El estado real de la regulación: no existe un vacío normativo
El debate público sobre la regulación de la IA en Brasil reduce a menudo el tema a una sola pregunta: "¿se aprobará el PL 2.338/2023?" Pero la regulación de la IA en Brasil ya existe — está fragmentada, es transversal y está evolucionando independientemente de la aprobación del marco legal específico.
La LGPD (Ley 13.709/2018) ya regula el uso de los sistemas de IA que implican datos personales — que en la práctica es la inmensa mayoría de las aplicaciones comerciales. El artículo 20 de la LGPD garantiza al ciudadano el derecho a revisar las decisiones tomadas exclusivamente con base en un tratamiento automatizado. El artículo 37 obliga a la elaboración de un informe de impacto en la protección de datos en casos de alto riesgo. Estas obligaciones están vigentes hoy, con o sin el PL 2.338.
Diciembre de 2025: el mes que redefinió el panorama
La ANPD publica el Mapa de Temas Prioritarios 2026-2027: La Autoridad Nacional de Protección de Datos incluyó a la inteligencia artificial y las tecnologías emergentes como uno de los cuatro ejes de inspección del bienio — junto con los derechos de los titulares de datos, la protección de los niños en el entorno digital y el procesamiento de datos por parte del gobierno. Esto significa 75 actividades de inspección planificadas, con la IA como tema transversal.
El Ejecutivo presenta el SIA: El gobierno federal envió un proyecto de ley complementario que crea el Sistema Nacional para el Desarrollo, la Regulación y la Gobernanza de la Inteligencia Artificial (SIA), formalizando a la ANPD como coordinadora del sistema. El proyecto también resuelve un problema constitucional identificado en el PL 2.338/2023: al atribuir competencias normativas a la ANPD, el proyecto original había tratado un asunto de iniciativa exclusiva del Ejecutivo — lo que exponía el texto a un cuestionamiento de inconstitucionalidad en el STF.
Febrero de 2026: dos nuevos proyectos de ley en la Cámara
El PL 762/2026 introduce un marco regulatorio específico para sistemas de IA críticos o de alto impacto, y exige que se sometan a una Evaluación de Impacto de Inteligencia Artificial (AIA). Los elementos centrales: reglas sobre clasificación, seguridad, privacidad, gobernanza, certificación, supervisión y responsabilidad; requisitos acumulativos de diseño, implementación y operación; certificación y registro obligatorios ante la ANPD antes de operar en Brasil; derechos de los titulares, incluida la explicabilidad y la revisión humana de decisiones potencialmente perjudiciales; y cooperación entre la ANPD, el Ministerio de Ciencia y Tecnología y las agencias sectoriales.
El segundo proyecto se centra en la transparencia algorítmica y la retención de registros (logs) para auditorías por parte de las plataformas digitales — directamente influenciado por la Ley de Servicios Digitales (DSA) de Europa.
El sandbox de IA de la ANPD: lo que está sucediendo en la práctica
Tres empresas fueron seleccionadas para la fase de pruebas: Synapse Inteligência Artificial Ltda. (puntuación de 16,33), IA Greenworld Ltda. (puntuación de 14,10), y una tercera empresa no divulgada públicamente hasta la fecha de publicación de este artículo.
En febrero de 2026, la ANPD concluyó la fase de nivelación — formación en regulación y entorno experimental — y las empresas entraron en la fase de pruebas prácticas. Las lecciones aprendidas durante el sandbox servirán de base para la regulación definitiva por parte de la ANPD. Se espera que la autoridad publique informes con las conclusiones al final del período.
La ANPD y la Nota Técnica 12/2025
Antes del sandbox, la ANPD ya había señalado su dirección regulatoria con la Nota Técnica n.º 12/2025, que consolidó los aportes de la Toma de Subsidios sobre la reglamentación del artículo 20 de la LGPD — el derecho de revisión de decisiones automatizadas. La nota revela el enfoque que está desarrollando la ANPD: participativo, basado en evidencia y alineado con los estándares internacionales (especialmente el AI Act europeo).
Lo que significa todo esto para las empresas brasileñas en este momento
El cumplimiento de la LGPD hoy en día no es negociable: El artículo 20 de la LGPD — revisión de decisiones automatizadas — es una obligación vigente. La ANPD tiene 75 acciones de inspección planificadas para 2026-2027, con la IA como eje. Las empresas que no documentan sus decisiones automatizadas corren un riesgo inmediato.
La estructura del PL 762/2026 influirá en el texto final del marco legal: Independientemente del proyecto de ley que prevalezca, la convergencia en torno a la AIA obligatoria para sistemas de alto riesgo, la certificación previa y la explicabilidad es clara. Construir esta infraestructura ahora — antes de su aprobación — supone una ventaja competitiva real.
El sandbox es un signo de madurez regulatoria: La ANPD no espera al marco legal para aprender a regular la IA. Las empresas que deseen influir en la regulación final pueden participar en las consultas públicas abiertas por la autoridad — que son periódicas desde 2024.
El panorama en julio de 2026
Brasil tiene actualmente un escenario regulatorio de IA de múltiples capas: la LGPD vigente con el artículo 20 en proceso de regulación; la ANPD con su sandbox en pruebas prácticas y 75 inspecciones planificadas; el PL 2.338/2023 en la Cámara a la espera de votación; el recientemente presentado PL 762/2026; y el SIA del Ejecutivo aún pendiente de anexarse. No es el escenario más simple para el cumplimiento — pero es un escenario mucho más concreto de lo que era hace un año.
