Caso ficticio
Tomás es abogado en la unidad jurídica de un servicio público regional, en Coyhaique. Tiene cuarenta reclamos de ciudadanos por responder antes de fin de mes, cada uno con nombre, RUT, domicilio y una historia. Una tarde los copia uno por uno en un chat de IA gratuito, con su cuenta personal, para que le proponga un borrador de respuesta. Lo hace para atender mejor a la gente, y lo logra: el trabajo de una semana sale en dos días.
Lo que hizo Tomás plantea la pregunta de todo servicio público o municipio que empieza a usar IA: ¿qué cambia con la Ley 21.719 cuando los datos son de ciudadanos? La respuesta tiene tres partes.
- El órgano no necesita consentimiento, porque trata los datos para cumplir sus funciones; pero le aplican casi todos los deberes que tiene una empresa.
- Con una cuenta personal faltan piezas que la ley pide: el contrato de encargo, la autorización para entregar datos a un privado y los resguardos de la transferencia fuera de Chile.
- Si algo falla, las consecuencias recaen en personas: en el jefe superior del servicio, con una multa sobre su remuneración, y en el funcionario, por la vía del Estatuto Administrativo.
Los conceptos de base —responsable, encargado, dato sensible— están en la Ley 21.719 en tres conceptos. La versión de este caso en una empresa está en usar IA en el trabajo.
Sin consentimiento, pero con las reglas de todos
Para la ley, un ministerio, un servicio y un municipio son órganos públicos, y tienen un título entero: el Título IV, artículos 20 a 25.
La primera diferencia juega a favor del órgano. El artículo 20 dice que su tratamiento de datos es lícito cuando lo hace «para el cumplimiento de sus funciones legales, dentro del ámbito de sus competencias». En esas condiciones el órgano es el responsable de los datos y no necesita el consentimiento de la persona. Tomás no tiene que pedirle permiso a nadie para responder un reclamo.
La segunda diferencia es la que importa al usar IA. El artículo 21 le aplica al órgano los principios del artículo 3° —finalidad, proporcionalidad, seguridad, confidencialidad, entre otros— más los de la Administración del Estado, especialmente coordinación, probidad y eficiencia. Y le aplica expresamente una lista de artículos de la parte general: los deberes de secreto (14 bis), información (14 ter), protección desde el diseño (14 quáter), seguridad (14 quinquies) y reporte de vulneraciones (14 sexies), el contrato con el encargado (15 bis), las reglas de los datos sensibles y de niños, niñas y adolescentes, y las de transferencia internacional. Que no haga falta consentimiento no significa que no haya reglas.
Las personas, además, pueden ejercer ante el órgano sus derechos de acceso, rectificación y oposición, entre otros (artículo 23); cuáles son y en qué plazo se responden está en derechos ARCO con la Ley 21.719.
Lo que le falta a una cuenta personal
No hay encargo. El artículo 15 bis permite tratar datos a través de un encargado si hay un contrato con el objeto, la duración, la finalidad, el tipo de datos y las obligaciones de cada parte. La cuenta personal de Tomás no tiene ese contrato con el servicio: tiene los términos que él aceptó.
Los datos llegan a un privado. Sin encargo, el proveedor del chat es simplemente una empresa privada que recibió datos de ciudadanos. Para comunicar o ceder datos personales a personas o entidades privadas, el artículo 22 pide que el órgano cuente con el consentimiento del titular, salvo que sea necesario para sus funciones de fiscalización o inspección.
Salen de Chile. Si el chat procesa fuera del país, hay una transferencia internacional, y esas reglas se aplican al servicio igual que a una empresa (artículo 27). Lo explicamos en cuando los datos salen de Chile.
El deber de reserva es personal. El artículo 46 obliga a los funcionarios que tratan datos personales, y especialmente datos sensibles o sobre infracciones penales, civiles, administrativas y disciplinarias, a guardar secreto sobre lo que conocen en su cargo y a no usarlo con una finalidad distinta de las funciones del órgano. Infringirlo, dice la ley, vulnera gravemente el principio de probidad administrativa.
Quién responde
Aquí está la diferencia más grande con una empresa privada.
El jefe superior del órgano. El artículo 44 le pide velar por que el órgano trate los datos conforme a la ley. Si el órgano comete una de las infracciones de los artículos 34 bis a 34 quáter, la Agencia sanciona al jefe superior con una multa de entre el 20 % y el 50 % de su remuneración mensual. Si se trata de datos sensibles, la multa es del 50 % y puede suspenderse al jefe en el cargo hasta por treinta días. Si el órgano persiste, la multa se duplica y hay suspensión por cinco días. Las sanciones se publican en el sitio web de la Agencia y del servicio.
El funcionario. Según el artículo 45, si el procedimiento determina responsabilidades individuales, la Contraloría General de la República, a petición de la Agencia, inicia una investigación sumaria, y las sanciones se fijan según el Estatuto Administrativo. Si el funcionario es responsable de una infracción gravísima, la ley la considera una contravención grave a la probidad administrativa.
Ejemplo. Si entre los reclamos de Tomás hay uno de una vecina que cuenta un diagnóstico médico para pedir una excepción, ese reclamo trae un dato sensible. Para el jefe del servicio, una infracción con datos sensibles tiene la multa más alta del artículo 44.
En un servicio los datos sensibles aparecen más de lo que parece. Una ficha social municipal describe la situación socioeconómica de un hogar, que la ley cuenta entre los datos sensibles (artículo 2°, letra g): lo explicamos en la situación socioeconómica, el dato sensible que nadie ve. Las evaluaciones de los propios funcionarios tienen su página en calificaciones de funcionarios públicos e IA.
El Congreso, el Poder Judicial, la Contraloría, el Ministerio Público, el Tribunal Constitucional, el Banco Central, el Servicio Electoral, la Justicia Electoral y los demás tribunales especiales tienen reglas especiales en los artículos 54 y 55. Esta página habla de los demás órganos públicos.
Qué hacer
Si eres funcionario: no uses tu cuenta personal con datos de ciudadanos. Si la IA te sirve, úsala sin datos: describe el tipo de reclamo o de caso, pide una estructura y completa tú los datos fuera del chat. Y pregunta en tu servicio si hay una herramienta institucional.
Si diriges un servicio o un municipio: la responsabilidad del artículo 44 es tuya aunque no hayas escrito un solo mensaje. Lo que la cubre es lo mismo que en una empresa: una herramienta institucional con contrato de encargo y la transferencia resuelta por escrito, una política que diga qué datos sí y cuáles no, y registro para poder mostrarlo. La decisión de qué herramienta se usa con datos de ciudadanos no puede quedar en cada funcionario. Si el órgano designa un delegado de protección de datos, debe ser un funcionario de su dotación vigente (artículo quinto transitorio de la Ley 21.719). Las preguntas para evaluar un proveedor están en cómo elegir un proveedor de IA.
Lo que hace Plumii
Plumii es un chat de IA con la cuenta de la organización: el servicio o el municipio es el responsable y Plumii el encargado, con contrato. Con la plantilla de partida, nombres, RUT, correos, teléfonos y direcciones se tapan antes de llegar al modelo, y queda registro de quién envió cada mensaje, cuándo y qué datos traía, sin el texto de las conversaciones. Los modelos corren fuera de Chile, con un proveedor bajo contrato. El filtro no reconoce los datos sensibles: el diagnóstico de la vecina llega al modelo, aunque sin el nombre; y una descripción muy precisa puede identificar a alguien igual. Así funciona.
Las personas, empresas y situaciones de este artículo son ficticias: las inventamos para explicar la ley, y cualquier parecido con un caso real es coincidencia. Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.