Datos personales e IA: la nueva ley chilena

Cristóbal Villalobos 19 de octubre de 2026 7 min de lectura

Casi todo proyecto de inteligencia artificial (IA) empieza con datos, y en muchos casos esos datos son personales: nombres, correos, historiales de compra, reservas, imágenes de rostros, fichas de pacientes. Chile está por estrenar una nueva ley de protección de datos personales, la Ley 21.719, que cambia las reglas para quien los recopila y los usa. Este artículo resume qué cambia, qué significa para una pyme que quiere usar IA y qué conviene ordenar desde ya. No es asesoría jurídica: para decisiones concretas conviene consultar a un abogado.

Dónde está la ley hoy

La Ley 21.719 se publicó el 13 de diciembre de 2024, reemplaza la antigua Ley 19.628 sobre protección de la vida privada y crea la Agencia de Protección de Datos Personales, la autoridad que fiscalizará su cumplimiento. Según su texto transitorio, entra en vigencia el 1 de diciembre de 2026, como recoge el resumen de la Academia Judicial.

Esa fecha puede moverse. A comienzos de septiembre de 2026 el Ejecutivo ingresó al Senado un proyecto (boletín 18.623-07) para aplazarla hasta el 1 de diciembre de 2027. A mediados de octubre, según una guía jurídica de Global Suite Solutions, seguía en primer trámite, en la Comisión de Constitución, sin votación. Mientras no se apruebe y se publique en el Diario Oficial, la fecha legal sigue siendo diciembre de 2026. Antes de tomar decisiones, revisa el estado del proyecto en el sitio del Senado.

También hay un dato institucional que explica la incertidumbre: el Senado rechazó en mayo de 2026 la terna de consejeros de la Agencia por no alcanzar los dos tercios, de modo que el organismo todavía no tenía su consejo directivo.

Qué cambia para quien usa datos personales

Según los resúmenes jurídicos consultados, entre ellos el de la firma AZ, la ley mantiene los derechos de acceso, rectificación, supresión, bloqueo y oposición, y agrega la portabilidad de los datos y el derecho a oponerse a decisiones basadas únicamente en un tratamiento automatizado. Incorpora además nuevas bases para tratar datos, más allá de la ley y el consentimiento, y refuerza la protección de los datos de niñas, niños y adolescentes, los datos de salud y los biométricos. Regula las transferencias internacionales y establece obligaciones de cumplimiento para las organizaciones.

Las infracciones se clasifican en leves, graves y gravísimas. Las sanciones van desde la amonestación escrita hasta multas de alto monto (el resumen de AZ habla de hasta US$ 1,3 millones) y suben en caso de reincidencia. Para las empresas de menor tamaño hay un período de gracia: los resúmenes consultados señalan que durante los primeros doce meses la Agencia puede sancionarlas con amonestación en lugar de multa. Es una gracia, no una exención: las obligaciones existen igual.

Qué es un dato personal en un proyecto de IA

La definición es amplia: cualquier información sobre una persona identificada o que se puede identificar. En proyectos de IA eso incluye más que el nombre y el RUT:

• Registros de clientes y reservas, aunque no tengan nombre, si se pueden cruzar con otros datos.
• Imágenes y videos donde se ve a personas, como cámaras de seguridad o fotos de visitantes.
• Voz y texto: grabaciones de llamadas, mensajes a un asistente conversacional, reseñas firmadas.
• Datos de ubicación y de dispositivos de empleados o clientes.
• Datos de salud y biométricos, que reciben protección reforzada.

Un punto práctico: cuando alimentas una herramienta de IA de terceros con datos de tus clientes, estás entregándoselos a otra organización. Conviene saber dónde se procesan, si se usan para entrenar el modelo del proveedor y qué dice el contrato.

Cuatro ideas que conviene tener claras

1. Finalidad. Los datos se recogen para un propósito concreto. Si juntaste correos para enviar una confirmación de reserva, usarlos para entrenar un modelo comercial es otro propósito y necesita su propia justificación.
2. Minimización. Usa solo los datos que necesitas. Muchos modelos de pronóstico funcionan con datos agregados (reservas por día) y no requieren identificar a nadie.
3. Transparencia. Las personas deben poder saber qué datos tuyos se tratan y para qué. Una política de privacidad clara no es un trámite: es la base para responder cuando alguien ejerce sus derechos.
4. Decisiones automatizadas. Si un sistema decide por sí solo algo que afecta a una persona (aprobar un crédito, filtrar un currículum, fijar un precio personalizado), la ley le da derecho a oponerse. Conviene que siempre exista una persona que pueda revisar esas decisiones.

Lista de pasos para una pyme

1. Haz un inventario: qué datos personales tienes, dónde están, quién accede y para qué se usan.
2. Revisa la base legal de cada uso: consentimiento, contrato, obligación legal u otra que la ley reconozca.
3. Actualiza tu política de privacidad y los avisos en formularios y reservas, en lenguaje simple.
4. Revisa a tus proveedores de IA: contrato, lugar de procesamiento, uso de tus datos para entrenar y medidas de seguridad.
5. Define cómo atenderás solicitudes de acceso, corrección o eliminación: un correo de contacto, un responsable y un plazo interno.
6. Prepara un plan ante filtraciones: quién avisa a quién, y cómo se corrige.

Qué se discute sobre regulación de IA

La protección de datos es solo una parte del marco. En agosto de 2025 la Cámara de Diputadas y Diputados aprobó en general un proyecto de ley que regula la IA, con principios rectores, una clasificación por niveles de riesgo y una institucionalidad fiscalizadora. Fuentes posteriores sugieren que ya habría pasado al Senado, pero no pude confirmar su estado actual: consulta la ficha del boletín 16821-19 en el sitio del Congreso antes de citarlo.

Lo importante para quien construye soluciones es que las dos discusiones se tocan: un sistema de IA de alto riesgo que usa datos sensibles tendrá que cumplir ambas cosas.

La ética como tema transversal en CIATI

CIATI se realizará el 8 y 9 de abril de 2027 en La Serena y Coquimbo, con cuatro ejes de aplicación: minería, agricultura y escasez hídrica, turismo y servicios, y salud. Sobre los cuatro corre una discusión común: privacidad, sesgos, transparencia, supervisión humana e impacto en el trabajo. Si tu organización ya está probando estas reglas en la práctica, puedes postular como expositor, y si quieres asistir, la preinscripción es gratuita.

Si te interesa cómo se aplican estas ideas a un caso concreto, lee también nuestro artículo sobre IA y astroturismo para pymes, donde se explica por qué los datos de los visitantes requieren consentimiento.

Fuentes

• Ley 21.719: resumen de la Academia Judicial (el texto oficial está en la Biblioteca del Congreso Nacional)
• Nueva ley de datos personales en Chile (AZ)
• Claves del proyecto que posterga la ley (Global Suite Solutions)
• Cámara apoyó en general la regulación de la inteligencia artificial (Cámara de Diputadas y Diputados, 4 de agosto de 2025)

Los datos corresponden a las fuentes indicadas a octubre de 2026. Las fechas de vigencia y los proyectos de ley pueden cambiar: confirma siempre en el Diario Oficial y en el sistema de tramitación del Congreso. Este artículo es informativo y no reemplaza la asesoría de un abogado.

¿Quieres asistir a las ponencias de CIATI 2027?

Reserva tu cupo presencial gratuito en La Serena y Coquimbo.

Reservar Mi Entrada Gratuita