Busque la expresión “Inteligencia Artificial” en la Ley 21.719, más conocida como Ley de Datos Personales. No aparece. Ni una vez. Tampoco “algoritmo”, ni “modelo de lenguaje”, ni “aprendizaje automático”.
Y, sin embargo, cuando entre en vigencia el 1 de diciembre de este año, será probablemente una de las normas que más condicione el uso cotidiano de IA en las empresas chilenas. Bastante más, al menos en el corto plazo, que el proyecto de ley de IA que sigue su tramitación en el Congreso.
La explicación es simple y algo incómoda: una parte importante de los usos empresariales de IA involucra tratamiento de datos personales, muchas veces sin que quienes utilizan estas herramientas sean conscientes de ello.
Empecemos por el uso más simple y cotidiano. Una ejecutiva pega una lista de clientes morosos en una IA para redactar correos de cobranza. Nadie ve nada raro. Bajo la Ley 21.719 esa acción puede activar simultáneamente varias obligaciones: debe existir una base de licitud para tratar esos datos; debe determinarse la relación jurídica con el proveedor de IA y, si actúa como encargado, contar con el contrato correspondiente; y, si los datos se transfieren fuera de Chile, deben cumplirse además las reglas de transferencia internacional.
Varias obligaciones distintas, ninguna de ellas evidente para quien solo quería ahorrarse veinte minutos. Multiplique esto por la cantidad de personas que en su organización usan IA sin que TI lo sepa y tendrá dimensionado el problema. El riesgo mayor puede no estar en los sistemas que la empresa compró oficialmente, sino en las herramientas que los empleados utilizan por su cuenta.
La ley reconoce el derecho del titular a oponerse y a no ser objeto de decisiones basadas en tratamiento automatizado —incluida la elaboración de perfiles— cuando esas decisiones producen efectos jurídicos o lo afectan significativamente. Además, contempla garantías como obtener una explicación sobre la decisión, solicitar intervención humana, expresar su punto de vista y solicitar la revisión de la decisión.
“Significativamente” quiere decir que no hablamos solo de otorgar o negar un crédito. También podrían entrar aquí, dependiendo de sus consecuencias, un filtro automático de currículums, un sistema que determine el acceso a determinados beneficios o productos, o una herramienta que priorice solicitudes de una manera que tenga efectos relevantes para las personas.
Hay además una diferencia importante con el reglamento europeo. El artículo 22 del RGPD habla de decisiones basadas “únicamente” en tratamiento automatizado. La ley chilena no utiliza esa palabra: habla simplemente de decisiones basadas en tratamiento automatizado que produzcan efectos jurídicos o afecten significativamente al titular.
Por eso, poner a un humano al final del proceso no necesariamente basta para sacar esa decisión del ámbito de la norma. Y, aunque la ley chilena no define qué debe entenderse por una intervención humana suficiente, parece difícil sostener que existe un control humano efectivo si un supervisor se limita a aprobar mecánicamente cientos de decisiones generadas por el sistema. Es un sello de goma con sueldo.
Hay un detalle que agregamos en Chile y que resulta particularmente relevante: la situación socioeconómica está incluida en la lista de datos personales sensibles del artículo 2 letra g, junto al origen étnico o racial, la salud, los datos biométricos y la orientación sexual.
Piense en lo que eso significa para modelos que segmentan clientes por capacidad de pago, estiman ingresos a partir del comportamiento de consumo o infieren nivel socioeconómico desde variables como el lugar de residencia. En principio, estamos frente al tratamiento de un dato sensible, cuya regla general es el consentimiento expreso.
Sin embargo, la ley establece expresamente que pueden tratarse sin consentimiento los datos relativos a obligaciones de carácter económico, financiero, bancario o comercial, conforme a las reglas del Título III, incluyendo en ese contexto los referidos a la situación socioeconómica del titular.
Y como es sabido, buena parte del marketing analítico chileno utiliza variables asociadas al nivel socioeconómico. No es casualidad que ya exista un proyecto de ley en trámite que propone, entre otras modificaciones, eliminar esa categoría de la definición de dato sensible. Pero, mientras esa modificación no se apruebe, la situación socioeconómica forma parte del texto de la Ley 21.719 que entrará en vigencia el 1 de diciembre.
Qué debería tener una empresa en orden según la Ley de Datos Personales
La ley no se satisface solo con buenas intenciones. En muchos casos el responsable tendrá que ser capaz de acreditar cómo cumple sus obligaciones: cuál es la finalidad del tratamiento, cuál es su base de licitud, qué medidas de seguridad adoptó, qué terceros intervienen y qué procedimientos existen para responder a los titulares. Traduciendo esto a una lista simple para empezar el levantamiento en su lugar de trabajo:
-Inventario de usos de IA: Qué herramientas se usan, quién las usa, qué datos entran y para qué se utilizan.
-Base de licitud identificada por uso: Antes de usar datos personales tienes que saber qué fundamento jurídico autoriza ese tratamiento concreto. Puede ser consentimiento, cumplimiento de un contrato, obligación legal, interés legítimo u otra fuente permitida por la ley. En el caso del interés legítimo, además, debe evaluarse que éste no afecte los derechos y libertades del titular y la organización debe ser capaz de identificar e informar cuál es ese interés. No basta con decidir después que “seguro había una razón válida”.
-Contratos de encargo con los proveedores que actúen como encargados: Si otra empresa procesa datos por cuenta de la organización y siguiendo sus instrucciones (por ejemplo, determinados proveedores tecnológicos o de IA) debe regularse esa relación mediante el correspondiente contrato de encargo. En herramientas de IA conviene determinar expresamente qué puede hacer el proveedor con los datos ingresados, durante cuánto tiempo los conserva, qué subencargados utiliza y si puede emplearlos o no para desarrollar o entrenar sus sistemas.
-Evaluación de impacto previa: Antes de iniciar tratamientos que probablemente impliquen un alto riesgo para los derechos de las personas, la empresa debe evaluar sus riesgos y las medidas para mitigarlos. La ley exige esta evaluación, entre otros casos, cuando existe una evaluación sistemática y exhaustiva de aspectos personales basada en tratamientos o decisiones automatizadas (como la elaboración de perfiles) que produzca efectos jurídicos significativos; ante tratamientos masivos o a gran escala; monitoreo sistemático de zonas de acceso público; y determinados tratamientos de datos sensibles efectuados bajo excepciones al consentimiento.
-Canal para ejercer derechos: Las personas deben tener una forma sencilla y efectiva de ejercer derechos como acceso, rectificación, supresión, oposición, portabilidad y bloqueo cuando corresponda. Además, frente a determinadas decisiones automatizadas, el titular puede exigir información sobre la decisión, solicitar intervención humana, expresar su punto de vista y solicitar su revisión.
-Política de uso de IA acompañada de controles reales: No basta con escribir “no suban datos sensibles a ChatGPT” en un PDF de la intranet. La ley exige medidas técnicas y organizativas adecuadas al riesgo. Eso puede traducirse, según el caso, en restricciones de acceso, configuración de herramientas autorizadas, cifrado, controles sobre qué información puede cargarse y procedimientos internos para utilizar servicios de IA.
-Capacidad para detectar y gestionar brechas de seguridad: Si existe destrucción, filtración, pérdida, alteración, comunicación o acceso no autorizado a datos personales y ello genera un riesgo razonable para los derechos y libertades de los titulares, el responsable debe reportarlo a la Agencia por los medios más expeditos posibles y sin dilaciones indebidas. La Ley 21.719 no establece como regla general un plazo de 72 horas, como sí ocurre en el RGPD europeo.
-Delegado de protección de datos cuando corresponda o cuando la organización decida implementarlo: El delegado asesora, supervisa el cumplimiento y puede actuar como punto de contacto con los titulares y con la Agencia. A diferencia del régimen europeo, la Ley 21.719 no establece una obligación general de nombrarlo simplemente por realizar tratamientos a gran escala: señala que el responsable podrá designarlo. Sin embargo, su designación sí forma parte de los programas certificados de cumplimiento previstos por la propia ley.
