Christian Paredes, Field Compliance Officer da SAP México, analisa um ano de transformações regulatórias com a Líder Legal: a nova lei de dados pessoais sem regulamentação ainda publicada, a integração da inteligência artificial, como a Joule, sob novas regras de transparência, e um mosaico setorial em constante mudança à medida que se tenta mapeá-lo, com a dissolução do IFT e o desaparecimento do INAI nesse contexto. Paredes explica por que nenhum arcabouço regulatório deve ser a base de um programa de compliance global. Nem mesmo o europeu deveria ocupar esse papel. Paredes também explica quais lições a transição mexicana oferece para outros profissionais de compliance na região e o quanto a cooperação transfronteiriça entre reguladores, que ele próprio previu há um ano, de fato avançou.
A nova Lei Federal de Proteção de Dados Pessoais completou seu primeiro aniversário em março, mas seu regulamento ainda não foi publicado. O que significa para a SAP operar sob o texto da lei sem esse regulamento, e qual área cinzenta específica mais o preocupa enquanto ele está sendo resolvido?
Isso significou operar sob uma nova lei e, ao mesmo tempo, com regulamentações secundárias anteriores que devem ser interpretadas à luz da nova estrutura e somente quando compatíveis. Essa situação exige uma análise cuidadosa, mas não nos impede de seguir em frente. Além disso, para uma empresa global como a SAP, nosso parâmetro não se limita aos requisitos mínimos de uma única jurisdição. Temos padrões globais de privacidade e proteção de dados e nos esforçamos para incorporar esses princípios desde a fase de projeto de nossos produtos e serviços. A SAP, por exemplo, declara publicamente que a proteção de dados e a privacidade devem ser incorporadas desde a concepção e por padrão.
Dito isso, quero esclarecer algo que é frequentemente repetido no mercado, mas que está incorreto: um vácuo regulatório não suspende a obrigação. O que se perde não é a exigência em si, mas a previsibilidade. E a conformidade não garante certeza jurídica absoluta — isso não existe —, mas sim previsibilidade operacional. Esse é o verdadeiro serviço que ela oferece.
A área cinzenta que mais me preocupa? Períodos de retenção e exclusão de dados. A lei introduziu o conceito, mas os detalhes operacionais — como o período é definido, como é documentado, o que constitui destruição válida e como é comprovado perante as autoridades — são exatamente o que uma regulamentação deveria abordar. Quando se pede a uma empresa que defina períodos de retenção sem uma estrutura regulatória clara, cada departamento cria a sua própria.
Se eu tivesse que apontar uma área que requer atenção especial, seria a gestão do ciclo de vida dos dados: retenção, bloqueio e exclusão. A nova lei estipula que, quando os dados não forem mais necessários para os fins a que se destinam, deverão ser excluídos após o bloqueio, quando aplicável, assim que o período de retenção vigente expirar.
O desafio para as organizações é traduzir esse princípio em processos concretos: definir prazos, documentá-los, aplicá-los de forma consistente e ser capaz de demonstrar que controles eficazes estão em vigor. Isso se torna ainda mais relevante ao lidar com grandes volumes de informações, backups e sistemas tecnológicos que fazem parte de ciclos de vida complexos.
Uma das obrigações mais concretas da nova lei é declarar explicitamente no aviso de privacidade quando os dados são usados para tomada de decisão automatizada ou criação de perfis, sem frases vagas como “entre outros”. Com produtos de IA como o Joule sendo cada vez mais integrados aos negócios da SAP, como vocês traduziram essa obrigação legal em prática?
Eu diria que a tradução dessas obrigações não começa com o aviso de privacidade. Começa com o inventário e a governança. E aqui aplico o mesmo método de sempre: ver, organizar e governar.
Primeiramente, precisamos saber quais sistemas processam dados pessoais, para que os utilizam e, quando há automação envolvida, qual o papel do sistema na tomada de decisão. Uma ferramenta que auxilia na elaboração de um documento não é o mesmo que um sistema que participa de uma decisão que pode ter um impacto significativo sobre uma pessoa.
A partir daí, vem a segunda parte: classificar o risco e definir os controles apropriados. Isso inclui transparência, proteção de dados, rastreabilidade e, quando apropriado, supervisão humana eficaz.
Essa abordagem está muito alinhada com o que fazemos na SAP. Nossa Global AI Ethics Policy estabelece princípios como privacidade e proteção de dados, supervisão e tomada de decisões humanas, transparência e explicabilidade, e responsabilidade e prestação de contas. Além disso, a SAP possui processos de avaliação de impacto ético para casos de uso de IA e mecanismos de governança para aqueles que apresentam os maiores riscos.
Para mim, existe uma ideia fundamental: não podemos governar o que não conhecemos. É por isso que, antes de nos perguntarmos como redigir o aviso de privacidade, precisamos ser capazes de responder a perguntas muito mais básicas: quais dados o sistema utiliza, para qual finalidade, o que o modelo faz, qual o nível de intervenção humana existente e quem é responsável por essa decisão?
A transparência não deve ser apenas uma obrigação escrita. Deve ser uma consequência da compreensão genuína dos nossos próprios processos.
E deixe-me esclarecer algo sobre a expressão “entre outros”. Essa frase nunca foi um problema de redação; era sintoma de falta de compreensão. “Entre outros” foi usado porque não estava claro exatamente o que o sistema fazia. A nova lei eliminou essa brecha, e acho que foi a decisão correta. Um aviso de privacidade é uma declaração ao titular dos dados e às autoridades competentes. Se for vago, o que você está realmente declarando é que não conhece seus próprios processos.
O México ainda não possui uma lei federal sobre inteligência artificial; em vez disso, existe um mosaico de regulamentações específicas para cada setor. É o caso da COFEPRIS na área da saúde, da CNBV no setor financeiro e do IFT nas telecomunicações. Para uma empresa como a SAP, que vende soluções de IA para clientes em todos esses setores simultaneamente, esse mosaico regulatório representa mais um risco de não conformidade ou uma oportunidade de se diferenciar de concorrentes menos preparados?
Comecemos por um esclarecimento, pois ilustra o ponto melhor do que qualquer argumento: o IFT deixou de existir. Foi dissolvido em outubro de 2025 e as suas funções foram assumidas pela Comissão Reguladora das Telecomunicações, um órgão desconcentrado da Agência de Transformação Digital e Telecomunicações. Por outras palavras, o mosaico não está apenas fragmentado: ele muda à medida que o mapeamos. Essa é a verdadeira dificuldade, mais do que a própria fragmentação.
Risco ou oportunidade? Eu diria que ambos, mas a ordem importa. Primeiro, é um desafio de conformidade e gestão de riscos; depois, pode se tornar uma oportunidade de diferenciação.
Para empresas que desenvolvem ou implementam tecnologia, isso significa que precisamos da capacidade de monitorar mudanças e traduzi-las rapidamente em nossos processos e soluções.
Mas eu evitaria criar um programa de conformidade diferente para cada setor. Isso não é escalável. O que funciona melhor é construir uma estrutura de governança comum — inventário de casos de uso, classificação de riscos, supervisão humana, rastreabilidade, proteção de dados e gestão de terceiros — e então incorporar os requisitos específicos de cada setor.
Na SAP, essa abordagem faz parte do nosso modelo de Responsible AI. Nossa política global estabelece princípios comuns para o desenvolvimento, implementação, venda e uso de sistemas de IA, e inclui processos de avaliação de impacto e governança para casos de uso.
É aí que vejo uma oportunidade: empresas que constroem confiança e governança desde a concepção estão mais bem preparadas para adotar a IA de forma responsável e escalá-la. As regulamentações podem mudar; a boa governança permanece.
No ano passado, você participou do painel “Governança Global e Riscos Regulatórios” no Foro Gerencias Legales México 2025. Muita coisa aconteceu desde então: a nova lei de dados, o desaparecimento do INAI, o vácuo regulatório em torno da IA. Considerando tudo isso, o que você disse há um ano que você não defenderia mais hoje?
Duas coisas mudaram minha perspectiva.
A primeira questão diz respeito à transição institucional na proteção de dados. Há um ano, eu via a mudança principalmente como uma transição institucional: a autoridade muda, mas a necessidade de proteger os dados permanece. Hoje, eu diria que é mais complexo.
Uma autoridade não apenas confere poderes de supervisão. Ao longo do tempo, ela também gera critérios, experiência, precedentes e uma interpretação prática das normas. Quando ocorre uma transição institucional, esse conhecimento precisa ser reconstruído, e isso naturalmente leva tempo.
O segundo ponto é mais difícil para mim de assimilar, pois eu o defendia com bastante convicção, e se relaciona à minha percepção de estruturas internacionais. Há um ano, eu via a Europa como uma referência particularmente estável. Hoje, acredito que a lição é que nenhuma estrutura regulatória isolada deve ser nossa única âncora. A tecnologia evolui, as prioridades econômicas mudam e as regulamentações também evoluem. Portanto, para uma empresa global, é mais sustentável desenvolver suas próprias capacidades: identificar casos de uso, avaliar riscos, proteger dados, manter a supervisão humana e documentar as decisões.
Na SAP, adotamos exatamente essa abordagem. Nossa política global de ética em IA é atualizada para refletir os desenvolvimentos tecnológicos e regulatórios, e leva em consideração estruturas internacionais como a UNESCO, a OCDE, o NIST, a Lei de IA da UE e a ISO/IEC 42001.
A lição que tiro disso é simples: você não deve construir a governança em torno de uma lei; você deve construir capacidades que permitam responder de forma responsável quando as leis mudarem. Você não pode ancorar seu programa a uma jurisdição. Você precisa ancorá-lo aos seus próprios princípios e capacidades — inventário, classificação de risco, supervisão humana, rastreabilidade.
Há um ano, você previu que a colaboração regulatória transfronteiriça entre reguladores seria uma tendência fundamental. Um ano depois, você viu algum exemplo concreto dessa colaboração na prática, ou ela ainda é mais uma expectativa do que uma realidade?
Vi exemplos concretos, sim, mas não onde eu esperava.
O que de fato ocorreu foi uma convergência regulatória e declarações coordenadas. A Global Privacy Assembly publicou uma declaração conjunta sobre privacidade e imagens geradas por IA no início deste ano, endossada por dezenas de autoridades, incluindo o México. A Rede Ibero-Americana de Proteção de Dados promoveu ferramentas comuns para transferências internacionais de dados. E na Europa, o programa de trabalho do Conselho Europeu de Proteção de Dados para 2026-2027 inclui diretrizes conjuntas sobre a interação entre o quadro regulatório da IA e o regime de dados. Isso não é pouca coisa: é o quadro a partir do qual emergem os padrões subsequentes.
O que não aconteceu, ou pelo menos ainda não, é a cooperação operacional: investigações coordenadas, troca genuína de arquivos de casos e sanções acordadas entre jurisdições para o mesmo delito. Ainda estamos na fase de declarações conjuntas, e não de processos conjuntos.
Mas existe uma terceira via que funciona, e que quase ninguém chama de cooperação regulatória por não ser pública: a cooperação contratual. Hoje, o veículo mais eficaz para harmonizar normas na América Latina é um contrato com um cliente multinacional, com suas cláusulas, auditorias e exigências para fornecedores. O mercado está se movendo mais rápido do que os tratados.
Portanto, minha conclusão seria: a cooperação regulatória está progredindo, mas a harmonização de padrões também está sendo impulsionada pelo mercado. E essa é precisamente a direção que estamos observando na SAP: a construção de padrões globais que possam ser adaptados às necessidades locais. Nossa política global de ética em IA, por exemplo, estabelece princípios comuns para o desenvolvimento, implementação, venda e uso de IA e reconhece explicitamente a necessidade de governança adaptativa e colaboração com múltiplas partes interessadas.
Este ano, o Foro Gerencias Legales México 2026 inclui um painel específico sobre “Governança Global a partir do México: Novos Padrões de Transparência, Tributação e Responsabilidade Corporativa”. O que você diria a outros profissionais de compliance da região que ainda não vivenciaram essa transição regulatória mexicana em primeira mão?
Quatro coisas, e digo-as sem drama, porque não se trata de um aviso apocalíptico, mas sim de uma lição prática.
- Primeiro: seu programa não pode depender da existência do órgão regulador. Se sua estrutura de conformidade foi projetada com base nos critérios de uma autoridade específica, no dia em que essa autoridade desaparecer, você ficará sem rumo. O programa deve ser defensável perante qualquer autoridade, inclusive uma que ainda não exista.
- Segundo: o risco reside na transição, não na nova regulamentação. Os piores casos de descumprimento que presenciei não decorreram de má interpretação, mas sim de inação. “Vamos esperar pelas regulamentações”, “vamos esperar até que nomeiem o chefe da agência”, “vamos esperar para ver como aplicam as sanções”. Em matéria de conformidade, esperar não é uma estratégia: é uma decisão, e tem consequências.
- Terceiro: Documente o raciocínio, não apenas o resultado. Em um vácuo regulatório, o que o protege não é estar certo — isso será determinado posteriormente — mas sim ser capaz de demonstrar que você tomou a decisão de forma metódica, com base em informações e com julgamento profissional. O registro da decisão é tão valioso quanto a própria decisão.
- Quarto: Isso não é uma anomalia mexicana. É a nova normalidade regional. Diversas jurisdições na América Latina estão reformulando suas estruturas institucionais enquanto tentam, simultaneamente, regulamentar a inteligência artificial. O México simplesmente chegou a essa combinação primeiro.
E vou concluir com algo que repito à exaustão: uma conformidade bem estruturada não sufoca a inovação; ela a possibilita com confiança e em grande escala. Ética e dinheiro não são mutuamente excludentes. Em um ambiente de incerteza regulatória, a organização que consegue explicar suas decisões é a que consegue fechar contratos, participar de licitações e resistir a uma auditoria. Isso não é um custo. É acesso ao mercado.
A conversa com Christian Paredes revela um padrão recorrente sob diferentes disfarces regulatórios: legislação de dados, inteligência artificial, telecomunicações e até mesmo os próprios órgãos reguladores mexicanos sofreram mudanças simultâneas ao longo do último ano. Sua interpretação é que a segurança jurídica não é mais uma base confiável para um programa de compliance regional. Sua tese central é desenvolver as próprias capacidades em vez de se ancorar a uma lei ou autoridade. Essa ideia permeia todas as suas respostas, desde a gestão do ciclo de vida dos dados até a governança do Joule.
Essa mudança também explica por que, segundo Paredes, a cooperação regulatória transfronteiriça está progredindo mais rapidamente por meio de canais contratuais do que institucionais: embora os reguladores coordenem declarações conjuntas, são as cláusulas de um cliente multinacional que, em última análise, harmonizam os padrões em toda a região. A mensagem para outros profissionais de compliance na América Latina que, mais cedo ou mais tarde, enfrentarão sua própria versão da transição mexicana é documentar o raciocínio com o mesmo rigor com que documentam o resultado: em um ambiente regulatório que está em constante evolução à medida que é mapeado, esse registro é a única constante.
