Andrés es gerente general de una distribuidora de alimentos en Rancagua. En el comité del lunes pregunta, medio en broma, quién usa IA en su trabajo. Seis de siete levantan la mano. La jefa comercial la usa para responder reclamos; el contador, para revisar una planilla de ventas; la de personas, para redactar cartas. Nadie le pidió permiso a nadie, y nadie pensó que estuviera haciendo algo raro.
Tampoco lo es. Pero desde el 1 de diciembre de 2026 hay una pregunta que Andrés tiene que poder contestar: qué le pide la Ley 21.719 a su empresa cuando eso pasa. La ley no menciona la inteligencia artificial ni una vez. No le hace falta: sus reglas valen para cualquier tratamiento de datos, y pegar un dato en un chat lo es. Lo que sigue es un recorrido por esas reglas, aplicadas a ese momento.
Pegar un dato es tratarlo
La ley define el tratamiento como cualquier operación que permita «recolectar, procesar, almacenar, comunicar, transmitir o utilizar datos personales». Escribir en un chat el nombre de un cliente y pedir que se resuma su reclamo es transmitir y procesar ese dato. Da lo mismo si se hizo en una planilla, en un correo o en una IA.
Y como el colaborador lo hace por su trabajo, quien responde es la empresa: es ella la que decide para qué se usan los datos de sus clientes. Los papeles de responsable y encargado están explicados en el artículo pilar.
El permiso y el para qué no cambian
Usar IA no crea una base de licitud nueva ni la quita. Si la empresa tenía permiso para usar el dato de un cliente para atender su reclamo, usar una IA para redactar esa respuesta es la misma finalidad con otra herramienta.
Lo que sí cambia la cosa es usar el dato para algo distinto. El principio de finalidad (artículo 3°, letra b) no deja tratar datos con fines distintos a los informados, salvo las excepciones que la ley enumera. Pegar la base de clientes para «ver qué se le ocurre» a la IA, sin un para qué, es difícil de encajar ahí.
Sólo lo necesario, y por defecto
El principio de proporcionalidad pide limitarse a los datos «necesarios, adecuados y pertinentes» para el fin. Y el artículo 14 quáter le pide a la empresa medidas para que, por defecto, sólo se traten los datos estrictamente necesarios.
Para la IA, eso se traduce en una pregunta simple antes de cada mensaje: ¿la tarea necesita este dato? Para redactar una respuesta a un reclamo casi nunca hace falta el RUT. «Por defecto» quiere decir que la respuesta no puede depender sólo de la buena memoria de cada persona: la empresa tiene que poner algo que lo haga más fácil.
El proveedor es un encargado, y la ley pide un contrato
Quien procesa datos por cuenta de la empresa es un encargado. El artículo 15 bis pide que esa relación se rija por un contrato que diga el objeto del encargo, su duración, la finalidad, el tipo de datos, de quiénes son y los derechos y obligaciones de cada parte. El encargado no puede usar los datos para otra cosa; si lo hace, la ley lo trata como responsable.
Cuando el colaborador usa su cuenta personal, ese contrato es entre él y el proveedor, no entre el proveedor y tu empresa. Ese caso, el más común, tiene su propio artículo.
Casi siempre, los datos salen de Chile
Si la IA procesa fuera de Chile, hay una transferencia internacional. El artículo 27 la permite, entre otros casos, hacia países con un nivel adecuado de protección o con cláusulas contractuales u otros instrumentos que den garantías adecuadas. Y el artículo 14 ter pide que la política de privacidad de la empresa diga si hay transferencias a otro país. Lo explicamos en este artículo.
Seguridad y secreto
El artículo 14 bis obliga a la empresa a adoptar las medidas necesarias para que sus dependientes cumplan el deber de secreto. El 14 quinquies pide medidas de seguridad acordes al riesgo, y entre los ejemplos que da están «la seudonimización y el cifrado». Quitar el nombre antes de que el dato salga va en esa línea; una política que nadie conoce, no.
Cuando alguien pregunta, o algo sale mal
Una persona puede pedirle a tu empresa que le diga qué datos suyos trata y a qué destinatarios se los comunicó (artículo 5°). Si un colaborador pegó sus datos en una IA, la empresa tiene que poder saberlo para contestar. Ese caso está en este artículo.
Y si un dato llega donde no debía, puede ser una vulneración que hay que reportar a la Agencia (artículo 14 sexies). Qué hacer ese día está en este otro.
Cuando la IA decide sobre personas
Pedirle a una IA que redacte una carta es una cosa. Dejar que decida quién pasa a entrevista o qué cliente recibe un crédito es otra. El artículo 8° bis da derecho a no ser objeto de decisiones basadas en el tratamiento automatizado de datos que produzcan efectos jurídicos o afecten significativamente a la persona, salvo excepciones, y aun en ellas exige intervención humana y poder pedir la revisión. Y el artículo 15 ter pide una evaluación de impacto antes de empezar en ciertos tratamientos, como la evaluación sistemática de personas con decisiones automatizadas o el tratamiento masivo. Lo desarrollamos en decisiones automatizadas.
Por dónde empezar
Para Andrés, todo esto cabe en tres pasos:
- Una herramienta de la empresa, con contrato de encargo y con los resguardos de la transferencia internacional dichos por escrito.
- Reglas claras de qué datos sí y cuáles no, que la herramienta aplique y no sólo un documento. Cómo armarlas está en reglas de IA en tu empresa.
- Registro, para poder mostrar cómo se usa y contestar cuando alguien pregunte.
Las fechas, las multas y lo que la empresa debería poder mostrar están resumidos en nuestra página sobre la ley.
Lo que hace Plumii
Plumii es un chat de IA para empresas que cubre esos tres pasos: firma el contrato de encargo, tiene una regla para cada dato que identifica a una persona —tu empresa decide si se tapa, se bloquea o pasa— y deja registro de quién usó la IA, cuándo y qué datos traía cada mensaje, sin el texto de las conversaciones. Lo que no reconoce, como un diagnóstico, llega al modelo sin el nombre. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.