Construímos Uma Auditoria de Viés para Atender a Seis Leis de Contratação com IA. Ela Falhou na Mesma Semana em Que a Entregamos.
A primeira coisa que precisei explicar a uma diretora de recursos humanos no inverno passado foi que sua empresa agora estava infringindo a lei de uma forma que ninguém em sua equipe tinha vocabulário para descrever.
Ela comandava as contratações em Nova York, Chicago, Denver, Austin e em um escritório em Londres. Sua infraestrutura era comum — um sistema de rastreamento de candidatos, uma camada de triagem por IA acoplada a ele, um fornecedor de entrevistas em vídeo, um chatbot de agendamento. Aquisição padrão de 2024. O problema é que, entre outubro de 2025 e agosto de 2026, seis governos diferentes decidiram, de forma mais ou menos independente, que exatamente essa infraestrutura era uma atividade regulada de alto risco. E cada um deles escreveu as regras de um jeito um pouco diferente.
É assim que a conformidade em contratação com IA realmente se parece agora: não uma lei a seguir, mas um amontoado de leis sobrepostas que ocasionalmente se contradizem, apoiadas sobre um funil de contratação que nunca foi construído para ser inspecionado. Quando comecei a me aprofundar nisso, presumi que a tarefa fosse conduzir uma boa auditoria de viés. Eu estava errado, e a forma como eu estava errado é a história toda.
A CHRO Que Estava Sujeita a Seis Regimes Antes do Almoço
Deixe-me expor o que ela de fato enfrentava, porque a convergência é a parte que as pessoas subestimam.
As emendas da FEHA da Califórnia sobre sistemas de decisão automatizada entraram em vigor em 1º de outubro de 2025 — quatro anos de retenção obrigatória de cada entrada, saída e resultado de teste de viés, e responsabilidade que se aplica quer a discriminação tenha sido intencional ou não, para qualquer empregador que contrate na Califórnia, independentemente de onde esteja sediado. A HB 3773 de Illinois entrou em vigor em 1º de janeiro de 2026, e proíbe explicitamente o uso de códigos postais como substitutos para classes protegidas. A TRAIGA do Texas entrou em vigor no mesmo dia — só que o Texas deliberadamente rejeitou o impacto desigual como teoria e pune apenas a discriminação intencional, com multas que vão de US$ 12.000 por uma violação sanável a US$ 200.000 por uma que não seja — com uma janela de 60 dias para sanar antes de a penalidade endurecer, um detalhe que muda a forma como você triagem uma notificação do Texas em comparação com uma de Nova York. A Lei de IA do Colorado entra em vigor em 30 de junho de 2026. A Lei de IA da UE trata o recrutamento como atividade de alto risco do Anexo III a partir de 2 de agosto de 2026, com penalidades que chegam a € 35 milhões ou 7% do faturamento anual global.
Então uma única empresa com escritórios nessas cinco cidades e em Londres responde a seis regimes, três deles já em vigor, três entrando em ação antes do fim do verão. A mesma decisão de contratação. Seis definições diferentes do que a torna ilegal.
Uma empresa que contrata em Nova York, Chicago, Denver, Austin e Londres não está executando um único processo de contratação. Está executando um processo que seis governos acreditam, cada um, pertencer a eles.
E então veio a parte que fez a sala silenciar: aquilo em que a maioria deles vinha se apoiando para se manter segura tinha acabado de deixar de funcionar.
"Nosso Fornecedor Diz Que Não É um AEDT" Ainda É uma Defesa?
Por dois anos, a estratégia silenciosa em Nova York foi algo que os pesquisadores batizaram de Conformidade Nula — e uma vez que você a enxerga, você a vê em toda parte. A Lei Municipal 144 da Cidade de Nova York deixa o empregador decidir se sua ferramenta "assiste substancialmente" uma decisão de contratação. Então os empregadores decidiram que não. Um estudo da Cornell, da Data & Society e da Consumer Reports apresentado na FAccT em 2024 examinou 391 empregadores de Nova York que utilizavam essas ferramentas e descobriu que apenas 4,6% haviam publicado a auditoria de viés que a lei exige. Apenas 3,3% haviam divulgado o aviso de transparência. O restante havia efetivamente se autoclassificado para fora do alcance da lei.
Era um memorando. Em algum lugar do departamento jurídico, havia um memorando de uma página, de 2024, dizendo nosso fornecedor nos disse que isto não é um AEDT, então a LL144 não se aplica. Esse memorando era o programa de conformidade.
Então veio 2 de dezembro de 2025. O Controlador do Estado de Nova York auditou a fiscalização da cidade e encontrou 17 possíveis violações da LL144 na mesma amostra de 32 empresas em que a própria agência da cidade havia encontrado uma. Setenta e cinco por cento das ligações de reclamação haviam sido encaminhadas erroneamente. A agência admitiu, oficialmente, que sua equipe não tinha o conhecimento técnico para avaliar essas ferramentas — e concordou em migrar para uma fiscalização proativa e orientada por pesquisa. A estrutura de penalidades não mudou: até US$ 1.500 por dia, por violação. Opere uma única ferramenta não auditada continuamente em Nova York e você está diante de mais de meio milhão de dólares por ano, antes que alguém entre com uma ação judicial privada.
A "Conformidade Nula" nunca foi uma posição jurídica. Era uma aposta de que ninguém estava verificando. Em 2 de dezembro de 2025, alguém começou a verificar.
Lembro-me de ler o PDF da auditoria do Controlador em um domingo e pensar: cada um daqueles memorandos de autoclassificação de 2024 acabara de se tornar uma prova documental de descoberta. O que, ao que parece, não é uma metáfora.
Os Processos Judiciais Que Silenciosamente Reescrevem Quem É Responsável
Porque a outra coisa que acontece em paralelo é que os tribunais estão desmontando a ideia de que a opinião do fornecedor protege você.
Em Mobley v. Workday, a juíza Rita F. Lin recusou-se a arquivar o caso, sustentando que um fornecedor de contratação por IA pode ser diretamente responsável como "agente" do empregador quando sua ferramenta recomenda ou filtra candidatos — independentemente do que o memorando do empregador afirme que a ferramenta faz. O tribunal concedeu a certificação coletiva preliminar em maio de 2025, e a janela de adesão para candidatos com mais de 40 anos encerrou-se em 7 de março de 2026. Em seguida, a juíza ordenou que a Workday produzisse uma lista exaustiva de todos os empregadores que haviam habilitado seus produtos de triagem HiredScore, rejeitando a tentativa de manter as ferramentas pós-aquisição fora do caso. Pelos próprios cálculos do tribunal, mais de um bilhão de candidatos podem ter passado por aquele funil.
E em 20 de janeiro de 2026, uma nova frente se abriu. Kistler v. Eightfold levanta uma pergunta que ninguém no setor de tecnologia de RH queria que fosse feita: essas plataformas são agências de relatório ao consumidor sob a Lei de Relatórios de Crédito Justos (FCRA)? A queixa alega que a Eightfold coletou dados do LinkedIn, do GitHub e do Stack Overflow, montou dossiês de candidatos a partir de "mais de 1,5 bilhão de pontos de dados globais" e produziu uma pontuação de "probabilidade de sucesso" de 0 a 5 sem qualquer notificação ao candidato, sem divulgação, sem processo de contestação. Se um tribunal concordar, toda plataforma semelhante deve a cada candidato pontuado um aviso de ação adversa e um meio de contestá-lo — e os danos legais da FCRA vão de US$ 100 a US$ 1.000 por consumidor, por violação. Multiplique isso por cada candidato que uma plataforma já pontuou.
Então esse era o cenário em que minha cliente estava. Seis regimes, dois processos judiciais ativos redefinindo a responsabilidade, um regulador que acabara de aprender a auditar. Meu instinto — e assumo isso, porque me custou um mês — foi que a resposta seria uma auditoria de viés universal realmente boa.
A Auditoria Universal Que Não Podia Existir
Vale a pena descrever o que construí primeiro, porque é exatamente onde toda a abordagem desmoronou.
O plano era elegante: uma análise rigorosa de impacto adverso, executada conforme a metodologia que auditores independentes como a DCI Consulting e a ORCAA utilizam, que mapearíamos em todas as seis jurisdições. Passar por ela uma vez, documentá-la bem, satisfazer todos. Construímos o funil, extraímos os dados de contratação, calculamos as razões de impacto de quatro quintos e até fizemos os recortes interseccionais de raça por sexo que Nova York especificamente exige.
Então me sentei para mapear o resultado único em relação aos seis regimes, e ele se desfez diante de mim.
Nova York exige razões de impacto interseccionais. O Colorado pede "cuidado razoável" sem qualquer exigência interseccional. O Texas nem reconhece o impacto desigual como teoria, logo todo o exercício estatístico é juridicamente irrelevante lá — só a intenção importa. A Lei de IA da UE não tem uma regra de quatro quintos; ela tem um mandato de representatividade de dados sob o Artigo 10. Uma auditoria, executada de um único jeito, produz um entregável que está correto para uma jurisdição e é insuficiente ou irrelevante para as demais.
A mais profunda — a que genuinamente me deteve — foi o código postal. A HB 3773 de Illinois proíbe explicitamente o uso de códigos postais como substitutos para classes protegidas; retire-os e você está em conformidade. Mas o Artigo 10(3) da Lei de IA da UE exige que os dados de treinamento sejam "relevantes, representativos e livres de erros", e a cobertura geográfica que torna um conjunto de dados representativo é muitas vezes exatamente o que os códigos postais codificam. Remova o campo e você reprova no teste de representatividade da Europa. Mantenha-o e você reprova em Illinois.
O mesmo campo de dados é contrabando em Illinois e prova obrigatória em Bruxelas. Não existe versão do conjunto de dados que esteja limpa nos dois lugares ao mesmo tempo.
Você não pode auditar seu caminho para fora de uma contradição na lei. Eu havia passado semanas construindo uma ferramenta para responder a uma pergunta, e o verdadeiro problema era que a pergunta tinha seis respostas corretas diferentes, duas das quais eram mutuamente excludentes. Esse foi o ponto de virada. O produto não era um motor de auditoria melhor. O produto era aquilo que fica acima das auditorias e as reconcilia — e lhe diz honestamente quais conflitos não podem ser reconciliados, para que seu advogado-geral possa tomar uma decisão de estratégia jurídica em vez de fingir que o conflito não existe.
A Exposição Que Nenhuma Auditoria de Viés Estava Detectando
Assim que parei de tentar construir uma única auditoria, comecei a enxergar as lacunas que as auditorias nunca cobriam. Duas delas são grandes.
A primeira é a acessibilidade, e ela é um universo jurídico próprio. Em março de 2025, a ACLU protocolou uma queixa em nome de uma candidata surda indígena, "D.K.", alegando que um processo de entrevista em vídeo movido por IA a discriminou sob a ADA, o Título VII e a lei de direitos civis do Colorado. Retire os estatutos e o dano é evidente: uma candidata qualificada foi filtrada porque a máquina literalmente não conseguia ouvi-la — e ninguém no RH jamais viu a rejeição acontecer. A realidade técnica por trás dessa alegação é brutal: o reconhecimento automático de fala ainda tem desempenho muito pior com a fala de pessoas com deficiência. O modelo Whisper da OpenAI apresenta uma taxa de erro de palavra cerca de três vezes maior em fala multilíngue e não padrão, e mesmo a equipe vencedora do Interspeech Speech Accessibility Project Challenge de 2025 — treinada com mais de 400 horas de mais de 500 falantes com deficiências de fala — chegou a uma taxa de erro de palavra de 8,11% na fala prejudicada, ainda múltiplas vezes maior do que o referencial de inglês padrão. Uma auditoria de viés que verifica razões de impacto de raça e sexo aprovará uma ferramenta que sistematicamente não consegue entender uma candidata surda, porque essa é uma teoria jurídica diferente com um teste diferente que quase ninguém está executando. Agora trato o teste de acessibilidade como uma disciplina separada, com seu próprio entregável, porque é o que ele é.
A segunda é a segurança, e aprendi a colocá-la sobre a mesa depois do McHire. Em junho de 2025, os pesquisadores Ian Carroll e Sam Curry descobriram que a plataforma de contratação do McDonald's, construída sobre a Paradox.ai, havia exposto os registros de cerca de 64 milhões de candidatos — nomes, e-mails, números de telefone e transcrições completas das entrevistas por chatbot. A causa raiz foi uma conta de administrador de teste de 2019 em que tanto o nome de usuário quanto a senha eram 123456, sem autenticação multifator, além de uma falha de API que permitia que qualquer pessoa percorresse os IDs dos candidatos. Sua infraestrutura de conformidade não se importa que o elo fraco tenha sido a conta de teste esquecida de um fornecedor. A obrigação de notificação de violação, a exposição a ações coletivas, a perda de base legal para continuar processando aqueles dados — tudo isso recai sobre o empregador. Após essa divulgação, o CISO passa a estar à mesa em cada compra de tecnologia de RH, e uma carta genérica de SOC 2 não é uma revisão de segurança ciente de IA.
Por Que Você Não Pode Simplesmente Comprar uma Ferramenta para Isso?
As pessoas sempre me fazem alguma versão da pergunta: será que não posso simplesmente comprar uma ferramenta para isso? E eu entendo o instinto, porque o mercado está cheio de opções de aparência confiável. A resposta honesta é não, e vale a pena saber por quê antes de gastar.
As plataformas de governança dedicadas — FairNow, Holistic AI, Credo AI, que já captou cerca de US$ 45 milhões — são genuinamente boas no que fazem. Mas cada uma entrega essencialmente uma única metodologia e roda sobre os seus dados; nenhuma delas se posiciona entre você e a Workday e extrai o que o seu contrato real com o fornecedor protege e o que não protege. Os auditores independentes como a DCI e a ORCAA produzem um trabalho excelente por US$ 50.000 a US$ 200.000 por sistema por ano, mas é um retrato instantâneo em cadência anual, não uma resposta permanente a seis regimes em movimento. E as Big Four certamente aceitarão o trabalho — por US$ 500.000 a vários milhões — com equipes de consultoria que não constroem tecnologia e não conseguem entrar no detalhe técnico de por que o seu modelo de triagem se comporta da maneira que se comporta.
A lacuna não é a falta de um fornecedor de auditoria. É que ninguém na sua lista de finalistas consegue se posicionar entre a CHRO, o advogado-geral, o CISO e todos os fornecedores de tecnologia de RH ao mesmo tempo — e está disposto a lhe dizer onde a lei simplesmente não pode ser satisfeita.
O que construímos na Veriprajna é justamente aquilo que vive nessa lacuna: uma prática de reconciliação jurisdicional e de diligência devida de AEDT que inventaria cada ferramenta que toca sua contratação, executa a auditoria certa para cada regime ao qual você se enquadra, em vez de uma genérica, testa acessibilidade e segurança como disciplinas próprias e dá ao seu advogado-geral os números de custo e os cronogramas de litígio para defender o orçamento diante de um CFO. Não um seguro que você espera nunca usar — documentação que você ficará muito grato por ter quando a fiscalização proativa de Nova York, ou a lista de descoberta do caso Mobley, vier bater à porta.
Os 120 Dias Que Decidem Isso
A razão pela qual mantenho uma contagem regressiva sobre isso não é drama. É que o calendário está excepcionalmente implacável neste momento. O prazo do Colorado está a cerca de doze semanas de distância. As obrigações de alto risco da UE chegam cerca de quatro semanas depois disso. A postura de fiscalização de Nova York já virou. A fase de descoberta do caso Mobley está produzindo a lista de empregadores enquanto você lê isto.
O que mudou meu próprio raciocínio, e o que eu gostaria que uma CHRO ou um advogado-geral extraísse de tudo isso, é algo estreito e específico: a antiga jogada protetora — deixar o fornecedor definir a ferramenta como fora do alcance, executar uma única auditoria, arquivar o memorando — nunca foi um programa de conformidade. Era uma aposta de que ninguém com competência técnica estava observando. Agora todos estão observando, de seis direções, e duas dessas direções discordam sobre o que você deveria sequer fazer. O trabalho não é mais passar em uma auditoria. É saber, regime por regime, exatamente onde você está — inclusive os lugares onde a resposta honesta é que a lei se contradiz e alguém precisa decidir para que lado se inclinar. Isso não é uma ferramenta que você compra. É um julgamento que você tem de fato de fazer o trabalho para merecer. Você pode ver como fazemos isso aqui.
