Regulación de IA: el AI Act multa hasta 7% de la facturación

La regulación de IA que alcanza a las empresas brasileñas en octubre de 2026 combina una ley europea en vigor con una ley brasileña que sigue siendo proyecto. El Reglamento (UE) 2024/1689, conocido como AI Act, ya castiga el uso de prácticas de IA prohibidas con multas de hasta 35 millones de euros o el 7% del volumen de negocio total anual a escala mundial del ejercicio anterior, lo que sea mayor, también para empresas de fuera de la Unión Europea cuyo sistema genera resultados que se usan allí (Parlamento Europeo y Consejo, 2024). En Brasil, el proyecto PL 2338/2023 fue aprobado por el Senado Federal el 10 de diciembre de 2024, llegó a la Cámara de Diputados el 17 de marzo de 2025 y, el 22 de octubre de 2026, figuraba en la base oficial como “Aguardando Parecer” (a la espera de dictamen) en la comisión especial (Cámara de Diputados, 2026). Mientras la ley no llega, la LGPD, la ley brasileña de protección de datos, y la ANPD, la autoridad del sector, rigen el uso de IA con datos personales en el país. Este texto es informativo y no sustituye una opinión jurídica.

En Iasbeck&Co implementamos CRM y agentes de IA en operaciones B2B, y la pregunta “¿ya existe una ley de IA en Brasil?” aparece en casi toda conversación con la dirección. Organicé las fechas, multas y situación de cada norma, verificadas en el texto legal y en la tramitación oficial, para la dirección, los líderes, el área legal y RR. HH. El encaje de la IA en la LGPD está en IA y LGPD, y no lo repito aquí.

¿Qué fuentes oficiales muestran el estado de la regulación de IA?

Usé textos legales, registros oficiales de tramitación y un informe académico. Las noticias sobre el PL 2338 no coinciden entre sí, así que verifiqué cada fecha en los datos abiertos de la Cámara y del Senado.

Fuente	Año	Naturaleza y método	Hallazgo principal
Reglamento (UE) 2024/1689, AI Act	2024	Texto legal	Multas de hasta el 7% de la facturación mundial por prácticas prohibidas
Reglamento (UE) 2026/1744, Digital Omnibus sobre IA	2026	Texto legal del 8/7/2026	Aplaza el alto riesgo a diciembre de 2027 y agosto de 2028
Senado Federal, PL 2338/2023 y Cámara de Diputados, ficha de tramitación	2024 a 2026	Tramitación oficial, consultada el 22/10/2026	Aprobado por el Senado el 10/12/2024; espera dictamen en la Cámara
ANPD, Balance de la Agenda Regulatoria 2025-2026	2026	Informe oficial del primer semestre	IA en la Fase 1, centrada en el art. 20 de la LGPD; borrador en elaboración
Stanford HAI, AI Index Report 2026	2026	Informe académico; leyes aprobadas en el G20 (base Digital Policy Alert)	11 leyes de IA en el G20 en 2025, frente a 16 en 2024; 150 leyes estatales en EE. UU.
Stanford HAI, AI Index Report 2025	2025	Menciones a la IA en actas legislativas de 75 países y territorios	1.889 menciones en 2024, un 21,3% más

¿Qué exige el AI Act europeo y desde cuándo?

El AI Act clasifica los usos de IA por riesgo. Arriba están las prácticas prohibidas del art. 5, como la puntuación social y el reconocimiento de emociones en el lugar de trabajo. Debajo vienen los sistemas de alto riesgo del Anexo III, que incluyen la contratación, las decisiones sobre ascensos y despidos y la evaluación de solvencia de personas físicas. Hay además obligaciones de transparencia para chatbots y contenido sintético (art. 50) y reglas para los proveedores de modelos de uso general (Parlamento Europeo y Consejo, 2024).

El reglamento entró en vigor el 1 de agosto de 2024 con aplicación escalonada (art. 113). En julio de 2026, la UE aprobó el Reglamento 2026/1744, el Digital Omnibus sobre IA, que aplazó las obligaciones de alto riesgo porque, según el propio texto, los retrasos en las normas técnicas y en la creación de las autoridades nacionales ponían en riesgo la fecha original del 2 de agosto de 2026 (Parlamento Europeo y Consejo, 2026). El calendario vigente quedó así:

Fecha	Qué empieza a aplicarse
2 de febrero de 2025	Disposiciones generales, alfabetización en IA (art. 4) y prácticas prohibidas (art. 5)
2 de agosto de 2025	Reglas para modelos de uso general, gobernanza y régimen de multas
2 de agosto de 2026	Aplicación general, incluida la transparencia del art. 50
2 de diciembre de 2026	Nuevas prohibiciones del Omnibus sobre imágenes íntimas sin consentimiento y abuso infantil
2 de diciembre de 2027	Alto riesgo del Anexo III, como contratación y crédito
2 de agosto de 2028	Alto riesgo integrado en productos regulados del Anexo I

El aplazamiento dejó la transparencia en el calendario original. El proveedor de un chatbot que conversa con personas en Europa debe garantizar que sepan que hablan con una IA, salvo cuando sea evidente, y quien usa reconocimiento de emociones debe informar a las personas expuestas (art. 50, apartados 1 y 3).

¿Cuánto puede costar incumplir el AI Act?

El art. 99 fija tres tramos, siempre por el mayor valor entre el importe fijo y el porcentaje de la facturación mundial. El Omnibus mantuvo los topes y extendió a las small mid-caps la regla de las pymes, que pagan el menor de los dos valores, en los tramos de los apartados 4 y 5 (Parlamento Europeo y Consejo, 2026).

Infracción	Multa máxima	Disposición
Uso de una práctica prohibida	35 millones de euros o 7% de la facturación mundial	Art. 99, apartado 3
Incumplimiento de obligaciones de proveedores, responsables del despliegue y otros operadores, incluida la transparencia	15 millones de euros o 3% de la facturación mundial	Art. 99, apartado 4
Información incorrecta, incompleta o engañosa a las autoridades	7,5 millones de euros o 1% de la facturación mundial	Art. 99, apartado 5
Proveedor de un modelo de IA de uso general	15 millones de euros o 3% de la facturación mundial, impuesta por la Comisión	Art. 101

¿El AI Act alcanza a las empresas brasileñas?

El art. 2 aplica el reglamento a los proveedores que introducen sistemas de IA en el mercado europeo, estén donde estén, y a proveedores y responsables del despliegue de terceros países “cuando la información de salida generada por el sistema de IA se utilice en la Unión”. Eso alcanza, por ejemplo, a la empresa brasileña de software con clientes europeos y al proceso de selección que usa IA para filtrar candidatos que van a trabajar allí. Si operas solo en Brasil, el AI Act sirve de referencia, porque el PL 2338 sigue la misma lógica de clasificación por riesgo.

¿Dónde está el PL 2338/2023 en octubre de 2026?

El proyecto del senador Rodrigo Pacheco fue aprobado por el pleno del Senado el 10 de diciembre de 2024 (Senado Federal, 2024). La Cámara de Diputados recibió el texto el 17 de marzo de 2025, creó una comisión especial en abril y designó como ponente al diputado Aguinaldo Ribeiro (PP-PB) el 20 de mayo. El 22 de octubre de 2026, la ficha oficial mostraba “Aguardando Parecer”, en régimen de prioridad, y los movimientos desde marzo eran anexiones de otros proyectos sobre IA, el último el 2 de septiembre de 2026 (Cámara de Diputados, 2026).

Uno de los proyectos anexados cambia la estructura de la ley. En diciembre de 2025, el gobierno envió el PL 6237/2025, que crea el Sistema Nacional para el Desarrollo, la Regulación y la Gobernanza de la Inteligencia Artificial (SIA) y designa a la ANPD para fijar normas generales y regular los sectores sin regulador propio. Según el Ministerio de Gestión, el texto corrige un vicio de iniciativa del PL 2338 y le deja a este las prohibiciones y la lista de alto riesgo (Ministerio de Gestión e Innovación, 2025). El PL 6237 se anexó al PL 2338 el 6 de abril de 2026. Circulan previsiones de votación después de las elecciones de octubre, sin fecha registrada en ninguna fuente oficial.

¿Qué dice el texto aprobado por el Senado?

El texto que llegó a la Cámara sigue la arquitectura del AI Act, con sanciones y plazos propios, y la Cámara puede cambiar cualquier punto, lo que devolvería el proyecto al Senado (Cámara de Diputados, texto recibido del Senado).

Tema	AI Act (en vigor en la UE)	PL 2338/2023 (texto del Senado, en análisis)
Usos prohibidos	Art. 5, como la puntuación social y las emociones en el trabajo	Art. 13, “riesgo excesivo”, como explotar vulnerabilidades y la puntuación social por el poder público
Alto riesgo con efecto en las empresas	Contratación, gestión de trabajadores, crédito a personas físicas	Contratación y evaluación de trabajadores, acceso a servicios esenciales, reconocimiento de emociones (art. 14)
Derechos de las personas afectadas	Transparencia y explicación en casos definidos	Información sobre la interacción con IA para cualquier sistema (art. 5); explicación, impugnación y revisión humana en el alto riesgo (art. 6)
Multa máxima	35 millones de euros o 7% de la facturación mundial	R$ 50 millones por infracción o 2% de la facturación bruta en Brasil (art. 50)
Quién fiscaliza	Autoridades nacionales y la Oficina de IA de la Comisión	ANPD como coordinadora del SIA, con reguladores sectoriales (art. 45)
Cuándo se aplica	Escalonado de 2025 a 2028	730 días después de la publicación, con parte de las reglas a los 180 días (art. 80)

Los dos textos clasifican por riesgo, y el proyecto trata la evaluación preliminar como buena práctica (art. 12). Si el texto del Senado se sancionara sin cambios, la mayor parte de las obligaciones solo se aplicaría dos años después de la publicación. La ley brasileña no le exige nada a tu operación en 2026, incluso una aprobación rápida dejaría la mayoría de las obligaciones para 2029 o después, y su diseño ya indica lo que se va a exigir.

Lo que ya rige en Brasil: la LGPD y la ANPD

Sin una ley específica, la LGPD rige hoy el uso de IA con datos de clientes, leads y candidatos, y el art. 20, sobre la revisión de decisiones automatizadas, es el punto de contacto más directo. La ANPD incluyó la inteligencia artificial entre los 16 puntos de su Agenda Regulatoria 2025-2026, en la Fase 1, la de mayor prioridad. El balance del primer semestre de 2026 indica que el proyecto busca atender el art. 20 de la LGPD sin limitarse a él, que la nota técnica con los aportes de la consulta pública está concluida y que el borrador de la norma está en elaboración en el área técnica (ANPD, 2026).

La propia autoridad cambió de naturaleza. La Ley n.º 15.352, del 25 de febrero de 2026, que convirtió la Medida Provisional n.º 1.317/2025, modificó la LGPD para transformar la ANPD en Agencia Nacional de Protección de Datos. Y la autoridad ya actuó en un caso de IA: el 2 de julio de 2024 ordenó la suspensión cautelar de la política de privacidad de una gran plataforma de redes sociales que permitía usar los datos publicados por los usuarios para entrenar IA generativa, con una multa diaria de R$ 50 mil por incumplimiento (ANPD, 2024). Fue una medida preventiva basada en la LGPD que ya existe.

¿Cuántas leyes de IA aprueba el mundo cada año?

El Stanford AI Index sigue la actividad legislativa con dos reglas. En la edición de 2026, el conteo de leyes relacionadas con la IA aprobadas en los países del G20, con datos de Digital Policy Alert, parte de cero en 2016, llega a 16 en 2024 y baja a 11 en 2025. En el acumulado de 2016 a 2025, Estados Unidos encabeza con 25 leyes, seguido de Corea del Sur con 17, y Brasil aparece con 3. El informe advierte que la base solo cuenta legislación aprobada, que una ley grande con varias disposiciones de IA cuenta como una y que el volumen no mide la importancia (Stanford HAI, 2026).

El movimiento más intenso está en los estados de EE. UU. El número de leyes estatales relacionadas con la IA aprobadas en Estados Unidos pasó de menos de 10 en 2020 a 150 en 2025, con California a la cabeza (20 en 2025), mientras el gobierno federal se movió hacia la desregulación (Stanford HAI, 2026). La edición de 2025 medía el debate por el número de veces que “inteligencia artificial” aparece en las actas legislativas de 75 países y territorios: hubo 1.889 menciones en 2024, un 21,3% más que las 1.557 de 2023 y más de nueve veces la cifra de 2016 (Stanford HAI, 2025).

La caída en el G20 en 2025 convive con el récord de los estados de EE. UU. y con un AI Act que se ajusta en lugar de ampliarse. Leo estos números como señal de que la regulación de IA se volvió un mosaico de normas sectoriales, estatales y de protección de datos, lo que aumenta el trabajo de quien opera en varios países. Las cifras de adopción y de riesgo percibido por las empresas están en estado de la IA en las empresas.

Lo que estos datos no dicen

La situación del PL 2338 es una foto del 22 de octubre de 2026. La ficha de la Cámara muestra lo registrado, y la negociación del texto del ponente ocurre fuera de ella. La comparación con el AI Act también tiene límites, porque pone lado a lado una ley en vigor y un texto que la Cámara todavía puede reescribir.

Los conteos del AI Index dependen de la definición. La edición de 2026 cambió el método y pasó a mirar solo el G20, así que las dos ediciones no se comparan, y las “3 leyes en Brasil” vienen de una base que busca legislación relacionada con la IA, sin decir si alguna afecta a tu operación. El conteo de menciones mide debate, que no crea obligaciones.

Los topes de multa muestran el máximo previsto y dicen poco sobre lo que una autoridad impone en cada caso, que depende de la gravedad, la duración, la cooperación y el tamaño de la empresa (art. 99, apartado 7). Tampoco encontré en fuentes oficiales una cifra consolidada de multas ya aplicadas con base en el AI Act, así que no cito ninguna.

Qué hace el liderazgo con estos números

La LGPD, el AI Act si tienes operación en Europa y la dirección del PL 2338 bastan para poner la casa en orden. Esta es la hoja de ruta que propongo.

1. Haz el inventario de los usos de IA. Lista herramientas, agentes de IA y automatizaciones en ventas, marketing, atención y RR. HH., con responsable, datos que leen y decisión que influyen, incluido lo que el equipo usa por su cuenta.
2. Clasifica cada uso por riesgo. Usa el AI Act y el art. 14 del proyecto como regla, aunque no haya obligación legal, con la tabla de abajo como punto de partida.
3. Informa al cliente cuando habla con una IA. El art. 50 del AI Act ya lo exige en Europa, y el art. 5 del proyecto prevé el derecho a la información para cualquier sistema. Ajusta la apertura del agente de atención y el aviso de privacidad.
4. Documenta los usos de mayor riesgo. Para cada uno, escribe el criterio de decisión, quién lo revisa y cómo la persona afectada pide la revisión. Ese registro cumple hoy con el art. 20 de la LGPD y funciona como la evaluación preliminar que el art. 12 del proyecto trata como buena práctica.
5. Conviértelo en política interna. Herramientas aprobadas, datos permitidos, revisión humana y registro de agentes caben en una política de uso de IA, que incluye la revisión de los contratos con proveedores.
6. Pon el calendario en la agenda. Marca el 2 de diciembre de 2027 si usas IA de alto riesgo con efecto en Europa y revisa la ficha del PL 2338 y la agenda de la ANPD cada trimestre.

Uso común en la operación	Según el AI Act	Según el PL 2338 (Senado)	Ya rige en Brasil
Chatbot o agente de atención	Transparencia del art. 50	Derecho a la información (art. 5)	LGPD, finalidad y transparencia
Borrador de correo y resumen de reunión	Sin obligación específica más allá de la alfabetización	Fuera del alto riesgo	LGPD, si hay datos personales
Lead scoring en B2B	Fuera del Anexo III, por regla general	Fuera del art. 14, por regla general	Art. 20 de la LGPD, si la decisión afecta a la persona
Filtrado de currículums y evaluación de desempeño	Alto riesgo (Anexo III, punto 4)	Alto riesgo (art. 14, III)	Art. 20 de la LGPD
Análisis de crédito de personas físicas	Alto riesgo (Anexo III, punto 5)	Alto riesgo si se trata de acceso a un servicio esencial (art. 14, IV)	Art. 20 de la LGPD
Reconocimiento de emociones en llamadas	Prohibido sobre empleados; alto riesgo en los demás casos	Alto riesgo (art. 14, XI)	LGPD; reglas de datos sensibles si hay datos biométricos

La tabla es un punto de partida para la conversación con el área legal y no clasifica ningún caso concreto. Los agentes que leen conversaciones de clientes, descritos en IA en la atención al cliente, suelen aparecer en más de una fila.

Lo que RR. HH. y T&D necesitan saber

RR. HH. aparece dos veces en este mapa. La contratación, los ascensos, los despidos y la evaluación de desempeño están en el alto riesgo del AI Act y del PL 2338, y el AI Act obliga al empleador que usa un sistema de alto riesgo en el trabajo a informar antes a los trabajadores (art. 26, apartado 7). Si compras una herramienta de filtrado con IA, necesitas saber cómo decide y quién revisa el resultado, aunque operes solo en Brasil, porque el art. 20 de la LGPD ya rige.

El segundo punto es la formación. Desde febrero de 2025, el art. 4 del AI Act exigía garantizar un nivel suficiente de alfabetización en IA de quienes operan los sistemas. El Omnibus reescribió la regla: la empresa debe apoyar el desarrollo de esa alfabetización, sin obligación de garantizar un nivel específico para cada persona (Parlamento Europeo y Consejo, 2026). La exigencia legal se volvió más ligera, y la necesidad operativa sigue: quien clasifica un uso por riesgo o revisa una decisión automatizada tiene que haber aprendido a hacerlo. Para medirlo, sigue cuántos usos de IA están clasificados y cuántas dudas llegan al área legal antes del lanzamiento de una herramienta.

La regulación de IA en Brasil todavía depende de la Cámara de Diputados, y la dirección que espere la sanción de la ley para empezar tendrá que armar inventario, clasificación y documentación con poco plazo. La capacitación in company de IA aplicada trabaja con líderes y equipos de ventas, marketing, CS y RR. HH. sobre los procesos de la empresa y entrega la biblioteca de prompts por área y la arquitectura de agentes, con lo que cada agente lee, lo que ejecuta y quién aprueba, que es la base del inventario y de la clasificación por riesgo descritos aquí.

Preguntas frecuentes

¿Ya existe una ley de IA en Brasil?

No hay una ley general de IA en vigor. El PL 2338/2023 fue aprobado por el Senado en diciembre de 2024 y, el 22 de octubre de 2026, esperaba el dictamen del ponente en la comisión especial de la Cámara. Mientras tanto, la LGPD, el Código de Defensa del Consumidor y las normas sectoriales siguen rigiendo el uso de IA.

¿Cuál es la multa máxima del AI Act?

Por el uso de una práctica prohibida, hasta 35 millones de euros o el 7% del volumen de negocio total anual a escala mundial del ejercicio anterior, lo que sea mayor. Las demás infracciones de operadores tienen un tope de 15 millones de euros o el 3%, y la información engañosa a las autoridades, de 7,5 millones de euros o el 1%. Para las pymes rige el menor de los dos valores, y el Omnibus extendió esa regla a las small mid-caps en los dos tramos más bajos.

¿El AI Act se aplica a empresas brasileñas?

Se aplica cuando la empresa introduce un sistema de IA en el mercado europeo o cuando la información de salida del sistema se usa en la Unión Europea, según el art. 2. Una empresa que opera solo en Brasil, sin clientes ni usuarios en Europa, queda fuera del alcance directo del reglamento. Confirma tu caso con el área legal.

¿Se aplazó el AI Act?

En parte. El Reglamento 2026/1744 aplazó las obligaciones de los sistemas de alto riesgo al 2 de diciembre de 2027 (Anexo III) y al 2 de agosto de 2028 (productos regulados del Anexo I). Las prohibiciones rigen desde febrero de 2025, las reglas de los modelos de uso general desde agosto de 2025 y la transparencia del art. 50 desde agosto de 2026.

¿Qué papel tendrá la ANPD en la regulación de IA?

El texto del PL 2338 aprobado por el Senado y el PL 6237/2025 enviado por el gobierno ponen a la ANPD como coordinadora del sistema nacional de regulación de IA, junto a los reguladores sectoriales. Hoy, sin la ley, la ANPD actúa sobre la IA a través de la LGPD y tiene la IA como punto prioritario de su Agenda Regulatoria 2025-2026.

¿Cómo preparar al equipo para la regulación de IA?

Empieza por los líderes, que inventarían y clasifican los usos de IA de su área, y después forma a quienes operan agentes y herramientas en el día a día, con las reglas de transparencia y revisión humana de la empresa. Sigue cuántos usos están clasificados, cuántos agentes tienen un revisor designado y cuántas dudas llegan al área legal antes de cada lanzamiento.