Andrés es analista en la gerencia de cobranza de un banco mediano, en Santiago. Su jefa le pidió entender qué clientes en mora terminan regularizando y cuáles no, para ordenar mejor el trabajo del equipo. Andrés tiene la planilla: 18.000 créditos de consumo en mora, con RUT, nombre, teléfono, monto adeudado, días de mora, la fecha en que cada deuda se hizo exigible, la renta declarada, la comuna y una columna donde los ejecutivos anotan lo que les cuenta el cliente: «cesante desde marzo», «en tratamiento oncológico», «está repactando con otro banco».
Su idea es subir la planilla a un asistente de IA y pedirle que encuentre los patrones. Antes de eso, vale la pena mirarla con la ley en la mano.
Una planilla con tres capas de reglas
El secreto bancario y las normas del sector. Está el secreto bancario de la Ley General de Bancos, y el sector tiene además sus normas propias. Este artículo no las desarrolla; valen además de lo que dice la Ley 21.719.
Los datos de obligaciones financieras. La Ley 21.719 trata aparte los datos sobre obligaciones de carácter económico, financiero, bancario o comercial. Permite tratarlos sin consentimiento cuando se hace conforme a las normas de su Título III, los artículos 17 a 19, incluidos los datos sobre la situación socioeconómica del titular (artículo 13, letra a).
Los datos sensibles. La situación socioeconómica y la salud están entre los datos sensibles (artículo 2°, letra g). En la planilla de Andrés aparecen sobre todo en las observaciones: «cesante desde marzo» y «está repactando con otro banco» hablan de la situación socioeconómica de una persona, y «en tratamiento oncológico», de su salud. No son datos de la deuda; son la vida de una persona, contada a un ejecutivo.
Lo que no debería estar en la planilla
Antes de analizar nada, la ley pide revisar qué hay.
- Deudas prescritas. El artículo 17 dice que los responsables deben suprimir de sus registros o bases de datos toda información personal relativa a obligaciones prescritas, «sin necesidad de mediar solicitud, orden judicial, ni instrucción de la autoridad de protección de datos». Si la planilla se armó desde un sistema que arrastra deudas viejas, conviene filtrarlas antes, y avisar a quien corresponda que siguen ahí.
- Plazos de comunicación. El artículo 18 dice que los datos de esas obligaciones no se pueden comunicar después de cinco años desde que la obligación se hizo exigible, ni después de pagada. Si el resultado del análisis alimenta algo que se comunica fuera del banco, esos límites cuentan.
- Columnas que no responden la pregunta. Teléfono, nombre, RUT: la IA no los necesita para encontrar patrones.
Cómo preparar la planilla para la IA
La pregunta de Andrés es «¿qué tienen en común los que regularizan?». Para responderla, la IA necesita variables, no personas.
Ejemplo. Andrés reemplaza el RUT y el nombre por un código («K-08812»), borra el teléfono, cambia la renta exacta por un tramo («entre 600 mil y 900 mil»), quita la columna de observaciones y agrega, en su lugar, una columna propia con categorías que él define: «cesantía», «salud», «otra deuda», «sin información». La tabla que une cada código con el cliente se queda en el banco. La IA encuentra los mismos patrones.
Lo que hizo tiene nombre en la ley: seudonimización, tratar los datos de forma que no se puedan atribuir a una persona sin información adicional que se guarda por separado y protegida (artículo 2°, letra l). La ley la menciona entre las medidas de seguridad (artículo 14 quinquies, letra a). Una precisión: el dato seudonimizado sigue siendo personal, porque el banco puede volver al nombre. Pero lo que sale hacia una herramienta externa ya no dice quién es quién. Es la proporcionalidad de la ley (artículo 3°, letra c), explicada en la Ley 21.719 en tres conceptos, y el paso a paso general está en analizar una planilla de clientes con IA.
Si la planilla sale de donde no debía
Si una planilla así se filtra, la ley pide reportarlo a la Agencia cuando exista un riesgo razonable para los derechos de las personas, y —por tratarse de datos sobre obligaciones financieras y de datos sensibles— comunicarlo también a cada titular afectado, en lenguaje claro (artículo 14 sexies). Con 18.000 filas, cada columna que se borra antes es una columna que nunca hay que explicar.
Ordenar el trabajo no es decidir por la persona
Encontrar patrones para que el equipo sepa a quién llamar primero es una cosa. Que un sistema decida solo, sin intervención humana, a quién se le ofrece una repactación y a quién se le niega es otra. Ahí entra el artículo 8° bis: el derecho a oponerse y a no ser objeto de decisiones basadas en el tratamiento automatizado de sus datos que produzcan efectos jurídicos en la persona o la afecten significativamente, con algunas excepciones, y siempre con derecho a una explicación, a la intervención humana y a pedir la revisión. Y la ley exige una evaluación de impacto antes de empezar cuando hay una evaluación sistemática y exhaustiva de aspectos personales basada en decisiones automatizadas con efectos jurídicos significativos, o un tratamiento a gran escala (artículo 15 ter). Lo vemos en decisiones automatizadas.
Dónde entra Plumii
Plumii es un chat de IA: no hace scoring ni toma decisiones automatizadas; esas decisiones, y su revisión humana, siguen siendo del banco. Si subes la planilla (hasta 5 archivos de 4 MB por proyecto o conversación), un modelo distinto al del chat la lee entera una vez, tal cual y sin la regla de datos, para poder buscar en ella, y no la guarda; después, lo que el modelo del chat recibe de ella pasa por la regla, que con la plantilla de partida tapa nombres y RUT. El filtro no reconoce los datos sensibles: «en tratamiento oncológico» llegaría al modelo, sin el nombre. Por eso la planilla se prepara antes. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.