Ignacio es el único de TI en una empresa de transportes de Calama, con 80 personas entre la oficina y los conductores. La gerencia le pidió «una política de IA» para antes de diciembre. Encontró tres plantillas en internet: una de doce páginas, otra que prohíbe todo y una tercera que dice «usar la IA con responsabilidad». Ninguna le dice qué hacer el lunes.
Este artículo es para quien tiene que convertir la Ley 21.719 en reglas que la gente pueda seguir. No repite la ley entera: para eso está La Ley 21.719 y la IA. Se queda en lo práctico.
Una política que cabe en una página
Una política de uso de IA tiene que contestar cinco preguntas. Si contesta más, nadie la lee.
1. Con qué herramienta. Una, la de la empresa, con contrato de encargo firmado, porque la ley pide que quien trata datos por cuenta de la empresa lo haga bajo contrato (artículo 15 bis). Las cuentas personales quedan fuera para cualquier cosa que tenga datos de clientes, trabajadores o proveedores. Cómo elegirla está en este artículo.
2. Qué datos sí, cuáles se tapan y cuáles nunca. Tres listas, por tipo de dato:
| Pasa | Se tapa antes de enviar | No se envía nunca |
|---|---|---|
| Datos de la empresa, productos, procesos, textos sin personas | Nombres, RUT, correos, teléfonos, direcciones, patentes | Contraseñas y claves, números de tarjeta, datos sensibles (salud, afiliación sindical, situación socioeconómica y los demás que define la ley) |
La tercera columna sale de la ley y del sentido común: los datos sensibles son los que la ley más protege (artículo 2°, letra g, y artículos 16 a 16 sexies), y una contraseña nunca le sirve a una tarea de redacción.
3. Quién decide. Una persona que administra la herramienta y puede cambiar las reglas, y otra —puede ser la misma en una empresa chica— a quien se le avisa si algo sale mal.
4. Qué hacer si alguien pega algo de más. Avisar ese mismo día, sin miedo a castigo. La empresa puede tener que evaluar si hay una vulneración que reportar a la Agencia (artículo 14 sexies), y sólo puede hacerlo si se entera. Qué viene después está en este artículo.
5. Cada cuánto se revisa. Las reglas se ajustan con el uso. El artículo 14 quinquies incluye, entre las medidas de seguridad, un proceso de verificación y evaluación regular de que las medidas funcionan.
Del documento a la regla
Una política escrita depende de que cada persona se acuerde de ella en el momento de escribir. La ley pide algo más: el artículo 14 quáter obliga a aplicar medidas técnicas y organizativas para que, por defecto, sólo se traten los datos estrictamente necesarios.
Esa es la diferencia entre decir «no pegues RUT» y que la herramienta los tape sola. La segunda funciona aunque el conductor esté apurado a las siete de la mañana.
Pero ninguna herramienta reconoce todo. Un filtro puede reconocer un RUT o un correo; un diagnóstico médico o una deuda contada con palabras propias son más difíciles. Por eso la política y la herramienta se complementan: la herramienta aplica lo que puede reconocer, y la política y la capacitación cubren el resto.
Ejemplo. Ignacio configura la herramienta para tapar nombres, RUT, correos, teléfonos, direcciones y patentes, y bloquear tarjetas y contraseñas. En la política escribe, aparte, lo que la herramienta no ve: «No escribas diagnósticos, licencias médicas ni deudas de personas. Si necesitas ayuda con un caso así, describe la situación sin datos».
Cómo se vuelve obligatoria
Una política que nadie firmó es una recomendación. La ley da una pista de cómo hacerla exigible. Si la empresa adopta un modelo de prevención de infracciones, el artículo 49 pide que sus reglas se incorporen como obligación en los contratos de trabajo o de prestación de servicios, o en el reglamento interno de la empresa, con su debida publicidad. Ese modelo es voluntario, pero la forma sirve igual: que la política esté en el reglamento interno y que se entregue con una capacitación corta.
Lo que la política no debería hacer
Prohibir todo. La IA ya se usa. Una prohibición total no la elimina: la vuelve invisible, con cuentas personales que la empresa no ve.
Leer las conversaciones de la gente. Controlar no es vigilar. El Código del Trabajo obliga al empleador a mantener reserva de la información y los datos privados del trabajador (artículo 154 bis). Lo que la empresa necesita saber es quién usó la herramienta, cuándo y qué tipo de datos salieron, no qué escribió cada persona.
Quedarse en el papel. Si la empresa no da una herramienta, la política no tiene cómo cumplirse.
Lo que hace Plumii
En Plumii, quien administra la empresa pone una regla por tipo de dato —se tapa, se bloquea o pasa—, partiendo de una plantilla pensada para la Ley 21.719: se tapan nombres, RUT, correos, teléfonos, direcciones y patentes, y se bloquean tarjetas y contraseñas. El registro muestra quién envió cada mensaje, cuándo y qué datos traía, sin las conversaciones, que ni quien administra puede leer. El filtro no reconoce los datos sensibles; para eso está la política, y Plumii además capacita a los colaboradores para usar la IA con cuidado. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.