IA y protección de datos en Chile: guía para pymes
Respuesta corta: La Ley 21.719, publicada en diciembre de 2024, entra en vigencia el 1 de diciembre de 2026 y moderniza por completo la protección de datos personales en Chile: reemplaza el marco de la antigua Ley 19.628, crea la Agencia de Protección de Datos Personales como fiscalizador con poder sancionatorio y aplica a toda empresa que trate datos personales, sin importar su tamaño. Para una pyme que usa herramientas de IA esto importa porque los nombres, RUT, correos, teléfonos e historiales de compra de tus clientes son datos personales: si los pegas en un chatbot o los conectas a un agente sin resguardos, sigues siendo responsable de ese tratamiento. Las multas van desde amonestaciones y hasta 5.000 UTM por infracciones leves, hasta 10.000 UTM por graves y hasta 20.000 UTM por gravísimas. Lo mínimo que debes hacer antes de diciembre: inventariar qué datos tratas y con qué base legal, revisar qué hacen tus proveedores de IA con esos datos, minimizar la información que entregas a estas herramientas, y definir cómo responderás a solicitudes de acceso, rectificación o supresión de tus clientes.
Si tu pyme usa cualquier herramienta de IA —un chatbot de WhatsApp, un asistente que redacta correos, un agente que agenda horas— y esa herramienta toca datos de clientes, este tema te afecta directamente. Y el calendario corre: la nueva ley de datos personales entra en vigencia el 1 de diciembre de 2026.
¿Qué cambia con la Ley 21.719?
Chile tenía una ley de datos antigua (la 19.628, de 1999) que en la práctica casi no se fiscalizaba. La Ley 21.719 cambia el escenario en tres puntos clave:
- Crea la Agencia de Protección de Datos Personales, un organismo con facultades reales para fiscalizar, investigar y sancionar.
- Amplía los derechos de las personas sobre sus datos: acceso, rectificación, supresión, oposición y portabilidad, entre otros.
- Establece multas concretas: hasta 5.000 UTM por infracciones leves, hasta 10.000 UTM por graves y hasta 20.000 UTM por gravísimas, con agravantes por reincidencia.
La ley aplica a toda organización que trate datos personales, sin importar su tamaño. No existe una excepción para pymes.
¿Qué tiene que ver la IA con esto?
Cada vez que una herramienta de IA recibe información de una persona identificable, estás “tratando datos personales” en el sentido de la ley. Ejemplos cotidianos en una pyme:
- Pegar la planilla de clientes en un chat de IA para “que la ordene”.
- Un agente de WhatsApp que guarda nombre, teléfono y consultas de cada cliente.
- Un asistente que lee tus correos para redactar respuestas.
- Una herramienta que digitaliza facturas con RUT y datos de proveedores.
En todos esos casos tu empresa sigue siendo la responsable del tratamiento, aunque la herramienta sea de un tercero. Si el proveedor de IA usa esos datos para entrenar sus modelos o los almacena sin resguardos, el problema frente a tus clientes es tuyo.
¿Qué datos maneja tu pyme sin darse cuenta?
| Dato | ¿Es dato personal? | Riesgo típico con IA |
|---|---|---|
| Nombre y RUT de clientes | Sí | Pegarlo en chats de IA sin contrato con el proveedor |
| Teléfono y correo | Sí | Agentes de WhatsApp o correo que los almacenan sin control |
| Historial de compras | Sí (asociado a una persona) | Usarlo para perfilar clientes sin base legal |
| Datos de salud, deudas o afiliaciones | Sí, y son sensibles | Exigen resguardos mucho más estrictos |
| Cifras de venta agregadas, sin personas identificables | No | Riesgo bajo: es la forma segura de analizar con IA |
La última fila es la pista más útil: mientras más anonimizada y agregada esté la información que le entregas a una IA, menor es tu exposición legal.
¿Qué debe hacer una pyme antes de diciembre de 2026?
No necesitas un departamento legal. Necesitas orden:
- Inventaria tus datos. Anota qué datos personales guardas, dónde (planillas, CRM, WhatsApp) y para qué los usas.
- Define la base legal de cada uso. ¿El cliente consintió? ¿Es necesario para ejecutar el contrato o la venta? Si no puedes responder, ese uso está en duda.
- Revisa tus herramientas de IA. Antes de conectar datos de clientes, lee qué dice el proveedor sobre uso de datos, entrenamiento de modelos y ubicación de servidores. En /articulos/elegir-proveedor-ia-checklist/ tienes una pauta completa.
- Minimiza. Configura tus agentes para que pidan y guarden solo lo indispensable. Un bot que agenda horas no necesita el RUT.
- Prepara respuestas a solicitudes. Un cliente podrá pedirte ver, corregir o borrar sus datos. Define quién responde y en qué plazo.
- Ten un plan ante brechas. Si se filtran datos, la ley exige notificar a la autoridad. Saber a quién avisar y qué registrar te ahorra improvisar en crisis.
¿Esto significa que no debo usar IA?
No. Significa que debes usarla con criterio. La mayoría de los usos de IA en una pyme —redactar, resumir, responder preguntas frecuentes, ordenar procesos— no requiere exponer datos personales, o requiere muy pocos. El error no es usar IA: es tratarla como un buzón sin consecuencias donde se pega cualquier cosa. Sobre eso hay reglas simples que todo tu equipo debería conocer: revísalas en /articulos/que-no-compartir-con-ia/.
Para cerrar: tu checklist mínimo
- Haz hoy el inventario de datos personales que maneja tu negocio.
- Elige un responsable interno del tema, aunque sea a tiempo parcial.
- Revisa las condiciones de datos de cada herramienta de IA que ya usas.
- Anonimiza antes de analizar: es gratis y elimina la mayor parte del riesgo.
Quedan pocos meses para la entrada en vigencia. Partir ahora, con pasos chicos, es mucho más barato que reaccionar a una fiscalización después.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719 de protección de datos en Chile?
El 1 de diciembre de 2026. Fue publicada en el Diario Oficial el 13 de diciembre de 2024 y reemplaza el marco de la antigua Ley 19.628. Desde esa fecha la Agencia de Protección de Datos Personales puede fiscalizar y sancionar.
¿La ley de protección de datos aplica a las pymes o solo a empresas grandes?
Aplica a toda organización, pública o privada, que trate datos personales en Chile, sin importar su tamaño. Una pyme con una planilla de clientes ya está tratando datos personales y queda cubierta por la ley.
¿Qué multas arriesga una pyme por mal manejo de datos personales?
La ley contempla multas de hasta 5.000 UTM por infracciones leves, hasta 10.000 UTM por graves y hasta 20.000 UTM por gravísimas, además de sanciones accesorias. En caso de reincidencia de empresas de mayor tamaño, puede llegar a un porcentaje de los ingresos anuales.
¿Puedo subir datos de mis clientes a ChatGPT u otra herramienta de IA?
Solo si tienes una base legal para ese tratamiento y el proveedor te da garantías sobre qué hace con los datos. La práctica segura es minimizar: anonimiza o elimina nombres, RUT y contactos antes de usar una IA, salvo que tengas un contrato que regule el tratamiento.
Fuentes oficiales
- Ley 21.719 - Regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales (Biblioteca del Congreso Nacional)
- Historia de la Ley 21.719 - Biblioteca del Congreso Nacional
- Guía práctica para la implementación de la nueva Ley de Protección de Datos Personales - Secretaría de Gobierno Digital