La regulación de IA en Brasil no está esperando que el marco legal sea aprobado. Mientras el PL 2338/2023 vuelve a ser aplazado en el Congreso —la cuarta vez desde diciembre de 2025—, la Autoridad Nacional de Protección de Datos (ANPD) ya eligió la IA como uno de los cuatro ejes de su propia Agenda Regulatoria para 2026–2027, publicó dos notas técnicas específicas sobre el tema este año y se convirtió en agencia reguladora con más poder de fiscalizar. Para quien entrena un modelo u opera un agente con dato de cliente, la pregunta correcta ya no es "cuándo se aprueba la ley" — es "qué ya vale mientras no se aprueba".
Es un error común tratar una ley trabada como vacío regulatorio. No lo es. La LGPD (la ley brasileña de protección de datos) ya se aplica a cualquier tratamiento de dato personal, entrenamiento de modelo incluido, y la ANPD viene demostrando —con resolución, nota técnica y caso concreto— que no va a esperar un texto nuevo para actuar sobre lo que ya considera dentro de su propia competencia.
El marco legal se traba — por cuarta vez
El Senado aprobó el PL 2338/2023 por unanimidad en diciembre de 2024 y el texto pasó a la Cámara de Diputados en marzo de 2025. La Comisión Especial, presidida por la diputada Luísa Canziani y relatada por el diputado Aguinaldo Ribeiro, promovió 12 audiencias públicas entre mayo y septiembre de 2025 — señal de peso técnico, no de desinterés.
El problema está en la votación, no en la instrucción. Fue anunciada y aplazada al menos cuatro veces: diciembre de 2025, febrero de 2026, 27 de mayo de 2026 y junio de 2026. Con la Cámara entrando en receso el 18 de julio de 2026, el propio presidente Hugo Motta condicionó el avance a un alineamiento previo con el Senado — lo que empuja cualquier votación real para después del receso, sin nueva fecha confirmada hasta la publicación de este texto.
Parte de la complejidad adicional viene del PL 6237/2025, proyecto del propio Poder Ejecutivo que crea el Sistema Nacional de IA y fue anexado al PL 2338 por vicio de iniciativa — atribuir competencia regulatoria a la ANPD es materia exclusiva del Ejecutivo. Es ese proyecto el que define a la ANPD como autoridad reguladora residual de IA: quien normatiza, fiscaliza y sanciona en los sectores que no tienen regulador sectorial propio (finanzas con el Banco Central, salud con Anvisa, y así sucesivamente).
Lo que la ANPD ya fiscaliza sin esperar al Congreso
En diciembre de 2025, la ANPD publicó el Mapa de Temas Prioritarios para el bienio 2026–2027 y actualizó su propia Agenda Regulatoria. IA y tecnologías emergentes es uno de los cuatro ejes de fiscalización definidos — junto a derechos de los titulares, protección de niños y adolescentes en línea, y tratamiento de dato por el poder público. Del total de acciones planeadas para 2027, 20 son específicamente sobre IA.
Dos documentos técnicos ya salieron de ese eje. La Nota Técnica 12/2025 consolidó 124 contribuciones de una consulta pública sobre revisión de decisión automatizada (el derecho del art. 20 de la LGPD) — todavía orientativa, no se convierte en norma vigente por sí sola, pero muestra hacia dónde va la reglamentación. La Nota Técnica 1/2026, publicada en febrero, trató un caso concreto: contenido sintético generado por IA (deepfake) que identifica a una persona es dato personal, sujeto a los principios de finalidad y adecuación de la LGPD — posición adoptada en acción coordinada con el Ministerio Público Federal y la agencia de defensa del consumidor Senacon.
Ley trabada no es fiscalización trabada — la ANPD decidió eso sola, usando la LGPD que ya existe.
Ninguno de los dos casos dependió de que el PL 2338 saliera del papel. La agencia está aplicando una ley ya vigente a un tipo de tratamiento de dato —entrenamiento y operación de modelo— que ya considera dentro de su propio alcance.
De autarquía a agencia: por qué importa la Ley 15.352/2026
En febrero de 2026, la Ley 15.352/2026 transformó a la ANPD de autarquía en agencia reguladora, con autonomía funcional, técnica, decisoria, administrativa y financiera, además de 200 cargos nuevos de especialista en regulación. La motivación declarada fue amplia —incluye el Estatuto Digital del Niño y del Adolescente, vigente desde marzo de 2026— pero el efecto alcanza cualquier eje de fiscalización de la agencia, IA incluida: más gente, más presupuesto, más autonomía para abrir proceso.
La ANPD también corrió el primer sandbox regulatorio de IA del país: convocatoria en junio de 2025, fase de nivelación concluida en febrero de 2026, tres empresas seleccionadas (Metatext, Synapse Artificial Intelligence e IA Greenworld), programa en marcha hasta diciembre de 2026 con foco en transparencia algorítmica y revisión humana de decisión automatizada. Un sandbox regulatorio existe justamente para probar una regla antes de publicarla — lo que se está evaluando ahí hoy es un candidato fuerte a convertirse en norma en 2027.
Brasil no está solo en este patrón de "fiscalizar con lo que ya existe, mientras la ley específica no cierra". La Unión Europea tiene el 2 de agosto de 2026 como fecha clave para las obligaciones de alto riesgo del AI Act, pese a un acuerdo político reciente que discute aplazar parte del plazo. En Estados Unidos, el vacío federal sigue cubierto por un mosaico de leyes estatales. La lección se repite en cualquier geografía: la regla ya vigente pesa más en el corto plazo que la que todavía está en debate.
Qué cambia para quien entrena un modelo con dato de cliente ahora
La regla práctica, en el orden en que la ANPD ya señaló prioridad:
- Base legal documentada por escrito, ya. Consentimiento, ejecución de contrato o interés legítimo — cada categoría de dato usada en entrenamiento o prompt necesita una base legal registrada, exactamente como ya detallamos en la checklist de gobernanza de LLM. Esto no depende del PL 2338; es exigencia de la LGPD vigente.
- La revisión humana de decisión automatizada es destino cierto, no hipótesis. La Nota Técnica 12/2025 muestra a la ANPD caminando hacia reglamentar el art. 20 de la LGPD específicamente para IA. Quien ya tiene proceso de escalamiento a un humano no va a tener que correr cuando salga la norma.
- Contenido generado por IA que identifica a una persona es dato personal — sin margen de duda. Es la posición que la ANPD ya aplicó en el caso Grok/X. Vale para deepfake, pero también vale para cualquier output de agente que produzca algo atribuible a un cliente o candidato real — como discutimos en el riesgo del triage de currículos con IA, el dato sensible de una persona identificable no pierde protección solo porque pasó por un modelo.
- La transferencia internacional de dato para entrenamiento sigue la regla general, sin excepción por "es solo entrenamiento". La Resolución CD/ANPD 19/2024 ya normatiza cláusulas contractuales estándar para ese tipo de transferencia — enviar dato de cliente brasileño para entrenar un modelo en servidor estadounidense entra en esa regla, punto.
- La ausencia de multa nombrada no es ausencia de fiscalización activa. En junio de 2026, la ANPD abrió 19 nuevos procesos administrativos sancionadores —el mayor lote de la historia de la agencia— y remitió 21 controladores y operadores para análisis del área de sanciones. El techo legal de multa es 2% de la facturación, limitado a R$ 50 millones por infracción.
El primer caso de multa por IA en Brasil todavía no tiene nombre. La estructura para aplicarlo ya la tiene.
La ausencia de ley específica no es un respiro
El argumento "esperemos a que salga el marco legal" confunde dos cosas que la ANPD ya separó en la práctica: regular la IA como categoría nueva de tecnología (depende del PL 2338, todavía va a tomar tiempo) y fiscalizar el tratamiento de dato personal dentro de un sistema de IA (ya ocurre, con ley vigente hace años). La empresa que trata ambas cosas como lo mismo posterga gobernanza hasta el día en que un proceso administrativo llegue con su nombre.
La ventana que existe ahora no es de "sin regla" — es de "regla general ya vigente, regla específica todavía en borrador". Quien usa esa ventana para formalizar base legal, diseñar revisión humana y documentar transferencia internacional llega a 2027 con el caso ya resuelto. Quien trata la ley trabada como luz verde va a descubrir la regla en el peor momento posible: cuando la ANPD decida que su propio caso se convirtió en el ejemplo que faltaba.
Preguntas que siempre vuelven
Para cerrar, las dudas más frecuentes sobre qué cambia de hecho con la ANPD mirando a la IA.
¿Qué es la Agenda Regulatoria de la ANPD?
La Agenda Regulatoria es el documento que la ANPD publica periódicamente listando los temas prioritarios que la agencia va a normatizar y fiscalizar en un período determinado — la versión vigente cubre 2025–2026, complementada por el Mapa de Temas Prioritarios para el bienio 2026–2027, publicado en diciembre de 2025. IA y tecnologías emergentes es uno de los cuatro ejes definidos en ese mapa, junto a derechos de los titulares, protección de niños y adolescentes en línea, y tratamiento de dato por el poder público — con 20 acciones de fiscalización específicas sobre IA planeadas para 2027.
¿Necesito preocuparme por la IA si el marco legal todavía no fue aprobado?
Sí, porque la LGPD ya se aplica independientemente de que el PL 2338 salga del papel. La ley específica de IA va a abordar puntos que la LGPD no cubre bien — clasificación de riesgo por tipo de sistema, obligación de transparencia algorítmica, régimen sancionatorio propio. Pero cualquier tratamiento de dato personal dentro de un sistema de IA — entrenamiento, prompt, output que identifica a alguien — ya está sujeto a la LGPD y a la fiscalización activa de la ANPD hoy, como muestran las dos notas técnicas publicadas en 2025 y 2026.
¿Qué multa puede aplicar la ANPD por uso indebido de IA con dato personal?
El techo legal es 2% de la facturación de la empresa en Brasil, limitado a R$ 50 millones por infracción — la misma regla sancionatoria de cualquier violación de LGPD, porque todavía no existe un régimen de multa específico para IA (eso depende del marco legal). No hay, hasta la publicación de este texto, ningún caso público de multa nombrada específicamente por entrenar u operar un modelo de IA en Brasil. Pero en junio de 2026 la ANPD abrió 19 nuevos procesos administrativos sancionadores —el mayor lote de la historia de la agencia—, lo que indica capacidad de fiscalización creciente, no ausencia de riesgo.