Brasil está a un voto de tener su primera ley de IA. El PL 2338 de 2023, aprobado por unanimidad en el pleno del Senado el 10 de diciembre de 2024, tramita en la Cámara para votación final. En el texto que llegó a los diputados, la multa por infracción puede llegar a 50 millones de reales.
Para quien corre IA en producción, el Marco Legal saca el tema de "buena práctica" y lo pone en "obligación". Y la preparación para él no empieza cuando la ley pase.
La lógica del AI Act con acento brasileño
El diseño sigue el AI Act europeo: los sistemas clasificados como riesgo excesivo pueden ser prohibidos. Los de alto riesgo tendrán que cumplir documentación, auditoría y gobernanza, además de garantizar derechos de quien es afectado: transparencia, explicación y contestación.
El comando quedaría con el Sistema Nacional de Regulación y Gobernanza de IA, coordinado por la ANPD, con autoridades sectoriales y consejo permanente. Quien ya acompañó la llegada de la LGPD reconoce la película: el regulador existente gana una atribución nueva, y el mercado descubre que el plazo de adecuación fue el tiempo que desperdició.
Por qué está atrasado (y por qué el atraso es informativo)
El relator en la Cámara, Aguinaldo Ribeiro, dijo el 24 de agosto, en el Febraban Tech, que el 90% del texto está listo y que la votación debe quedar para el final del año, después de las elecciones del 4 y el 25 de octubre.
El atraso tiene motivo jurídico: el Ejecutivo identificó vicio de iniciativa en el trecho que da poder normativo a la ANPD, materia de iniciativa privativa del Ejecutivo. Para no exponer el marco a cuestionamiento en el Supremo, el gobierno envió en diciembre de 2025 un proyecto complementario para crear el sistema y formalizar el papel de la ANPD, a ser apensado al PL 2338.
La lectura práctica: la arquitectura regulatoria está siendo construida para sobrevivir a contestación. Un regulador con mandato blindado y sanción de 50 millones es lo opuesto al vacío que el mercado operó hasta aquí.
La ANPD no está esperando la ley
El punto más subestimado del debate: la fiscalización de IA ya empezó bajo la LGPD. El artículo 20 ya garantiza revisión de decisiones automatizadas; el artículo 38 ya prevé informe de impacto; la ANPD ya incluyó la IA como eje prioritario de enforcement 2026-2027. Y el caso ByteDance demostró que la autarquía aplica sanción con número de despacho y DOU.
Scoring de crédito, selección de currículums, precificación dinámica, salud: todo lo que se volvería "alto riesgo" en el PL 2338 ya opera hoy bajo reglas que existen. El Marco Legal no crea la obligación desde cero; cierra el capítulo de ambigüedad que parte del mercado usó como escudo.
Qué armar ahora (y que sirve en las dos hipótesis)
La preparación es la misma si la ley se vota en noviembre o en 2027:
- Inventario de todo sistema con decisión automatizada o IA generativa, con dueño y datos mapeados.
- Clasificación de riesgo de los casos de uso, en el vocabulario del PL (excesivo, alto, residual).
- Traza de auditoría: registro de decisiones, versiones, datos y explicabilidad.
- Proceso de contestación con plazo y responsable, para los derechos de los afectados.
Cuatro ítems, todos exigibles hoy por la LGPD en el grupo de alto riesgo. El checklist de respuesta a incidentes y ese inventario son las dos mitades de la misma gobernanza: una prepara para el accidente, la otra para la fiscalización.
Conclusión
"Está a un voto" es la métrica equivocada para medir preparación. La métrica correcta es: si la ANPD pidiera mañana la traza de auditoría de un modelo propio que decide sobre clientes, ¿qué mostraría la empresa?
El Marco Legal transforma la gobernanza de IA de diferencial competitivo en licencia de operación, con una multa de 50 millones de reales dibujando el techo del riesgo. Quien corre IA en producción en Brasil ya tiene todas las señales: el regulador existe, aplica sanción y tiene la IA en la cima de la fila. El resto es agenda.