Martín es gerente de operaciones de un instituto de inglés con clases en línea, en Providencia. Un martes a las cinco de la tarde, Carolina, de marketing, le pide cinco minutos. Le cuenta, incómoda, que en la mañana copió la planilla de alumnos —unas 3.000 filas con nombre, RUT, correo, teléfono, curso y estado de pago— y la pegó en un chat de IA gratuito, con su cuenta personal, para que le sugiriera grupos para una campaña. Después lo pensó mejor.
Lo primero: que Carolina lo haya contado es una buena noticia. Lo segundo: la ley no dice que esto sea, automáticamente, un desastre ni una infracción. Dice qué hay que evaluar y qué hacer según el resultado. Este artículo ordena esas horas.
Primera hora: entender qué pasó
Antes de decidir nada, Martín necesita los hechos. Conviene anotarlos en el momento, con la hora:
- Qué herramienta y qué cuenta. Un chat gratuito con cuenta personal no tiene contrato con la empresa. Una herramienta de la empresa, con contrato de encargo, es otra situación.
- Qué columnas. Nombre, RUT, correo y teléfono identifican a cada alumno. El estado de pago es un dato sobre una obligación económica. ¿Había algo sobre salud, o alumnos menores de edad?
- Cuántas personas. 3.000 filas son 3.000 titulares.
- Qué se hizo con la conversación. Si sigue abierta, si se puede borrar, qué dicen los términos de esa cuenta sobre guardar lo que se escribe o usarlo para entrenar.
Pedirle a Carolina que borre la conversación es razonable, pero no la deja como si nunca hubiera ocurrido: el texto ya llegó al proveedor.
¿Es una vulneración que hay que reportar?
El artículo 14 sexies obliga a reportar a la Agencia, «por los medios más expeditos posibles y sin dilaciones indebidas», las vulneraciones a las medidas de seguridad que ocasionen, entre otras cosas, «la comunicación o acceso no autorizados» a los datos personales, cuando exista un riesgo razonable para los derechos y libertades de los titulares.
La última frase es la que hay que pensar. Para evaluarla ayudan preguntas concretas: qué tipo de datos eran y cuántas personas afecta —dos cosas que la ley también mira al fijar una multa (artículo 37)—, quién los recibió y qué puede hacer con ellos. Una base de 3.000 personas con RUT y datos de pago, entregada a un proveedor sin contrato con la empresa, es difícil de despachar como «sin riesgo». Si la conclusión es esa, conviene dejar escrito por qué.
Si corresponde reportar, la ley pide además que la empresa registre esas comunicaciones: la naturaleza de la vulneración, sus efectos, las categorías de datos, el número aproximado de titulares y las medidas adoptadas.
¿Hay que avisarles a los alumnos?
Sí, en tres casos que el mismo artículo nombra: cuando la vulneración afecta datos sensibles, datos de niños y niñas menores de catorce años, o datos relativos a obligaciones de carácter económico, financiero, bancario o comercial. Ahí la empresa también tiene que comunicarlo a cada titular, en lenguaje claro, diciendo qué datos se afectaron, las posibles consecuencias y las medidas tomadas. Si no es posible avisarle a cada uno, se publica un aviso en un medio de comunicación masivo y de alcance nacional.
El estado de pago de la planilla de Martín es lo que hay que mirar con cuidado aquí: es la pregunta que decide si el aviso a los alumnos también aplica.
Lo que no conviene hacer
Esconderlo. Omitir deliberadamente comunicar una vulneración es una infracción gravísima (artículo 34 quáter, letra f), y omitir las comunicaciones o los registros es una infracción grave (34 ter, letra k). En cambio, la autodenuncia ante la Agencia, junto con las medidas adoptadas, es una circunstancia atenuante (artículo 36), igual que reparar el daño o colaborar con la investigación.
Culpar a Carolina y cerrar el tema. El artículo 14 bis pone en la empresa el deber de adoptar medidas para que sus dependientes cumplan el deber de secreto. Si nadie le dijo a Carolina qué herramienta usar, el problema no era sólo suyo.
Antes de irse a la casa
Ejemplo. A las siete, Martín tiene un documento de una página: qué pasó, a qué hora, qué datos, cuántas personas, qué herramienta, qué se hizo, si se reporta o no y por qué. Mañana lo revisa con quien lleva los temas legales. Si se reporta, ese documento es la base del reporte y del registro.
Y la semana siguiente, la causa: una herramienta de la empresa para que nadie tenga que usar su cuenta personal, y reglas claras sobre qué no se pega nunca. Cómo armarlas está en reglas de IA en tu empresa. Cómo reportar una filtración paso a paso, en este artículo.
Lo que hace Plumii
Con Plumii, si Carolina hubiera pegado la planilla como texto, los nombres, RUT, correos y teléfonos se habrían tapado antes del modelo, y el registro diría quién la envió, cuándo y cuántos datos de cada tipo traía. Si la hubiera subido como archivo, la historia cambia: un modelo distinto al del chat lee el archivo entero una vez, tal cual y sin la regla de datos, para poder buscar en él, y no lo guarda. Por eso subir la planilla entera tampoco es la idea; lo que sirve es quitarle antes las columnas que la tarea no necesita. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.