Ley 21.719 e inteligencia artificial: qué debe cumplir tu empresa antes de diciembre de 2026
La Ley 21.719 entra en vigencia el 1 de diciembre de 2026. Fue publicada en el Diario Oficial el 13 de diciembre de 2024 y crea la Agencia de Protección de Datos Personales como autoridad de control. Si tu empresa está construyendo o usando sistemas de IA sobre datos de clientes, quedan pocos meses para ordenar la casa.
Este artículo no es asesoría legal: es la lectura operativa de qué implica la ley para un proyecto de inteligencia artificial. Para el análisis jurídico de tu caso, consulta a un abogado especialista.
Qué cambia con la nueva ley
- Autoridad con dientes. Se crea la Agencia de Protección de Datos Personales, con facultades de fiscalización y sanción. Hasta ahora Chile no tenía un regulador dedicado.
- Derechos ARCO completos para los titulares: acceso, rectificación, cancelación y oposición, más portabilidad.
- Notificación de brechas en 72 horas. Un plazo corto que obliga a tener detección y protocolo definidos de antemano.
- Sanciones relevantes: multas de hasta 20.000 UTM, y en escenarios de reincidencia se contempla un porcentaje de los ingresos.
- Aplica a toda organización, pública o privada, que trate datos personales en Chile, sin importar el tamaño.
Por qué esto es un tema de IA y no solo de legal
En un proyecto de inteligencia artificial los datos personales aparecen en más lugares de los que se suele considerar. No es solo la base de clientes.
- Datos de entrenamiento o de contexto. Si alimentas un modelo o un sistema de recuperación con historiales de conversación, fichas de clientes o documentos internos, esos datos entran en el alcance.
- Registros de conversación. Un agente de atención genera transcripciones que suelen contener datos personales, a veces sensibles. Hay que decidir cuánto se guarda y por cuánto tiempo.
- Transferencia a terceros. Enviar un prompt con datos de un cliente a un proveedor de modelos es un tratamiento por parte de un tercero. Debe estar cubierto contractualmente y en la base de licitud.
- Perfilamiento y decisiones automatizadas. Los modelos que puntúan, clasifican o priorizan clientes son exactamente el tipo de tratamiento que la normativa mira con más atención.
Checklist operativo para proyectos de IA
Antes de construir
- Inventariar qué datos personales entran al sistema y con qué finalidad.
- Definir la base de licitud de cada tratamiento. Consentimiento no es la única, y muchas veces no es la más adecuada.
- Evaluar si el caso de uso requiere datos personales, o si funciona igual con datos anonimizados o agregados. Esta pregunta ahorra muchísimo trabajo posterior.
- Revisar los contratos con proveedores de modelos y de infraestructura: qué hacen con los datos, dónde se almacenan, si se usan para entrenar.
En el diseño técnico
- Minimización: enviar al modelo solo los campos necesarios, no el registro completo.
- Anonimización o seudonimización donde el caso de uso lo permita.
- Política de retención explícita para logs y transcripciones, con borrado automático.
- Trazabilidad: poder responder qué datos de una persona específica están en el sistema y eliminarlos si lo solicita.
- Controles de acceso y registro de quién consultó qué.
En operación
- Protocolo de detección y notificación de brechas compatible con el plazo de 72 horas.
- Procedimiento para atender solicitudes ARCO dentro de los plazos legales.
- Registro de actividades de tratamiento actualizado.
- Revisión periódica de que el sistema no derivó hacia usos no contemplados.
El error más caro: dejarlo para el final
El patrón que más se repite es construir primero y revisar cumplimiento después. Cuando eso pasa, lo habitual es descubrir que el sistema guarda más de lo que debería, que no hay forma de eliminar los datos de una persona sin romper el índice, o que el contrato con el proveedor no cubre el tratamiento que se está haciendo.
Rehacer esa arquitectura cuesta bastante más que haberla diseñado bien. Y con la ley ya vigente, el margen para corregir sobre la marcha se acorta.
Una oportunidad, no solo un costo
Vale la pena decirlo: para las empresas que se preparan bien, esto es una ventaja competitiva. Poder demostrar gobernanza de datos sólida abre puertas comerciales, especialmente con clientes corporativos y en licitaciones, y reduce fricción en procesos de due diligence.
En So_Good incorporamos estas definiciones desde el diagnóstico del proyecto, no como anexo final. Si estás evaluando un proyecto de IA con datos de clientes, conversemos antes de construir. También puedes revisar cómo estructuramos un proyecto de consultoría en IA.
Seguir leyendo
Cumplimiento y proyecto van juntos. Estos dos artículos lo aterrizan: