El panorama de la gobernanza de la IA en Brasil en 2026

Brasil se ha convertido en la jurisdicción más activa de América Latina en materia de aplicación de la gobernanza de la IA, impulsada por una autoridad de protección de datos reforzada y un compromiso regulatorio explícito de supervisar los sistemas de IA. Comprender el marco de gobernanza de la IA en Brasil exige entender tres capas: la LGPD como ley vinculante fundacional; la postura de aplicación de la ANPD, que evoluciona con rapidez; y el proyecto de ley federal de IA propuesto, que sigue pendiente en el Congreso.

La LGPD y la IA: obligaciones vinculantes ya vigentes

La Ley General de Protección de Datos de Brasil se aplica a todo tratamiento de datos personales de personas ubicadas en Brasil, con independencia de dónde se realice el tratamiento o de dónde tenga su sede la organización. Este alcance extraterritorial implica que las organizaciones internacionales con usuarios o clientes brasileños quedan dentro de su ámbito de aplicación. Los principios de la LGPD (la limitación de la finalidad, la minimización de datos, la transparencia y la rendición de cuentas) se aplican a los sistemas de IA que procesan datos personales con la misma fuerza que a cualquier otra actividad de tratamiento de datos.

La toma de decisiones automatizada se aborda específicamente en el artículo 20 de la LGPD, que otorga a los titulares de los datos el derecho a solicitar la revisión de decisiones adoptadas únicamente con base en un tratamiento automatizado que afecten a sus intereses. Esto genera una obligación directa para las organizaciones que utilizan IA en decisiones de consecuencia significativa (crédito, empleo, seguros, acceso a servicios) de establecer mecanismos de revisión. Dos límites importan en la práctica. En primer lugar, la LGPD no exige que la revisión la realice un ser humano: el párrafo que exigía la revisión por una persona natural fue vetado cuando la Ley n.º 13.853/2019 modificó la LGPD, y el Congreso mantuvo ese veto el 2 de octubre de 2019, de modo que, según el texto de la ley, una nueva revisión automatizada puede satisfacer el artículo 20. En segundo lugar, el derecho que lo acompaña es un derecho a información clara y adecuada sobre los criterios y los procedimientos utilizados en la decisión automatizada, y el artículo 20 lo somete expresamente a los secretos comercial e industrial. El artículo 20 sigue siendo una de las obligaciones de gobernanza de la IA con mayor relevancia operativa en Brasil, pero es más restringido que la disposición del artículo 22 del RGPD de la UE con la que suele compararse.

La ANPD: recién independiente, con nuevas facultades

En septiembre de 2025, la Medida Provisional n.º 1.317/2025 transformó a la ANPD en una agencia reguladora plenamente independiente, la Agencia Nacional de Protección de Datos, con patrimonio propio, autonomía administrativa y facultades de aplicación significativamente ampliadas. Esa medida se convirtió en la Ley permanente n.º 15.352/2026, sancionada el 25 de febrero de 2026, que ahora establece formalmente el estatus de agencia reguladora de la ANPD. La ANPD puede ahora ordenar el cese de actividades de establecimientos, incautar bienes y solicitar el auxilio de la policía en casos de obstrucción. Esto representa un cambio fundamental, de una postura consultiva a otra orientada a la aplicación normativa.

El Mapa de Temas Prioritarios 2026-2027 de la ANPD, publicado en diciembre de 2025, incluye la IA y las tecnologías emergentes en el tratamiento de datos personales como uno de los cuatro temas prioritarios de igual rango para el período 2026-2027, junto con los derechos de los titulares de los datos, la protección de niños y adolescentes, y el tratamiento de datos personales por el sector público. Las áreas sujetas a supervisión incluyen los sistemas de reconocimiento facial, los algoritmos de recomendación y clasificación, y los sistemas de toma de decisiones automatizada, en particular cuando están implicados datos de menores. Las organizaciones que utilizan IA para procesar datos personales de brasileños deben interpretar esto como una señal de actividad de aplicación inminente.

El Estatuto Digital del Niño y del Adolescente (ECA Digital)

La Ley 15.211/2025, sancionada en septiembre de 2025 y en vigor desde marzo de 2026, crea un amplio conjunto de nuevas obligaciones para las plataformas y los sistemas de IA que puedan llegar a niños y adolescentes en Brasil. El estatuto introduce requisitos de privacidad por defecto, obligaciones de verificación de edad y una autoridad reforzada de la ANPD sobre la protección de datos de menores en línea. Los sistemas de IA (en particular los algoritmos de recomendación, la IA de moderación de contenido y los sistemas de personalización) que puedan ser utilizados por menores brasileños o afectarlos se enfrentan a importantes nuevas obligaciones de cumplimiento.

El proyecto de ley federal de IA propuesto por Brasil

El Proyecto de Ley Federal PL 2338/2023 propone un marco regulatorio específico para la IA en Brasil, inspirado libremente en el enfoque basado en el riesgo del Reglamento de IA de la UE. El proyecto seguía su trámite en el Congreso brasileño a comienzos de 2026, y se espera que la ANPD sea designada como la autoridad de supervisión principal. El calendario completo de adopción e implementación sigue siendo incierto, pero la dirección es clara: Brasil avanza hacia un marco de gobernanza de la IA específico que se sumará a las obligaciones ya existentes de la LGPD. Las organizaciones que están construyendo su cumplimiento de los requisitos actuales de la LGPD están sentando las bases que el proyecto de ley de IA propuesto ampliará.

Lecturas adicionales: NIST AI RMF

Lecturas relacionadas

Lecturas adicionales: NIST AI RMF