¿Qué es la regulación de la IA en Brasil?
Regulación de la IA: países y regiones
Brasil aún no cuenta con una ley de IA única y promulgada. A 4 de junio de 2026, la IA en Brasil se rige principalmente por la legislación vigente, en especial la LGPD, las normas de consumo, civiles y de derechos de autor, mientras que un marco nacional más amplio, el PL 2338/2023, sigue en revisión en la Cámara de Diputados tras su aprobación en el Senado en diciembre de 2024. Junto a ese proyecto, el PBIA funciona como una capa de política federal e inversión para la gobernanza del sector público, la infraestructura, la formación y la experimentación controlada.
Revisado por Jackie, Head of Learning & Development, Levellers - Última revisión: 8 de junio de 2026
Qué significa esto
Brasil atraviesa una fase de transición. No existe un vacío regulatorio, porque la legislación brasileña vigente ya alcanza muchas prácticas de IA, especialmente cuando están en juego datos personales, la toma de decisiones automatizada, el trato al consumidor, la responsabilidad civil, los derechos de autor o la administración pública.
Al mismo tiempo, el Congreso debate un marco nacional más amplio. La versión del Senado del PL 2338/2023 crearía un modelo basado en riesgos, prohibiría algunos usos, impondría obligaciones más estrictas para los sistemas de alto riesgo y organizaría la coordinación regulatoria en torno a la ANPD y las autoridades sectoriales.
Al margen de ese proyecto, el PBIA es la capa de política del gobierno. Se trata de un plan nacional de capacidades, inversión, infraestructura y práctica del sector público. Tiene una gran relevancia operativa, pero no equivale a una ley de IA promulgada para todo el mercado privado.
Por qué importa
Si se desarrolla, adquiere, ajusta o despliega IA en Brasil, el reto principal no es decidir si esperar a una futura ley de IA. Es gobernar la IA bajo la legislación actual mientras se prepara para un marco más explícito que aún podría modificarse en el Congreso. El entrenamiento de datos, el uso biométrico, las herramientas de contratación, el seguimiento educativo, la elegibilidad para servicios esenciales, las aplicaciones de salud, el contenido sintético y la contratación pública ya son áreas de riesgo legal y de gobernanza activo.
Para las organizaciones, Brasil exige ahora un enfoque de doble vía. Una vía es el cumplimiento actual, especialmente en materia de protección de datos, transparencia, responsabilidad y no discriminación. La otra es la preparación para el modelo del proyecto del Senado, que añadiría clasificación formal de riesgos, evaluación del impacto algorítmico, revisión humana, gestión de incidentes, derechos frente al público y supervisión sectorial coordinada si avanza en la Cámara.
Cómo funciona
Situación jurídica actual
A 4 de junio de 2026, Brasil no cuenta con una ley marco de IA promulgada. El conjunto normativo vinculante sigue compuesto por la legislación existente. La LGPD se aplica cuando los sistemas de IA recopilan, entrenan, infieren o procesan de cualquier otro modo datos personales. La legislación de consumo sigue rigiendo los servicios automatizados engañosos o perjudiciales. Las normas de responsabilidad civil siguen siendo relevantes para las reclamaciones por daños. La legislación de derechos de autor sigue siendo aplicable al material de entrenamiento y al material generado. Las normas sectoriales continúan aplicándose en ámbitos regulados como las finanzas, la salud, la educación, las telecomunicaciones y la administración pública.
Esto significa que la regulación de la IA en Brasil ya existe, pero de forma distribuida. En la práctica, las organizaciones deben identificar qué régimen jurídico activa cada sistema, en lugar de esperar a que un único código de IA lo resuelva todo.
De la aprobación en el Senado a la revisión en la Cámara
El PL 2338/2023 es la pieza central del marco nacional de IA propuesto por Brasil. El Senado aprobó el proyecto en diciembre de 2024 y lo remitió a la Cámara de Diputados en marzo de 2025. En abril de 2025 se creó una comisión especial en la Cámara, y en mayo de 2025 se designó al diputado Aguinaldo Ribeiro como ponente.
A 4 de junio de 2026, el proyecto sigue en revisión en la Cámara. Ha acumulado un gran número de proyectos adjuntos, lo que significa que la Cámara no revisa el texto del Senado de forma aislada. En términos prácticos, la versión del Senado es la mejor referencia actual para entender la dirección probable de Brasil, pero aún no es la ley definitiva y no debe tratarse como texto consolidado.
Categorías de riesgo y derechos de las personas afectadas
El texto del Senado adopta una estructura basada en riesgos. Distingue entre usos prohibidos, usos de alto riesgo y otros usos sujetos a obligaciones más generales. Cualquier persona o grupo afectado por la IA tendría derechos básicos: saber cuándo interactúa con IA, a la privacidad y la protección de datos personales, y a la protección frente a la discriminación ilícita o abusiva.
Para los sistemas de alto riesgo, el borrador añade derechos más sólidos. Entre ellos figuran el derecho a una explicación, el derecho a impugnar y solicitar revisión, y el derecho a revisión humana, teniendo en cuenta el contexto, el riesgo y la viabilidad técnica. El proyecto también enumera contextos que se presumen de alto riesgo, entre ellos la infraestructura crítica, la admisión y el seguimiento de estudiantes, las decisiones de empleo, el acceso a servicios y prestaciones esenciales, la priorización de servicios de emergencia, partes del sistema de justicia y seguridad, algunos usos biométricos y fronterizos, los vehículos autónomos en espacios públicos y algunas aplicaciones de salud.
La lista de prohibiciones también es relevante. El texto del Senado prohibiría la IA utilizada para la manipulación dañina, la explotación de vulnerabilidades, la puntuación de delitos basada en la personalidad o el comportamiento, la creación o facilitación de material de abuso sexual infantil, la puntuación social pública ilegítima o desproporcionada, y las armas autónomas. También restringiría estrictamente la identificación biométrica remota en tiempo real en espacios de acceso público, permitiéndola únicamente en situaciones de seguridad pública muy concretas y con condiciones estrictas.
Obligaciones de gobernanza para desarrolladores, distribuidores y operadores
El borrador no regula a un único actor. Distribuye obligaciones a lo largo de la cadena de valor, incluyendo desarrolladores, distribuidores y operadores. Para la IA de alto riesgo, exigiría medidas de gobernanza a lo largo del ciclo de vida del sistema, entre ellas la evaluación preliminar de riesgos, la documentación técnica, la supervisión humana, la comunicación de incidentes graves y los procedimientos de conformidad específicos del sector.
Un mecanismo central es la evaluación del impacto algorítmico. Según el texto del Senado, debe realizarse antes de que un sistema de alto riesgo se comercialice o entre en servicio, y actualizarse a lo largo del ciclo de vida del sistema. Sus conclusiones serían públicas, con protección para los secretos comerciales e industriales. El borrador también permite elaborar este documento conjuntamente con un informe de impacto sobre la protección de datos cuando la LGPD ya lo exija.
La propuesta también alcanza a la IA de propósito general y a la IA generativa. Los desarrolladores deberían evaluar el riesgo esperado, incluido el posible riesgo sistémico, documentar las pruebas y el riesgo residual, utilizar datos gestionados lícitamente, publicar resúmenes sobre los datos de entrenamiento y proporcionar instrucciones claras para los usos posteriores. El texto del Senado también aborda el contenido sintético y la transparencia de los datos de entrenamiento, lo que explica en parte que el debate en la Cámara se solape ahora con proyectos separados sobre deepfakes, etiquetado y derechos de autor.
Los derechos de autor son un elemento distintivo del debate brasileño. El texto del Senado exigiría a los desarrolladores que utilicen contenido protegido publicar un resumen público del material protegido empleado en el desarrollo, mantener una excepción más restringida orientada a la investigación para la minería de texto y datos por parte de determinadas instituciones científicas, educativas y culturales, permitir a los titulares de derechos prohibir otros usos, y prever una remuneración cuando se utilice contenido protegido en minería, entrenamiento o desarrollo fuera de esos casos limitados.
Instituciones, aplicación y vías de reparación
En el plano institucional, el texto del Senado autoriza al ejecutivo federal a establecer un Sistema de Regulación y Gobernanza de la IA, el SIA. En ese modelo, la ANPD se designa como autoridad competente que coordinaría el sistema, mientras que las autoridades sectoriales conservarían sus propias competencias técnicas y sectoriales. El modelo es, por tanto, coordinado y no plenamente centralizado. El proyecto también crea un consejo permanente de cooperación regulatoria para ayudar a alinear las orientaciones y la práctica entre instituciones.
De promulgarse en su forma del Senado, las sanciones administrativas irían desde advertencias hasta multas de hasta BRL 50 millones por infracción, con personas jurídicas privadas expuestas a multas de hasta el 2 por ciento de la facturación en Brasil, sujetas a ese límite. La propuesta también permite la suspensión y otras medidas restrictivas. Al mismo tiempo, no sustituye a los regímenes vigentes de responsabilidad civil y de consumo. Al contrario, los preserva expresamente, y facilita la posición de los demandantes en algunos litigios al permitir a los jueces invertir la carga de la prueba cuando la opacidad del sistema hace que la prueba sea excesivamente difícil.
El texto del Senado también respalda la experimentación supervisada. Permite que la autoridad competente y los reguladores sectoriales autoricen entornos de pruebas regulatorios, con acceso prioritario para micro y pequeñas empresas, startups e instituciones de investigación. Se trata de una herramienta de flexibilidad, no de inmunidad, porque los participantes en el entorno de pruebas siguen siendo responsables de los daños causados durante la experimentación.
El PBIA y la capa de política del sector público
El PBIA sigue una vía distinta a la del PL 2338/2023. El Consejo Nacional de Ciencia y Tecnología aprobó la propuesta del PBIA en noviembre de 2024, y la versión final se publicó bajo la coordinación del MCTI en junio de 2025. El plan se concibe como una estrategia nacional plurianual con una gran dotación de inversión, hasta BRL 23 mil millones en cuatro años, centrada en las capacidades nacionales, la infraestructura, la investigación, la formación y el uso estratégico de la IA.
Esto es relevante porque la gobernanza de la IA en Brasil avanza a través de la política incluso antes de que la Cámara concluya el proyecto de ley. En la planificación del gobierno digital federal, las iniciativas vinculadas al PBIA incluyen infraestructura de IA para el poder ejecutivo, experimentación de proyectos, publicación de buenas prácticas de gobernanza y gestión de riesgos, guías para funcionarios públicos, itinerarios de formación y mapeo anual de la adopción de IA. Estos instrumentos tienen mayor peso dentro del gobierno y en la contratación pública que como código general para el sector privado, pero igualmente configuran el entorno operativo nacional.
Las orientaciones para el sector público que se están publicando son prácticas, no meramente simbólicas. Los materiales federales sobre IA generativa indican a los funcionarios que eviten introducir información sensible o interna en herramientas no autorizadas, que validen el contenido antes de publicarlo, que mantengan la revisión humana y que, cuando proceda, indiquen la asistencia de la IA en los documentos institucionales. En otras palabras, la capa de política ya está generando normas de trabajo para el uso cotidiano.
Qué podría cambiar a continuación
La mayor incertidumbre no es si Brasil está regulando la IA, sino qué forma definitiva adoptará esa regulación. La Cámara puede revisar sustancialmente el texto del Senado. Las cuestiones abiertas incluyen el diseño institucional, la carga exacta para las empresas más pequeñas, las normas sobre derechos de autor y remuneración, el etiquetado del contenido sintético, las disposiciones sobre trabajo y educación, y cómo debe encuadrarse el uso por parte del sector público.
Por eso, la lectura más prudente hoy es la siguiente: Brasil ya cuenta con legislación aplicable relevante para la IA, el Senado ha aportado un borrador de marco nacional bastante detallado, la Cámara sigue reformulando ese marco, y el PBIA ya está impulsando la política pública y las capacidades del Estado en paralelo.
Ejemplos
Una plataforma social quiere utilizar publicaciones e interacciones de usuarios brasileños para entrenar IA generativa. En Brasil, esa no es una cuestión exclusivamente futura. En 2024, la ANPD intervino en el plan de Meta de utilizar datos personales para el entrenamiento de IA, suspendiendo primero la práctica y permitiendo después su reanudación solo con restricciones, entre ellas mayor transparencia, derechos de objeción más sencillos y la exclusión de las cuentas de menores. La lección práctica es que el entrenamiento de IA con datos de usuarios ya puede desencadenar un escrutinio inmediato bajo la LGPD.
Un empleador utiliza un sistema de IA para filtrar candidatos o puntuar a los trabajadores para su promoción. Según el texto del Senado, eso encaja directamente en la categoría de alto riesgo prevista para el empleo y la gestión de trabajadores. Si el PL 2338 se promulgara en esa forma, el empleador y otros agentes de la cadena necesitarían una gobernanza más sólida, que incluya derechos de explicación y revisión para las personas afectadas, revisión humana y evaluación del impacto algorítmico vinculada al contexto real de uso.
Un equipo ministerial quiere utilizar IA generativa para redactar notas informativas o resumir documentos. Las orientaciones federales ya establecen que esto debe tratarse como redacción asistida, no como toma de decisiones automatizada. Se indica a los funcionarios que eviten introducir información sensible o interna en herramientas no autorizadas, que validen el texto generado antes de publicarlo y que utilicen avisos transparentes cuando la IA haya contribuido a generar contenido institucional. Es un buen ejemplo de cómo la capa de política de Brasil crea salvaguardas prácticas antes de que se promulgue una ley nacional de IA.
Malentendidos frecuentes
Brasil ya cuenta con una ley de IA integral en vigor. No es así. Brasil tiene normas aplicables relevantes para la IA, pero el marco nacional más amplio sigue pendiente en la Cámara de Diputados.
El PBIA y el PL 2338/2023 son lo mismo. No lo son. El PL 2338/2023 es la vía legislativa para un marco nacional. El PBIA es un plan federal de política e inversión.
Solo se regularía a los desarrolladores de modelos. El texto del Senado es más amplio que eso. Distribuye obligaciones entre desarrolladores, distribuidores y operadores.
Si un sistema no se clasifica como de alto riesgo, no hay regulación. Eso es incorrecto. La legislación vigente sigue aplicándose, especialmente la LGPD, las normas de consumo, las normas de responsabilidad y la legislación sectorial.
Un entorno de pruebas regulatorio equivale a inmunidad legal. No es así. Tanto el texto del Senado como la práctica de la ANPD tratan el entorno de pruebas como experimentación supervisada, manteniendo la responsabilidad por daños.
Riesgos y límites
El límite más importante es el estatus jurídico. El texto del Senado no está en vigor. La Cámara puede modificar casi todos los puntos principales, incluidos quién regula, cómo se calibran las obligaciones para las empresas más pequeñas, cómo funcionan las normas sobre derechos de autor y datos de entrenamiento, cómo debe identificarse el contenido sintético, y cómo se tratan las cuestiones laborales, de servicio público y educativas. Gran parte del detalle operativo del proyecto dependería además de una regulación posterior, de normas sectoriales y de estándares técnicos.
El PBIA también es fácil de sobreinterpretar. Es importante, pero no sustituye a la legislación. Puede orientar presupuestos, contratación pública, infraestructura, capacidades federales y prácticas de derecho indicativo, pero por sí solo no crea un código de cumplimiento general único para todas las organizaciones privadas. Del mismo modo, la aplicación de la LGPD por parte de la ANPD es muy relevante, pero no responde a todas las preguntas sobre IA que quedan fuera de los datos personales. El límite práctico es que Brasil tiene actualmente un panorama de gobernanza por capas, no un único estatuto de IA definitivo y completo.
Qué hacer a continuación
Conviene tratar Brasil como una jurisdicción de legislación vigente más legislación pendiente, no como un mercado en el que esperar. La gobernanza debe construirse sobre lo que es exigible ahora, comprobando al mismo tiempo si los sistemas caerían en los ámbitos prohibidos o de alto riesgo del borrador del Senado si ese texto, o algo similar, se promulgara.
Es necesario mapear el conjunto de sistemas de IA frente a los puntos de presión específicos de Brasil: datos personales, biometría, contratación y gestión de trabajadores, educación, salud, servicios esenciales, contenido sintético, trabajo en el sector público y material de entrenamiento protegido por derechos de autor. Si un sistema toca alguna de esas áreas, conviene asumir que merece una revisión reforzada.
Conviene crear un rastro documental desde ahora. Eso implica mapeo de datos, análisis de la base jurídica, diligencia debida con proveedores, registros de pruebas, normas de revisión humana, procedimientos de gestión de incidentes, documentación para la explicabilidad y la impugnación, y una posición clara sobre la procedencia de los datos de entrenamiento y los derechos de autor. Aunque la ley cambie, esos registros seguirán siendo válidos.
Quienes suministren servicios al gobierno o trabajen dentro de él deben seguir de cerca la capa de política. Las orientaciones vinculadas al PBIA, la práctica del gobierno digital federal y la actividad de la ANPD ya inciden en el comportamiento operativo aceptable. Conviene evitar introducir información sensible o interna en herramientas no autorizadas, mantener la validación humana y asegurarse de que los equipos de contratación y despliegue estén alineados con las salvaguardas del sector público.
Por último, es necesario seguir de cerca la Cámara y la ANPD de forma continua. Las partes del panorama brasileño que cambian más rápido no son principios abstractos. Son el texto legislativo, el diseño institucional, la práctica del sector público y el tratamiento por parte del regulador de la IA y los datos personales.
¿Tiene alguna pregunta o sugerencia, o desea saber cómo investigamos y revisamos estas guías? Lea sobre nuestros estándares editoriales y cómo contactarnos.
Preguntas frecuentes
¿Brasil ya cuenta con una ley de IA en vigor?
No una de carácter integral. Brasil ya regula muchas actividades de IA a través de la legislación vigente, pero el marco nacional más amplio del PL 2338/2023 sigue pendiente en la Cámara de Diputados.
¿Es el PL 2338/2023 lo mismo que el PBIA?
No. El PL 2338/2023 es el marco legislativo nacional propuesto. El PBIA es la estrategia federal y el plan de inversión para las capacidades de IA, la infraestructura, la formación y la práctica del sector público.
¿Quién regularía la IA si el proyecto del Senado se aprobara en su forma actual?
El texto del Senado atribuye la coordinación a la ANPD como autoridad competente, trabajando con los reguladores sectoriales dentro de un sistema nacional coordinado, sin sustituirlos.
¿Qué tipos de IA se consideran de alto riesgo en el texto del Senado?
Las categorías enumeradas incluyen la IA utilizada en infraestructura crítica, selección y seguimiento de estudiantes, contratación y gestión de trabajadores, servicios esenciales, priorización de emergencias, partes del sistema de justicia y seguridad, algunos usos biométricos y fronterizos, vehículos autónomos en espacios públicos y algunos usos sanitarios.
¿Hay usos prohibidos de forma absoluta?
Sí, en el borrador del Senado. Entre los ejemplos figuran la manipulación dañina, la explotación de vulnerabilidades, la puntuación de delitos basada en la personalidad o el comportamiento, determinados usos relacionados con el abuso sexual infantil, la puntuación social pública ilegítima y las armas autónomas. La identificación biométrica remota en tiempo real en espacios públicos también está estrictamente restringida.
¿La legislación brasileña ya afecta al entrenamiento de IA con datos?
Sí. La ANPD ya ha actuado contra prácticas de entrenamiento de IA planificadas bajo la LGPD, lo que demuestra que el entrenamiento de datos puede enfrentarse a medidas de aplicación incluso antes de que se promulgue una ley específica de IA.
¿Están disponibles los entornos de pruebas en Brasil?
Sí, en una forma en desarrollo. El texto del Senado incluye entornos de pruebas de IA, y la ANPD ya gestiona un proyecto de entorno de pruebas regulatorio sobre IA y datos personales. Sin embargo, la participación en el entorno de pruebas no elimina la responsabilidad por daños.
¿Qué deben hacer las empresas mientras el proyecto sigue pendiente?
Gobernar conforme a la legislación actual, pero diseñar para el modelo futuro probable. Eso implica controles sólidos sobre datos, transparencia, revisión humana, documentación, gestión de proveedores, gestión de incidentes y casos de uso de alto riesgo.