Reunión del equipo directivo de un colegio particular subvencionado de La Florida, a fines de octubre. Paula, la jefa de UTP, cuenta que varios profesores están usando un chat de IA gratuito para escribir los informes de desarrollo personal, y que uno le mostró orgulloso cómo le había quedado el de un alumno con diagnóstico de TEA. Andrés, el director, pregunta lo que cualquiera preguntaría: «¿Eso es problema nuestro o de cada profesor?».
Para la Ley 21.719, es del colegio.
El colegio es el responsable
La ley llama responsable a quien decide para qué y cómo se usan los datos personales, «con independencia de si los datos son tratados directamente por ella o a través de un tercero» (artículo 2°, letra n). Los datos de los alumnos los recoge el colegio, para fines del colegio. El profesor que escribe un informe lo hace como parte de su trabajo, no como actividad personal, así que la excepción de la ley para las actividades personales (artículo 1°) no lo cubre. El reparto de papeles —titular, responsable, encargado— está en La Ley 21.719 en tres conceptos.
La ley es explícita en dos puntos que tocan a la dirección:
- El responsable tiene que adoptar las medidas necesarias para que sus dependientes cumplan el deber de secreto o confidencialidad (artículo 14 bis). Los profesores son esos dependientes.
- Los establecimientos educacionales tienen una «obligación especial» de velar por el uso lícito y la protección de la información personal de niños, niñas y adolescentes (artículo 16 quáter).
Lo que un colegio tiene de distinto
En pocos lugares se juntan tantos datos protegidos como en un colegio.
- Datos de niños, niñas y adolescentes. Para la ley, niños y niñas son los menores de catorce años, y adolescentes, los mayores de catorce y menores de dieciocho. Sus datos sólo se tratan atendiendo a su interés superior y a su autonomía progresiva (artículo 16 quáter). El concepto completo está en Los datos de niños, niñas y adolescentes.
- Datos de salud. Diagnósticos, informes de especialistas, medicamentos: datos sensibles (artículo 2°, letra g). Y el artículo 16 bis prohíbe tratar y ceder datos de salud recogidos en el ámbito educativo, salvo que una ley lo autorice expresamente en casos calificados y dentro de los casos de ese mismo artículo. El colegio los tiene porque las normas propias del sector se lo piden, para un fin preciso.
- Situación socioeconómica. Becas, rebajas de arancel, lo que cuentan las familias para pedirlas: también datos sensibles.
Y la ley pesa estos datos al momento de una sanción: entre los criterios para fijar el monto de una multa está si el tratamiento incluía datos sensibles o de niños, niñas y adolescentes (artículo 37). Y si una filtración afecta datos sensibles o de menores de catorce años, además del reporte a la Agencia, el colegio tiene que avisar a los afectados, a través de sus representantes (artículo 14 sexies).
Lo que conviene decidir en la dirección
- Para qué se usa IA y para qué no. Planificar clases, preparar material o redactar una circular general no necesita datos de nadie. Un informe individual se escribe sin nombre y sin diagnóstico.
- Con qué herramienta. Una que el colegio contrate, no la cuenta personal de cada profesor. El proveedor de IA trata los datos por cuenta del colegio, y la ley pide un contrato de encargo con él (artículo 15 bis); lo que debe decir está en El contrato de encargo. Si los modelos corren fuera de Chile, además es una transferencia internacional (artículo 27).
- Quién la administra y quién responde las preguntas de las familias.
- Si hace falta una evaluación de impacto. La ley la exige antes de empezar en algunos casos, entre ellos el tratamiento de datos sensibles en las hipótesis de excepción del consentimiento (artículo 15 ter). Vale la pena revisarlo antes de llevar datos de alumnos a cualquier sistema nuevo.
Qué decirles a los profesores
Poco y claro: qué herramienta usar, qué no se escribe nunca (nombres, RUT, diagnósticos, situación familiar) y por qué. La guía práctica para el profesor que está escribiendo un informe un domingo en la noche está en Profesor: qué puedes pegar en una IA al escribir un informe.
Qué decirles a los apoderados
La ley obliga al responsable a tener a disposición del público su política de tratamiento de datos: qué datos trata, para qué, con qué base, a quién los comunica, cuánto tiempo los guarda y, si los transfiere a otro país, si ese país ofrece un nivel adecuado de protección o qué garantías hay (artículo 14 ter). Si el colegio usa una herramienta de IA que procesa fuera de Chile, eso va en la política.
Los apoderados, además, pueden ejercer los derechos de sus hijos como representantes legales (artículo 4°): pedir qué datos tiene el colegio, corregirlos u oponerse a un uso. El colegio tiene treinta días corridos para responder, prorrogables una vez por otros treinta (artículo 11).
Dónde entra Plumii
Plumii es un chat de IA que un colegio puede contratar para sus profesores, con contrato de encargo y una regla por tipo de dato que fija quien lo administra: con la plantilla de partida, nombres, RUT, correos, teléfonos y direcciones se tapan antes de llegar al modelo. Queda un registro de uso, sin las conversaciones, que el colegio puede mostrar si le preguntan cómo usa la IA. Pero el filtro no reconoce los datos sensibles: «{NAME} tiene diagnóstico de TEA» llega al modelo con el diagnóstico; lo que Plumii logra es que llegue sin el nombre. La regla de no escribirlo sigue siendo del colegio. Mira cómo funciona y los planes.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.