Paula es jefa de TI de una corredora de propiedades en Viña del Mar. La gerencia decidió que el equipo va a usar IA con la cuenta de la empresa, y ella tiene sobre la mesa tres propuestas. Las tres hablan de modelos, velocidad y precio. Ninguna dice qué pasa con el RUT de un arrendatario que alguien escriba en el chat.
Para la Ley 21.719, el proveedor que Paula elija va a tratar datos personales por cuenta de la corredora: va a ser su encargado, y la corredora seguirá siendo la responsable. Por eso la pregunta no es sólo cuál responde mejor, sino cuál le deja a la empresa cumplir lo que la ley le pide. Estas son siete preguntas para hacerle a cualquier proveedor, con el artículo que explica por qué importan.
1. ¿Firmas un contrato de encargo?
Es la primera porque las demás dependen de ella. El artículo 15 bis dice que el tratamiento a través de un encargado se rige por un contrato, y que ese contrato debe establecer el objeto del encargo, su duración, la finalidad, el tipo de datos, las categorías de personas a quienes se refieren y los derechos y obligaciones de las partes. La Agencia publicará modelos tipo de estos contratos en su sitio web.
Si la respuesta es «aceptas nuestros términos de uso al registrarte», no hay un contrato de encargo con tu empresa. Qué tiene que decir el contrato lo explicamos en este artículo.
2. ¿Dónde se procesan los datos?
Si es fuera de Chile, hay una transferencia internacional. El artículo 27 la permite, entre otros casos, hacia un país con nivel adecuado de protección o cuando hay cláusulas contractuales u otros instrumentos entre quien transfiere y quien recibe, con garantías adecuadas. La Agencia publicará un listado de países adecuados y modelos de cláusulas (artículo 28).
Pide la respuesta por escrito, aunque no te guste. Tu política de privacidad tiene que decir si los datos van a otro país y con qué garantías (artículo 14 ter, letra h). Un proveedor que no te dice dónde procesa te deja sin poder escribir esa línea. Más en cuando los datos salen de Chile.
3. ¿Usas lo que escribimos para entrenar tus modelos?
El artículo 15 bis prohíbe al encargado tratar los datos «para un objeto distinto del convenido». Si el proveedor los usa para otra cosa, la ley lo considera responsable de esos datos y responde solidariamente por los daños. Pero eso es lo que pasa después del problema. Antes, lo que quieres es que el contrato diga que no se usan para entrenar, ni por el proveedor ni por quien le preste los modelos.
4. ¿Qué medidas de seguridad tienes?
El encargado también tiene que cumplir el deber de secreto (14 bis) y las medidas de seguridad del 14 quinquies, según el mismo 15 bis. Entre los ejemplos que da la ley están la seudonimización y el cifrado. Pregunta qué se cifra, quién de tu empresa puede ver qué, y si quien administra la herramienta puede leer las conversaciones de los demás.
5. ¿Nos avisas si hay una vulneración?
Si al encargado le vulneran las medidas de seguridad, debe reportarlo al responsable (artículo 15 bis). Y el responsable, tu empresa, puede tener que reportarlo a la Agencia sin dilaciones indebidas (14 sexies). Pregunta cómo y en qué plazo te avisan, y a quién.
6. ¿Qué registro nos dejas?
La ley pone la carga de la prueba en tu empresa: tiene que poder acreditar que trata los datos de forma lícita (artículo 3°, letra a) y, si hay un incidente, que sus medidas de seguridad existían y funcionaban (14 quinquies). Y si un cliente pide saber a quién se comunicaron sus datos, hay que contestarle (artículo 5°).
Pregunta qué queda registrado: quién usó la herramienta, cuándo, qué datos personales salieron. Y también qué no queda: un registro que guarda el texto entero de cada conversación es otro lugar con datos personales que cuidar.
7. ¿Cómo se borra?
Cuando termina el servicio, los datos que tiene el encargado deben suprimirse o devolverse al responsable (15 bis). Pregunta también cómo se borra una conversación mientras el servicio sigue, cuánto tiempo se guarda el registro y si el proveedor puede delegar parte del trabajo en otro: la ley sólo lo permite con autorización específica y por escrito del responsable.
Ejemplo. Paula arma una planilla con las siete preguntas en las filas y los tres proveedores en las columnas. Uno no firma contrato de encargo; otro no dice dónde procesa. Cuando llega la hora de comparar precios, queda un solo candidato.
Una pregunta más: ¿qué controla la empresa antes de que el dato salga?
Las siete preguntas tratan lo que hace el proveedor. Falta lo que puede hacer tu empresa. El artículo 14 quáter pide que, por defecto, sólo se traten los datos estrictamente necesarios. Una herramienta que deja definir qué datos se tapan o se bloquean antes de llegar al modelo ayuda a cumplir eso sin depender de la memoria de cada persona.
Cómo responde Plumii
Plumii responde así: firma el contrato de encargo (tu empresa es la responsable y Plumii el encargado); los modelos y el filtro corren fuera de Chile, con un proveedor bajo contrato que no puede usar lo que se escribe para entrenar, y Plumii tampoco lo hace; las conversaciones están cifradas, son sólo de cada persona y se borran cuando ella quiere; el registro de uso guarda quién, cuándo, con qué modelo y qué datos traía cada mensaje, sin las conversaciones, por 24 meses; y quien administra pone una regla para cada dato que identifica a una persona. Mira cómo cuida Plumii tus datos.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.