-
A agosto de 2026, Brasil no tiene una ley específica de IA vigente. El PL 2338/2023 fue aprobado por el Senado el 10 de diciembre de 2024, pero sigue en trámite en la Cámara de Diputados, a la espera del dictamen del relator en la Comisión Especial.
-
La IA que trata datos personales ya está regulada hoy por la Ley General de Protección de Datos (LGPD, Lei 13.709/2018) y fiscalizada por la Autoridad Nacional de Protección de Datos (ANPD).
-
La adopción empresarial de IA creció de 13% a 17% entre 2024 y 2025, y llega al 50% en las grandes empresas (Cetic.br). Pero la gobernanza va muy por detrás de la adopción.
-
El PL 2338 sigue el modelo europeo basado en riesgo, con sistemas prohibidos, obligaciones para "alto riesgo" y multas de hasta R$ 50 millones o 2% de la facturación. Cumplir la LGPD hoy y adoptar marcos como ISO/IEC 42001 y NIST AI RMF es la mejor forma de anticiparlo.
¿Brasil ya tiene una ley de inteligencia artificial?
No: a agosto de 2026 no existe una ley específica de IA en vigor, pero sí un marco regulatorio aplicable. El Proyecto de Ley 2338/2023 —el "Marco Legal da Inteligência Artificial"— nació del trabajo de una Comisión de Juristas del Senado y fue aprobado por el Plenario del Senado el 10 de diciembre de 2024. De ahí pasó a la Cámara de Diputados, donde una Comisión Especial, con relatoría del diputado Aguinaldo Ribeiro, realizó doce audiencias públicas en 2025. Sin embargo, el proyecto todavía no fue votado en comisión ni en el plenário de la Cámara, no volvió al Senado como cámara revisora y no fue sancionado: sigue siendo un proyecto, no una ley.
Este es el dato más propenso a quedar desactualizado, por lo que conviene verificarlo en la ficha oficial de la Cámara antes de tomar decisiones. Mientras tanto, el vacío es solo de una ley específica: la LGPD ya alcanza plenamente a cualquier sistema de IA que trate datos personales, de modo que la responsabilidad de gobernar la IA recae hoy sobre las propias organizaciones.
¿Qué propone el PL 2338/2023 y en qué se parece al modelo europeo?
Propone un enfoque basado en el nivel de riesgo, muy similar al del Reglamento de IA de la Unión Europea. El proyecto clasifica los sistemas y ajusta las obligaciones a su potencial de daño.
|
Nivel de riesgo |
Ejemplos |
Tratamiento en el PL 2338 |
|---|---|---|
|
Riesgo excesivo (prohibido) |
Técnicas subliminares que induzcan conductas dañinas; explotación de vulnerabilidades de grupos; puntuación social por el poder público; armas autónomas sin supervisión humana significativa |
Prohibidos |
|
Alto riesgo |
Análisis de crédito, reclutamiento y RH, salud, educación, infraestructuras críticas, biometría a distancia, vehículos autónomos |
Permitidos, con evaluación de impacto algorítmico, documentación, supervisión humana y gobernanza |
|
Demás sistemas |
Usos de bajo impacto |
Obligaciones básicas de transparencia |
El proyecto también reconoce derechos de las personas afectadas —transparencia, explicación de decisiones automatizadas, contestación y revisión humana— y prevé multas de hasta R$ 50 millones por infracción o 2% de la facturación del grupo en Brasil, lo que sea mayor. A modo de referencia, el Reglamento de IA de la Unión Europea (2024/1689) contempla sanciones de hasta 35 millones de euros o 7% de la facturación mundial por las prácticas prohibidas, un umbral bastante superior. En diciembre de 2025, además, el Poder Ejecutivo presentó un proyecto complementario (PL 6237/2025) que crea el Sistema Nacional de Regulación y Gobernanza de IA (SIA) y designa a la ANPD como autoridad reguladora en ausencia de un regulador sectorial; fue anexado al PL 2338 en abril de 2026.
¿Cómo se aplica la LGPD a la IA hoy?
La LGPD ya impone obligaciones accionables sobre cualquier IA que use datos personales, y la más relevante para el negocio es el derecho a la revisión de decisiones automatizadas. Su artículo 20 otorga al titular el derecho a solicitar la revisión de decisiones tomadas únicamente sobre la base de tratamiento automatizado que afecten sus intereses —perfiles de crédito, consumo, evaluación profesional—, y obliga a la empresa a informar los criterios y procedimientos utilizados, resguardando secretos comercial e industrial. El Superior Tribunal de Justicia ya aplicó ese artículo, en junio de 2024, al descredenciamiento automatizado de un conductor de aplicación, reconociéndole derecho a notificación y defensa.
En materia de transferencia internacional de datos —relevante cuando se entrenan o ejecutan modelos en la nube fuera del país—, la Resolución CD/ANPD nº 19/2024 aprobó las cláusulas-tipo contractuales y fijó un plazo de adecuación que venció el 23 de agosto de 2025. Desde esa fecha, usar cláusulas contractuales como base para transferir datos al exterior solo es válido si se adoptan íntegramente las cláusulas-tipo de la ANPD. Las sanciones de la LGPD llegan a 2% de la facturación, con tope de R$ 50 millones por infracción; hasta 2025, la ANPD había aplicado pocas multas pecuniarias —la primera, de apenas R$ 14.400 a una microempresa—, predominando advertencias y medidas correctivas.
¿Qué ha hecho la ANPD en materia de IA?
La ANPD se ha posicionado como la autoridad de referencia en IA y ya ejerció su poder de fiscalización, aunque de forma cautelar y reversible. Desde 2023 publicó un análisis preliminar del PL 2338 y varias notas técnicas que proponen un modelo institucional con la ANPD como órgano coordinador, y en diciembre de 2025 incluyó la IA entre sus temas prioritarios de fiscalización para 2026-2027, con foco en transparencia, mitigación de sesgos y protección de los titulares.
El precedente más citado es el caso Meta. En julio de 2024, la ANPD determinó la suspensión cautelar del tratamiento de datos personales para entrenar IA generativa por parte de la empresa, con una multa diaria por incumplimiento, tras cuestionar el uso del legítimo interés sobre datos públicos de sus plataformas. Es importante leer el desenlace con precisión: apenas un mes después, en agosto de 2024, la ANPD autorizó a la empresa a retomar el tratamiento mediante un plan de conformidad —con notificación a los usuarios, un mecanismo de oposición facilitado y el compromiso de no usar datos de menores—. Fue una medida cautelar posteriormente revertida, no una prohibición permanente.
¿Cuál es la estrategia pública de IA en Brasil?
Brasil complementa la regulación con una política de fomento: el Plan Brasileño de Inteligencia Artificial 2024-2028. Conocido como "IA para o Bem de Todos" y coordinado por el Ministerio de Ciencia, Tecnología e Innovación, el plan anunció una inversión proyectada de alrededor de R$ 23 mil millones en el cuatrienio, mayoritariamente de origen estatal, organizada en cinco ejes: infraestructura, formación, mejora de servicios públicos, innovación empresarial y gobernanza. Conviene tratar ese monto como una proyección presupuestaria plurianual, sujeta a la programación anual, y no como ejecución confirmada.
El plan retoma y actualiza la Estrategia Brasileña de IA (EBIA, de 2021) y refuerza la agenda de soberanía de datos: desarrollo de infraestructura de procesamiento nacional y de modelos en lengua portuguesa, para reducir la dependencia de soluciones extranjeras. Esa preocupación por dónde se procesan los datos conecta directamente con las obligaciones de transferencia internacional de la LGPD.
¿Qué tan adoptada está la IA en las empresas brasileñas?
La adopción crece con fuerza, pero la gobernanza no la acompaña, y esa brecha es el verdadero riesgo del momento. Según Cetic.br (TIC Empresas), el uso de IA en las empresas subió de 13% a 17% entre 2024 y 2025 —el primer aumento significativo desde que se mide el indicador—, y en las grandes empresas pasó de 38% a 50%. En la industria, el IBGE registró un salto de 16,9% (2022) a 41,9% (2024). La aplicación más común es la automatización de procesos (63% de las empresas que usan IA). El sector más maduro es el bancario: según la Pesquisa Febraban de Tecnologia Bancária 2025, más de ocho de cada diez bancos ya incorporan IA generativa en sus operaciones, con una mejora media de eficiencia del 11,4%.
El contraste está en la gobernanza. Diversos relevamientos de mercado —con metodologías heterogéneas, por lo que conviene tomarlos como señal y no como censo— coinciden en que la mayoría de las empresas brasileñas aún no cuenta con una política formal de gobernanza de IA ni con monitoreo continuo de sesgos y riesgos. Dicho de otro modo: muchas organizaciones adoptan IA a ritmo de líder, pero la gobiernan a ritmo de principiante, justo cuando la fiscalización de la ANPD se intensifica y una ley específica se aproxima.
¿Qué debe hacer hoy una gran empresa para prepararse?
La mejor forma de anticipar el PL 2338 es cumplir la LGPD hoy y montar una gobernanza de IA, porque ambos marcos comparten la misma lógica de riesgo, gobernanza y derechos. Los pasos accionables son:
1. Inventariar los sistemas de IA: finalidad, datos utilizados, grado de autonomía decisoria e impacto potencial. Es la base para clasificar el riesgo.
2. Establecer una gobernanza de IA: un comité multidisciplinario (jurídico, compliance, TI, negocio y RH) con políticas internas y responsables por sistema.
3. Evaluar el impacto: informe de impacto a la protección de datos (RIPD) bajo la LGPD y evaluación de impacto algorítmico para los sistemas de mayor riesgo.
4. Garantizar transparencia y supervisión humana: informar la interacción con IA y asegurar una revisión humana sustantiva de las decisiones automatizadas (artículo 20).
5. Gestionar los datos de entrenamiento: base legal adecuada, minimización y respeto de los derechos de los titulares (acceso, revisión, oposición).
6. Blindar los contratos con proveedores: incorporar las cláusulas-tipo de transferencia internacional (Resolución 19/2024), responsabilidades y derecho de auditoría.
7. Apoyarse en marcos voluntarios: la norma ISO/IEC 42001:2023 (adoptada como ABNT NBR ISO/IEC 42001), que define un sistema de gestión de IA certificable por un tercero, y el NIST AI Risk Management Framework, con sus funciones Govern, Map, Measure y Manage, como punto de partida gratuito.
Conclusión: un marco de decisión escalonado
La ruta segura va de lo obligatorio hoy a lo previsible mañana, en tres etapas. Primero, lo inmediato: reverificar el estado del PL 2338, levantar el inventario de sistemas de IA y confirmar que los contratos con transferencia internacional ya incorporan las cláusulas-tipo de la ANPD, cuyo plazo venció en agosto de 2025. Segundo, en el corto plazo: formalizar la política de gobernanza, implementar las evaluaciones de impacto y alinearse con ISO/IEC 42001 o NIST AI RMF. Y tercero, la preparación para la ley: clasificar los sistemas por riesgo según el texto del proyecto y documentar el ciclo de vida, de modo que la aprobación del PL 2338 —cuando ocurra— encuentre a la organización lista. Si aparece cualquier sistema de alto riesgo (crédito, RH, salud o biometría), conviene elevarlo de inmediato al comité ejecutivo, porque será el primer foco de fiscalización.
Preguntas frecuentes
¿Brasil tiene una ley de inteligencia artificial vigente?
No una ley específica. El PL 2338/2023 fue aprobado por el Senado en diciembre de 2024, pero a agosto de 2026 sigue en trámite en la Cámara de Diputados. Hoy la IA que trata datos personales se rige por la LGPD.
¿Qué sistemas de IA prohibiría el PL 2338?
Los de riesgo excesivo: técnicas subliminares que induzcan conductas dañinas, explotación de vulnerabilidades de grupos, puntuación social por el poder público y armas autónomas sin supervisión humana significativa, entre otros.
¿La LGPD ya obliga en decisiones automatizadas?
Sí. El artículo 20 otorga el derecho a solicitar la revisión de decisiones tomadas únicamente sobre la base de tratamiento automatizado y a conocer los criterios utilizados.
¿Puedo transferir datos al exterior para entrenar o ejecutar IA?
Sí, con una base legal válida. Desde el 23 de agosto de 2025, usar cláusulas contractuales exige adoptar íntegramente las cláusulas-tipo aprobadas por la ANPD (Resolución 19/2024).
¿Qué pasó con el caso Meta?
La ANPD ordenó una suspensión cautelar en julio de 2024 y, un mes después, autorizó la reanudación mediante un plan de conformidad. Fue una medida cautelar revertida, no una prohibición permanente.
¿Cómo prepararse antes de que exista la ley?
Con una gobernanza de IA, un inventario de sistemas, evaluaciones de impacto y la adopción de ISO/IEC 42001 y NIST AI RMF. Cumplir la LGPD hoy anticipa buena parte de las obligaciones del PL 2338.
Referencias
Últimas noticias
AI
Brasil
Digital Services
IA generativa en los procesos corporativos: dónde están las ganancias medibles (y por qué la mayoría no las captura)
La promesa de la IA generativa es enorme, pero el retorno real está concentrado en pocas empresas y en pocos procesos. Este artículo muestra, con evidencia verificable, dónde se han medido con rigor las ganancias de productividad, cómo calcular el retorno de verdad y qué condiciones deben existir antes de esperar resultados — con foco en el contexto de las grandes empresas brasileñas.
AI
Brasil
Ciberseguridad
Adopción de IA en Brasil: qué exige el marco regulatorio (LGPD, ANPD y PL 2338/2023)
Brasil adopta inteligencia artificial a ritmo acelerado, pero todavía no tiene una ley específica de IA en vigor. Esa combinación —adopción creciente y una ley aún en trámite— genera un riesgo de cumplimiento que muchas empresas subestiman, porque la regulación aplicable ya existe: es la Ley General de Protección de Datos y la actuación de su autoridad. Esta guía explica, con datos verificables, qué exige hoy el marco regulatorio brasileño, qué propone el PL 2338/2023 y cómo debe prepararse una gran empresa.
Brasil
Data Center
Noticias
Nube, data center y servicios gestionados en Brasil: cómo elegir el modelo correcto
Impulsado por la inteligencia artificial, el mercado de nube y data centers en Brasil crece a ritmo acelerado — y la pregunta que importa para el ejecutivo no es "qué modelo adoptar", sino cómo asignar cada carga de trabajo al entorno correcto, considerando regulación, costo, criticidad y latencia. Esta guía reúne, con datos verificables, los modelos disponibles, el eje de la soberanía de datos y qué exigir de un buen contrato de servicios gestionados.
