Valentina es jefa de administración en una constructora de Antofagasta. Un viernes a la hora de almuerzo pasa por el escritorio de Felipe, el analista de remuneraciones, y lo ve con el celular en la mano: tiene abierto un chat de IA gratuito, con su cuenta personal, y acaba de pegar la lista de los trabajadores de una obra para que le ordene los bonos por faena. Felipe no está escondiendo nada. Lo hace todas las semanas porque le ahorra una hora.
Esa escena se repite en casi todas las empresas. La Ley 21.719 no prohíbe que Felipe use una IA. Lo que pasa es que, con su cuenta personal, a tu empresa le faltan tres cosas que la ley sí pide.
Para la ley, esos datos siguen siendo de tu empresa
La ley no se aplica a lo que una persona hace con datos «en relación con sus actividades personales» (artículo 1°). Si Felipe usa su cuenta para planificar sus vacaciones, eso es asunto suyo.
La lista de trabajadores no lo es. La recibió por su trabajo y la usa para una tarea de la empresa. La responsable de esos datos es la empresa, que decide para qué y cómo se usan, aunque quien los pegó haya sido él con su teléfono. Y el artículo 14 bis le pide a la empresa adoptar «las medidas necesarias» para que sus dependientes cumplan el deber de secreto. Los conceptos de responsable y encargado están en el artículo pilar.
Lo que falta: el contrato
Cuando un tercero trata datos por cuenta de tu empresa, la ley lo llama encargado y pide que la relación se rija por un contrato. El artículo 15 bis dice qué tiene que establecer: el objeto del encargo, su duración, la finalidad, el tipo de datos, las categorías de personas a las que se refieren y los derechos y obligaciones de las partes.
Con la cuenta personal, el proveedor del chat tiene un contrato con Felipe: los términos que él aceptó al registrarse. Tu empresa no firmó nada, no dio instrucciones y no sabe qué dice ese documento sobre guardar lo que se escribe o usarlo para otra cosa.
Lo que falta: control sobre la salida del país
La mayoría de los chats de IA procesan fuera de Chile, y eso es una transferencia internacional. El artículo 27 la permite cuando el país de destino tiene un nivel adecuado de protección o cuando hay cláusulas contractuales u otros instrumentos suscritos entre quien transfiere y quien recibe, con garantías adecuadas.
Con una cuenta personal, quien transfiere es tu empresa —es su dato— pero el único acuerdo con quien recibe lo firmó Felipe. Tu empresa tampoco puede decir en su política de privacidad, como pide el artículo 14 ter, a qué país van esos datos: no lo sabe. Más detalle en este artículo.
Lo que falta: registro
Ninguna de las respuestas que la ley le pide a tu empresa se pueden dar sin saber qué pasó:
- Si un trabajador de la obra pide saber a quién se comunicaron sus datos, la empresa tiene que contestar (artículo 5°).
- Si la lista se filtrara, la empresa tendría que poder evaluar si hay que reportarlo a la Agencia, cuántas personas afecta y qué datos (artículo 14 sexies).
- Si la Agencia pregunta, la empresa tiene que poder acreditar que trata los datos de forma lícita (artículo 3°, letra a).
Con cuentas personales, la empresa no ve nada de eso. No sabe quién usa IA, para qué ni con qué datos.
Ejemplo. Un trabajador de la obra le pregunta a Valentina si sus datos «andan dando vueltas por internet». Con lo que tiene hoy, la única respuesta honesta es «no lo sé». Ese caso está en este artículo.
Qué hacer: prohibir no basta
La reacción natural es mandar un correo diciendo que está prohibido usar IA. Suele durar poco: la IA le ahorra trabajo a la gente, y el uso se vuelve invisible en vez de desaparecer. La ley pide lo contrario: saber qué se hace y poder mostrarlo.
Lo que funciona tiene dos partes:
- Una política escrita, corta, que diga qué herramienta usar, qué datos se pueden pegar y cuáles no, y a quién avisar si algo sale mal. Cómo armarla está en reglas de IA en tu empresa.
- Una herramienta de la empresa, con contrato de encargo, con la transferencia internacional resuelta por escrito y con registro. Si la empresa no la da, la política se queda en el papel.
Y una conversación con Felipe, sin castigo: él encontró una forma de trabajar mejor. Lo que hay que cambiar es la herramienta, no las ganas.
Lo que hace Plumii
Plumii es un chat de IA con la cuenta de la empresa: la empresa es la responsable, Plumii el encargado, y eso queda en un contrato. Quien lo administra pone una regla para cada dato que identifica a una persona —se tapa, se bloquea o pasa—, y queda registro de quién envió cada mensaje, cuándo y qué datos traía, sin el texto de las conversaciones, que sólo ve quien las escribió. Los modelos corren fuera de Chile, con un proveedor bajo contrato que no puede usar lo que se escribe para entrenar. Mira el plan Empresa.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.