LGPD e IA en Brasil: qué revisar antes de la fiscalización de 2027

En Brasil, la inteligencia artificial que usa datos personales ya está regulada, aunque el país todavía no tenga una ley de IA. La regula la LGPD (Ley General de Protección de Datos Personales), que es además la base jurídica de las competencias de la ANPD (Agencia Nacional de Protección de Datos), y esa Agencia puso la IA entre sus cuatro prioridades y prevé 20 acciones de fiscalización sobre IA para 2027.

Esta guía explica qué va a fiscalizar la ANPD, qué enseñó el precedente de Meta en 2024, qué espera la Agencia de los sistemas de IA generativa y qué debería poder mostrar su empresa si recibe una fiscalización. Sirve para empresas brasileñas y para grupos de otros países de la región con operación en Brasil.

La ley de IA puede esperar; la LGPD no

El Marco Legal de la IA, el PL 2338/2023 (PL es la sigla de proyecto de ley), fue aprobado por el Senado el 10 de diciembre de 2024. A fines de octubre de 2026, la ficha oficial de tramitación de la Cámara de Diputados lo registraba en la Comisión Especial, a la espera del dictamen del relator.

Las fechas se han movido varias veces. Según un seguimiento publicado en octubre de 2026, no se concretaron las votaciones previstas para el 19 y el 27 de mayo de 2026, y en agosto de ese año el relator, Aguinaldo Ribeiro, había postergado la votación hasta después de las elecciones de octubre de 2026. El calendario legislativo no ha ofrecido, hasta ahora, una fecha confiable ni un texto definitivo.

Mientras tanto, la IA que trata datos personales ya está bajo la LGPD. Según un análisis especializado, el Mapa de Temas Prioritarios de la ANPD no crea obligaciones nuevas: indica dónde se concentrará la fiscalización de lo que la ley ya exige. Para el directorio, el riesgo regulatorio de la IA en Brasil ya existe y ya tiene fiscalizador.

Para un grupo chileno, colombiano, mexicano o peruano con negocios en Brasil, la pregunta relevante no es qué dice la normativa de IA de su país de origen. Es qué hacen sus sistemas con datos de personas en Brasil. Pida a su asesoría legal local que confirme el alcance de la LGPD sobre sus operaciones.

Qué va a fiscalizar la ANPD en 2026 y 2027

La Resolución CD/ANPD 30/2025, del Consejo Director de la Agencia, se publicó el 24 de diciembre de 2025 y aprobó el Mapa de Temas Prioritarios para el bienio 2026-2027. Tiene cuatro ejes: derechos de los titulares, niños y adolescentes en el entorno digital, tratamiento de datos por el Poder Público, e IA y tecnologías emergentes. El hecho también fue reportado en inglés como la fijación de las prioridades de fiscalización de la Agencia.

En el eje de IA, el Mapa prevé 20 acciones de fiscalización para 2027 sobre tratamiento de datos personales, incluidos los de niños. El mismo día, la Resolución 31/2025 actualizó la Agenda Regulatoria 2025-2026.

Según el análisis de la firma de abogados Martinelli, la Agencia da prioridad a los datos biométricos, financieros y de salud. Esa lectura es la base de la tabla por industria que aparece más abajo.

El eje de menores agrega otra capa de exposición. El ECA Digital, la versión para el entorno digital del Estatuto del Niño y del Adolescente (ECA, por su sigla en portugués), tenía entrada en vigor prevista para el 17 de marzo de 2026. Cualquier sistema de IA que recomiende contenido, reconozca rostros o verifique la edad de menores queda más expuesto.

La siguiente tabla cruza esas prioridades con las industrias. Es una lectura de GAITECX, no una lista oficial de la ANPD.

Industria	Usos de IA más expuestos	Prioridad que la alcanza
Banca, seguros y fintech	Calificación crediticia, prevención de fraude, asistentes virtuales	Datos financieros e IA
Salud	Apoyo al diagnóstico, triaje, análisis de historias clínicas	Datos de salud e IA
Retail y seguridad privada	Reconocimiento facial, analítica de video, personalización	Biometría e IA
Telecomunicaciones, medios, educación y gaming	Recomendación de contenido, verificación de edad	Niños y adolescentes e IA
Gobierno y sus proveedores	Atención ciudadana automatizada, cruce de bases de datos	Poder Público e IA

El precedente Meta: suspensión en días y multa diaria

El caso que mejor dimensiona el riesgo ocurrió en 2024. El 2 de julio de ese año, la ANPD abrió una fiscalización por iniciativa propia y suspendió como medida cautelar la política de privacidad de Meta que permitía entrenar IA generativa con datos de usuarios. El motivo central, según la Autoridad: la empresa no había informado de forma adecuada a los titulares sobre las consecuencias del tratamiento.

La medida alcanzó también a personas que no eran usuarias de las plataformas. Fijó un plazo de cinco días hábiles para demostrar la suspensión y una multa diaria de R$ 50.000 por incumplimiento.

La ANPD rechazó el pedido de reconsideración y, en paralelo, el Cade, la autoridad de competencia, abrió su propio procedimiento sobre el uso de datos para entrenar IA. La Autoridad levantó la medida el 30 de agosto de 2024, después de aprobar un plan de cumplimiento con medidas de transparencia hacia los usuarios. La fiscalización siguió abierta y bajo monitoreo.

Cuatro lecciones para su empresa

El disparador fue la transparencia, no una filtración. No hizo falta un incidente de seguridad para frenar el tratamiento.
El perímetro incluye a quienes no son clientes. Si sus modelos usan datos de terceros, como contactos, imágenes o información pública, esos datos también cuentan.
Puede haber más de un regulador. Protección de datos y competencia actuaron sobre el mismo hecho, con equipos y plazos distintos.
La salida fue documental. La actividad se reanudó con un plan de cumplimiento aprobado. La ANPD no prohibió entrenar IA: exigió que se hiciera con información clara a los titulares.

El equilibrio importa. El caso muestra que la ANPD puede actuar rápido, pero también que acepta soluciones cuando la empresa demuestra transparencia. El costo para el negocio no fue solo la multa potencial: según las fechas citadas, la función estuvo suspendida en Brasil durante cerca de dos meses, entre julio y agosto de 2024.

Qué espera la ANPD de los sistemas de IA generativa

Además de fiscalizar, la ANPD publica estudios que muestran su criterio técnico. El Radar Tecnológico sobre IA generativa, un estudio preliminar de noviembre de 2024, propone anonimizar los datos y recolectar solo los necesarios para entrenar modelos. La Agencia publicó una versión en inglés del estudio, útil para casas matrices y proveedores extranjeros.

El estudio también advierte que el riesgo no termina con el entrenamiento inicial: sigue presente en el refinamiento del modelo (fine-tuning) y en desarrollos posteriores. Además, alerta sobre contenido sintético que puede incluir datos de personas reales. Esto afecta a cualquier empresa que ajuste un modelo de terceros con datos de sus clientes.

El Radar Tecnológico nº 6, dedicado a los deepfakes, mapea riesgos y buenas prácticas, y destaca la supervisión humana y la IA explicable. Para el CISO (responsable de seguridad de la información), los deepfakes son a la vez un problema de privacidad y un vector de fraude contra clientes y ejecutivos.

Estos estudios no reemplazan a la ley, pero anticipan las preguntas de un fiscalizador:

¿Qué datos personales entraron al entrenamiento o al ajuste del modelo, y por qué eran necesarios?
¿Se anonimizaron o minimizaron antes de usarlos?
¿Quién revisa los resultados del sistema que afectan a personas?
¿Cómo se explica una decisión del sistema a un titular que la cuestiona?

La ANPD tendrá más poder cuando llegue la regulación de IA

El fiscalizador también cambió. La Medida Provisoria 1.317/2025, del 17 de septiembre de 2025, convirtió a la ANPD en la duodécima agencia reguladora de Brasil, bajo el régimen de la Ley 13.848/2019. El Senado aprobó la medida el 24 de febrero de 2026: la institución pasa a llamarse Agencia Nacional de Protección de Datos, con 200 cargos nuevos de especialista en regulación y un órgano de auditoría. Agência Brasil también registró la aprobación.

La ANPD contará con más personal especializado justo cuando empiecen las acciones sobre IA programadas para 2027. Más capacidad técnica permite fiscalizaciones más numerosas y más profundas.

Su papel podría crecer todavía más. En diciembre de 2025, el Gobierno propuso un proyecto de ley para crear un sistema de gobernanza de la IA, el SIA. Según Security Leaders, la propuesta llegó mediante un mensaje presidencial al Congreso (la Mensagem 1.845), anexado al PL 2338. Sitúa a la ANPD como regulador residual de los sectores sin autoridad propia y crea un Consejo Brasileño de IA (CBIA).

La firma de abogados Baptista Luz explica que el SIA organiza instituciones sin imponer reglas de fondo, y que la ANPD dictaría normas generales vinculantes. El proyecto también crea obligaciones para los organismos públicos que usen IA de alto riesgo, algo relevante para las empresas que les prestan servicios.

El CGI.br (Comité Gestor de Internet en Brasil) respalda que la ANPD coordine la regulación de la IA y pide clasificación de riesgos, transparencia y explicabilidad. Mientras el Congreso no apruebe estas propuestas, no son ley. Aun así, la relación que su empresa construya con la ANPD probablemente será la que tenga con el futuro regulador de IA.

Lista de verificación: qué debería poder mostrar su empresa

La pregunta útil para el próximo comité es simple: «Si la ANPD nos fiscaliza en 2027, ¿qué documentos mostramos?». Use esta tabla para responderla con evidencia, no con intenciones.

Los responsables sugeridos son el CEO (director general), el CIO (responsable de tecnología), el DPO (encargado de protección de datos), el CDO (responsable de datos), el COO (responsable de operaciones), el CMO (responsable de marketing) y el CISO, además de las áreas legal y de compras.

Pregunta del directorio	Evidencia que debería existir	Responsable sugerido
¿Sabemos qué sistemas de IA usan datos personales?	Inventario con categorías marcadas: biometría, salud, datos financieros y menores	CIO y DPO
¿Nuestros avisos de privacidad explican el uso de datos para IA?	Avisos actualizados, historial de versiones y alcance sobre personas que no son clientes	DPO y área legal
¿Minimizamos y anonimizamos los datos de entrenamiento y ajuste?	Política de minimización y registro de las pruebas realizadas	CDO y DPO
¿Sabemos qué hacen nuestros proveedores de IA con nuestros datos?	Cláusulas sobre uso para entrenamiento, fine-tuning y ubicación de los datos	Compras y CISO
¿Podemos suspender un tratamiento en cinco días hábiles sin detener la operación?	Plan de continuidad y costo diario estimado de la suspensión	COO y CIO
¿Hay supervisión humana y controles frente a deepfakes?	Procedimientos de revisión humana y de verificación de identidad	CISO y CMO
¿El directorio recibe información periódica sobre riesgo de IA?	Informe trimestral con inventario, incidentes y estado regulatorio	CEO y comité de riesgos

Si alguna fila no tiene evidencia, ahí está su prioridad.

Qué hacer en los próximos 90 días

Semana 1: designe un responsable único (CEO). Nombre a una persona que responda ante el directorio por el riesgo regulatorio de la IA, con mandato para coordinar tecnología, datos, legal y seguridad.
Días 1 a 45: complete el inventario (CIO y DPO). Liste los sistemas de IA propios y de terceros que usan datos personales. Marque los que tratan biometría, salud, datos financieros o datos de menores, que son las prioridades señaladas para la ANPD.
Días 15 a 60: revise la transparencia (DPO y área legal). Verifique que los avisos de privacidad expliquen con claridad el uso de datos para entrenar o ajustar modelos. Revise si el tratamiento alcanza a personas que no son clientes, como ocurrió en el caso Meta.
Días 30 a 60: exija respuestas a los proveedores (Compras y CISO). Pregunte por escrito si sus datos se usan para entrenar modelos, si aplican anonimización y minimización, y qué ocurre con los datos usados en el fine-tuning. Lleve las respuestas a los contratos.
Días 30 a 75: evalúe el impacto de los sistemas más riesgosos (DPO y CDO). Documente una evaluación de impacto en protección de datos para los usos marcados en el inventario. Pida a su asesoría legal que confirme en qué casos es obligatoria.
Días 45 a 75: controle el contenido sintético (CISO y CMO). Defina supervisión humana para el contenido generado con IA y un protocolo de verificación ante deepfakes que suplanten a ejecutivos o a la marca.
Días 60 a 90: simule una medida preventiva (COO y CIO). Elija un sistema crítico y pruebe si puede suspender el tratamiento y demostrarlo en cinco días hábiles. Estime cuánto le costaría cada día de suspensión.
Día 90: informe al directorio (CEO y comité de riesgos). Presente el inventario, las brechas y el plan. Incluya el estado de tramitación del PL 2338 y del SIA, con un responsable definido para su seguimiento.

Preguntas frecuentes

¿Debo esperar la aprobación del PL 2338 para actuar? No. La votación en la Cámara se postergó varias veces durante 2026, mientras que la LGPD ya se aplica a la IA que usa datos personales. La fiscalización sobre IA prevista para 2027 se basa en obligaciones vigentes.

¿El Mapa de Temas Prioritarios crea obligaciones nuevas? No. Según este análisis, el Mapa indica dónde se concentrará la fiscalización de lo que la LGPD ya exige. Su valor para el directorio es que anticipa dónde mirará la ANPD.

¿Qué puede hacer la ANPD si detecta un problema en un sistema de IA? En el caso Meta de 2024 ordenó una suspensión cautelar con plazo de cinco días hábiles y multa diaria de R$ 50.000. La medida se levantó tras un plan de cumplimiento aprobado, lo que muestra que la documentación define la salida.

Mi empresa no es brasileña. ¿Esto me afecta? Si trata datos de personas en Brasil, probablemente sí, pero confírmelo con asesoría legal local. Revise también a sus proveedores de IA, porque el riesgo de sus modelos se traslada a su operación.

La visión GAITECX

En GAITECX vemos que el riesgo de la IA en Brasil ya no es una discusión legislativa sino operativa: la ANPD tiene prioridades, plazos y precedentes. Las empresas que lleguen a 2027 con su inventario de IA y sus avisos de privacidad al día convertirán una fiscalización en un trámite y no en una suspensión. Por eso este tema forma parte del track de Ciberseguridad Estratégica, donde CISOs, DPOs y responsables de datos de la región comparan cómo se están preparando.