É lícita a utilização de IA para avaliar o desempenho dos trabalhadores?

⏱️ Tempo de leitura: 14 min · 📁 Categoria: KVKK & Digital Compliance

É lícito usar IA no desempenho e nos dados dos trabalhadores? (Envio de ficheiros, análise, conservação, perfis e riscos KVKK – 2026)

As equipas de RH já analisam frequentemente relatórios de desempenho com IA,
carregam CVs, avaliações e feedback, perguntam se um trabalhador representa um risco, e
algumas ferramentas conservam os dados nos seus próprios sistemas.
Na perspetiva da KVKK, o verdadeiro risco começa nestas práticas.

🔑 Princípio fundamental: O risco KVKK resulta dos dados fornecidos à IA e do seu destino e não da utilização de IA em si.
A pergunta da KVKK é: Para onde foram os dados, quem lhes acedeu, durante quanto tempo foram conservados e para que fim foram usados? 1️⃣ O que é um processo individual à luz da KVKK?

Um processo individual contém normalmente:

• Informações de identidade, informações de contacto
• CV e registos de formação ou certificação
• Formulários de avaliação do desempenho
• Comentários de responsáveis e notas de feedback
• Processos disciplinares e atas
• Faltas, objetivos e informações sobre prémios

Todos estes elementos constituem dados pessoais.
Os registos de desempenho, disciplinares e comportamentais são geralmente considerados conjuntos de dados de alto risco.
Pois podem afetar diretamente a vida profissional e o futuro económico da pessoa.

2️⃣ Mapa de riscos: envio → análise → conservação → perfis → decisão

Na utilização de IA, o risco geralmente cresce nesta cadeia:

1. Enviar o ficheiro à IA (carregar PDF, Excel ou Word; copiar texto)
2. Análise ou interpretação (resumo, comentário, deteção de riscos, avaliação do potencial)
3. Registo ou conservação (a ferramenta conserva os dados?)
4. Perfis ou pontuação (pontuação, segmento, rótulo de risco ou elevado potencial)
5. Influência nas decisões (uso em promoções, prémios ou despedimentos)

📌 Sinal de alerta na auditoria: Quando entram em jogo os passos 3, 4 e 5 — conservação, perfis e influência nas decisões —,
aumentam fortemente o esforço de conformidade e a necessidade de prova. 3️⃣ Cenário 1: carregar um processo de desempenho numa ferramenta de IA

Exemplo: Um especialista de RH reuniu a avaliação, comentários do responsável e tabelas de objetivos de um trabalhador num PDF.
O especialista carregou-o na ferramenta de IA e perguntou:
Qual é o nível de desempenho e o potencial de promoção deste trabalhador?

Critérios	Avaliação
Há dados pessoais?	✅
Existe análise/interpretação?	✅
Há criação de perfis ou classificação?	✅
Podem ocorrer consequências desfavoráveis para a pessoa?	✅

Esta é uma atividade de tratamento de alto risco porque é provável que a IA
produza interpretações a partir dos dados de desempenho e influencie decisões.

Três fatores que aumentam o risco:

• Carregar o processo completo sem minimização de dados
• Usar os resultados em promoções, prémios ou despedimentos
• Infraestrutura da ferramenta no estrangeiro ou política de conservação pouco clara

4️⃣ Cenário 2: a ferramenta de IA conserva os dados no seu sistema

Exemplo: Os termos da ferramenta dizem que os dados introduzidos podem ser conservados para melhorar o serviço.
Os RH carregam dados de desempenho que a ferramenta pode manter no seu ambiente.

Isto vai além da análise e cria um risco de conservação e possível reutilização.
A pergunta essencial na KVKK é se os prazos de conservação, direitos de acesso e finalidades de uso podem ser controlados.

📌 Ponto essencial: Os dados dos trabalhadores podem ter saído do controlo do empregador.
A conservação sem controlo cria riscos graves para a limitação das finalidades e a segurança dos dados. 5️⃣ Cenário 3: a IA gera uma pontuação de desempenho usada na decisão

Exemplo de resultado: Este trabalhador tem baixo desempenho, representa um risco e tem pouca motivação.
Este resultado é usado para avaliar promoções ou prémios, ou num processo de despedimento.

Na prática, isto constitui criação de perfis e avaliação automatizada.
O risco é máximo se o resultado deixar de ser uma recomendação e passar a ser a decisão.

A pergunta essencial na auditoria é: Como foi gerada esta pontuação, que dados foram usados, como é corrigida uma pontuação incorreta,
que mecanismo se aplica quando o trabalhador contesta e existe revisão humana? 6️⃣ Cenário 4: ficheiro supostamente anonimizado (risco de identificação indireta)

Exemplo: Os RH retiraram nomes, mas o ficheiro ainda contém cargo, departamento, antiguidade, avaliações e descrições de acontecimentos específicos.
Com essas informações em uma pequena equipe, a pessoa pode ser indiretamente identificada.

⚠️ Facto: Se uma pessoa puder ser identificada indiretamente, os dados continuam a ser pessoais.
Especialmente em equipes pequenas, a "anonimização" muitas vezes falha. 7️⃣ Cenário 5: a IA recomenda, a pessoa decide (modelo mais defensável)

Exemplo: A IA recomenda a formação X para este trabalhador.
O responsável ou comité de RH faz a avaliação final; a pontuação da IA não é usada isoladamente e o trabalhador é informado do processo.

Este modelo é mais defensável graças a uma intervenção humana no processo.
A minimização, segurança, conservação e transferências continuam a exigir gestão.

8️⃣ Quando é necessário consentimento explícito para os dados dos trabalhadores?

O consentimento explícito nem sempre é uma base sólida, pois a sua liberdade é discutida na relação trabalhador-empregador.
Ainda assim, as situações seguintes podem exigir consentimento explícito e, pelo menos, uma análise jurídica muito rigorosa é necessária:

• Se os dados de desempenho forem sistematicamente sujeitos a análise por IA
• Se a IA produzir interpretações, perfis ou inferências de risco
• Se a ferramenta IA estiver a armazenar dados
• Se for possível uma transferência de dados para o estrangeiro

❌ Suposições falsas:

• Está no contrato de trabalho → isso, por si só, não basta
• A autoridade do empregador não permite tratamento ilimitado de dados.

9️⃣ Transferências de dados para o estrangeiro (o ponto mais perigoso)

Muitas ferramentas de IA funcionam com base na nuvem e sua infraestrutura pode ser localizada no exterior.
Carregar um processo individual numa ferramenta de IA pode criar risco de transferência internacional de dados.

• Para que países vão os dados?
• Existe uma cadeia de subcontratantes?
• Qual é o período de retenção?
• Como são geridos os direitos de acesso e os registos?

Aviso prático: Chamar-lhe uso interno não elimina riscos de transferência quando os dados vão para serviços de nuvem. 🔟 Abordagem do Conselho (perspetiva de 2026)

Princípios que se destacam na perspectiva da auditoria:

• A relação trabalhador-empregador é desigual; a liberdade do consentimento é sempre questionável.
• A monitorização constante e pontuação são abordadas com cautela
• A IA não pode ser uma caixa negra; o processo deve ser auditável
• O responsável pelo tratamento — o empregador — não pode delegar a responsabilidade.

1️⃣1️⃣ Limites claros para os RH

• ❌ Carregar processos individuais em ferramentas de IA sem controlo
• ❌ Permitir conservação ou reutilização sem contrato nem controlo
• ❌ Usar apenas pontuações automáticas como decisão
• ❌ Não informar o empregado (sem transparência)
• ❌ Ignorar transferências de dados para o estrangeiro

1️⃣2️⃣ Criar um modelo mais seguro: resumo operacional

• Minimização: Apenas os campos necessários à finalidade, em vez do processo completo.
• Mascaramento: Remover identificadores diretos e indiretos.
• Controlo de conservação: Sem conservação pela ferramenta ou com limites contratuais rigorosos.
• Aprovação humana: A IA apenas recomenda; uma pessoa decide.
• Transparência: Informar os trabalhadores sobre os dados e explicar o processo.
• Controlo de transferências: Controlos técnicos e contratuais para riscos de nuvem e internacionais.
• Logging: Quem tratou que dados, para que propósito, quando? (prova para auditoria)

🧠 Conclusão especializada

A IA pode apoiar o desempenho dos funcionários, mas o destino do empregado não pode ser deixado para a IA.
Fornecer processos individuais à IA pode ser possível em configurações limitadas, mas apresenta geralmente risco elevado
e uma implementação inadequada pode violar diretamente a KVKK.

Obtenha uma política de uso de IA nos RH e um mapa de riscos KVKK