La Ley 21.719, publicada en el Diario Oficial el 13 de diciembre de 2024, entra en vigencia el 1 de diciembre de 2026 y establece un nuevo estándar de protección de datos personales en Chile. Si tu empresa está implementando IA, debes conocer sus implicancias hoy.
¿Qué cambia con la Ley 21.719?
La nueva ley modifica en profundidad la Ley 19.628 —que pasa a llamarse "sobre protección de los datos personales"—, crea la Agencia de Protección de Datos Personales y acerca a Chile a estándares como el GDPR europeo. Los cambios más relevantes para empresas que usan IA:
- Bases de licitud ampliadas: consentimiento explícito, interés legítimo y contrato son las principales.
- Derechos ARCO+P obligatorios: Acceso, Rectificación, Cancelación, Oposición y Portabilidad. Tu empresa debe responder cada solicitud dentro de 30 días corridos, prorrogables una sola vez por otros 30 (art. 11).
- Reporte de vulneraciones de seguridad: deben informarse a la Agencia de Protección de Datos Personales por los medios más expeditos posibles y sin dilaciones indebidas, cuando exista un riesgo razonable para los titulares (art. 14 sexies).
- Evaluaciones de impacto (EIPD): obligatorias para tratamientos de alto riesgo.
- Multas (art. 35): infracciones leves, amonestación escrita o hasta 5.000 UTM; graves, hasta 10.000 UTM; gravísimas, hasta 20.000 UTM. Si una empresa que no es de menor tamaño reincide en infracciones graves o gravísimas, la multa puede llegar al 2% o 4% de sus ingresos anuales, respectivamente.
IA y datos personales: los riesgos reales
Cuando implementas IA en tu empresa, frecuentemente procesas datos personales: nombres, RUTs, correos, historial de interacciones. Bajo la Ley 21.719 esto implica:
- Documentar qué datos procesa cada sistema de IA
- Asegurar que los modelos LLM no almacenen datos sensibles en sus servidores
- Implementar controles de acceso por rol y tenant
- Garantizar el derecho a eliminar datos (incluyendo en embeddings y vectores)
En Deep Query: Diseñamos la plataforma con Ley 21.719 como requisito de arquitectura, no como parche. El aislamiento multi-tenant con RLS en PostgreSQL garantiza que ningún usuario acceda a datos de otro tenant. Los derechos ARCO+P están implementados a nivel de API.
Ley Karin y ambientes laborales con IA
La Ley Karin (Ley 21.643) agrega una capa adicional: si usas IA para monitorear el ambiente laboral, analizar comunicaciones o evaluar desempeño, debes cumplir con sus disposiciones de confidencialidad y no discriminación.
Checklist de compliance IA para tu empresa
- ☐ Inventario de sistemas de IA y datos personales que procesan
- ☐ Bases de licitud documentadas para cada tratamiento
- ☐ Canal y procedimiento ARCO+P con respuesta dentro de 30 días corridos
- ☐ Contratos DPA con proveedores cloud (AWS, Google, Anthropic)
- ☐ Protocolo para reportar vulneraciones de seguridad a la Agencia sin dilaciones indebidas
- ☐ EIPD completada si tratas datos sensibles o biométricos
- ☐ Aislamiento de datos por tenant en sistemas multi-cliente
Fuentes
- Ley 21.719, que regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales — Biblioteca del Congreso Nacional (texto oficial).
- Ley 19.628, sobre protección de los datos personales — Biblioteca del Congreso Nacional.
Este artículo es informativo y no constituye asesoría legal.
¿Te ayudamos a implementar esto en tu empresa?
Agenda una conversación de 30 minutos. Sin costo, sin compromiso. Saldrás con claridad sobre el camino más corto al resultado.