fiscaliza

Autoridades de proteção de dados, autoridades de vigilância de mercado da Lei de IA, órgãos de igualdade e, na prática, conselhos de trabalho.

Onde está a fronteira

Rejeição automatizada sem envolvimento humano aciona o Artigo 22 do GDPR, que restringe decisões totalmente automatizadas com efeitos legais ou igualmente significativos. A inferência emocional em entrevistas é proibida no contexto do local de trabalho sob o Artigo 5 da Lei de IA, portanto, alguns produtos comercializados hoje não podem ser vendidos legalmente na União.

Perguntas frequentes

Nós somos apenas um processador para empregadores — precisamos de um representante?

Se você processa dados de candidatos de pessoas na União e não tem estabelecimento na UE, sim. E qualquer uso desses dados para seus próprios fins torna você um controlador.

A triagem de currículos é de alto risco?

Filtrar ou classificar candidaturas está listado no Anexo III, então sim, com obrigações a partir de agosto de 2026.