IA e Recursos Humanos: quando o treinamento dos modelos põe em risco os dados sensíveis da sua empresa

À medida que a inteligência artificial (IA) se torna cada vez mais presente nos serviços de Recursos Humanos (RH), as questões relacionadas à segurança dos dados sensíveis tornam-se cruciais. Em 2026, o caso Mercor destacou as vulnerabilidades inerentes ao treinamento dos modelos de IA que utilizam informações internas e potencialmente confidenciais. A cadeia de suprimentos aberta, a multiplicidade de intervenientes externos e o recurso maciço a subcontratados independentes transformaram os dados de RH em um ponto de entrada principal para ciberataques. A utilização de plataformas open source e a gestão, por vezes laxista, dos protocolos de segurança representam ameaças às empresas, que agora devem repensar sua governança de dados para preservar confidencialidade e conformidade regulatória.

Frente a esse duplo desafio de inovação e proteção, as diretorias de TI e RH devem integrar a cibersegurança desde a concepção dos projetos de inteligência artificial. Além dos aspectos puramente técnicos, trata-se de enquadrar toda a cadeia humana envolvida no treinamento dos modelos: formadores, anotadores, plataformas externas e ferramentas terceirizadas. Essa abordagem holística é indispensável para assegurar a proteção dos dados sensíveis, garantir o respeito às regras éticas da IA e atender às exigências do RGPD, ao mesmo tempo que aproveita os ganhos de eficiência que a inteligência artificial traz na gestão de talentos e na tomada de decisões estratégicas.

Os principais riscos relacionados ao treinamento dos modelos de IA em Recursos Humanos

O incidente Mercor revelou uma falha crítica no ecossistema da inteligência artificial aplicada aos Recursos Humanos. Enquanto os modelos de treinamento necessitam de uma grande quantidade de dados, frequentemente de caráter pessoal, a externalização deles para prestadores pouco controlados coloca um problema fundamental de segurança da informação.

A multiplicidade de atores envolvidos na coleta, anotação e validação dos dados cria uma superfície de exposição importante. Por exemplo, trabalhadores independentes mal informados podem manipular trocas internas, currículos, avaliações ou históricos profissionais sem conhecer as normas de confidencialidade ou as exigências regulatórias. Essa opacidade prejudica a rastreabilidade e fragiliza a governança dos dados dentro das empresas.

O recurso a ferramentas open source, como o projeto LiteLLM utilizado pela Mercor, também expõe as infraestruturas a riscos técnicos. Esses softwares são regularmente atualizados por comunidades externas, às vezes sem auditoria de segurança aprofundada, criando vulnerabilidades exploráveis por agentes mal-intencionados. Essas falhas podem comprometer não somente os dados internos, mas também as trocas entre humanos e sistemas de IA, como demonstrou a compromissão de trocas no Slack durante o ataque.

Outra ameaça importante reside na natureza dos próprios dados. As informações presentes nas bases de treinamento frequentemente incluem endereços pessoais, identificadores únicos e até números de segurança social. Sua exposição compromete não só a confidencialidade individual dos empregados, mas também acarreta um risco jurídico e reputacional considerável para a empresa. Um vazamento pode afetar a confiança dentro das equipes, perturbar a marca empregadora e gerar sanções em caso de não conformidade com as obrigações regulatórias.

A dimensão humana adiciona um fator de risco adicional. Os trabalhadores envolvidos no treinamento, muitas vezes designados para missões precárias e dispersas, são por vezes pouco sensibilizados às questões de cibersegurança. A alta rotatividade, a subqualificação em proteção de dados ou mesmo a ausência de contratos claros complicam a manutenção de uma política de segurança rigorosa. Essas falhas humanas somam-se às vulnerabilidades técnicas e organizacionais.

Aqui está uma lista resumida dos principais riscos ligados ao treinamento dos modelos de IA em RH:

• Multiplicidade e fraco controle dos intervenientes externos
• Obsolescência e vulnerabilidades das ferramentas open source
• Exposição de informações sensíveis e dados pessoais críticos
• Falta de sensibilização e formação dos trabalhadores em IA
• Ausência de rastreabilidade e governança rigorosa
• Risco jurídico relacionado ao não cumprimento do RGPD e outras normas
• Consequências reputacionais para a marca empregadora

Esses riscos destacam a necessidade das diretorias de RH e TI colaborarem estreitamente para antecipar e mitigar essas vulnerabilidades. Uma governança adequada é indispensável para transformar a gestão dos dados sensíveis em uma vantagem segura.

Por que a governança dos dados sensíveis é crucial na IA aplicada aos RH?

A questão da governança dos dados surge no centro dos debates atuais sobre IA em Recursos Humanos. A crescente sofisticação dos modelos que exploram milhões de pontos de dados obriga as empresas a adotarem abordagens sistemáticas e transversais.

A governança abrange múltiplos aspectos, desde o mapeamento preciso dos fluxos de dados, à definição de protocolos de acesso seguro, passando pelo controle dos parceiros externos e a gestão dos riscos jurídicos. No entanto, essa responsabilidade não pode recair unicamente sobre as equipes de TI. As diretorias de RH também devem integrar essa dimensão em suas estratégias.

Um elemento fundamental é identificar corretamente os dados usados para o treinamento dos modelos para minimizar seu volume e nível de sensibilidade. Trata-se de respeitar o princípio da minimização do RGPD, que impõe processar apenas as informações estritamente necessárias. Por exemplo, na seleção de currículos ou avaliações, somente os dados essenciais devem ser integrados, e anonimizados sempre que possível.

Em seguida, a implementação de contratos claros e exigentes com os prestadores é indispensável. Esses acordos devem prever garantias sobre segurança, confidencialidade, mas também sobre as condições de trabalho dos envolvidos. Assim, toda intervenção externa ocorre num contexto transparente e controlado.

Para garantir essa governança, emergem várias boas práticas:

• Realização regular de auditorias de segurança e conformidade
• Formação contínua das equipes internas e externas sobre as questões de cibersegurança
• Implementação de ambientes de treinamento seguros e isolados
• Uso de protocolos avançados de criptografia para transmissão e armazenamento dos dados
• Adoção de ferramentas de rastreabilidade que permitam acompanhar o uso dos dados em tempo real
• Desenvolvimento de políticas internas estritas, combinando exigências técnicas e regras éticas

Este último ponto destaca a importância da ética na IA: não se trata apenas de proteger dados, mas também de garantir equidade, transparência e responsabilidade nas decisões automatizadas. No contexto de RH, isso inclui a prevenção de vieses discriminatórios durante a análise automatizada dos dossiês de talentos, ou a garantia de uma decisão humana em última instância.

Aspecto da Governança	Objetivos	Exemplos Concretos
Mapeamento dos dados	Identificar todas as fontes e fluxos de dados sensíveis	Painéis internos listando bases de currículos, avaliações e históricos de RH
Controle dos prestadores	Garantir o respeito às normas de segurança e condições de trabalho	Cláusulas contratuais incluindo auditorias regulares e formações previstas
Minimização dos dados	Reduzir o volume e a sensibilidade dos dados utilizados	Anonimização dos dados pessoais nos conjuntos de treinamento
Segurança técnica	Proteger contra intrusões e vazamentos	Uso de redes privadas virtuais (VPN) e criptografia dos dados
Ética da IA	Assegurar transparência e equidade nas decisões de RH	Relatórios regulares sobre redução de vieses e decisões automatizadas com supervisão humana

Ao adotar essas medidas, as organizações podem não só cumprir suas obrigações legais, mas também fortalecer a confiança dos colaboradores e parceiros em seus processos digitais baseados em IA.

Boas práticas para proteção dos dados sensíveis no treinamento das IA em RH

Garantir a proteção dos dados durante o treinamento dos modelos de IA tornou-se um desafio estratégico. No momento em que a regulamentação se endurece e os ataques se multiplicam, as empresas devem implementar um conjunto coordenado de práticas visando assegurar todas as etapas do processo.

O primeiro ponto permanece a segurança do acesso aos dados. É preciso limitar ao mínimo estrito o número de intervenientes, implementar autenticações reforçadas e controlar todos os movimentos de dados em tempo real com ferramentas avançadas de monitoramento. O objetivo também é evitar a superexposição aos riscos por dispersão entre múltiplas plataformas.

Além disso, a formação e a sensibilização das equipes, tanto internas quanto externas, constituem uma barreira essencial. Não basta implementar uma solução técnica se os usuários desconhecem as boas práticas ou a gravidade dos riscos. Essas formações podem incluir módulos específicos sobre as normas do RGPD, protocolos de cibersegurança, bem como os princípios éticos da IA.

Outro fator eficaz é a realização regular de simulações de ataque e testes de intrusão. Esses exercícios permitem identificar rapidamente os pontos fracos das arquiteturas e dos processos ligados à IA. Esse retorno de experiência alimenta o ciclo de melhoria contínua e fortalece a resiliência dos sistemas.

Aqui está uma lista das principais boas práticas a aplicar:

• Implementação de protocolos de autenticação multifatores
• Uso de ambientes isolados para treinamento (sandboxing)
• Criptografia sistemática dos dados em repouso e em trânsito
• Registros detalhados de auditoria para rastrear cada manipulação dos dados
• Processos rigorosos de avaliação dos prestadores e subcontratados
• Implementação de políticas internas conformes ao RGPD e às recomendações da CNIL
• Monitoramento pró-ativo de anomalias graças à própria inteligência artificial

Um exemplo notável é o de uma empresa bancária europeia que adotou um ambiente de treinamento totalmente isolado, combinando criptografia homomórfica e supervisão humana, para evitar qualquer exposição de dados internos. Essa solução técnica avançada permitiu conciliar a eficiência da IA com o estrito respeito às regras de confidencialidade.

Em resumo, a proteção dos dados sensíveis no treinamento em IA baseia-se numa abordagem defensiva que combina segurança técnica, sensibilização humana e conformidade regulatória. É essa estratégia global que garante a sustentabilidade dos projetos de IA num ambiente de RH seguro.

Como a IA transforma a gestão de recursos humanos aumentando os riscos de ciberataques

A integração da IA na gestão de Recursos Humanos revoluciona as práticas diárias: recrutamento, acompanhamento de desempenho, gestão preditiva de efetivos ou automação de tarefas administrativas ganham em eficiência e precisão. No entanto, essa transformação digital vem acompanhada de um aumento notável dos riscos ligados à cibersegurança.

Os fornecedores de ferramentas de RH baseadas em IA desenvolvem modelos de treinamento poderosos capazes de analisar grandes volumes de dados internos, por vezes muito sensíveis, para antecipar necessidades de talentos ou avaliar objetivamente os colaboradores. Porém, a concentração dessas informações em plataformas centralizadas incentiva os cibercriminosos a visar com mais frequência esses sistemas. O caso Mercor é um exemplo marcante.

A automação das decisões, um dos principais aportes da IA, precisa obrigatoriamente estar acompanhada de uma gestão rigorosa dos riscos. De fato, uma decisão algorítmica errada ou tendenciosa pode não somente induzir discriminações, mas também degradar o clima social. Assim, a segurança informática não trata mais apenas da proteção contra intrusões, mas também da garantia de uma informação confiável, ética e conforme.

Em paralelo, a transformação digital exige uma adaptação constante dos próprios recursos humanos. As equipes de TI de RH devem agora integrar competências ligadas à cibersegurança e à gestão de riscos: isso impacta seus métodos de trabalho, suas ferramentas, assim como a formação contínua.

Aqui está uma tabela resumida dos impactos da IA na gestão de RH e dos riscos associados:

Transformação IA em RH	Benefícios Chave	Riscos e Desafios
Automação do recrutamento	Ganho de tempo, melhor análise das candidaturas	Vieses algorítmicos, vazamento de dados dos currículos
Gestão preditiva dos talentos	Otimização dos efetivos, antecipação das necessidades	Exposição de dados sensíveis, erros de previsão
Acompanhamento de desempenho	Maior transparência, melhoria na tomada de decisão	Violação da privacidade, segurança das bases de dados
Automação das tarefas administrativas	Redução de erros, rapidez na execução	Riscos de erros sistêmicos, vulnerabilidades técnicas

Frente a esses desafios, as organizações devem obrigatoriamente integrar uma reflexão estratégica que combine cibersegurança, confidencialidade, ética e normas do RGPD. Assim, a IA em RH pode tornar-se uma verdadeira alavanca de excelência, controlando os riscos associados.

Questões regulatórias e éticas do uso de IA na gestão de RH

A aplicação da inteligência artificial em Recursos Humanos levanta desafios regulatórios importantes, especialmente sob a ótica do RGPD e das novas diretivas europeias. Em 2026, a CNIL reforçou suas recomendações para enquadrar estritamente os tratamentos automatizados de dados pessoais, em particular nos contextos sensíveis como recrutamento, gestão de carreiras e tomada de decisões disciplinares.

A coleta, o tratamento e o armazenamento dos dados devem ser realizados num quadro estritamente conforme, baseado em fundamentos legais sólidos, como o consentimento explícito ou o interesse legítimo do empregador. O treinamento dos modelos de IA frequentemente complica essa abordagem, pois implica o uso maciço e às vezes pouco claro de conjuntos de dados contendo dados pessoais sensíveis.

Um desafio ético soma-se a essas exigências legais: como assegurar que os algoritmos não reproduzam, ou até ampliem, vieses sociais (gênero, origem, idade) que poderiam transformar decisões de RH em discriminações? A transparência dos modelos e a necessidade de supervisão humana nos processos críticos tornam-se então indispensáveis.

Para responder a esses desafios, aqui estão os eixos chave que os atores de RH devem considerar:

• Auditorias regulares de conformidade dos modelos de IA nos aspectos de proteção de dados
• Documentação detalhada dos tratamentos e explicabilidade dos algoritmos
• Criação de comitês éticos dedicados ao uso da IA em RH
• Formação obrigatória das equipes de RH nos princípios éticos e jurídicos ligados à IA
• Supervisão humana sistemática antes de qualquer decisão automatizada
• Aplicação rigorosa do princípio da minimização e enquadramento do consentimento

A ética e a regulamentação não devem ser vistas como obstáculos, mas como alavancas para reforçar a confiança e a legitimidade dos projetos de IA em RH. O equilíbrio entre inovação tecnológica e respeito aos direitos individuais condiciona o sucesso e a durabilidade dessas iniciativas.

Impactos da cadeia de suprimentos da IA na segurança de RH: o caso Mercor

O incidente Mercor constitui um caso paradigmático que ilustra perfeitamente a complexidade e os riscos ligados à cadeia de suprimentos no setor da inteligência artificial aplicada aos Recursos Humanos. A Mercor, ator importante no treinamento de modelos de IA, baseia-se numa rede heterogênea composta por independentes, subcontratados e plataformas open source, expondo assim os dados sensíveis a múltiplos riscos.

A falha técnica ligada ao projeto open source LiteLLM permitiu que agentes maliciosos acessassem trocas no Slack e trocas de informações entre humanos e IA. Essas compromissos ilustram a ausência de controles rigorosos sobre as ferramentas e sobre os fluxos de informações que transitam por esses parceiros.

Por trás dessa falha técnica, esconde-se uma problemática social importante: as condições precárias de trabalho dos intervenientes que participam do treinamento dos modelos. Esses trabalhadores, muitas vezes independentes, dividem várias missões, sem formação adequada em segurança da informação nem visibilidade sobre a finalidade dos dados manipulados. Esse fator humano aumenta a vulnerabilidade intrínseca da cadeia de suprimentos da IA.

A reação rápida de novos clientes importantes, como a Meta que suspendeu sua colaboração com a Mercor, demonstra que a securitização dessa cadeia é um desafio estratégico, tão importante quanto a proteção dos segredos industriais. De fato, a exposição de uma única empresa pode ter repercussões em cascata para todo o setor.

Para limitar esses riscos, é essencial que as empresas clientes:

• Realizem uma avaliação rigorosa das práticas de RH e dos protocolos de segurança dos parceiros
• Solicitem a implementação de medidas verificáveis de segurança operacional e organizacional
• Exijam treinamentos obrigatórios em cibersegurança e ética para todos os intervenientes
• Favoreçam a contratualização clara com cláusulas específicas relativas à proteção dos dados
• Adotem uma abordagem pró-ativa de acompanhamento e auditoria contínua do cumprimento dos compromissos

Essa vigilância reforçada contribui para securizar a cadeia de suprimentos e garantir assim a proteção dos dados sensíveis confiados aos atores da IA em RH.

Transformar a gestão de riscos na IA a serviço dos RH

Na era da inteligência artificial, a gestão de riscos em Recursos Humanos não pode mais se limitar às abordagens tradicionais. O incidente Mercor lembra a todos os profissionais do setor que o treinamento de modelos de IA introduz novas vulnerabilidades que devem ser identificadas e controladas.

Nesse contexto, as empresas devem adotar uma abordagem integrada que associe cibersegurança, conformidade regulatória, governança de dados e ética. Entre as estratégias-chave, impõe-se a implementação de uma gestão proativa dos riscos. Esta inclui, entre outras:

• Mapeamento detalhado dos riscos relacionados a dados sensíveis e aos modelos de treinamento
• Definição de planos de ação e respostas rápidas frente a incidentes
• Implementação de sistemas de monitoramento automatizados integrando ferramentas de IA em cibersegurança
• Recorrer a parcerias fortes entre as equipes de RH, TI e compliance
• Adoção de abordagens colaborativas com fornecedores e subcontratados para securizar a cadeia

Um exemplo concreto refere-se a uma empresa de serviços digitais que desenvolveu um painel de controle dedicado à gestão dos riscos em IA. Esse painel centraliza alertas relacionados à gestão de dados, comportamentos anormais nas plataformas de treinamento e eventuais descumprimentos contratuais. Essa visibilidade aumentada permitiu evitar várias tentativas de intrusão e vazamentos de dados.

Essa transformação da gestão de riscos é também uma oportunidade para as funções de RH fortalecerem seu papel estratégico. Antecipando os desafios relacionados à segurança e proteção dos dados, participam ativamente da sustentabilidade das inovações em IA e da criação de um clima de confiança dentro das organizações.

Equilibrar desempenho da IA e respeito à confidencialidade: soluções técnicas emergentes

A tensão entre a necessidade de treinar modelos complexos e a proteção dos dados sensíveis obriga as empresas a explorar novas soluções técnicas. Vários avanços recentes em 2026 contribuem para conciliar essas duas exigências frequentemente percebidas como antagônicas.

A criptografia homomórfica é uma tecnologia promissora que permite realizar cálculos diretamente sobre dados criptografados. Essa abordagem limita a exposição das informações sensíveis durante o treinamento dos modelos. Muitas grandes empresas estão atualmente explorando essa técnica para reforçar sua segurança.

Outro caminho é o «federated learning» (aprendizado federado), que consiste em treinar um modelo comum a partir de várias fontes de dados descentralizadas, sem jamais compartilhar os dados brutos. Cada participante realiza localmente o treinamento parcial e somente os parâmetros do modelo são transmitidos e agregados. Esse método reduz consideravelmente os riscos de exfiltração.

A adoção de ambientes virtuais isolados (ou sandbox) e a implementação de processos rigorosos de verificação do código-fonte completam o arsenal técnico. Além disso, a integração de soluções de rastreabilidade em blockchain também começa a emergir para garantir a integridade e a origem dos dados usados na IA.

Aqui está uma tabela resumida das principais tecnologias em evolução para proteger a confidencialidade durante o treinamento de IA:

Tecnologia	Funcionalidades	Principais Vantagens
Criptografia homomórfica	Cálculos em dados cifrados sem descriptografia	Segurança máxima sem perda de desempenho
Aprendizado federado	Treinamento descentralizado dos modelos	Redução do risco de exfiltração de dados sensíveis
Sandboxing	Ambientes isolados para testes e treinamentos	Redução dos riscos de ataques internos e vazamentos
Blockchain para rastreabilidade	Registro imutável das ações e dados	Reforço da transparência e da confiança

Esses avanços iluminam o caminho para um uso da IA respeitador da confidencialidade e seguro. Eles convidam as empresas a repensar suas arquiteturas técnicas e suas estratégias de treinamento de modelos para otimizar tanto desempenho quanto proteção dos dados.

Formar e sensibilizar para os desafios da IA em RH para garantir segurança e ética

Um dos pilares essenciais para garantir o uso seguro da IA nos recursos humanos reside na formação e sensibilização dos atores envolvidos. Sem uma compreensão profunda dos desafios ligados à proteção dos dados sensíveis, gestão de riscos e ética da IA, torna-se difícil implementar práticas coerentes e eficazes.

As formações devem cobrir várias dimensões-chave: conhecimento das regulamentações como o RGPD, boas práticas de cibersegurança, desafios éticos, assim como os riscos específicos relacionados aos modelos de treinamento. O objetivo é ancorar na cultura empresarial uma vigilância permanente e um sentido compartilhado de responsabilidade.

Também é indispensável implementar dispositivos adaptados aos diferentes perfis: sessões técnicas para as equipes de TI e ciência de dados, bem como módulos dedicados para os gestores de RH, para que compreendam as implicações estratégicas.

Por fim, a sensibilização constante pode apoiar-se em ferramentas inovadoras, como jogos sérios, simulações de incidentes ou retornos de experiência baseados em casos reais. Integrar esses elementos no cotidiano operacional ajuda a evitar a banalização dos riscos e incentiva um comportamento proativo.

• Programas de formação adaptados aos perfis técnicos e gestores
• Uso de estudos de caso concretos baseados em incidentes recentes (ex. Mercor)
• Simulações regulares de gestão de incidentes e auditorias
• Acompanhamento e atualização permanente dos conhecimentos diante da rápida evolução da IA e das regulamentações
• Promoção de uma cultura ética forte em torno do uso dos dados

Através dessa abordagem, as empresas promovem a criação de ambientes onde a inteligência artificial pode florescer serenamente, garantindo a proteção dos dados sensíveis e o respeito aos princípios fundamentais da ética em RH.