Regulamento de IA para tecnologia de RH

Conformidade com o Regulamento de IA para tecnologia de RH e recrutamento com IA: obrigações de alto risco e requisitos antiviés.

Atualizado 22 de outubro de 2026

A IA para recrutamento e gestão de trabalhadores pode ser de risco elevado nos termos do anexo III, ponto 4.

A partir de 2 de dezembro de 2027, os fornecedores de sistemas de risco elevado cumprem os artigos 8 a 15 (artigo 113, alínea c), subalínea i)). Os empregadores têm as obrigações de responsável pela implantação do artigo 26; sistemas anteriores: artigo 111(2). Desde 2 de fevereiro de 2025, o artigo 5(1), alínea f), proíbe a IA que infere emoções no local de trabalho e nas instituições de ensino, exceto por razões médicas ou de segurança. As coimas chegam a 15 milhões de EUR ou, no caso de uma empresa, 3 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99(4)). Próximo passo: verifique os sistemas de RH à luz do anexo III, ponto 4, e do artigo 5.

A tecnologia de RH pode ser de risco elevado nos termos do anexo III, ponto 4

«Tecnologia de RH» não é uma categoria do regulamento. O que conta é a utilização enumerada no anexo III, ponto 4 («Emprego, gestão de trabalhadores e acesso ao emprego por conta própria»).

Ponto 4, alínea a): recrutamento e seleção

Sistemas de IA concebidos para serem utilizados no recrutamento ou na seleção de pessoas singulares, nomeadamente para colocar anúncios de emprego direcionados, analisar e filtrar candidaturas a ofertas de emprego e avaliar os candidatos.

Ponto 4, alínea b): relações de trabalho

Sistemas de IA concebidos para serem utilizados na tomada de decisões que afetem os termos das relações de trabalho, a promoção ou a cessação das relações contratuais de trabalho, na atribuição de tarefas com base em comportamentos individuais, traços ou características pessoais, ou no controlo e avaliação do desempenho e da conduta de pessoas que são partes nessas relações.

Existe uma exceção, e nunca abrange a definição de perfis
Um sistema do anexo III não é de risco elevado se não representar um risco significativo de danos para a saúde, a segurança ou os direitos fundamentais das pessoas singulares, nomeadamente por não influenciar materialmente o resultado da tomada de decisões. A derrogação só se aplica quando se verifique qualquer uma das quatro condições do artigo 6(3), alíneas a) a d). Um sistema que efetue a definição de perfis de pessoas singulares é sempre de risco elevado. O fornecedor que considere que o seu sistema não é de risco elevado deve documentar a avaliação antes da colocação no mercado ou da colocação em serviço (artigo 6(4)). A Comissão devia fornecer orientações com exemplos práticos até 2 de fevereiro de 2026 (artigo 6(5)).
As quatro condições do artigo 6(3)
A derrogação aplica-se se se verificar qualquer uma destas condições, exceto para os sistemas que efetuem a definição de perfis: a) o sistema destina-se a executar uma tarefa processual restrita; b) destina-se a melhorar o resultado de uma atividade humana previamente concluída; c) destina-se a detetar padrões de tomada de decisões ou desvios em relação a padrões de decisão anteriores e não se destina a substituir ou influenciar a avaliação humana previamente concluída, sem uma análise humana adequada; d) destina-se a executar uma tarefa preparatória de uma avaliação relevante para os casos de utilização enumerados no anexo III.

Práticas proibidas a verificar primeiro, por exemplo

Inferência de emoções no trabalho: artigo 5(1), alínea f)
São proibidas a colocação no mercado, a colocação em serviço para esta finalidade específica e a utilização de sistemas de IA para inferir emoções de uma pessoa singular no local de trabalho e nas instituições de ensino, exceto nos casos em que o sistema de IA se destine a ser instalado ou introduzido no mercado por razões médicas ou de segurança. O regulamento não define «local de trabalho». Saber se a proibição abrange candidatos em entrevistas por vídeo é uma questão de interpretação que esta página não resolve.
Categorização biométrica por traços sensíveis: artigo 5(1), alínea g)
São proibidos os sistemas de categorização biométrica que classifiquem individualmente as pessoas singulares com base nos seus dados biométricos para deduzir ou inferir a sua raça, opiniões políticas, filiação sindical, convicções religiosas ou filosóficas, vida sexual ou orientação sexual. A proibição não abrange a rotulagem ou filtragem de conjuntos de dados biométricos adquiridos legalmente, como imagens, com base em dados biométricos, nem a categorização de dados biométricos no domínio da aplicação da lei.
Classificação social: artigo 5(1), alínea c)
São proibidos os sistemas de IA para a avaliação ou classificação de pessoas singulares ou grupos de pessoas durante um determinado período com base no seu comportamento social ou em características pessoais ou de personalidade conhecidas, inferidas ou previstas, quando a classificação social conduza a um tratamento prejudicial ou desfavorável em contextos sociais não relacionados com os contextos em que os dados foram originalmente gerados ou recolhidos, ou a um tratamento prejudicial ou desfavorável injustificado ou desproporcionado face ao seu comportamento social ou à gravidade do mesmo.
O reconhecimento de emoções que não é proibido
Os sistemas de reconhecimento de emoções e de categorização biométrica que não são proibidos não ficam excluídos do regulamento. O anexo III, ponto 1, alíneas b) e c), enumera como de risco elevado a categorização biométrica segundo atributos ou características sensíveis ou protegidos, e o reconhecimento de emoções, na medida em que a sua utilização seja permitida pelo direito da União ou nacional aplicável. Os responsáveis pela implantação de um sistema de reconhecimento de emoções ou de categorização biométrica informam as pessoas singulares a ele expostas do funcionamento do sistema e tratam os dados pessoais em conformidade com o direito da proteção de dados (artigo 50(3)). Um sistema de reconhecimento de emoções destina-se a identificar ou inferir emoções ou intenções de pessoas singulares com base nos seus dados biométricos (artigo 3, ponto 39).

Quem deve fazer o quê: fornecedor e empregador

O programador do software é o fornecedor, o empregador que o utiliza é um responsável pela implantação
No regulamento, o fornecedor chama-se «prestador». O fornecedor é a pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que desenvolve um sistema de IA, ou que o manda desenvolver, e o coloca no mercado ou o coloca em serviço sob o seu próprio nome ou marca (artigo 3, ponto 3). Os fornecedores de sistemas de risco elevado têm de assegurar que os seus sistemas cumprem os requisitos da secção 2 (artigos 8 a 15) (artigo 16, alínea a)). O responsável pela implantação é uma pessoa singular ou coletiva, autoridade pública, agência ou outro organismo que utiliza um sistema de IA sob a sua própria autoridade, exceto se o sistema for utilizado no âmbito de uma atividade pessoal de caráter não profissional (artigo 3, ponto 4). Um empregador que utiliza um sistema de RH é um responsável pela implantação com as obrigações do artigo 26. Um responsável pela implantação passa a ser fornecedor se colocar o seu nome ou marca num sistema de risco elevado já colocado no mercado, lhe fizer uma modificação substancial ou alterar a finalidade prevista de um sistema de modo que passe a ser de risco elevado (artigo 25(1)).
Passos do fornecedor antes da colocação no mercado
Antes de colocar no mercado ou em serviço um sistema de risco elevado enumerado no anexo III (com exceção do ponto 2), o fornecedor regista-se a si próprio e ao seu sistema na base de dados da UE (artigo 49(1)). Para os sistemas referidos nos pontos 2 a 8 do anexo III, o fornecedor segue o procedimento de avaliação da conformidade baseado em controlo interno (anexo VI), que não prevê a intervenção de um organismo notificado (artigo 43(2)). Um fornecedor que tenha concluído que o seu sistema do anexo III não é de risco elevado nos termos do artigo 6(3) documenta a avaliação (artigo 6(4)) e regista-se a si próprio e ao sistema na base de dados da UE antes da colocação no mercado ou em serviço (artigo 49(2)).
Obrigações do empregador como responsável pela implantação
Os responsáveis pela implantação de sistemas de risco elevado tomam medidas técnicas e organizativas adequadas para os utilizar de acordo com as instruções de utilização (artigo 26(1)), confiam a supervisão humana a pessoas singulares com a competência, a formação e a autoridade necessárias (artigo 26(2)), acompanham o funcionamento do sistema com base nas instruções de utilização (artigo 26(5)) e conservam os registos sob o seu controlo durante pelo menos seis meses, salvo disposição em contrário de outras normas (artigo 26(6)). Os empregadores informam os representantes dos trabalhadores e os trabalhadores afetados antes de utilizarem o sistema no local de trabalho (artigo 26(7)), se for caso disso em conformidade com as regras e os procedimentos do direito da União e nacional em matéria de informação dos trabalhadores e dos seus representantes. Os responsáveis pela implantação de sistemas do anexo III que tomem ou ajudem a tomar decisões relacionadas com pessoas singulares informam essas pessoas de que estão sujeitas ao sistema (artigo 26(11)). As pessoas afetadas têm direito a uma explicação nos casos descritos no artigo 86(1). Os fornecedores e os responsáveis pela implantação de sistemas de IA tomam também medidas para promover a literacia em matéria de IA do seu pessoal e de outras pessoas que, em seu nome, lidem com o funcionamento e a utilização dos sistemas; não têm de garantir um nível específico de literacia em IA de qualquer indivíduo (artigo 4(1)).
Os empregadores públicos têm obrigações adicionais
Os responsáveis pela implantação que sejam autoridades públicas, ou instituições, órgãos e organismos da União, cumprem as obrigações de registo do artigo 49 (artigo 26(8)). Antes de implantar um sistema de risco elevado referido no artigo 6(2), com exceção dos sistemas do domínio enumerado no anexo III, ponto 2, os responsáveis pela implantação que sejam organismos de direito público ou entidades privadas que prestem serviços públicos realizam uma avaliação do impacto nos direitos fundamentais (artigo 27(1)). Um empregador que não seja um organismo de direito público nem uma entidade privada que preste serviços públicos não está abrangido pelo artigo 27(1) quanto ao anexo III, ponto 4.

Datas principais

2 de fevereiro de 2025

O artigo 5 aplica-se, incluindo a proibição da alínea f) de inferir emoções no local de trabalho e nas instituições de ensino (artigo 113, alínea a)).

2 de agosto de 2026

O artigo 50 aplica-se, incluindo o artigo 50(3) para os responsáveis pela implantação de sistemas de reconhecimento de emoções e de categorização biométrica (artigo 113).

2 de dezembro de 2027

Os requisitos e obrigações do capítulo III, secções 1 a 3, com exceção do artigo 6(5), aplicam-se aos sistemas classificados como de risco elevado nos termos do artigo 6(2) e do anexo III (artigo 113, alínea c), subalínea i)).

2 de agosto de 2030

Os fornecedores e os responsáveis pela implantação de sistemas de risco elevado concebidos para serem utilizados por autoridades públicas têm de tomar as medidas necessárias para cumprir até esta data (artigo 111(2)). Os outros sistemas colocados no mercado ou colocados em serviço antes de 2 de dezembro de 2027 só ficam abrangidos se, a partir dessa data, a sua conceção sofrer alterações significativas.

Coimas

O incumprimento do artigo 5 é punido com coimas até 35 milhões de EUR ou, no caso de uma empresa, até 7 % do seu volume de negócios anual total a nível mundial no exercício anterior, consoante o que for mais elevado (artigo 99(3)). O incumprimento das obrigações dos fornecedores (artigo 16), dos responsáveis pela implantação (artigo 26) e das obrigações de transparência do artigo 50 é punido com coimas até 15 milhões de EUR ou, no caso de uma empresa, até 3 %, consoante o que for mais elevado (artigo 99(4)). Para as PME, incluindo as empresas em fase de arranque, cada coima chega, no máximo, ao menor entre a percentagem e o montante (artigo 99(6)); para as pequenas empresas de média capitalização (artigo 3, ponto 14-B) o mesmo se aplica às coimas do artigo 99(4) e (5) (artigo 99(6-A)). Cada Estado-Membro define em que medida podem ser aplicadas coimas a autoridades e organismos públicos estabelecidos nesse Estado-Membro (artigo 99(8)). As regras sobre sanções do capítulo XII aplicam-se a partir de 2 de agosto de 2025, com exceção do artigo 101 (artigo 113, alínea b)).

Seleção de requisitos, artigo a artigo (não exaustiva)

art. 9
Sistema de gestão de riscos
É criado, aplicado, documentado e mantido um sistema de gestão de riscos como processo iterativo contínuo durante todo o ciclo de vida (artigo 9(1) e (2)).
art. 10
Dados e governação de dados
Os conjuntos de dados de treino, validação e teste cumprem os critérios de qualidade e estão sujeitos a práticas de governação de dados que incluem o exame de possíveis enviesamentos (artigo 10(2) a (4)).
art. 12
Conservação de registos
Os sistemas de IA de risco elevado permitem tecnicamente o registo automático de eventos (registos) ao longo do respetivo ciclo de vida (artigo 12(1)).
art. 13
Transparência e prestação de informações aos responsáveis pela implantação
O funcionamento é suficientemente transparente para que os responsáveis pela implantação possam interpretar os resultados e utilizá-los adequadamente, e o sistema é acompanhado de instruções de utilização (artigo 13(1) a (3)).
art. 14
Supervisão humana
Os sistemas são concebidos de modo que pessoas singulares possam supervisioná-los eficazmente durante a sua utilização (artigo 14(1)).
art. 15
Exatidão, solidez e cibersegurança
Os sistemas alcançam um nível adequado de exatidão, solidez e cibersegurança e funcionam de forma consistente a esse respeito ao longo do seu ciclo de vida; os níveis de exatidão e as respetivas métricas são declarados nas instruções de utilização (artigo 15(1) e (3)).
art. 26
Obrigações dos responsáveis pela implantação
Os responsáveis pela implantação utilizam o sistema de acordo com as instruções de utilização, confiam a supervisão humana, acompanham o funcionamento com base nas instruções de utilização, conservam os registos sob o seu controlo e informam as pessoas sujeitas a decisões (artigo 26(1), (2), (5), (6) e (11)). Os empregadores informam os representantes dos trabalhadores e os trabalhadores afetados, se for caso disso em conformidade com as regras e os procedimentos do direito da União e nacional em matéria de informação dos trabalhadores e dos seus representantes (artigo 26(7)).
art. 50
Obrigações de transparência
Os fornecedores asseguram que os sistemas de IA concebidos para interagir diretamente com pessoas singulares informam essas pessoas de que estão a interagir com um sistema de IA, salvo se tal for óbvio (artigo 50(1)). Os responsáveis pela implantação de sistemas de reconhecimento de emoções ou de categorização biométrica informam as pessoas singulares a eles expostas (artigo 50(3)).

Perguntas frequentes: sistemas de risco elevado, análise de emoções, informação aos trabalhadores, datas e coimas

Que sistemas de IA de RH são de risco elevado?

Os sistemas concebidos para serem utilizados para as finalidades enumeradas no anexo III, ponto 4, alíneas a) e b), salvo se a exceção do artigo 6(3) se aplicar. Um sistema que efetue a definição de perfis de pessoas singulares é sempre de risco elevado. O anexo III, ponto 4, não nomeia ferramentas como a redação de descrições de funções, o planeamento de turnos ou os chatbots de RH; saber se uma ferramenta nele se enquadra depende da sua finalidade prevista. Um chatbot que interage diretamente com pessoas tem o dever de informação do artigo 50(1).

A análise de emoções em entrevistas por vídeo é permitida?

Verifique primeiro o artigo 5(1), alínea f). Proíbe os sistemas de IA que inferem emoções de uma pessoa singular no local de trabalho e nas instituições de ensino, exceto nos casos em que o sistema se destine a ser instalado ou introduzido no mercado por razões médicas ou de segurança. O regulamento não define «local de trabalho», e saber se abrange candidatos em entrevistas é uma questão de interpretação a que o regulamento não responde. O reconhecimento de emoções que não é proibido consta como de risco elevado no anexo III, ponto 1, alínea c), na medida em que a sua utilização seja permitida pelo direito da União ou nacional, e os responsáveis pela implantação devem informar as pessoas expostas (artigo 50(3)).

Um empregador tem de informar os trabalhadores sobre um sistema de IA de RH?

Antes de colocarem em serviço ou utilizarem um sistema de risco elevado no local de trabalho, os empregadores devem informar os representantes dos trabalhadores e os trabalhadores afetados (artigo 26(7)), se for caso disso em conformidade com as regras e os procedimentos do direito da União e nacional em matéria de informação dos trabalhadores e dos seus representantes. Os responsáveis pela implantação de sistemas do anexo III que tomem ou ajudem a tomar decisões relacionadas com pessoas singulares devem também informar essas pessoas de que estão sujeitas ao sistema (artigo 26(11)). Os Estados-Membros podem manter ou introduzir regras mais favoráveis aos trabalhadores (artigo 2(11)).

A partir de quando se aplicam as regras?

O artigo 5 aplica-se a partir de 2 de fevereiro de 2025, exceto o artigo 5(1), primeiro parágrafo, alíneas ba) e bb), e os n.os 1-A e 1-B, que se aplicam a partir de 2 de dezembro de 2026 (artigo 113, alínea a)). Os requisitos para os sistemas do anexo III aplicam-se a partir de 2 de dezembro de 2027 (artigo 113, alínea c), subalínea i)). Um sistema de IA de risco elevado colocado no mercado ou colocado em serviço antes dessa data só fica abrangido se, a partir dela, a sua conceção sofrer alterações significativas. Em qualquer caso, os fornecedores e os responsáveis pela implantação de sistemas de IA de risco elevado destinados a ser utilizados por autoridades públicas devem tomar as medidas necessárias para cumprir até 2 de agosto de 2030 (artigo 111(2)).

Qual é o valor das coimas, e são mais baixas para as pequenas empresas?

O incumprimento do artigo 5 é punido com coimas até 35 milhões de EUR ou, no caso de uma empresa, até 7 % do volume de negócios anual mundial, consoante o que for mais elevado (artigo 99(3)). O incumprimento das obrigações dos fornecedores (artigo 16), dos responsáveis pela implantação (artigo 26) e do artigo 50 é punido com coimas até 15 milhões de EUR ou, no caso de uma empresa, até 3 %, consoante o que for mais elevado (artigo 99(4)). Para as PME, incluindo as empresas em fase de arranque, cada coima chega, no máximo, ao menor entre a percentagem e o montante (artigo 99(6)); as pequenas empresas de média capitalização (artigo 3, ponto 14-B) têm o mesmo limite para as coimas do artigo 99(4) e (5) (artigo 99(6-A)). Cada Estado-Membro define em que medida podem ser aplicadas coimas às autoridades públicas (artigo 99(8)).

A seguir: os guias dos artigos 9 e 14, as práticas proibidas e o anexo III

O Scanara prepara evidências a partir dos seus repositórios

O Scanara lê os seus repositórios GitHub ligados e executa análises baseadas em regras para padrões comuns de IA e de aprendizagem automática. Pode não detetar código fora do padrão. Em separado, gera rascunhos de documentação a partir de modelos e das suas respostas nas avaliações, como evidências para o seu trabalho de conformidade. A classificação é decidida por si.

Veja como o Scanara analisa os seus repositórios