Por Taylor Adriano Chaves
El 2 de agosto entró en vigor una normativa sobre inteligencia artificial que afecta a las empresas brasileñas. Dicha normativa fue redactada en Bruselas.
El marco jurídico brasileño aún está a la espera del informe del relator de una comisión especial de la Cámara de Diputados, con el calendario electoral por delante.
Para quienes ya utilizan la IA en producción, este cambio de rumbo marca la pauta para los próximos meses.
Brasil aún no cuenta con una ley general sobre inteligencia artificial en vigor. Lo que sí existe es un proyecto de ley en trámite, la Ley Pública 2.338/2023, además de normativas que ya regulan el uso de la IA sin haber sido redactadas específicamente para ello, como el Reglamento General de Protección de Datos. En Europa, la Ley de IA se aplica a proveedores y operadores independientemente de su lugar de establecimiento, siempre que el sistema se comercialice en el mercado europeo o cuando sus resultados se utilicen dentro del territorio de la Unión.
Lo que entró en vigor el 2 de agosto
Las obligaciones de transparencia del artículo 50 entraron en vigor en esa fecha y no se limitan a los sistemas clasificados como de alto riesgo.
El requisito fundamental es sencillo. Cualquier persona que ofrezca un chatbot, un asistente virtual o una herramienta de IA generativa con su propia marca debe informar claramente al usuario de que está interactuando con un sistema de inteligencia artificial y garantizar que el contenido producido sea técnicamente identificable por la máquina.
El marcado legible por máquina es un aspecto que la mayoría de las empresas subestiman. Una advertencia en la interfaz no es suficiente. El archivo generado debe contener la información de origen en un formato que otro sistema pueda leer.
Para los modelos generativos que ya estaban en el mercado antes del 2 de agosto, existe una fecha límite del 2 de diciembre de 2026 para cumplir específicamente con este requisito de etiquetado.
Las normas también se aplican a los sistemas de código abierto cuando estos se rigen por las disposiciones del artículo 50, lo que elimina la interpretación de que una licencia abierta elimina la obligación.
Cabe destacar el impacto que esta obligación tiene en la vida empresarial cotidiana. El servicio de atención al cliente automatizado en el sitio web, la preselección de currículos mediante asistentes conversacionales, la generación de material publicitario y los resúmenes automáticos de reuniones entran en la misma categoría cuando los resultados se difunden a un público europeo.
El aplazamiento de julio no supone una fecha límite adicional.
Tan solo unos días antes, el reglamento europeo fue sometido a su primera revisión formal desde su adopción en 2024. El Reglamento Ómnibus Digital sobre IA, publicado como Reglamento (UE) 2026/1744 en el Diario Oficial el 24 de julio, entró en vigor el 27 de julio.
El reglamento aplazó las obligaciones más exigentes, destinadas a los sistemas de alto riesgo, de agosto de 2026 a diciembre de 2027, argumentando que esto daría tiempo a la propia Unión para ultimar la estructura de supervisión de estos sistemas.
El aplazamiento quedó ahí. Los plazos de transparencia, las obligaciones de los modelos de aplicación general vigentes desde agosto de 2025, las prácticas prohibidas vigentes desde febrero de 2025 y el régimen de seguimiento y sanciones permanecen sin cambios.
La interpretación de los expertos que analizaron el paquete es la que importa a los asesores legales corporativos: el aplazamiento afecta solo a algunas obligaciones de alto riesgo. Quienes consideren diciembre de 2027 como la nueva fecha límite general descubrirán el error en cuanto reciban la primera notificación.
El régimen de sanciones varía según el tipo de infracción y puede alcanzar porcentajes de los ingresos anuales totales, lo que traslada el tema de la mesa de la innovación a la mesa de los riesgos.
¿Por qué afecta esto a una empresa que nunca ha operado en Europa?
El criterio de aplicación no es la sede de la empresa, sino el destino del sistema o su resultado.
Esto significa que una agencia de comunicaciones en São Paulo que produce contenido dirigido a una audiencia europea, una empresa de software que licencia soluciones a clientes en Alemania o un exportador que utiliza IA para atender a compradores en el bloque podrían estar sujetos a las obligaciones de transparencia.
Un error común en los departamentos legales brasileños es tratar la normativa como un problema europeo. La pregunta correcta no es dónde se ubica la empresa, sino cuáles de sus sistemas llegan a usuarios, candidatos, socios o proveedores dentro del territorio de la Unión Europea.
Existe un efecto en cadena que agrava el problema. Una empresa que suministra software a un cliente con operaciones europeas asume, de hecho, el requisito del cliente, el cual se transmitirá mediante una cláusula contractual incluso sin una obligación legal directa para el proveedor brasileño. Es a través de este canal que la norma extranjera llega a quienes nunca han leído la normativa.
Para responder a esta pregunta se necesita una encuesta que casi ninguna empresa ha realizado, porque la información se distribuye entre los equipos de producto, marketing y ventas.
Mientras tanto en Brasil
El proyecto de ley 2.338/2023, del que es autor el senador Rodrigo Pacheco, fue aprobado por el Senado el 10 de diciembre de 2024, tras más de un año de trabajo en la comisión interna temporal sobre inteligencia artificial, con el senador Eduardo Gomes como relator.
El texto, presentado a la Cámara en marzo de 2025, fue remitido a una comisión especial presidida por el congresista Aguinaldo Ribeiro. Entre el 20 de mayo y el 30 de septiembre de 2025, la comisión celebró doce audiencias públicas. El expediente sigue registrando la propuesta como pendiente de dictamen del relator.
En diciembre de 2025, el Poder Ejecutivo presentó su propio proyecto de ley para subsanar la deficiencia procesal y diseñar la arquitectura institucional. La propuesta estructura el Sistema Nacional para el Desarrollo, la Regulación y la Gobernanza de la Inteligencia Artificial, crea el Consejo Brasileño de Inteligencia Artificial, que integra a la ANPD (Autoridad Nacional de Protección de Datos) y a los ministerios, y asigna a la agencia de protección de datos el rol de regulador residual, con facultades normativas, de supervisión y sancionadoras en sectores sin regulación específica de la IA.
El diseño mantiene a los organismos sectoriales responsables de las normas dentro de sus propios ámbitos y prevé órganos consultivos en los que participan la sociedad civil, el sector productivo e investigadores independientes.
En cuanto al cronograma, la prudencia aconseja cautela. El tema se mantuvo pendiente hasta 2025 sin votación, y 2026 es un año electoral, con un calendario legislativo muy apretado.
Lo que ya se exige aquí, sin un marco legal.
Esta es la parte que resuelve el falso dilema entre esperar la ley y actuar ahora.
La LGPD (Ley General de Protección de Datos de Brasil) se aplica a todo uso de IA que involucre datos personales, y el artículo 20 regula específicamente las decisiones basadas en el procesamiento automatizado, otorgando el derecho a solicitar una revisión. El crédito, la selección de currículos, la fijación de precios y la priorización del servicio al cliente se rigen por esta disposición sin necesidad de una nueva normativa.
Las bases legales para el procesamiento, la finalidad declarada y la minimización siguen aplicándose a los datos utilizados en la formación y las indicaciones, un aspecto que a menudo pasa desapercibido cuando la herramienta se contrata como un servicio.
Además, ya existen regulaciones específicas para cada sector. El Consejo Nacional de Justicia reguló el uso de la inteligencia artificial en el Poder Judicial mediante la Resolución 615/2025, y el Tribunal Electoral estableció sus propias normas para el etiquetado de contenido sintético en la publicidad para 2026.
A esto se suma el Código de Protección al Consumidor, que abarca las ofertas, la publicidad y la información adecuada sobre el producto o servicio, sin exigir que la tecnología utilizada tenga una denominación específica en la ley. Un servicio automatizado que induce al consumidor a creer que está hablando con una persona constituye un problema de relaciones con el consumidor antes que un problema de regulación de la IA.
En la práctica, esto significa que la empresa que espera la entrada en vigor del proyecto de ley 2338 para comenzar a operar ya está incumpliendo una obligación existente.
El inventario que precede a cualquier adaptación.
Se conoce el orden de los trabajos y no depende del texto que finalmente se apruebe.
Análisis de sistemas. Mapeo de dónde se utiliza la IA dentro de la organización, incluyendo herramientas contratadas como servicio y funcionalidades integradas en el software que la empresa ya utiliza.
Clasificación de riesgos. Aplicar la taxonomía europea y la taxonomía de proyectos brasileña a cada sistema, identificando aquellos que califican como de alto riesgo y centrando los esfuerzos de adaptación en ellos.
Diligencia debida en materia de exposición extraterritorial. Verifique qué sistemas llegan a personas o mercados en la Unión Europea, ya que estos entran dentro del ámbito de aplicación de la Ley de IA, independientemente de la ubicación de la empresa.
Evaluación de impacto documentada. Para sistemas sensibles, se deben registrar los datos de capacitación, las métricas de sesgo, la robustez, la transparencia y la supervisión humana, con un proceso de toma de decisiones documentado y la identificación de la parte responsable.
Gobernanza documental. Define quién aprueba la implementación de un sistema en producción, qué criterios utiliza y dónde se registran las pruebas que respaldan la decisión. Este conjunto de documentos responde a una auditoría y no se genera a posteriori.
Ninguno de estos pasos se pierde si el marco legal brasileño llega con un diseño diferente al del texto del Senado. Todos ellos generan documentación reutilizable.
Lo que aún no está definido
La estructura institucional es el punto más abierto. El relator presentó ajustes a la definición de sistemas de alto riesgo, criterios de evaluación de impacto y parámetros de responsabilidad civil, lo que indica que el texto final podría diferir de la versión aprobada en el Senado.
También sigue en discusión cómo la autoridad central se coordinará con los reguladores sectoriales que ya emiten regulaciones sobre IA en sus respectivos ámbitos, una cuestión de competencias que a menudo genera solapamientos en la práctica.
Desde la perspectiva europea, la propia revisión de julio demuestra que el calendario podría volver a cambiar y que la aplicación de la normativa es el verdadero obstáculo en la regulación tecnológica.
Lo que no está en discusión es la dirección. La transparencia en cuanto al origen sintético, la documentación de las decisiones automatizadas y la identificación de la responsabilidad aparecen en todas las versiones, tanto brasileñas como extranjeras.
Para quienes necesitan convencer a la gerencia de que libere fondos presupuestarios, existe un argumento más efectivo que el riesgo de una multa. Los grandes clientes corporativos ya preguntan, durante el proceso de compra, cómo los proveedores manejan el origen del contenido sintético y la toma de decisiones automatizada. El cumplimiento se convirtió en un requisito comercial antes de convertirse en un requisito legal en Brasil.
Porque aquí la experiencia es tanto legal como técnica al mismo tiempo.
Adaptar una operación de IA requiere leer las regulaciones y comprender la arquitectura del sistema. Quienes dominan las regulaciones pero desconocen el lenguaje de marcado legible por máquina, redactan políticas que el equipo de ingeniería no puede implementar. Quienes dominan la tecnología pero ignoran el fundamento legal del procesamiento de datos, crean un producto que las autoridades pueden bloquear.
El programa de posgrado en Derecho Digital, Datos e Inteligencia Artificial del IDP explora precisamente esta frontera. El primer eje abarca el constitucionalismo digital, la gobernanza de internet, la protección de datos, la responsabilidad de los proveedores y los marcos regulatorios de la LGPD, el RGPD y el Marco Civil. El segundo trata sobre la propiedad intelectual en el entorno digital, la competencia entre plataformas, la publicidad conductual y los derechos del consumidor en la era de la información.
El curso es 100% online, con clases en directo los viernes de 18:00 a 21:15 y los sábados de 9:30 a 12:45, cada dos semanas, con una duración total de 384 horas, y comienza el 21 de agosto de 2026.
Entre los profesores se encuentra Laura Schertel Mendes, doctora en Derecho Privado por la Universidad Humboldt de Berlín, presidenta de la Comisión de Derecho Digital del Colegio de Abogados de Brasil (OAB Federal) y relatora de la Comisión de Juristas sobre Inteligencia Artificial del Senado Federal, cuyo trabajo dio origen al texto que se analiza. También imparten clases Victor Fernandes, Secretario Nacional de Derechos Digitales del Ministerio de Justicia, y Fabrício da Mota Alves, exasesor nacional de protección de datos de la Autoridad Nacional de Protección de Datos (ANPD).
Infórmese sobre el Programa de Posgrado en Derecho Digital, Datos e Inteligencia Artificial: https://pos.idp.edu.br/products/pos-graduacao-em-direito-digital-dados-e-inteligencia-artificial
Referencias
Entrada en vigor de las obligaciones de transparencia del artículo 50 el 02/08/2026, plazo hasta el 02/12/2026 para el marcado legible por máquina en modelos ya disponibles antes de esa fecha, y alcance sobre sistemas de código abierto: https://sitepd.org.br/2026/08/03/ue-amplia-regras-da-lei-da-ia-com-novas-exigencias-para-empresas/ y https://sindpd.org.br/2026/08/03/fase-lei-da-ia-obrigacoes-empresas/
Ómnibus Digital sobre IA, Reglamento (UE) 2026/1744, publicado el 24/07/2026 y en vigor desde el 27/07/2026, que aplaza las obligaciones de alto riesgo de agosto de 2026 a diciembre de 2027 y mantiene los demás plazos, además de su ámbito extraterritorial: https://www.terra.com.br/noticias/regulacao-europeia-adia-prazos-para-ia-de-alto-risco,49935b8f7e32a5534d2179459382d921gkg22lua.html
Leyendo que el aplazamiento no es un plazo adicional y detallando la obligación más urgente, con análisis de Bruna Castanheira y Vanessa Pirró: https://jornalempresasenegocios.com.br/espaco-empresarial/adiamento-do-ai-act-nao-e-prazo-extra-para-adequacao-alertam-especialistas/
El estado del Proyecto de Ley 2338 en la Cámara de Diputados, registrado como pendiente de dictamen del relator en la comisión especial, en el registro oficial de tramitación: https://www.camara.leg.br/proposicoesWeb/fichadetramitacao?idProposicao=2487262
Aprobación en el Senado el 10/12/2024 con Eduardo Gomes como ponente en la CTIA y doce audiencias públicas celebradas en la Cámara entre el 20/05 y el 30/09/2025: https://www.dataprivacybr.org/comissao-especial-do-pl-de-ia-na-camara-dos-deputados/
Informe de Aguinaldo Ribeiro en la comisión especial: https://www.diap.org.br/index.php/noticias/noticias/92249-pl-2338-23-votacao-do-projeto-sobre-inteligencia-artificial-esta-prevista-apenas-para-dezembro
Proyecto del Poder Ejecutivo de diciembre de 2025, que crea SIA, CBIA, CRIA y CECIA, y asigna a ANPD el rol de regulador residual: https://convergenciadigital.com.br/governo/inteligencia-artificial-projeto-do-governo-foi-articulado-com-relator-e-entra-no-pl-2338-23/
Ajustes realizados por el relator en relación con la definición de alto riesgo, los criterios de evaluación de impacto y la responsabilidad civil, y mención de la LGPD (Ley General de Protección de Datos de Brasil) y la Resolución 615/2025 de la CNJ como normativas ya aplicables: https://criaai.app.br/blog/regulamentacao-inteligencia-artificial-no-brasil/ y https://www.barbieriadvogados.com/regulamentacao-inteligencia-artificial-brasil/
