¿Qué exige la Ley 21.719 de datos personales a una empresa que usa IA en Chile?

Respuesta corta. La Ley 21.719 exige tratar datos personales con una base legal, para fines determinados, con la mínima información necesaria, con seguridad proporcional y respetando los derechos de las personas, y crea una autoridad fiscalizadora con capacidad de sancionar. Para una empresa que usa IA, eso se traduce en decidir y documentar qué datos usa cada agente o integración, dónde se almacenan, quién accede, por cuánto tiempo y cómo se atienden las solicitudes de los titulares.

Esta guía es orientación general desde la práctica de proyectos de IA e integraciones. No es asesoría legal. Para decisiones específicas, consulta a un abogado especializado y las fuentes oficiales vigentes.

Los principios que aplican a cualquier proyecto

Licitud y base legal. Cada tratamiento necesita una base: consentimiento, ejecución de un contrato, interés legítimo u otra que la ley reconozca.
Finalidad. Los datos se usan para lo que se recogieron. Un agente de cobranza no debería usar datos recogidos para otra cosa.
Minimización. Solo la información necesaria. Un agente de agenda no necesita el historial completo del cliente.
Seguridad. Medidas proporcionales al riesgo: accesos, cifrado, registro.
Derechos de las personas. Acceso, rectificación, supresión, oposición y portabilidad, con plazos para responder.
Responsabilidad demostrable. Poder mostrar qué se decidió y por qué.

Qué decidir en cada agente o integración

Qué datos usa y de dónde vienen.
Dónde se almacenan y si salen del país al procesarse con un modelo de IA.
Quién accede, personas y sistemas.
Por cuánto tiempo se conservan y cuándo se eliminan.
Cómo se atiende una solicitud de un titular que quiere ver, corregir o borrar sus datos.
Qué le dice el agente a la persona sobre el tratamiento de sus datos.

Casos típicos

Agente de WhatsApp. Las conversaciones contienen datos personales. Definir qué se registra en el CRM, qué se envía al modelo de IA y qué se descarta.

Cobranza. Datos financieros, sensibles por naturaleza. Acceso restringido, registro de cada contacto, horarios respetados.

Estudios jurídicos y de salud. Además de la ley de datos, secreto profesional y normas sectoriales. Máxima restricción de acceso.

Monitoreo de portales públicos. Aunque la información sea pública, su tratamiento sistemático sigue siendo tratamiento de datos.

Qué documentar

Un registro simple por proyecto con las seis decisiones anteriores, quién las tomó y cuándo. Es lo que permite demostrar responsabilidad ante la autoridad y responder a los titulares.

Cómo lo abordamos

En Databit estas decisiones son parte del diseño de cada integración y quedan documentadas en la entrega. No es un sello de cumplimiento; es una forma de trabajar que deja a la empresa en condiciones de responder. Más en preguntas frecuentes.

Preguntas frecuentes

¿Desde cuándo rige la ley?

La ley se publicó en diciembre de 2024 y fijó un plazo para su entrada en vigencia, previsto para diciembre de 2026. Conviene confirmar la fecha exacta y cualquier ajuste en fuentes oficiales antes de tomar decisiones.

¿Usar un modelo de IA extranjero es transferencia internacional de datos?

Si los datos personales viajan a servidores fuera de Chile para ser procesados, la ley regula esa transferencia y exige condiciones. Es una decisión de diseño de cada proyecto y hay que documentarla.

¿Databit da asesoría legal en esto?

No. Diseñamos e implementamos considerando la ley y documentamos las decisiones técnicas. La asesoría legal la debe dar un abogado especializado.