Mapeyo
Voltar para o blog
LGPD

Em 2023 a maior multa da ANPD foi R$ 14 mil. Em 2026 passou de R$ 153 milhões. Seu ATS reprova candidato com IA e nunca ofereceu revisão. Adivinhe quem é a próxima fatura.

A ANPD saiu de R$ 14 mil em 2023 para R$ 153,7 milhões em agosto de 2026. Em um ano, abriu 81 processos sancionadores — contra 5 em todo o quadriênio anterior. O artigo 20 da LGPD existe desde 2018 e exige revisão humana e explicação dos critérios da decisão automatizada. Seu ATS reprova candidato com IA e nunca ofereceu nenhum dos dois. A diferença entre quem usa IA no RH e quem vira passivo não é sorte. É método.

Adriano Abreu02 de outubro de 2026

Imagine um juiz que, em três anos, saiu de aplicar uma multa de R$ 14 mil para outra de R$ 153 milhões. Dez mil vezes maior. Mesma lei. Mesma caneta. Diferente humor.

Agora imagine que esse mesmo juiz acaba de virar agência reguladora, com autonomia administrativa, financeira e decisória garantidas por lei, e publicou um mapa dizendo exatamente onde vai bater nos próximos dois anos.

E no topo do mapa está a tecnologia que o seu RH já comprou, instalou, deixou rodando — e nunca auditou.

Isso não é hipótese. É a Autoridade Nacional de Proteção de Dados em outubro de 2026. E o seu funil de recrutamento é o alvo mais fácil que ela tem.

O número que o RH jurou que não ia acontecer

Em julho de 2023, a ANPD aplicou sua primeira multa pecuniária por descumprimento da LGPD: R$ 14.400 à Telekall Infoservice. A notícia virou meme no meio jurídico. "É isso?", riram.

Três anos depois, em 25 de agosto de 2026, a ANPD publicou no Diário Oficial a multa aplicada à ByteDance, dona do TikTok: R$ 153.769.671,33. Cinco infrações, cada uma com sanção própria, somadas para passar do teto de R$ 50 milhões por infração. É a primeira multa de nove dígitos da história da autoridade.

Entre uma coisa e outra, outro número pulou:

  • De 2020 a 2024 (quatro anos inteiros): a ANPD abriu 5 processos sancionadores no total.
  • Em 2025: foram 81.
  • Só em junho de 2026: mais 19.

Multiplicação por 16 em um ano. E não parou.

Em fevereiro de 2026, a Lei nº 15.352 transformou a ANPD em agência reguladora de verdade — não mais um órgão da Presidência com cargo de confiança trocando a cada seis meses, mas uma autarquia com mandato fixo, orçamento próprio e dente de verdade. A dosimetria publicada na mesma linha estabelece alíquotas que começam em 0,08% do faturamento (infração leve) e vão até 1,50% (infração grave), com teto de 2% ou R$ 50 milhões por infração.

Isso é a parte fácil de assustar. A parte difícil é entender que o RH já está dentro dessa dosimetria há oito anos e ninguém no RH leu o artigo.

O artigo que o seu DPO cita e o seu recrutador ignora

Artigo 20 da LGPD, promulgada em agosto de 2018. Leia devagar:

"O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade."

E o parágrafo 1º:

"O controlador deverá fornecer, sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada."

Tradução para quem contrata gente:

  1. Se um candidato foi reprovado por um algoritmo — qualquer algoritmo, do parser de currículo ao scoring do ATS ao assessment auto-aplicado — ele pode pedir revisão humana competente. Não é um humano chancelando a tela do bot. É um humano reavaliando o caso com autoridade para mudar a decisão.
  2. Ele pode exigir que a empresa explique quais critérios levaram à reprovação. Variáveis, pesos, lógica. Em linguagem clara. Por escrito.

Tempo médio praticado no mercado para resposta: 15 dias.

Agora responde honestamente: o seu ATS tem um canal visível de pedido de revisão? O seu time já respondeu a um? Sabe explicar por que o Lucas foi reprovado no screening e a Larissa passou? Tem documentação técnica dos critérios usados pelo fornecedor da IA? Avisa o candidato que a decisão foi automatizada?

Nove em cada dez RHs que leem esse parágrafo descobrem, no mesmo minuto, que estão em infração contínua desde o dia em que a LGPD entrou em vigor.

87% já usam. Quase ninguém cumpre.

A DemandSage publicou em 2025 o levantamento que o setor de RH precisou ler duas vezes: 87% das empresas no mundo já usaram IA em recrutamento e seleção. O Brasil não está fora dessa onda — está no coração dela, com o LinkedIn Future of Recruiting apontando o país entre os cinco mercados globais mais acelerados em adoção.

Entre comprar e cumprir, há um abismo que a ANPD agora atravessa de mandado em punho.

O padrão típico do funil brasileiro em 2026 funciona assim:

  • O candidato se candidata.
  • Um parser lê o currículo, extrai variáveis, atribui score.
  • Um bot faz triagem conversacional, aplica assessment pré-fabricado, cruza perfil com descrição da vaga.
  • Um ranker ordena.
  • O recrutador olha os 10 primeiros. Os outros 290 nunca viram humano.

Das 300 pessoas, 290 foram reprovadas por decisão unicamente automatizada. Nenhuma recebeu aviso. Nenhuma soube que podia pedir revisão. Nenhuma teria recebido explicação se pedisse — porque o próprio RH não tem a explicação, o fornecedor não entrega, e o DPO não foi chamado para a conversa.

Isso não é inovação. É passivo acumulando juros.

💡 Antes de rodar a próxima IA sobre o funil, o seu RH precisa de uma coisa muito mais chata e muito mais eficaz: um Mosaico de Talentos construído com dado comportamental auditável. É o que separa decisão algorítmica cega de decisão baseada em evidência — e é o que, no dia da auditoria, a ANPD vai pedir pra ver.

A Europa já virou a chave. O Brasil adiou. A LGPD não.

Em 2 de agosto de 2026 — há exatamente dois meses — entrou em plena vigência a parte mais pesada do EU AI Act: os sistemas de IA classificados como "alto risco". Recrutamento, seleção e avaliação de desempenho estão no Anexo III. Explicitamente.

Para estar em conformidade, qualquer plataforma de IA usada por europeus em RH precisa cumprir sete obrigações centrais: gestão de risco documentada, governança de dados testada contra viés, documentação técnica completa, logs de output rastreáveis por candidato, transparência ativa sobre o uso de IA, supervisão humana efetiva e robustez cibernética.

Não cumprir? Até 7% do faturamento global.

E o Brasil? O PL 2338/2023, nosso marco legal da IA, foi aprovado por unanimidade no Senado em 10 de dezembro de 2024. Chegou à Câmara em 17 de março de 2025. Relator designado em 20 de maio de 2025. Status em outubro de 2026: "Aguardando parecer do relator". 499 dias sem parecer formal.

Quem é novo em Brasília acha que isso é bom notícia. Quem conhece o funcionamento da ANPD sabe que é o oposto. Porque enquanto o marco legal da IA não sai, a autoridade usa o instrumento que já tem — e esse instrumento é a LGPD, com artigo 20 ali inteiro, sem precisar de parecer de ninguém.

Em 24 de dezembro de 2025, a ANPD publicou o Mapa de Temas Prioritários 2026–2027. Quatro eixos de fiscalização reforçada. O terceiro: "IA e tecnologias emergentes". Em dezembro de 2025, a autoridade foi formalmente designada coordenadora do Sistema Nacional de IA (SIA).

Traduzindo: a ANPD regula IA no Brasil hoje. Com a lei que já existe. Com o artigo que o seu RH nunca aplicou.

Onde mora o passivo que ninguém vê

O erro clássico é achar que o risco está no dado sensível óbvio — o CPF, a conta bancária, o laudo médico. Está, mas não é só ali.

Está no log de decisões do ATS que ninguém guarda. Está no critério oculto usado pelo scoring que o fornecedor jura ser proprietary. Está na ausência de aviso no formulário de candidatura. Está no canal inexistente para solicitação de revisão. Está no DPIA (Relatório de Impacto à Proteção de Dados) que você devia ter feito antes de ligar a IA e não fez.

Multiplicando pela dosimetria publicada em 2026:

  • Empresa com R$ 500 milhões de faturamento.
  • Uma infração grave do artigo 20 — alíquota mínima de 0,45% do faturamento.
  • Multa básica: R$ 2,25 milhões. Antes de agravantes. Antes de reincidência (que dobra). Antes de somar outras infrações.

Agora cruze isso com o fato de que cada candidato reprovado por IA sem direito à revisão é potencialmente um titular lesado. E candidato lesado tem Reclamatória Trabalhista que também avalia discriminação algorítmica — e tem também o canal de denúncia direto à ANPD, que agora está estruturada para processar.

Isso não é hipótese. É receita.

O que fazer antes que o seu ATS vire manchete

Quatro movimentos, nessa ordem, pra não ser o próximo caso da listagem pública da ANPD:

1. Inventário honesto. Liste toda decisão automatizada no seu funil, do upload do currículo ao envio da proposta. Marque quais afetam o candidato (todas). Marque quais hoje têm supervisão humana efetiva (quase nenhuma).

2. Explicabilidade do fornecedor. Peça por escrito — e por contrato — a documentação técnica dos critérios, variáveis e pesos usados por cada IA que você comprou. Se o fornecedor não entrega, você está com o passivo no colo, não ele. A LGPD responsabiliza o controlador, não o operador.

3. Canal visível de revisão humana. No próprio ATS, no e-mail de reprovação, no site de carreiras. Prazo de 15 dias. Treinamento do recrutador para efetivamente revisar — não só carimbar.

4. Dado comportamental auditável no lugar do score opaco. A diferença entre IA que vira passivo e IA que vira evidência está em usar dado comportamental com metodologia publicada, com relatório individual explicável, com rastro de decisão por candidato. Não é o algoritmo que mata — é o algoritmo cego.

🧭 A plataforma Mapeyo foi desenhada pra isso: assessment comportamental com critério publicado, laudo individual que o candidato pode ler, e Mosaico de Talentos que entrega ao RH a evidência que a ANPD vai pedir no dia da auditoria. Decisão com dado, não com achismo com cara de IA.

Fecho

Em 2023, a ANPD multou em R$ 14 mil e o mercado riu. Em 2026, multou em R$ 153 milhões e ninguém mais ri.

O artigo 20 da LGPD existe desde 2018. Você teve oito anos. A Europa deu o próximo recado em agosto. A ANPD publicou o mapa em dezembro. O relator do PL 2338 está em silêncio há 499 dias — mas a autoridade não precisa dele.

IA no RH não é mais debate sobre o futuro. É dívida sobre o presente.

Então para de rodar algoritmo sem rastro. Para de reprovar candidato sem explicação. Para de confundir dashboard bonito com evidência auditável. E para, por favor, de achar que compliance é problema do jurídico.

É seu.

Fonte dos dados:

Na Mapeyo, a gente constrói plataforma de inteligência comportamental porque IA sem dado comportamental auditável, no RH, é passivo com data marcada. O Mosaico de Talentos entrega decisão de gente com evidência — e com rastro. Para quando o seu DPO, o seu gestor, o seu candidato ou a ANPD pedir pra ver.