跳到正文
返回目的地合规概览

巴西:出海合规概览

2 部法规、8 条已拆解义务、1 条数据出境路径。下面按"什么时候开始管你"和"要做哪几件事"组织。

监管时间线:接下来的节点

  1. 2025-03-17

    送交众议院复议,并在众议院立案

    巴西人工智能法案 PL 2338/2023(尚未成为法律)
  2. 2025-04-29

    众议院特别委员会(Comissão Especial)正式组成

    巴西人工智能法案 PL 2338/2023(尚未成为法律)
  3. 2026-09-02

    核实状态:仍在众议院"等待报告",须经全体会议审议,尚未成为法律

    巴西人工智能法案 PL 2338/2023(尚未成为法律)
  4. 2026-09-12

    核实:ANPD 处于活跃执法状态,并已就 AI 与数据保护开展监管沙盒与研究

    巴西通用个人数据保护法(LGPD)

适用法规(2)

现行有效数据与隐私相关度 高

巴西通用个人数据保护法(LGPD)

第 3 条从三条路径界定适用范围,不问处理者的住所地或数据所在国:(I)处理行为在巴西国境内进行;(II)处理活动的目的是向位于巴西境内的个人提供或供应商品或服务、或处理位于巴西境内个人的数据(该项经第 13.853/2019 号法确认,现行文字与原文一致);(III)被处理的个人数据是在巴西境内收集的——第 1 款并规定,数据主体在收集时身处巴西境内的,即视为在境内收集。典型触发动作:向巴西用户上架 App 或模型 API 并采集账号与行为数据;在巴西设立分支或雇佣本地员工;为巴西企业客户提供标注、训练或推理服务;通过巴西经销商销售含摄像头、麦克风或定位能力的硬件并回传数据;以及把巴西用户数据传出巴西用于模型训练——后者必须落在第 33 条的五条路径之一。

6 条义务 · 复核 2026-09-12

草案/提案AI 监管相关度 高

巴西人工智能法案 PL 2338/2023(尚未成为法律)

重要提示:该法案尚未成为法律,以下内容不构成现行义务,仅用于准备与投资尽调。若最终按参议院通过文本成为法律,对中国 AI 企业最直接的影响有三条:(1)向巴西市场投放通用或生成式模型的"开发者"须开展初步评估并识别系统性风险,具系统性风险的还须在商业投放前完成模型描述、风险测试与分析文档、残余风险记录、训练数据集合规与治理证明,并按规定公布训练数据集摘要——这与欧盟 AI 法案的通用模型义务高度同构,可复用同一套技术文档;(2)第 13 条的过度风险清单一旦最终确定,将直接决定某些产品能否进入巴西市场;(3)第 1 条第 1 款把投放市场或提供服务之前的研究、测试与开发活动排除在适用范围之外(真实条件下的测试仍须遵守本法),为中国团队在巴西做本地化验证保留了空间。此外第 1 条第 1 款还排除了纯个人非经济用途、专用于国防目的、以及仅提供 AI 所用数据存储与传输基础设施的服务。

2 条义务 · 复核 2026-09-12

数据出境路径

  • 巴西 LGPD 国际数据传输(第 33 至 36 条)

    无数量门槛。任何将个人数据传出巴西的行为均适用第 33 条,须落入其列举情形之一。2026 年的重大变化:据欧盟委员会充分性页面(2026-09-12 抓取),欧盟与巴西已相互作出充分性认定(欧盟侧文件日期 2026-01-26,双方联合公告 2026-02-10),欧盟委员会称之为「全球最大的自由与安全数据流动区域」。这对中国企业的实际含义是:欧盟↔巴西之间的流动因互认而简化,但中国↔巴西之间并不因此获得便利,中国主体仍须依赖第 33 条第二项的合同/全球公司规则/认证路径。本轮未能从 ANPD 官方站点取得其标准合同条款规范(cláusulas-padrão contratuais)的原文,因此其条款结构、过渡期与是否须向 ANPD 提交等具体要求均未核实;confidence 定为 medium。

    预计周期:估算:合同路径 3-6 周(含 ANPD 规范条款文本对照与技术组织措施说明编制);全球公司规则路径须经国家主管机关核验,周期本轮未核实,应按项目单独评估。 · 成本档位 Medium

来源(5)

内容截至 2026-09-12 · 语料版本 2026.09|本内容基于公开官方来源整理,标注了来源链接与复核日期,供合规决策参考;监管要求可能变化,正式对外披露、监管申报或合同承诺前请由持证专业人士复核。

GDPR · PIPL · CCPA 控制映射
AI 决策可追溯 · 有来源即标注
ISO 27001 对标推进中
WCAG 2.1 AA 可访问性目标
巴西:出海合规概览 | 海问 HQ