Tomás es abogado en la unidad jurídica de un servicio público regional, en Coyhaique. Tiene cuarenta reclamos de ciudadanos por responder antes de fin de mes, cada uno con nombre, RUT, domicilio y una historia. Una tarde los copia uno por uno en un chat de IA gratuito, con su cuenta personal, para que le proponga un borrador de respuesta. Lo hace para atender mejor a la gente, y lo logra: el trabajo de una semana sale en dos días.
En una empresa, este caso ya tiene su propio artículo. En un órgano público las reglas de fondo se parecen, pero la ley tiene un título propio para el Estado, y las consecuencias recaen de otra forma: en el jefe del servicio y en el funcionario.
El Estado trata datos sin pedir consentimiento, pero con reglas
El artículo 20 dice que el tratamiento de datos que hacen los órganos públicos es lícito cuando se realiza «para el cumplimiento de sus funciones legales, dentro del ámbito de sus competencias». En esas condiciones, el servicio es el responsable de los datos y no necesita el consentimiento de los ciudadanos.
Eso no lo deja fuera de las demás reglas. El artículo 21 le aplica los principios del artículo 3° —finalidad, proporcionalidad, seguridad, confidencialidad, entre otros— más los principios de la Administración del Estado, y le aplica también, expresamente, los deberes de secreto (14 bis), información (14 ter), protección desde el diseño (14 quáter), seguridad (14 quinquies), reporte de vulneraciones (14 sexies), el contrato con el encargado (15 bis), las reglas de datos sensibles y de niños, y las de transferencia internacional.
Lo que pasa con la cuenta personal de Tomás
No hay encargo. El artículo 15 bis, que se aplica al servicio, permite tratar datos a través de un encargado si hay un contrato que diga el objeto, la duración, la finalidad, el tipo de datos y las obligaciones de cada parte. La cuenta personal de Tomás no tiene ese contrato con el servicio: tiene los términos que él aceptó.
Los datos llegan a un privado. Sin encargo, el proveedor del chat es simplemente una empresa privada que recibió datos de ciudadanos. Para comunicar o ceder datos personales a personas o entidades privadas, el artículo 22 pide que el órgano público cuente con el consentimiento del titular, salvo que sea necesario para sus funciones de fiscalización o inspección.
Salen de Chile. Si el chat procesa fuera del país, hay una transferencia internacional, y el Título V se aplica al servicio igual que a una empresa (artículo 27). Lo explicamos en este artículo.
El deber de reserva es personal. El artículo 46 obliga a los funcionarios que tratan datos personales a guardar secreto sobre lo que conocen en su cargo y a no usar esa información con una finalidad distinta de las funciones del órgano. Dice además que infringir esa disposición vulnera gravemente el principio de probidad administrativa.
Quién responde
Aquí está la diferencia más grande con una empresa privada.
El jefe superior del servicio. El artículo 44 le pide velar por que el órgano trate los datos conforme a la ley. Si el órgano comete una de las infracciones de los artículos 34 bis a 34 quáter, la Agencia sanciona al jefe superior con una multa de entre el 20 % y el 50 % de su remuneración mensual. Si se trata de datos sensibles, la multa es del 50 % y puede suspenderse al jefe en el cargo hasta por treinta días. Si el órgano persiste, la multa se duplica y hay suspensión por cinco días. Las sanciones se publican en el sitio web de la Agencia y del servicio.
El funcionario. Según el artículo 45, si el procedimiento determina responsabilidades individuales, la Contraloría General de la República, a petición de la Agencia, inicia una investigación sumaria, y las sanciones se determinan según el Estatuto Administrativo. Si el funcionario es responsable de una infracción gravísima, la ley la considera una contravención grave a la probidad administrativa.
Ejemplo. Si entre los reclamos de Tomás hay uno de una vecina que cuenta un diagnóstico médico para pedir una excepción, ese reclamo trae un dato sensible. Para el jefe del servicio, una infracción con datos sensibles tiene la multa más alta del artículo 44.
El Congreso, el Poder Judicial, la Contraloría, el Ministerio Público, el Tribunal Constitucional, el Banco Central, el Servicio Electoral, la Justicia Electoral y los demás tribunales especiales tienen reglas especiales en los artículos 54 y 55. Este artículo habla de los demás órganos públicos.
Qué hacer
Si eres funcionario: no uses tu cuenta personal con datos de ciudadanos. Si la IA te sirve, úsala sin datos: describe el tipo de reclamo, pide una estructura de respuesta y completa tú los datos fuera del chat. Y pregunta en tu servicio si hay una herramienta institucional.
Si diriges un servicio: la responsabilidad del artículo 44 es tuya aunque no hayas escrito un solo mensaje. Lo que la cubre es lo mismo que en una empresa: una herramienta institucional con contrato de encargo y la transferencia resuelta por escrito, una política que diga qué datos sí y cuáles no, y registro para poder mostrarlo. Si el servicio designa un delegado de protección de datos, la ley pide que sea un funcionario de su dotación vigente (artículo quinto transitorio de la Ley 21.719). Las preguntas para evaluar un proveedor están en cómo elegir un proveedor de IA.
Lo que hace Plumii
Plumii es un chat de IA con la cuenta de la organización, en que la organización es la responsable y Plumii el encargado, con contrato. Los nombres, RUT, correos, teléfonos y direcciones se tapan antes de llegar al modelo, y queda registro de quién envió cada mensaje, cuándo y qué datos traía, sin el texto de las conversaciones. Los modelos corren fuera de Chile, con un proveedor bajo contrato. El filtro no reconoce los datos sensibles: el diagnóstico de la vecina llegaría al modelo, aunque sin su nombre. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.