Lo que las empresas tech extranjeras hacen mal con la LGPD antes de entrar a Brasil

La LGPD se trata como un trámite legal que se resuelve después de que una empresa ya decidió entrar a Brasil. Ese orden está invertido. La residencia de datos, la arquitectura de consentimiento y las reglas de transferencia transfronteriza deben moldear si y cómo entras, no añadirse después de que el equipo de ventas ya tiene una firma que perseguir.

La autoridad de datos de Brasil pasó de ocasionalmente activa a genuinamente agresiva, con cerca de BRL 98M en multas en los últimos dos años. Las empresas tech y SaaS extranjeras que miran el mercado suelen hacer primero su due diligence comercial, product-market fit, precios, canal, y tratan la LGPD como una casilla legal que marcar cuando el trato está por cerrarse. Ese orden es el error, y es caro de deshacer a mitad del ciclo de ventas.

Las tres preguntas que van antes de la decisión, no después

¿Dónde está realmente el dato, y la ley permite que se quede ahí? La LGPD no exige que los datos brasileños se alojen en Brasil, pero sí exige una base legal clara para donde sea que se procesen, más un mecanismo de transferencia válido si cruzan fronteras. El período de gracia de las cláusulas contractuales estándar terminó en 2025: cualquier flujo desde Brasil hacia Europa, el Golfo o una región cloud de EE. UU. ahora necesita un mecanismo documentado, no la suposición de que las cláusulas estilo GDPR ya lo cubren.

Si el producto involucra IA, ¿los datos de entrenamiento ya están en el alcance de la ley? Un modelo afinado con datos recolectados de usuarios brasileños cae bajo la LGPD desde el momento en que esos datos se recolectaron, no desde que el producto se lanza en Brasil. El PL 2338, el proyecto de ley de IA de Brasil, añade obligaciones adicionales: clasificación de riesgo, transparencia, supervisión humana. Las empresas que tratan esto como un proyecto de compliance futuro suelen descubrir que es uno presente, en medio de una contratación.

¿Quién aprueba la arquitectura de consentimiento y procesamiento, y cuándo? No como un ítem de auditoría posterior al lanzamiento. Los flujos de consentimiento, el proceso de derechos del titular de los datos y el registro de tratamiento deben existir antes de que se registre el primer usuario brasileño, porque adaptarlos después de escalar es sustancialmente más caro que diseñarlos desde la primera decisión de arquitectura.

Por qué esto pertenece a la decisión de entrada al mercado, no a después de ella

Una empresa que responde estas tres preguntas antes de comprometerse con Brasil, o descubre que el trabajo de compliance es sencillo, en cuyo caso la entrada avanza con un rastro de evidencia limpio, o encuentra una brecha real, en cuyo caso esa brecha es más barata de cerrar antes de que una entidad legal, una contratación local o un primer contrato enterprise fijen la arquitectura actual. Descubrirlo después es el camino caro, y es el que toman por defecto la mayoría de las empresas tech extranjeras.

En resumen

La preparación para la LGPD es un insumo de la entrada al mercado, no una ocurrencia tardía. Brasil es hoy un mercado de compromiso limitado para The Tek Atelier, el mismo modelo de probar-y-luego-ejecutar usado para la entrada al GCC, aplicado a un mercado con su propio reloj regulatorio. Las empresas que aciertan aquí tratan la pregunta legal y la pregunta comercial como una sola conversación, no dos.

---

The Tek Atelier asesora a empresas tech y SaaS fundadas por sus creadores en entrada a mercado en el Golfo, el mercado principal, con un número limitado de proyectos ahora abiertos en Brasil, Italia, España y Portugal. Contáctame.