Fui reprovado por IA? O que a LGPD garante a você
Uma IA pode reprovar você. A LGPD dá direito a pedir revisão, mas o texto em vigor não exige que uma pessoa revise. O que pedir, a quem e em que prazo.
Pode ter sido, sim. Ser reprovado por IA, ou por uma regra automática, sem que ninguém leia o seu currículo, é possível. Nas plataformas que documentam como isso funciona, porém, a recusa automática vem de uma regra que a própria empresa configurou, e não de um modelo de IA. Quando a decisão foi tomada só de forma automatizada, a Lei Geral de Proteção de Dados (LGPD) dá a você o direito de pedir a revisão, no art. 20.
Só que a revisão não precisa ser feita por uma pessoa. A versão original da lei exigia isso. Uma medida provisória tirou a exigência no fim de 2018, o Congresso aprovou um parágrafo que a trazia de volta, a Presidência vetou, e o próprio Congresso manteve o veto em 2019. Na União Europeia, a regra equivalente prevê intervenção humana. No Brasil, não.
Primeiro: o que reprovou você?
A pergunta prática vem antes da lei.
Na Gupy, a reprovação automática documentada é a pergunta eliminatória: uma pergunta do formulário que a empresa cadastrou na vaga, com uma resposta que tira você do processo. O que as perguntas eliminatórias da Gupy fazem mostra onde elas aparecem e por que a resposta não pode ser corrigida depois.
A IA da Gupy faz outra coisa: ordena as candidaturas para a empresa. No aviso de privacidade para pessoas candidatas, a Gupy escreve que ela "não elimina nenhum currículo analisado, nem toma decisões de aprovação ou reprovação a respeito deles". É a descrição que a empresa faz do próprio produto, não uma auditoria independente.
Essa diferença decide o que você pode fazer. Se você respondeu com honestidade que não tem a certificação exigida, um pedido de revisão não muda o requisito, e uma pessoa olhando de novo chega ao mesmo lugar. Se uma ordenação ou um modelo pesou na recusa, aí pode haver algo a pedir.
O que o art. 20 da LGPD garante
O caput, na redação em vigor:
"O titular dos dados tem direito a solicitar a revisão de decisões tomadas unicamente com base em tratamento automatizado de dados pessoais que afetem seus interesses, incluídas as decisões destinadas a definir o seu perfil pessoal, profissional, de consumo e de crédito ou os aspectos de sua personalidade."
O titular dos dados é você, e a palavra "profissional" está no texto. A seleção de candidatos aparece entre os exemplos de decisão automatizada nas contribuições que a Agência Nacional de Proteção de Dados (ANPD) recebeu quando abriu consulta sobre este artigo.
Dois parágrafos completam o art. 20. O § 1º obriga quem decidiu a fornecer, "sempre que solicitadas, informações claras e adequadas a respeito dos critérios e dos procedimentos utilizados para a decisão automatizada, observados os segredos comercial e industrial". O § 2º cobre a empresa que se recusa a explicar alegando segredo: nesse caso, "a autoridade nacional poderá realizar auditoria para verificação de aspectos discriminatórios em tratamento automatizado de dados pessoais".
Leia o § 2º com cuidado. A auditoria é um poder da ANPD, não um direito seu. O que a lei promete a você são critérios e procedimentos. Ela não promete o algoritmo, a sua posição num ranking nem uma nota.
Se a sua suspeita for de discriminação, a LGPD tem um princípio próprio para isso. O art. 6º, IX, proíbe o tratamento "para fins discriminatórios ilícitos ou abusivos".
A palavra que decide tudo: "unicamente"
O artigo só vale para decisões tomadas unicamente com base em tratamento automatizado. Se uma pessoa decidiu de fato, ele fica de fora. E o aviso de privacidade da Gupy afirma que, durante o processo seletivo, "todas as decisões são tomadas diretamente pela Pessoa Recrutadora".
Resta saber o que conta como decidir de fato, e a lei não define. Nas contribuições que a ANPD consolidou numa nota técnica de 2025, houve convergência de que a participação humana "precisa ser significativa" e de que o "human in the loop" não pode "apenas atuar para referendar o resultado apresentado pelo algoritmo". Por essa leitura, uma pessoa recrutadora que só confirma a ordem montada pelo ranking não torna a decisão humana.
Só que a norma que rege essas consultas é clara: a consulta "não representa o posicionamento final da ANPD".
A LGPD garante revisão humana? Pelo texto em vigor, não
A Lei nº 13.709, de 14 de agosto de 2018, saiu com este começo de art. 20: "O titular dos dados tem direito a solicitar revisão, por pessoa natural, de decisões tomadas unicamente com base em tratamento automatizado". Repare nas três palavras entre vírgulas.
Em dezembro de 2018, a Medida Provisória nº 869 reescreveu o caput sem elas. A MP virou a Lei nº 13.853, de 8 de julho de 2019, e no caminho o Congresso aprovou um § 3º para devolvê-las:
"A revisão de que trata o caput deste artigo deverá ser realizada por pessoa natural, conforme previsto em regulamentação da autoridade nacional, que levará em consideração a natureza e o porte da entidade ou o volume de operações de tratamento de dados."
A Presidência vetou o parágrafo. Em 2 de outubro de 2019, em sessão conjunta, o Congresso manteve o veto. O Serpro, empresa federal de tecnologia, resumiu o efeito no mesmo dia: "Com a manutenção do veto, essa revisão de decisões automatizadas (como as feitas por algoritmos) passa a poder ser feita por outra máquina (também por algoritmos)."
Compare com o GDPR, o regulamento europeu de proteção de dados. Quando uma decisão só automatizada se apoia em contrato ou em consentimento, o n.º 3 do art. 22 garante, na versão oficial em português, o direito de, "pelo menos, obter intervenção humana por parte do responsável, manifestar o seu ponto de vista e contestar a decisão". A palavra que saiu da LGPD está lá.
Pelo texto em vigor, uma empresa no Brasil pode responder ao seu pedido de revisão passando a sua candidatura de novo por um processo automatizado. Isso não impede você de pedir uma pessoa. Peça, por escrito. A empresa pode atender. Ela só não é obrigada a isso pelo art. 20.
Se você leu que a LGPD garante revisão por um ser humano, leu o texto de 2018. Não é o que está em vigor.
O que ainda está em aberto: a ANPD e o PL da IA
Dois lugares podem mudar esse quadro, e nenhum mudou até agora.
O primeiro é a ANPD. No balanço da agenda regulatória do primeiro semestre de 2026, publicado em agosto, o projeto de inteligência artificial tem de, nas palavras do documento, "atender ao disposto no art. 20 da LGPD", e "a minuta da solução regulatória está em elaboração na área técnica". Um segundo projeto, sobre os direitos dos titulares, também inclui o art. 20 e aguardava decisão do Conselho Diretor sobre uma consulta pública. Na consulta que já fez sobre o tema, a ANPD registrou que "a obrigatoriedade da revisão humana é um ponto de divergência" entre as contribuições.
O segundo é o Congresso. O PL 2338/2023, o projeto de lei da inteligência artificial, foi aprovado pelo Senado em 10 de dezembro de 2024. Segundo a Agência Senado, o texto põe na lista de alto risco a "tomada de decisões sobre recrutamento, avaliação, promoção e demissão de trabalhadores" e dá a quem é afetado por esses sistemas o "direito a revisão humana das decisões, considerando o contexto e o risco associado".
Na Câmara, onde chegou em 17 de março de 2025, a situação em 6 de outubro de 2026 é "Aguardando Parecer do(a) Relator(a) na Comissão Especial". Não é lei, e o texto ainda pode mudar.
Como pedir a revisão, passo a passo
Mande o pedido para a empresa que abriu a vaga. Na LGPD, ela é a controladora, quem decide sobre o tratamento dos seus dados (art. 5º, VI). Na Gupy, o aviso de privacidade diz isso com todas as letras: quando a Gupy trata dados por instrução da empresa, "a Empresa Cliente é a Controladora Responsável".
Procure o contato do encarregado de dados na política de privacidade da página de carreiras. O art. 41, § 1º, manda divulgá-lo "preferencialmente no sítio eletrônico do controlador".
- Identifique a candidatura: a vaga, a data de envio e o e-mail que você usou, para que a empresa encontre o registro.
- Peça a confirmação de que ela trata os seus dados e o acesso a eles (art. 18, I e II), na forma do art. 19, II: uma "declaração clara e completa" que indique, entre outros pontos, "os critérios utilizados e a finalidade do tratamento". O prazo é de "até 15 (quinze) dias, contado da data do requerimento do titular".
- Pergunte se a recusa foi tomada unicamente com base em tratamento automatizado. Se foi, peça as informações do art. 20, § 1º, sobre critérios e procedimentos.
- Peça a revisão e diga o que deve ser revisto. Liste dois ou três requisitos da vaga e onde o seu currículo mostra cada um. Uma revisão, feita por uma pessoa ou de forma automatizada, precisa de algo novo para pesar. Peça que uma pessoa faça a revisão, sabendo que o art. 20 não obriga.
- Guarde a mensagem e a data. Sem resposta, ou com uma resposta insatisfatória, você pode levar o caso à ANPD como petição de titular. A ANPD avisa: "É preciso apresentar documentos ou informações que comprovem a sua tentativa de exercício de direito perante o controlador."
O passo 2 é o que coloca um prazo na conversa. O art. 20 não fixa prazo nenhum. Os 15 dias vêm do art. 19 e valem para a declaração de acesso, que inclui os critérios utilizados. Por isso os dois pedidos vão na mesma mensagem.
Um modelo para adaptar. Não é orientação jurídica.
Assunto: Pedido com base na LGPD sobre a minha candidatura para [vaga]
Olá,
Em [data], me candidatei à vaga de [vaga] com o e-mail [e-mail] e recebi uma recusa em [data].
Com base no art. 18, incisos I e II, e no art. 19, inciso II, da LGPD, peço a confirmação de que vocês tratam os meus dados pessoais e uma declaração clara e completa sobre esse tratamento, incluindo os critérios utilizados e a finalidade.
Peço também que informem se a recusa foi tomada unicamente com base em tratamento automatizado. Se foi, peço as informações sobre critérios e procedimentos previstas no art. 20, § 1º, e a revisão da decisão, nos termos do art. 20. Peço que a revisão seja feita por uma pessoa da equipe.
Para a revisão, considerem o seguinte: [dois ou três requisitos da vaga e onde o seu currículo mostra cada um].
Atenciosamente, [Nome]
Agora os limites, porque eles existem. A empresa pode invocar segredo comercial e industrial, e o § 1º permite isso. Você recebe critérios, não o modelo. E nenhum pedido desfaz uma recusa que uma pessoa fez pelo mérito, depois de olhar o seu caso. No melhor cenário, o pedido rende os critérios e uma segunda análise. A vaga, não.
Vaga remota em empresa de fora
Se a vaga é remota e a empresa fica em outro país, entram outras regras, e a LGPD não sai de cena.
O art. 3º da LGPD diz que ela se aplica "independentemente do meio, do país de sua sede ou do país onde estejam localizados os dados", entre outros casos quando "os dados pessoais objeto do tratamento tenham sido coletados no território nacional". O § 1º considera coletados aqui os dados do titular que "nele se encontre no momento da coleta". Pelo texto, a empresa estrangeira que recebeu a candidatura que você enviou do Brasil está sob a LGPD. Fazer isso valer contra uma empresa sem presença no país é outra conversa.
Se a empresa está na União Europeia, vale também o GDPR. O considerando 14 diz que a proteção se aplica às pessoas "independentemente da sua nacionalidade ou do seu local de residência". É por aí que o art. 22 chega até você, com a intervenção humana que a LGPD não garante. E o considerando 71 cita, entre os exemplos do que o artigo quer evitar, "práticas de recrutamento eletrónico sem qualquer intervenção humana".
Se você leu que as regras do AI Act, a lei europeia de inteligência artificial, valem para ferramentas de recrutamento desde agosto de 2026, a data mudou. A Comissão Europeia informa que as regras para sistemas de alto risco em áreas como emprego "will apply from 2 December 2027", ou seja, passam a valer em 2 de dezembro de 2027. Até lá, numa empresa europeia, o que tem efeito é o art. 22 do GDPR.
O que muda no próprio currículo para essas vagas está em currículo em inglês para vagas internacionais.
Qual regra dá o quê
| Regra | Situação em outubro de 2026 | Revisão por uma pessoa | O que você pode pedir |
|---|---|---|---|
| LGPD, art. 20 | Em vigor | Não exigida pelo texto em vigor | Revisão de decisão só automatizada, critérios e procedimentos |
| LGPD, arts. 18 e 19 | Em vigor | Não se aplica | Confirmação, acesso e declaração completa em até 15 dias |
| GDPR, art. 22 | Em vigor, para empresa na UE | Garantida nos casos de contrato ou consentimento | Intervenção humana, o seu ponto de vista e contestação |
| AI Act, alto risco em emprego | A partir de 2 de dezembro de 2027 | Ainda não se aplica | Nada, por enquanto |
| PL 2338/2023 | Aguarda parecer na Câmara | Prevista no texto do Senado | Nada, porque não é lei |
Onde os seus vinte minutos rendem mais
Um pedido com base na LGPD faz sentido quando a recusa parece automática e a vaga importava. Para as próximas cinquenta candidaturas, o retorno está em outro lugar.
O que está na sua mão é se o seu próprio arquivo sobrevive à leitura automática, e isso dá para conferir. Um sistema de rastreamento de candidatos (ATS) extrai o currículo para campos, e o que sai errado nessa extração fica guardado errado. O que o software de recrutamento lê no seu currículo mostra como fazer esse teste em vinte segundos.
O Rzume mostra primeiro a leitura do seu arquivo, campo por campo, incluindo o que ele não conseguiu colocar em lugar nenhum. Depois lista os achados da análise, do mais grave ao menor. A leitura e a análise completa são gratuitas e não pedem conta. Na reescrita, ele parte da evidência que você fornece: quando falta um número, ele pergunta, e se você pular a pergunta o trecho sai visível entre colchetes. O Rzume não inventa.
Envie o seu currículo ou veja o que cada plano inclui.
A resposta curta
Uma regra automática pode reprovar você sem que ninguém leia o currículo. Na Gupy, a reprovação automática documentada é a pergunta eliminatória, não a IA. Se a decisão foi tomada só de forma automatizada, o art. 20 da LGPD dá a você o direito de pedir revisão e de saber os critérios e procedimentos usados. O texto em vigor não exige que uma pessoa faça essa revisão. Peça uma mesmo assim, e junte o pedido de acesso do art. 19, que tem prazo de 15 dias.
O PL 2338/2023 prevê revisão humana para sistemas de alto risco, entre eles os de recrutamento, mas não é lei. Numa vaga de empresa europeia, o GDPR prevê intervenção humana, e o AI Act só alcança ferramentas de recrutamento a partir de 2 de dezembro de 2027.
Se uma pergunta eliminatória respondida com honestidade encerrou a sua candidatura, nada disso muda o resultado, e saber isso também poupa tempo. Envie o seu currículo e cuide da parte que está na sua mão.
Fontes
- Brasil, Lei nº 13.709, de 14 de agosto de 2018 (LGPD), publicação original, Câmara dos Deputados. Arts. 3º, 5º, 6º, 18, 19, 20 e 41, incluindo a redação original do art. 20.
- Brasil, Lei nº 13.853, de 8 de julho de 2019, Biblioteca Digital do Ministério da Justiça. Redação atual do caput do art. 20 e § 3º vetado. Esta lei não altera os §§ 1º e 2º do art. 20.
- Congresso Nacional, MPV 869/2018, publicada em 28 de dezembro de 2018 e convertida na Lei nº 13.853/2019, com as emendas que propunham devolver "por pessoa natural" ao art. 20.
- Congresso Nacional, Veto nº 24/2019, dispositivo 24.19.001, § 3º do art. 20 da Lei nº 13.709/2018, veto mantido em 2 de outubro de 2019.
- Agência Senado, Congresso conclui análise de vetos sobre proteção de dados, 2 de outubro de 2019.
- Serpro, Congresso aprecia veto sobre revisão de decisões automatizadas, 2 de outubro de 2019.
- Autoridade Nacional de Proteção de Dados, Nota Técnica nº 12/2025/CON1/CGN/ANPD, 3 de abril de 2025, consolidação da tomada de subsídios sobre inteligência artificial e revisão de decisões automatizadas. Páginas 2, 38 e 39.
- Agência Nacional de Proteção de Dados, Balanço da Agenda Regulatória, biênio 2025-2026, primeiro semestre de 2026, publicação digital de agosto de 2026. Páginas 14 e 15.
- ANPD, Denúncia / Petição de Titular referente à LGPD.
- Câmara dos Deputados, PL 2338/2023, ficha de tramitação.
- Agência Senado, Senado aprova regulamentação da inteligência artificial; texto vai à Câmara, 10 de dezembro de 2024.
- Gupy, Aviso de privacidade para pessoas candidatas, documento do fornecedor, versão vigente na data de acesso.
- União Europeia, Regulamento (UE) 2016/679 (GDPR), versão oficial em português. Art. 22 e considerandos 14 e 71.
- Comissão Europeia, AI Act: Regulatory framework for AI, página atualizada em 3 de agosto de 2026.
Todas as fontes acessadas em 6 de outubro de 2026.
