Ley 21.719 e inteligencia artificial: qué deben revisar las empresas que automatizan procesos

La Ley 21.719 regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales. Se publicó en el Diario Oficial el 13 de diciembre de 2024 y modifica la Ley 19.628 sobre protección de la vida privada ^[1]. Según su texto, entra en vigencia el 1 de diciembre de 2026 ^[1].

Aplica a personas naturales y jurídicas, incluidos los órganos públicos, que traten datos de personas naturales. También alcanza a empresas no establecidas en Chile cuando ofrecen bienes o servicios a personas en Chile o monitorean su comportamiento ^[1].

La ley establece principios que se aplican a todo tratamiento ^[1]. En un proyecto de automatización con IA se traducen así:

La regla general es el consentimiento: libre, informado, específico, previo e inequívoco, y revocable en cualquier momento ^[1]. La ley también permite tratar datos sin consentimiento en los casos de su artículo 13: obligaciones económicas, financieras, bancarias o comerciales; cumplimiento de una obligación legal; ejecución de un contrato o de medidas precontractuales; intereses legítimos del responsable o de un tercero; y defensa de derechos ante tribunales u órganos públicos ^[1].

• Responder una solicitud o cumplir un pedido: la ejecución del contrato o de medidas precontractuales suele ser la base adecuada.
• Campañas y seguimiento comercial: requieren una base clara y permiten al titular oponerse al marketing directo ^[1].
• Datos sensibles (salud, biometría, origen étnico, entre otros): solo con consentimiento expreso o una excepción legal ^[1]. Evita que lleguen a la IA si el proceso no los necesita.

El artículo 8° bis reconoce el derecho a oponerse y a no ser objeto de decisiones basadas en el tratamiento automatizado de datos personales, incluida la elaboración de perfiles, que produzcan efectos jurídicos o afecten significativamente a la persona ^[1]. Hay excepciones (un contrato, el consentimiento previo y expreso o una ley), pero incluso en ellas la persona mantiene el derecho a obtener una explicación, a la intervención humana, a expresar su punto de vista y a solicitar la revisión de la decisión ^[1].

En la práctica: si una IA aprueba o rechaza solicitudes, prioriza clientes, fija condiciones o filtra postulantes, diseña una revisión humana real y un canal para pedirla. Si la IA solo prepara información para que una persona decida, el riesgo baja, pero conviene documentarlo.

Los servicios que procesan datos por cuenta de tu empresa, como la plataforma de automatización, el proveedor del modelo de IA o el hosting, son encargados del tratamiento. La ley exige un contrato de encargo que fije objeto, duración, finalidad, tipo de datos e instrucciones, y prohíbe al encargado usar los datos para otros fines ^[1].

Enviar datos a un modelo alojado fuera de Chile es una transferencia internacional. Se permite hacia países con nivel adecuado de protección o con garantías adecuadas, como cláusulas contractuales; fuera de esos casos solo procede en supuestos específicos que la ley enumera ^[1].

• Prefiere planes empresariales cuyas condiciones excluyan el uso de tus datos para entrenar modelos y fijen plazos de retención.
• Revisa dónde se procesan los datos y qué subencargados usa cada proveedor.
• Si los datos son especialmente sensibles, evalúa modelos alojados en infraestructura propia o en una región con garantías.

El responsable debe adoptar medidas que aseguren la confidencialidad, integridad, disponibilidad y resiliencia de los datos, como seudonimización, cifrado, capacidad de restaurar tras un incidente y evaluación periódica de las medidas ^[1].

Las vulneraciones que generen riesgo para los derechos de las personas deben reportarse a la Agencia sin dilaciones indebidas. Si afectan datos sensibles, datos de niños y niñas menores de 14 años o datos financieros, también hay que comunicarlas a los titulares ^[1].

En sistemas con IA, los riesgos técnicos más citados están en el OWASP Top 10 para aplicaciones con modelos de lenguaje, que incluye la inyección de instrucciones y la divulgación de información sensible ^[4].

La reincidencia puede triplicar la multa, y para empresas que no son pequeñas la ley contempla multas de hasta el 2 % (graves) o el 4 % (gravísimas) de sus ingresos anuales ^[1]. Los estándares mínimos de información y seguridad se gradúan según el tamaño de la empresa ^[1].

1. Haz un inventario de los datos personales que toca el flujo y marca los sensibles.
2. Define y documenta la base de licitud de cada tratamiento.
3. Envía a la IA solo los datos necesarios; seudonimiza cuando sea posible.
4. Firma contratos de encargo con cada proveedor y revisa sus transferencias internacionales.
5. Si hay decisiones con efectos significativos, diseña revisión humana y un canal para pedirla.
6. Evalúa si corresponde una evaluación de impacto antes de empezar.
7. Fija plazos de conservación para registros, conversaciones y respaldos.
8. Actualiza tu política de privacidad para informar el uso de sistemas automatizados.
9. Prepara un procedimiento para responder solicitudes de acceso, rectificación, supresión, oposición y portabilidad.
10. Ten listo un protocolo para detectar, registrar y reportar vulneraciones.

En Yoinn Dev incluimos estos puntos en el diseño de cada automatización con IA y de cada agente de IA, para que el cumplimiento no sea un parche al final.