Caso ficticio
Paula trabaja en la unidad de reclamos de un banco, en Valparaíso. El primer caso del día es de un cliente molesto: «Pagué completo mi crédito de consumo el 3 de septiembre y sigo apareciendo moroso. Me rechazaron un crédito en otra parte por eso. Mi RUT es 12.345.678-9, mi cuenta corriente es la 00-123-45678-09 y pagué con mi tarjeta 4567 8901 2345 6789». Paula tiene treinta casos más en la bandeja. Le pediría con gusto a un asistente de IA que le redacte la respuesta.
El secreto bancario no cambia: la Ley 21.719 no lo reemplaza, se suma a él. Lo que cambia es que, encima, el banco queda sujeto a las reglas de la ley de datos personales, y varias le tocan más que a cualquier otra empresa:
- Un deber de secreto propio, que alcanza a cada persona que trata datos en el banco.
- Reglas especiales para los datos financieros, y la situación socioeconómica como dato sensible.
- Un aviso a cada cliente si se filtran datos de sus obligaciones financieras, además del reporte a la Agencia.
- Un contrato de encargo y resguardos para la transferencia con cualquier proveedor de IA que procese fuera de Chile.
Para Paula, en la práctica: puede usar IA con ese reclamo —la ley no lo prohíbe—, con los hechos y la solución, sin el RUT, la cuenta ni la tarjeta, y en una herramienta que el banco contrató. Los conceptos de base —responsable, encargado, base de licitud— están en la Ley 21.719 en tres conceptos.
El secreto bancario sigue; la Ley 21.719 se suma
El secreto bancario y las normas del sector. Está el secreto bancario de la Ley General de Bancos, y el sector tiene además sus normas propias; si trabajas en un banco, tu área de cumplimiento las conoce mejor que nadie. La Ley 21.719 no las reemplaza. Y si por unos mismos hechos un banco pudiera ser sancionado con arreglo a esta ley y a otras, se le impone la sanción de mayor gravedad (artículo 37).
El deber de secreto de la Ley 21.719. Cualquier empresa que trata datos personales está obligada a mantener secreto o confidencialidad sobre ellos, y a adoptar medidas para que sus dependientes y quienes tratan datos bajo su responsabilidad también lo cumplan (artículo 14 bis). Vulnerar ese deber es una infracción grave (artículo 34 ter, letra i).
Las reglas de los datos financieros. La ley trata aparte los datos sobre obligaciones de carácter económico, financiero, bancario o comercial. Permite tratarlos sin consentimiento cuando se hace conforme a las normas de su Título III —los artículos 17 a 19—, incluidos los datos sobre la situación socioeconómica del titular (artículo 13, letra a). Y la situación socioeconómica está entre los datos sensibles (artículo 2°, letra g), igual que la salud.
Lo que significa para el reclamo de Paula
El reclamo de Paula es, justamente, sobre esas reglas. El artículo 18 dice que no se pueden seguir comunicando los datos de una obligación «después de haber sido pagada o haberse extinguido por otro modo legal». Y el artículo 19 pide que, cuando se paga o la obligación se extingue con intervención directa del acreedor, éste avise al registro que informó la morosidad «a más tardar dentro de los siguientes siete días hábiles».
Eso es lo que Paula tiene que revisar en los sistemas del banco: cuándo se pagó, cuándo se avisó, qué falta. Esa revisión no la hace la IA. Lo que la IA puede hacer es ayudar a explicárselo bien al cliente, y para eso necesita los hechos y la solución, no el RUT, la cuenta ni la tarjeta.
Ejemplo. «Un cliente pagó completo su crédito de consumo el 3 de septiembre y reclama que sigue apareciendo moroso. Revisamos y el aviso de pago al registro no se envió; lo enviamos hoy. Redacta una respuesta que reconozca el error, explique qué hicimos y le diga que puede pedirnos un certificado de pago. Tono formal y claro, no más de doce líneas».
Es la proporcionalidad de la ley: sólo los datos necesarios, adecuados y pertinentes para el fin (artículo 3°, letra c). La regla general para cualquier reclamo, en cualquier empresa, está en responder reclamos con IA. Si lo que el banco quiere es analizar una cartera completa, el paso a paso está en analizar datos de clientes con IA, y lo propio de las deudas, en cobranza con IA.
Si los datos se filtran, el aviso es doble
Todo responsable debe reportar a la Agencia las vulneraciones de seguridad que creen un riesgo razonable para los derechos de las personas. Cuando la vulneración toca datos sensibles o datos sobre obligaciones de carácter económico, financiero, bancario o comercial, la ley pide algo más: comunicarla también a cada persona afectada, en lenguaje claro, o por un aviso en un medio masivo de alcance nacional si no es posible (artículo 14 sexies). En un banco, buena parte de los datos de clientes son de ese tipo, así que cada dato que no se pega en un chat es un dato que nunca hay que explicar. Qué hacer ese día está en qué hacer ante una filtración de datos.
La herramienta: encargo y transferencia
Un proveedor de IA que procesa datos por cuenta del banco es un encargado, y el artículo 15 bis dice qué tiene que tener esa relación: un contrato con el objeto del encargo, su duración, la finalidad, el tipo de datos, las categorías de personas y los derechos y obligaciones de las partes. El encargado no puede usar los datos para otra cosa; si lo hace, la ley lo trata como responsable y responde solidariamente por los daños. No puede delegar el encargo sin autorización específica y por escrito del banco, y si delega, sigue respondiendo. Un proveedor de IA casi nunca corre sus modelos en servidores propios: los corre en la nube de otra empresa, que también trata los datos del banco; conviene saber quién es, y que el banco lo haya autorizado por escrito.
Casi todo chat de IA procesa fuera de Chile, y eso es una transferencia internacional. El artículo 27 la permite a un país con nivel adecuado de protección, con cláusulas contractuales u otros instrumentos con garantías adecuadas, o con un modelo de cumplimiento o certificación. El mismo artículo menciona las transferencias «bancarias, financieras o bursátiles específicas», pero dentro de un inciso para transferencias específicas y no habituales: un chat que usan cientos de ejecutivos todos los días no es eso. La prueba es del banco: debe acreditar ante la Agencia que la transferencia cumplió la ley (artículo 28), y su política de privacidad tiene que informarla (artículo 14 ter, letra h). Más en cuando los datos salen de Chile, y las preguntas para evaluar un proveedor, en cómo elegir un proveedor de IA.
Dónde entra Plumii
Plumii es un chat de IA para el trabajo diario del banco, como el reclamo de Paula. Con la plantilla de partida, un número de tarjeta se bloquea —Paula vería «No se permite enviar un número de tarjeta»— y nombres, RUT, correos y teléfonos se tapan antes del modelo. El filtro reconoce los datos por el contexto y uno raro puede pasar, así que el número de cuenta, mejor no escribirlo. Tampoco reconoce los datos sensibles: si el reclamo cuenta que el cliente quedó cesante, eso llega al modelo, sin el nombre. Plumii firma el contrato de encargo, no entrena modelos y deja un registro de uso de 24 meses sin las conversaciones. Los modelos corren fuera de Chile con un proveedor bajo contrato: si las normas de tu banco exigen que los datos no salgan del país, Plumii hoy no cumple esa condición. Así funciona.
Las personas, empresas y situaciones de este artículo son ficticias: las inventamos para explicar la ley, y cualquier parecido con un caso real es coincidencia. Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.