Brasil escribe la ley de IA que la región va a heredar

Brasil está escribiendo — audiencia a audiencia, artículo por artículo — la ley de inteligencia artificial más ambiciosa de América Latina. El Marco Legal de la IA (PL 2338/2023), aprobado por unanimidad en el Senado en diciembre de 2024 y construido sobre el modelo de riesgos del AI Act europeo, entró en su fase decisiva: una comisión especial de la Cámara de Diputados lo disecciona en audiencias públicas mientras el relator prepara el dictamen que definirá el texto final^[1][2]. Las señales políticas apuntan el voto hacia finales de 2026^[4][5].

Es la primera vez que la mayor economía de la región intenta un marco integral y transversal para la IA. Para entender qué está en juego conviene desarmar la ley pieza por pieza: de dónde viene, qué exige y a quién, quién la vigilará — y qué está pasando alrededor mientras Brasilia delibera.

De dónde viene el PL 2338

El proyecto lo presentó en mayo de 2023 el entonces presidente del Senado, Rodrigo Pacheco, sobre la base del anteproyecto que redactó una comisión de juristas convocada por la propia cámara^[1]. Tras año y medio de negociación, el Senado lo aprobó por unanimidad en diciembre de 2024^[3]. En la Cámara de Diputados el texto no fue a las comisiones ordinarias: se creó una comisión especial dedicada, que desde 2025 celebra audiencias públicas sobre los frentes donde la ley aprieta — educación, trabajo, pymes^[2].

El calendario ya se movió una vez: la votación prevista para diciembre de 2025 se aplazó entre impasses políticos y críticas al texto^[5], y la fecha que hoy circula en Brasilia es diciembre de 2026^[4]. Falta además el paso que de verdad importa: el dictamen del relator, que puede reescribir piezas enteras antes del voto^[1][2].

Qué exige, y a quién

El corazón del texto es una pirámide de riesgos heredada del AI Act europeo, con tres pisos:

• Riesgo excesivo — prohibido: el social scoring estatal, la identificación biométrica en tiempo real en espacios públicos (con excepciones policiales que siguen impugnadas) y los sistemas que explotan vulnerabilidades de grupos específicos^[3][7].
• Alto riesgo — permitido con evaluación de impacto algorítmico previa: crédito, contratación y empleo, evaluación educativa, justicia penal, elegibilidad de servicios públicos e infraestructura crítica^[3][6].
• Riesgo significativo — obligaciones de transparencia: avisar que hay IA de por medio y documentar qué puede y qué no puede hacer el sistema^[3].

Del otro lado de la ecuación, la ley consagra derechos del afectado: saber que una IA decidió sobre ti, recibir una explicación y poder impugnar la decisión automatizada^[3][7].

Quién vigila y qué cuesta incumplir

La fiscalización no recae en una agencia nueva sino en un sistema: el SIA, coordinado por la ANPD — la autoridad que ya administra la ley de datos LGPD — junto a los reguladores sectoriales (Banco Central, ANATEL, ANS) y con participación de la sociedad civil^[3][7]. Las multas llegan a R$ 50 millones por infracción o el 2 % de los ingresos en Brasil — un techo deliberadamente más suave que el 7 % de la facturación global que arriesga una empresa bajo el AI Act europeo^[7].

La vigencia tampoco será inmediata: no hay fecha aún, y el patrón esperado es el de la LGPD — implantación escalonada, alrededor de dos años entre la sanción y el régimen pleno^[7].

Los frentes abiertos

Tres disputas concentran el lobby y definirán el texto final: cuánto se recorta la vigilancia biométrica — la industria de seguridad empuja en un sentido, las organizaciones de derechos en el otro —; cuánta transparencia se les exige a los modelos fundacionales; y cómo encaja la nueva ley con la LGPD para no duplicar obligaciones^[4][5][7]. La industria tecnológica, por su parte, sostiene que copiar el enfoque prescriptivo europeo puede asfixiar un ecosistema que apenas nace^[12].

El tablero regional se mueve al mismo tiempo

Mientras Brasil delibera, la región no espera. Perú ya promulgó la primera ley de IA de América Latina — un texto corto, promocional, con el reglamento todavía en desarrollo^[6]. Chile va por la vía intermedia: su proyecto — también de pirámide de riesgos, con multas de hasta 20.000 UTM — superó la Cámara en octubre de 2025 y se tramita en segunda lectura en el Senado, amarrado a la nueva institucionalidad de protección de datos que entra en régimen en diciembre de 2026^[9]. México acumula dos iniciativas con la seguridad pública como eje; Colombia, tres proyectos^[6].

El reloj de fondo es europeo. El AI Act entró en vigor en agosto de 2024; sus prohibiciones aplican desde febrero de 2025, las reglas para modelos de propósito general desde agosto de 2025, y el grueso de las obligaciones de alto riesgo está calendarizado a partir de agosto de 2026 — la factura real de cumplimiento del modelo que Brasil hereda se está conociendo justo ahora^[13]. Y en junio, Brasil se convirtió en el primer país del sur global en firmar un acuerdo de asociación digital con la Unión Europea — la vía brasileña en una frase: regular primero, aliarse con Bruselas después, el contraste exacto con la apuesta argentina de desregular para atraer centros de datos^[8].

La región, además, se institucionaliza: la Tercera Cumbre Ministerial de Ética de la IA dejó una declaración y una hoja de ruta regional 2026–2027^[14], y la UNESCO lanzó un observatorio de IA en educación para América Latina y el Caribe^[15].

El terreno donde aterriza

Un último dato enmarca todo lo anterior: la adopción corre más rápido que la norma. La demanda de fluidez en IA se multiplicó por once entre 2023 y 2025 en la región — aproximadamente el doble del ritmo de Estados Unidos y Europa — y el grueso de ese crecimiento ocurre fuera de la ingeniería: ventas, administración, diseño, contenido^[10]. El 85 % de las startups latinoamericanas, mientras tanto, ya usa IA generativa en sus productos^[11].

Esos son los hechos. Lo que significan para quien construye en América Latina — quién gana, quién paga la factura y qué conviene mover antes de que el dictamen se congele — es materia de la sección que sigue.

América Latina tiene un patrón regulatorio tan estable que ya funciona como ley física. Europa redacta, Brasil adapta, la región hereda. Pasó con los datos personales: el GDPR europeo de 2016 se volvió la LGPD brasileña de 2018, y la LGPD se volvió la plantilla de Ecuador en 2021, de Chile en 2024, de media docena de borradores que hoy circulan por los congresos del continente. Los reguladores de la región no redactan desde cero — heredan y adaptan. Por eso el PL 2338 no es una noticia brasileña: es el borrador más probable del reglamento que va a gobernar tu producto, esté donde esté tu servidor.

Eso convierte la lectura temprana en una ventaja material. El dictamen del relator todavía no se congela, el voto apunta a finales de 2026 y, aun sancionada, la vigencia sería escalonada al estilo LGPD — unos dos años entre la firma y el régimen pleno. Sumado: quien lee el texto hoy opera con años de anticipación sobre su propio marco nacional. En un continente que adopta IA al doble del ritmo del mundo rico pero apenas empieza a leerse sus propias reglas, esa anticipación es de las pocas ventajas competitivas que se regalan.

Hay que decir la parte incómoda: la herencia no es un premio. La industria tecnológica lleva meses advirtiendo que calcar el enfoque prescriptivo europeo puede asfixiar un ecosistema que apenas nace, y el propio PL 2338 concede el punto al fijar multas deliberadamente más suaves que las europeas — 2 % de los ingresos locales contra 7 % de la facturación global. Es una objeción seria. Pero para quien construye, el veredicto sobre la ley es casi irrelevante: buena o mala, blanda o dura, la jugada es la misma — conocerla antes, moldearla donde se pueda, y ponerle precio al cumplimiento mientras es barato hacerlo.

Dos matices mantienen honesto el argumento. La herencia es plantilla probable, no destino: México está tomando una forma distinta, centrada en seguridad pública, y la divergencia regional es real. Y el calendario no es promesa: el voto ya se deslizó una vez y puede volver a deslizarse. De esta ley no hay que depender — hay que anticiparla. La distinción importa: anticipar cuesta poco y paga siempre; depender cuesta todo si Brasilia cambia de idea.

LA JUGADA

1. Mapea tu producto contra la lista de alto riesgo hoy — crédito, contratación, evaluación educativa, elegibilidad de servicios públicos, infraestructura crítica. Si estás en la lista, prototipa la evaluación de impacto algorítmico ahora, que es barata mientras eres chico.
2. Diseña una sola arquitectura de cumplimiento para el mercado más estricto — Brasil como el «GDPR regional»: trazabilidad de datos, supervisión humana, explicabilidad — y véndela como activo. «Listos para el PL 2338» será señal de confianza ante corporativos y gobiernos de toda la región.
3. Entra por la ventana de influencia. La comisión especial está oyendo precisamente a pymes y sector educativo^[2][4] — la rendija para que constructores regionales hablen antes de que el texto se congele. Y vigila dónde vivirán las reglas de verdad: la reglamentación secundaria del SIA/ANPD, con el agosto europeo de 2026 como ensayo general^[13].