Javiera atiende los correos de clientes de una mueblería con tres tiendas en Temuco. Un lunes llega uno distinto. Héctor, que compró un comedor en agosto y reclamó por una pata quebrada, escribe: «Quiero saber si ustedes usaron mis datos en alguna inteligencia artificial, cuáles y para qué». Javiera sabe que el equipo usa IA para redactar respuestas. No sabe si el reclamo de Héctor pasó por ahí, ni con qué datos.
Desde el 1 de diciembre de 2026, ese correo no es una curiosidad que se pueda dejar sin respuesta. Es el ejercicio de un derecho, y la ley dice qué hay que contestar y en qué plazo.
Lo que Héctor tiene derecho a saber
El artículo 5° le da a toda persona el derecho de acceso: pedirle a una empresa que confirme si trata sus datos y, si es así, acceder a ellos y a esta información:
- Los datos tratados y su origen.
- Para qué se tratan.
- Las categorías de destinatarios a quienes se comunicaron o cedieron, o se prevé hacerlo. Y si la persona lo pide, la identidad de cada destinatario.
- Por cuánto tiempo se van a tratar.
- Los intereses legítimos de la empresa, si esa es la base del tratamiento.
- Información significativa sobre la lógica aplicada, si hay decisiones automatizadas.
La ley agrega que la empresa «siempre estará obligada» a entregar esa información, salvo que una ley disponga expresamente lo contrario.
Héctor no pregunta por la IA en abstracto. Pregunta lo que dice la tercera viñeta: si sus datos llegaron a un tercero, y a cuál. Un proveedor de IA que recibió su nombre y su reclamo es parte de esa respuesta.
Cómo y cuándo hay que responder
El artículo 11 fija el procedimiento. Para el acceso, basta con que la persona se identifique. La empresa tiene que acusar recibo y pronunciarse dentro de 30 días corridos desde que llegó la solicitud, plazo que puede alargar una sola vez por otros 30. La respuesta va por escrito, al domicilio o correo que indicó la persona, y la empresa tiene que guardar el respaldo de qué respondió, cuándo y adónde.
El acceso es gratuito al menos una vez por trimestre (artículo 10). Si la empresa lo niega, tiene que fundarlo y decirle a la persona que tiene 30 días hábiles para reclamar ante la Agencia. Si no responde, la persona puede reclamar directamente. Los plazos de cada derecho están en este artículo.
El problema: sin registro, no hay respuesta
Para contestarle a Héctor, Javiera tiene que saber tres cosas: si alguien del equipo pegó datos de Héctor en una IA, cuáles, y en qué herramienta. Si cada persona usa su propia cuenta de un chat gratuito, no hay de dónde sacarlo. Tendría que preguntar uno por uno y confiar en la memoria de cada cual.
Y las salidas fáciles no sirven:
- «No usamos IA», si no es verdad, es una respuesta incompleta, y omitir la respuesta o responderla en forma incompleta o fuera de plazo es una infracción leve (artículo 34 bis, letra c).
- «No lo sabemos» es honesto, pero deja a la vista otro problema: la empresa tiene que poder acreditar que trata los datos de forma lícita (artículo 3°, letra a), y no puede hacerlo con algo que no ve.
Ejemplo. Si el equipo de Javiera usara una herramienta con registro, la respuesta a Héctor cabría en un párrafo: «Sí. El 14 de agosto se usó un asistente de IA para redactar la respuesta a su reclamo. El texto llegó al modelo con su nombre reemplazado por una marca. El asistente lo procesa un proveedor fuera de Chile, bajo contrato, que no puede usar sus datos para otro fin».
Lo que conviene tener listo antes de que llegue el primer correo
- Saber qué herramientas de IA se usan con datos de clientes, y que sean las de la empresa, no cuentas personales. Por qué importa está en cuentas personales de IA en el trabajo.
- Que tu política de privacidad lo diga: los destinatarios a quienes se comunican datos y si hay transferencia a otro país, como pide el artículo 14 ter. Si la política ya lo dice, buena parte de la respuesta está escrita.
- Un registro que permita buscar si los datos de una persona salieron, cuándo y con qué regla.
- Un responsable interno de estas solicitudes y un modelo de respuesta, para no partir de cero con cada correo.
Lo que hace Plumii
Plumii registra quién envió cada mensaje, cuándo, con qué modelo, qué datos que identifican a una persona traía y qué regla se aplicó. En una empresa, también qué dato fue —por ejemplo, «Héctor Muñoz»—, visible sólo para quien la empresa designe, para poder contestarle a esa persona y avisarle que su dato salió de Chile. El registro se guarda 24 meses y no incluye las conversaciones. Tiene un límite: lo que el filtro no reconoce, como un diagnóstico o un dato escrito de forma rara, no queda en él. Mira qué registra Plumii.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.