Protección de datos en colegios: la dirección, los profesores y la IA

Para la Ley 21.719, es del colegio. El colegio es el responsable de los datos de sus alumnos aunque el mensaje lo escriba un profesor, y la ley le pide expresamente velar por los datos de niños, niñas y adolescentes. Por eso es la dirección la que decide con qué herramienta, para qué y con qué reglas se usa la IA. Al profesor le queda una parte que nadie más puede hacer: lo que escribe en el chat. Sin nombre, sin diagnóstico y sin la vida de la familia, un informe sale igual de bien.

El colegio es el responsable

La ley llama responsable a quien decide para qué y cómo se usan los datos personales, «con independencia de si los datos son tratados directamente por ella o a través de un tercero» (artículo 2°, letra n). Los datos de los alumnos los recoge el colegio, para fines del colegio. El reparto de papeles —titular, responsable, encargado— está en la Ley 21.719 en tres conceptos.

Que el profesor use su cuenta personal no cambia eso. La ley no se aplica a lo que una persona hace en sus actividades personales (artículo 1°), pero escribir un informe para el colegio es trabajo. Con una cuenta personal, lo único que cambia es que no hay contrato entre el colegio y el proveedor del chat, y nadie puede decir después qué datos salieron.

La ley es explícita en dos puntos que tocan a la dirección:

• El responsable tiene que adoptar las medidas necesarias para que sus dependientes cumplan el deber de secreto o confidencialidad (artículo 14 bis). Los profesores son esos dependientes.
• Los establecimientos educacionales tienen una «obligación especial» de velar por el uso lícito y la protección de la información personal de niños, niñas y adolescentes (artículo 16 quáter).

Por qué los datos de un colegio pesan más

En pocos lugares se juntan tantos datos protegidos como en un colegio.

• Datos de niños, niñas y adolescentes. Para la ley, niños y niñas son los menores de catorce años, y adolescentes, los mayores de catorce y menores de dieciocho. Sus datos sólo se tratan atendiendo a su interés superior y al respeto de su autonomía progresiva (artículo 16 quáter). El concepto completo está en los datos de niños, niñas y adolescentes.
• Datos de salud. Diagnósticos, informes de especialistas, medicamentos: datos sensibles (artículo 2°, letra g). Y el artículo 16 bis prohíbe tratar y ceder datos de salud recogidos en el ámbito educativo, salvo que una ley lo autorice expresamente en casos calificados y dentro de los casos de ese mismo artículo. El colegio los tiene porque las normas propias del sector se lo piden, para un fin preciso: dar apoyos.
• Situación socioeconómica. Becas, rebajas de arancel, lo que cuentan las familias para pedirlas: también datos sensibles.

La ley pesa estos datos al momento de una sanción: entre los criterios para fijar el monto de una multa está si el tratamiento incluía datos sensibles o de niños, niñas y adolescentes (artículo 37). Y si una filtración afecta datos sensibles o de menores de catorce años, además del reporte a la Agencia, el colegio tiene que avisar a los afectados, a través de sus representantes (artículo 14 sexies).

Lo que decide la dirección

1. Para qué se usa IA y para qué no. Planificar clases, preparar material o redactar una circular general no necesita datos de nadie. Un informe individual se escribe sin nombre y sin diagnóstico.
2. Con qué herramienta. Una que el colegio contrate, no la cuenta personal de cada profesor. El proveedor de IA trata los datos por cuenta del colegio, y la ley pide un contrato de encargo con él (artículo 15 bis); lo que debe decir está en el contrato de encargo. Si los modelos corren fuera de Chile, además es una transferencia internacional (artículo 27).
3. Quién la administra y quién responde las preguntas de las familias.
4. Si hace falta una evaluación de impacto. La ley la exige antes de empezar en algunos casos, entre ellos el tratamiento de datos sensibles en las hipótesis de excepción del consentimiento (artículo 15 ter). Vale la pena revisarlo antes de llevar datos de alumnos a cualquier sistema nuevo.
5. Qué dice la política de privacidad. La ley obliga al responsable a tener a disposición del público su política de tratamiento de datos, y si transfiere datos a otro país, a decir si ese país ofrece un nivel adecuado de protección o qué garantías hay (artículo 14 ter). Si el colegio usa una herramienta de IA que procesa fuera de Chile, eso va en la política; el detalle está en qué debe decir tu política de privacidad.
6. Qué se les dice a los profesores. Poco y claro: qué herramienta usar, qué no se escribe nunca (nombres, RUT, diagnósticos, situación familiar) y por qué. La sección que sigue sirve como base.

Los apoderados, además, pueden ejercer los derechos de sus hijos como representantes legales (artículo 4°); cuáles son y en qué plazo se responden está en derechos ARCO con la Ley 21.719.

Lo que le toca al profesor: lo que escribe

La herramienta la decide el colegio. Lo que se escribe en ella, lo decide cada profesor. Una frase como la del informe que vio Paula trae más de lo que parece:

Ejemplo. «Tomás Muñoz Soto, 8 años, diagnóstico de TEA, está en el programa de integración, sus papás se separaron este año y desde entonces se distrae mucho…».

Para la ley, esa frase trae cuatro cosas distintas:

• Un nombre completo. Es un dato personal: identifica a Tomás.
• Ocho años. Tomás es un niño para la ley (artículo 16 quáter).
• Un diagnóstico, y estar en el programa de integración, que suele revelar uno. Son datos de salud, sensibles.
• La separación de sus papás. Es la vida privada de una familia, con datos de otras dos personas que no tienen nada que ver con el informe.

Lo que un profesor sí puede pegar:

• Observaciones de aprendizaje y conducta, contadas como hechos: «participa más cuando trabaja en grupos chicos», «le cuesta terminar las guías largas», «ha avanzado en lectura desde julio».
• Su propio borrador, para que la IA lo ordene, lo acorte o le corrija la redacción.
• El formato del informe y el tono: cálido, breve, en segunda persona hacia la familia.

Lo que conviene dejar fuera:

• El nombre, el RUT y lo que lo reemplace. «El alumno que llegó en marzo del otro colegio» identifica igual que el nombre si en el curso hay uno solo. La ley considera identificable a quien puede reconocerse directa o indirectamente (artículo 2°, letra f).
• Diagnósticos, medicamentos, terapias, informes de especialistas. Si el informe tiene que contar los apoyos, se le pide a la IA el párrafo en general («recibe apoyo en sala dos veces por semana») y el detalle se completa en el documento. El dato de salud está en el colegio para dar apoyos, no para viajar a cualquier herramienta.
• La situación familiar: separaciones, cesantía de un apoderado, problemas en la casa.
• Datos de otros alumnos: «se pelea con Matías» trae a Matías al informe de otro.

Ejemplo. Antes: «Tomás Muñoz, TEA, en el programa de integración, se distrae mucho desde que sus papás se separaron». Después: «Alumno de 3° básico. Se distrae en actividades largas y rinde mejor con instrucciones cortas. Ha mostrado avances en lectura desde julio y le gusta ayudar a sus compañeros. Redacta un párrafo cálido para el informe de desarrollo personal, dirigido a la familia». El nombre lo pone el profesor en el documento final.

El segundo mensaje le da a la IA todo lo que necesita para escribir un buen párrafo. Lo que se sacó no mejoraba el texto: sólo exponía a Tomás. Y esta forma de escribir sirve con cualquier herramienta, también mientras el colegio no tenga una contratada. Una guía para cualquier trabajo está en qué no compartir con la IA en el trabajo.

Dónde entra Plumii

Plumii es un chat de IA que un colegio puede contratar para sus profesores, con contrato de encargo y una regla por tipo de dato que fija quien lo administra: con la plantilla de partida, nombres, RUT, correos, teléfonos y direcciones se tapan antes de llegar al modelo. Queda un registro de uso, sin las conversaciones, que el colegio puede mostrar si le preguntan cómo usa la IA. Pero el filtro no reconoce los datos sensibles: si un profesor escribe «Tomás Muñoz tiene TEA», el modelo recibe «{NAME} tiene TEA». El diagnóstico llega; lo que Plumii logra es que llegue sin el nombre. La regla de no escribirlo sigue siendo del colegio, y el hábito, de cada profesor. Mira cómo funciona y los planes.

Las personas, empresas y situaciones de este artículo son ficticias: las inventamos para explicar la ley, y cualquier parecido con un caso real es coincidencia. Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.