PL 2.338/2023: qué puede cambiar el marco legal de la IA en Brasil

¿En qué etapa está el PL 2.338/2023?

El proyecto fue aprobado por el Senado el 10 de diciembre de 2024 y pasó a la Cámara de Diputados (Câmara dos Deputados). Hasta octubre de 2026, seguía en análisis en una comisión especial de la Cámara, con la votación pospuesta para después de las elecciones de octubre de 2026 en Brasil.

Este recorrido importa porque el texto todavía puede modificarse. Si la Cámara introduce cambios, el proyecto vuelve al Senado antes de avanzar. Es decir, los plazos, definiciones y obligaciones que se discuten hoy pueden no ser los de la versión final.

Por eso, la lectura más prudente es tratar el PL como una dirección y no como una regla cerrada. La lógica de riesgo, sin embargo, ha sido el eje del debate desde el inicio, y es la que ayuda a la empresa a organizarse sin depender de la redacción final.

¿Qué es el enfoque basado en riesgo?

La idea central es simple: cuanto mayor sea el impacto posible de un sistema de IA sobre las personas y sus derechos, mayores son las exigencias. Algunos usos se consideran de riesgo excesivo y quedan prohibidos. Otros se clasifican como de alto riesgo y tienen obligaciones adicionales. El resto sigue reglas más ligeras.

Para los sistemas de alto riesgo, el texto aprobado por el Senado prevé obligaciones como una evaluación de impacto antes del uso, supervisión humana sobre las decisiones, transparencia sobre el funcionamiento del sistema y conservación de registros. En lenguaje de negocio: saber qué hace la IA, quién responde por ella y poder demostrar lo que ocurrió.

Qué usos entran en cada categoría es justamente uno de los puntos que todavía pueden cambiar en la Cámara. Su empresa no necesita adivinar la lista final, pero sí saber cuáles de sus usos de IA tocan decisiones sobre personas, crédito, salud, empleo o acceso a servicios, porque suelen ser los que más pesan en cualquier clasificación de riesgo.

¿Qué puede cambiar el marco legal de la IA para las empresas?

El primer cambio es de visibilidad. Muchas empresas usan IA en varios puntos, desde la atención al cliente hasta el análisis de documentos, sin un inventario único. Un marco basado en riesgo supone que la empresa sabe dónde está la IA, para qué sirve y qué datos utiliza.

El segundo es de responsabilidad. Supervisión humana significa contar con personas designadas que acompañan y pueden revisar decisiones relevantes. Registros significa poder reconstruir después por qué se tomó una decisión. Esto aplica tanto a sistemas propios como a soluciones de proveedores, lo que debería llevar a revisar contratos.

El tercero es la convivencia con reglas que ya existen. El PL no reemplaza la LGPD, la ley general de protección de datos de Brasil, que sigue vigente con la ANPD como autoridad. Tampoco reemplaza las normas sectoriales de reguladores como Bacen, CVM, ANS y Anvisa. En la práctica, la gobernanza de IA tiende a sumarse a la gobernanza de datos y de riesgo que la empresa ya tiene.

Conviene recordar que la responsabilidad no desaparece cuando la IA viene de un proveedor. Si su empresa usa un sistema de terceros para apoyar una decisión relevante, sigue necesitando entender qué hace el sistema, qué datos usa y cómo se puede revisar una decisión. Por eso, la transparencia y los registros tienden a convertirse en cláusulas de contrato y no solo en temas de tecnología. Como el texto puede cambiar, confirme con su equipo jurídico cómo aplica esto a cada caso.

Cómo prepararse sin esperar la ley: una hoja de ruta en 5 pasos

1 · Haga un inventario de los usos de IA. Liste sistemas propios, herramientas contratadas e iniciativas en prueba. Para cada uno, registre la finalidad, el área responsable y los datos involucrados.

2 · Haga una clasificación preliminar de riesgo. Marque los usos que afectan decisiones sobre personas o derechos. Esta clasificación es interna y debe revisarse cuando se apruebe el texto final, pero ya muestra dónde concentrar el esfuerzo.

3 · Designe responsables humanos. Para cada uso relevante, defina quién acompaña el sistema, quién puede revisar una decisión y quién responde si algo sale mal. La supervisión sin dueño no funciona.

4 · Registre decisiones y reglas. Conserve qué datos consultó el sistema, qué regla aplicó y quién lo aprobó. Una pista de auditoría sencilla hoy evita una reconstrucción difícil mañana.

5 · Revise contratos y proveedores con el área jurídica. Verifique qué ofrecen sus proveedores de IA en transparencia, registros y protección de datos. Confirme con su equipo jurídico cómo dar seguimiento al proyecto y cuándo ajustar cada punto.

Cómo Semantix opera la IA pensando en la regulación

En Semantix, agentes de IA y especialistas operan procesos de TI y de negocio con reglas claras. Safetix, parte de Semantix AI Suite, gobierna esa operación: define reglas y permisos, da acceso solo a lo necesario y rastrea cada ejecución, con las aprobaciones humanas registradas. Los datos personales se enmascaran antes de llegar al modelo, y el cliente elige dónde se ejecutan los modelos, incluso en Brasil o en un entorno propio.

Seguimos las discusiones del PL 2.338/2023 y de ABRIA, además de la LGPD y las reglas sectoriales, y operamos con certificaciones ISO 27001, ISO 27701, PCI-DSS y SOC 2 Type II. Si usted quiere saber dónde está el riesgo en su operación, el camino empieza con un diagnóstico.

Usted elige hasta dónde llega Semantix: usar Semantix AI Suite con su equipo, construir junto con Semantix o contratar la operación. Así es como Semantix, The Enterprise AI Company, construye empresas que aprenden.