Felipe es el jefe de TI de una corredora de propiedades en Viña del Mar. En la reunión de los lunes, el gerente le pregunta algo que nadie le había preguntado: «Cuando los corredores le piden a la IA que redacte una promesa de compraventa con los datos del comprador, ¿dónde quedan esos datos?». Felipe sabe la respuesta y no le gusta: en un servidor fuera de Chile, de una empresa con la que la corredora no tiene ningún contrato.
Mandar datos personales a otro país para que alguien los procese es lo que la ley trata como transferencia internacional. La ley no la prohíbe. Le pone condiciones, en los artículos 27 y 28.
Primero, que el tratamiento sea lícito
El artículo 27 parte con una frase que se pasa por alto: las transferencias son lícitas «cumpliéndose los requisitos que, de conformidad a esta ley, autorizan al tratamiento de datos». Es decir, antes de pensar en el país de destino, el uso tiene que tener su base de licitud, respetar la finalidad y limitarse a lo necesario. Si eso falla, el destino da lo mismo. Los conceptos están en el artículo pilar.
Las tres vías habituales
Cumplido lo anterior, el artículo 27 admite la transferencia en cualquiera de estos casos:
a) A un país adecuado. Cuando quien recibe los datos está sujeto a las leyes de un país que, según la Agencia, tiene un nivel adecuado de protección. El artículo 28 dice que un país es adecuado cuando sus estándares son similares o superiores a los de la ley chilena, y le encarga a la Agencia determinarlo fundadamente y publicar la lista en su sitio web.
b) Con cláusulas contractuales u otros instrumentos. Cuando la transferencia está amparada por cláusulas contractuales, normas corporativas vinculantes u otros instrumentos jurídicos entre quien envía y quien recibe —sea otro responsable o un encargado—, con garantías adecuadas. El artículo 28 define esas garantías: principios, derechos y garantías similares o mayores a los de la ley, y en particular derechos exigibles y acciones legales efectivas para las personas. La Agencia puede aprobar cláusulas modelo; si usas una aprobada, no necesitas otra garantía ni autorización.
c) Con un modelo de cumplimiento o certificación que ambas partes adopten y que contenga garantías adecuadas.
Para grupos de empresas que operan con los mismos estándares, el artículo 28 permite normas corporativas vinculantes aprobadas previamente por la Agencia. Y cuando nada de lo anterior aplica, la Agencia puede autorizar un caso particular por resolución fundada.
Las excepciones, para casos puntuales
Si no hay país adecuado ni garantías, el artículo 27 permite una transferencia específica y no habitual en casos como: consentimiento expreso de la persona para esa transferencia determinada; que sea necesaria para un contrato con ella o para medidas precontractuales que pidió; transferencias bancarias, financieras o bursátiles específicas conforme a sus leyes; o medidas urgentes en materia médica o sanitaria.
La palabra que importa es «no habitual». Que cada corredor pegue datos de compradores en un asistente de IA todos los días es lo contrario de una transferencia puntual.
Por qué casi todo asistente de IA es una transferencia internacional
Los modelos de IA que usan los asistentes más conocidos corren en centros de datos fuera de Chile. Cada mensaje viaja, se procesa allá y vuelve. Si el mensaje tiene datos personales —el nombre del comprador, su RUT, su dirección—, esos datos salieron de Chile.
Ejemplo. Un corredor de Felipe pega en un chat de IA gratuito: «Redacta una promesa de compraventa entre Claudia Muñoz, RUT 15.432.876-5, domiciliada en Avenida Libertad 1234, y la inmobiliaria…». Ese texto completo se procesó en otro país, sin un contrato de la corredora con el proveedor y sin garantías que la corredora pueda mostrar.
Qué tiene que tener tu empresa
- Saber qué datos salen y hacia dónde. Proveedor por proveedor, incluida la IA.
- Un contrato con el proveedor, que cubra el encargo (qué tiene que decir) y, si el destino no es un país adecuado, cláusulas con garantías adecuadas.
- Decirlo en la política de privacidad. El artículo 14 ter, letra h, pide informar si los datos se transfieren a otro país, si ese país tiene un nivel adecuado de protección y, si no lo tiene, qué garantías justifican la transferencia.
- Poder acreditarlo. El último inciso del artículo 28 dice que corresponde a quien hizo la transferencia acreditar ante la Agencia que la hizo conforme a la ley.
La Agencia fiscaliza estas transferencias y, en casos calificados, puede suspender temporalmente el envío de datos (artículo 29). Hacerlas contra las reglas de la ley es infracción grave (artículo 34 ter, letra m), y gravísima si es a sabiendas (artículo 34 quáter, letra h).
Mandar menos también cuenta
Hay una forma de bajar el problema que no depende de contratos: que salga menos. Si al modelo le llega «Redacta una promesa entre {NAME}, RUT {rut}, y la inmobiliaria», el nombre y el RUT del comprador no cruzaron la frontera.
Eso hace Plumii, y lo dice de frente: los modelos y el filtro corren en la nube, fuera de Chile, con un proveedor bajo contrato que no puede usar lo que se escribe para entrenar. Para la ley, es una transferencia internacional. Antes de que el mensaje salga, la regla de tu empresa tapa nombres, RUT, correos, teléfonos, direcciones y patentes, y bloquea tarjetas y contraseñas. Lo que el filtro no reconoce —un dato raro o mal escrito, o un dato sensible como un diagnóstico— pasa igual. En una empresa, el registro de uso guarda qué dato fue, visible sólo para quien la empresa designe, para poder avisarle a esa persona que su dato salió de Chile. Mira cómo funciona.
Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.