Reglamento de IA de la UE para empresas brasileñas: cómo el artículo 2 alcanza a los proveedores de IA brasileños
El PL 2338/2023 sigue sin aprobarse, pero el artículo 2 del Reglamento de IA vincula a las empresas brasileñas que venden IA en la UE o cuya salida se usa allí.
Una fintech de São Paulo cuyo modelo de IA de puntuación crediticia usa un prestamista de Lisboa queda vinculada por el Reglamento de IA de la UE — aun sin oficina europea, sin entidad europea y sin una ley de IA brasileña que la obligue todavía. Esta es la parte que las empresas brasileñas suelen entender mal. El Reglamento de IA de la UE no es Derecho brasileño y nunca llega a serlo; no hay fecha de aplicación brasileña ni una "autoridad competente del Reglamento de IA" brasileña en la que registrarse. Pero el artículo 2 le confiere al Reglamento (UE) 2024/1689 un alcance extraterritorial deliberado, y atrapa a los proveedores y responsables del despliegue brasileños en el momento en que introducen un sistema de IA en el mercado de la UE o la salida de su sistema se usa en la Unión.
El propio proyecto de ley de IA de Brasil se acerca al modelo de la UE más que la mayoría, lo que invita a suponer que ambos encajarán. No lo harán — no hasta que el proyecto brasileño sea ley, y ni siquiera entonces de forma automática. Para una empresa brasileña que toca el mercado de la UE, el artículo 2 es la base entera y permanente por la que el Reglamento te vincula, con independencia de dónde acabe el PL 2338/2023.
Brasil es un tercer país: el Reglamento nunca llega a ser Derecho brasileño
Brasil no es un Estado miembro de la UE ni forma parte del Espacio Económico Europeo (EEE). Ningún mecanismo —ni transposición, ni incorporación al EEE— convierte el Reglamento (UE) 2024/1689 en Derecho federal brasileño. Así que la única pregunta que importa para una empresa brasileña es la extraterritorial: ¿tu actividad te sitúa dentro del artículo 2?
El propio proyecto de ley de IA de Brasil se inspira en la UE pero todavía no ha sido aprobado
Brasil está redactando un marco de IA basado en el riesgo que se hace eco abiertamente del modelo de la UE. El PL 2338/2023, el Marco Legal da Inteligência Artificial, fue aprobado por el Senado Federal el 10 de diciembre de 2024 y, a mediados de 2026, está pendiente en la Cámara de Diputados (Câmara dos Deputados), donde continúan la revisión en comisión y las enmiendas — incluido el debate sobre las exenciones de vigilancia biométrica. Todavía no ha sido aprobado: para entrar en vigor debe superar la Cámara y recibir la sanción presidencial. Trata el PL 2338/2023 como avanzado pero pendiente, no promulgado.
Por separado, la Lei Geral de Proteção de Dados (LGPD) —el estatuto de protección de datos al estilo del RGPD de Brasil, supervisado por la ANPD (Autoridade Nacional de Proteção de Dados)— está en vigor y rige hoy la dimensión de datos personales de la IA. La LGPD es real y vinculante; el PL 2338/2023 aún no lo es. Ninguno satisface el Reglamento de IA de la UE, y el Reglamento de IA de la UE no satisface a ninguno. Una empresa brasileña que vende en la UE afronta ambos cuadros en paralelo — trata el lado brasileño como algo cambiante y asunto para asesoramiento jurídico brasileño aparte.
No hay una fecha de aplicación brasileña que esperar
Para una empresa de la UE, el Reglamento se aplica en fechas fijas del calendario de la UE. Para una empresa brasileña, esas fechas no son un interruptor doméstico; son simplemente las fechas en las que las empresas brasileñas ya dentro del ámbito por el artículo 2 deben cumplir. No hay una "fecha brasileña" aparte bajo el Reglamento de IA de la UE, y el PL 2338/2023, una vez en vigor, correrá su propio calendario brasileño — un régimen paralelo, no el de la UE.
Artículo 2: los dos supuestos que atrapan a las empresas brasileñas
El artículo 2 fija el ámbito del Reglamento, redactado para alcanzar más allá de las fronteras de la UE precisamente para que los proveedores de fuera de la UE no puedan competir deslealmente con los de la UE quedándose en el extranjero.
Introducir IA en el mercado de la UE (artículo 2(1)(a))
Conforme al artículo 2(1)(a), todo proveedor que introduce un sistema de IA en el mercado de la UE o lo pone en servicio en la Unión está dentro del ámbito, con independencia de dónde esté establecido. Una empresa brasileña que vende, licencia o de otro modo pone su producto de IA a disposición de clientes en Portugal, España o Alemania queda atrapada — la constitución en São Paulo y los servidores en Brasil no cambian nada.
Salida usada en la Unión (artículo 2(1)(c))
Conforme al artículo 2(1)(c), un proveedor o responsable del despliegue establecido en un tercer país está dentro del ámbito cuando la salida del sistema de IA se usa en la Unión. Las empresas brasileñas ya conocen esta lógica por el propio alcance extraterritorial de la LGPD: la prueba es dónde aterriza el efecto, no dónde se asienta la empresa o el servidor. Una firma brasileña cuyo modelo puntúa, ordena o genera contenido sobre personas en la UE queda atrapada por este supuesto incluso sin un contrato con un cliente de la UE.
La obligación de representante autorizado (artículo 22)
Un proveedor brasileño de un sistema de alto riesgo debe, antes de introducirlo en el mercado de la UE, designar un representante autorizado establecido en la Unión conforme al artículo 22 — un punto de contacto y de responsabilidad designado dentro de la Unión, no una oficina completa. Esto es paralelo a la estructura de representante en la UE que los exportadores brasileños quizá ya cumplan con el RGPD (artículo 27 del RGPD), pero es una designación aparte bajo un texto legal aparte.
Calendario: las fechas de la UE se aplican a las empresas brasileñas dentro del ámbito
No hay una fecha brasileña aparte bajo el Reglamento de IA de la UE. Una empresa brasileña dentro del ámbito por el artículo 2 planifica contra el calendario legal de la UE.
| Hito | Fecha de la UE | Qué significa para una empresa brasileña dentro del ámbito |
|---|---|---|
| Prácticas prohibidas del artículo 5; alfabetización en IA del artículo 4 | 2 de febrero de 2025 | En vigor y exigible en el mercado de la UE ya; no aplazado |
| Obligaciones de GPAI (artículos 51 a 55) | 2 de agosto de 2025 | En vigor ya; no aplazado |
| Aplicación general, incl. transparencia del artículo 50 | 2 de agosto de 2026 | Se aplica desde esta fecha de la UE; sin fecha brasileña aparte |
| Alto riesgo autónomo (artículo 6(2), anexo III) | 2 de diciembre de 2027 | Fecha fijada por el Ómnibus Digital (originalmente 2 de agosto de 2026) |
| Alto riesgo integrado en producto (artículo 6(1), anexo I) | 2 de agosto de 2028 | Fecha fijada por el Ómnibus Digital (originalmente 2 de agosto de 2027) |
El aplazamiento de alto riesgo del Ómnibus Digital (ya en vigor)
Con el Ómnibus Digital —Reglamento (UE) 2026/1744, adoptado por el Parlamento Europeo (16 de junio de 2026) y el Consejo (29 de junio de 2026), publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026—, las obligaciones de alto riesgo autónomas del anexo III pasaron del 2 de agosto de 2026 al 2 de diciembre de 2027, y las obligaciones de alto riesgo integradas en producto del anexo I, del 2 de agosto de 2027 al 2 de agosto de 2028. El texto modificado del Reglamento ya recoge esas fechas: no hay una segunda fecha que conciliar. La propuesta de la Comisión de noviembre de 2025 vinculaba el inicio del alto riesgo a la disponibilidad de normas y herramientas de apoyo, con fechas límite de reserva; los colegisladores adoptaron en cambio fechas fijas.
Lo que no se movió
Las prohibiciones del artículo 5 y la alfabetización del artículo 4 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI de los artículos 51 a 55, desde el 2 de agosto de 2025. Para los proveedores brasileños de modelos fundacionales o de GPAI que introducen modelos en el mercado de la UE, los deberes de GPAI están vivos ahora — y los modelos que ya estaban en el mercado de la UE antes del 2 de agosto de 2025 tienen hasta el 2 de agosto de 2027 para cumplir conforme a la disposición transitoria.
Qué tienen que hacer realmente las empresas brasileñas dentro del ámbito
Las obligaciones son las obligaciones de la UE
Como el Reglamento vincula por el artículo 2 y no por ninguna transposición brasileña, un proveedor o responsable del despliegue brasileño dentro del ámbito afronta los mismos deberes basados en el rol que una empresa de la UE. No hay una versión brasileña descafeinada, y cumplir el PL 2338/2023 una vez sea ley no descargará los deberes de la UE. Los roles se mapean de forma idéntica: proveedor, responsable del despliegue, importador, distribuidor — con los deberes del importador en el artículo 23 y los del distribuidor en el artículo 24.
El cambio de rol del artículo 25
Un responsable del despliegue, distribuidor o importador se convierte en proveedor conforme al artículo 25 en el momento en que pone su propio nombre o marca en un sistema de alto riesgo, lo modifica sustancialmente o cambia su finalidad prevista. Una empresa brasileña que ajusta un modelo base hacia una nueva finalidad de alto riesgo, o renombra una herramienta de alto riesgo de la UE, puede heredar todo el conjunto de obligaciones de proveedor sin darse cuenta.
Deberes de alto riesgo y sanciones
Para un sistema de alto riesgo autónomo del anexo III, el conjunto de obligaciones de proveedor se aplica en su totalidad: gestión de riesgos, gobernanza de datos, documentación técnica, registro de eventos, transparencia, supervisión humana, precisión y solidez (artículos 9 a 15), evaluación de la conformidad, el registro del artículo 49 y las obligaciones de proveedor del artículo 16. Las sanciones son los tramos del artículo 99 — cifras idénticas, calculadas sobre el volumen de negocios mundial, no sobre los ingresos de la UE o de Brasil: hasta 35 M€ o el 7 % por infracciones del artículo 5 (artículo 99(3)); hasta 15 M€ o el 3 % por la mayoría de las demás obligaciones, incluidos los deberes de proveedor de alto riesgo (artículo 99(4)); hasta 7,5 M€ o el 1 % por facilitar información incorrecta o engañosa (artículo 99(5)). Para pymes, el artículo 99(6) limita la multa a la cifra inferior entre el importe fijo y el porcentaje. El tercer tramo es del 1 %, nunca del 1,5 %. Por separado, los proveedores de modelos de GPAI son multados por la Comisión conforme al artículo 101 (hasta 15 M€ o el 3 %), no conforme al artículo 99.
Ejemplo práctico: una fintech de São Paulo que ofrece puntuación crediticia por IA en la UE
CredFácil Tecnologia Ltda es una fintech de São Paulo de unos 130 empleados con alrededor de 20 millones de euros de ingresos anuales. Vende un modelo de IA de puntuación de solvencia, y un prestamista al consumo portugués lo licencia para evaluar solicitantes en Portugal.
Por qué CredFácil está dentro del ámbito ahora
Como proveedor que introduce el sistema en el mercado de la UE, CredFácil está dentro del ámbito conforme al artículo 2(1)(a) hoy — no se requiere oficina en la UE, la ausencia de una entidad europea es irrelevante. Su modelo es de alto riesgo según el anexo III, punto 5 (acceso a servicios privados esenciales — evaluación de la solvencia y puntuación crediticia de personas físicas, excluida la detección de fraude), lo que activa todo el conjunto de obligaciones de proveedor de los artículos 9 a 15. Incluso sin un contrato directo con la UE, el artículo 2(1)(c) puede atraparla cuando la puntuación se usa para decidir sobre personas en la Unión.
La dimensión de la EIDF
Como la puntuación de solvencia (anexo III, punto 5(b)) es uno de los casos de uso que activa la EIDF del artículo 27 para los responsables del despliegue, los clientes-prestamistas de CredFácil en la UE necesitarán una EIDF — y esperarán que CredFácil, como proveedor, aporte la información técnica y de riesgos que la alimenta. Incorporar esa información al expediente de cumplimiento desde el principio es lo que mantiene a un proveedor brasileño vendible en el mercado de crédito de la UE.
Lista de comprobación previa al mercado de CredFácil
- Designar un representante autorizado del artículo 22 establecido en la Unión antes de introducir el modelo en el mercado de la UE.
- Construir la documentación técnica del artículo 11 / anexo IV y la declaración UE de conformidad del artículo 47 / anexo V.
- Ejecutar la evaluación de la conformidad y registrar el sistema conforme al artículo 49.
- Dar soporte a la EIDF del artículo 27 de los clientes-responsables del despliegue de la UE con la información del lado del proveedor que necesitan.
- Anotar la exposición: el incumplimiento de proveedor de alto riesgo se sitúa en el tramo del artículo 99(4). Como pyme, CredFácil se beneficia del límite del artículo 99(6) a la cifra inferior entre el importe fijo y el porcentaje, así que el 3 % de unos 20 millones de euros de ingresos es el techo operativo, no la cifra de 15 M€.
- Mantener las obligaciones brasileñas —la LGPD ahora, el PL 2338/2023 si y cuando llegue a ser ley— en paralelo; el expediente de la UE no las cumple, y a la inversa.
Qué deberían hacer ahora las empresas brasileñas
Mapea tu exposición a la UE, no tu situación brasileña
No partas de "¿estamos cubiertos por el Derecho brasileño?". Parte de "¿tocamos el mercado de la UE?". Si introduces IA en el mercado de la UE o tu salida se usa en la Unión, el calendario de la UE te vincula por el artículo 2 — con independencia de dónde se encuentre el PL 2338/2023 en el Congreso.
Una lista de comprobación inicial de cinco pasos
- Mapea tus sistemas de IA contra el artículo 2 para confirmar dónde introduces sistemas en el mercado de la UE o tu salida llega a la Unión.
- Clasifica cada sistema: supera primero la barrera de prácticas prohibidas del artículo 5, después evalúa el artículo 6 / anexo III para la condición de alto riesgo.
- Asigna roles —proveedor, responsable del despliegue, importador, distribuidor— y haz la comprobación de conversión del artículo 25 sobre todo lo que renombres, ajustes o reutilices.
- Para los sistemas de alto riesgo, designa un representante autorizado del artículo 22 en la Unión antes de la introducción en el mercado.
- Construye el expediente de cumplimiento: gestión de riesgos, documentación del anexo IV, evaluación de la conformidad y la declaración de conformidad del anexo V — y mantén tus obligaciones brasileñas en paralelo.
Dos novedades que vigilar
Sigue dos piezas en movimiento para la revisión jurídica: las directrices de la Comisión sobre la clasificación de alto riesgo del artículo 6, publicadas en borrador en mayo de 2026 y todavía no definitivas, y el avance del PL 2338/2023 por la Cámara de Diputados — que, una vez en vigor, añadirá un régimen brasileño aparte pero no desplazará el alcance extraterritorial del Reglamento de IA de la UE. Un marco brasileño basado en el riesgo puede aliviar el esfuerzo operativo, pero los dos expedientes de cumplimiento siguen siendo distintos.
Cómo ayuda Confir a las empresas brasileñas
Confir deriva tu rol de proveedor, responsable del despliegue, importador o distribuidor y clasifica tus sistemas conforme a los artículos 5 y 6 con la lógica del anexo III a partir de una entrada en lenguaje claro. El motor es determinista y basado en reglas — sin inferencia de modelo, sin alucinación — de modo que la misma entrada siempre produce la misma conclusión defendible ante una auditoría, con una explicación legible de qué regla se activó.
Confir genera el paquete de documentación técnica del artículo 11 / anexo IV y la declaración de conformidad del artículo 47 / anexo V, y da soporte a la evaluación de impacto relativa a los derechos fundamentales del artículo 27 cuando aplica — directamente relevante para los proveedores brasileños de modelos de puntuación crediticia. El objetivo es darle a una empresa brasileña un expediente de cumplimiento para el mercado de la UE que se sostenga por sí mismo, separado de la LGPD y del PL 2338/2023. El flujo de GPAI (artículos 51 a 55) es parcial y está en la hoja de ruta, no se presenta como completo. Confir está alojado en la UE, en confir.eu.
Guías relacionadas
- Reglamento de IA de la UE para empresas estadounidenses: alcance extraterritorial
- Alcance extraterritorial del Reglamento de IA de la UE para empresas de fuera de la UE
- Ámbito del Reglamento de IA de la UE explicado (artículo 2)
- El artículo 27 EIDF explicado
- Plazos y fechas de aplicación del Reglamento de IA de la UE
Gestiona el cumplimiento de la Ley de IA en un solo lugar
Confir automatiza la clasificación de riesgos, la documentación técnica y los registros de auditoría para tu empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Prueba gratis 14 días →