El problema: tus clientes confían en ti con sus datos
Cada empresa en Chile maneja datos de clientes. Nombres, RUT, correos, teléfonos, direcciones, historiales de compra, preferencias. Estos datos son el activo más valioso de tu empresa y también el más expuesto.
Cuando adoptas IA en tu operación, el riesgo se multiplica. Un chatbot que responde consultas puede exponer datos de otros clientes si no está bien configurado. Un agente de IA que procesa correos puede guardar información sensible en un log que nadie monitorea. Un modelo de IA entrenado con datos de clientes puede memorizar información personal y reproducirla en una respuesta.
La Ley 21.719, vigente desde el 1 de diciembre de 2026, exige que las empresas protejan los datos personales de sus clientes. No es una sugerencia: es una obligación legal con multas que pueden llegar al 4% de la facturación anual.
El Boletín 18.623-07, que postergaría la vigencia al 1 de diciembre de 2027, fue aprobado en general por la Comisión de Constitución del Senado el 20 de octubre de 2026, pero no ha sido aprobado en pleno ni promulgado. La fecha legal vigente sigue siendo el 1 de diciembre de 2026. No cuentes con la postergación.
Lo que dicen los datos
SEK "Think Ahead" (2025): Chile enfrentó 8,8 billones de intentos de ciberataque en 2025. De ese total, 5 billones fueron escaneos activos (no ataques exitosos). La fuente primaria es SEK (Security Ecosystem Knowledge), reporte "Think Ahead" (datos 2025), publicado en rga.cl (Pulso/La Tercera) el 1 de julio de 2026. También atribuido a FortiGuard Labs/Fortinet.
Columna de opinión, BioBioChile (21 julio 2026): Un 16% de las brechas de seguridad involucran delincuentes que usan IA. Esta cifra proviene de una columna de opinión y no se pudo verificar la metodología ni la fuente primaria. Se trata como estimación no verificada.
Informe de Materialidad de Grandes Empresas (La Tercera, junio 2025): La escasez de talento y la irrupción de la IA son los principales desafíos para las empresas chilenas. La conclusión: las empresas saben que necesitan IA, pero no tienen el equipo para implementarla de forma segura.
Microemprendedoras IA (Fundación Luksic, mayo 2026): Encuesta a más de 15.000 mujeres emprendedoras. El 80% usa IA en su negocio y el 77% usa IA generativa. El dato revela que la adopción de IA es masiva, incluso entre microempresas, pero la seguridad de datos no siempre acompaña.
Los 7 riesgos de IA con datos de clientes
1. Chatbots que exponen datos de otros clientes
Un chatbot mal configurado puede responder preguntas sobre un cliente con información de otro. "¿Cuál es el estado de mi pedido?" puede devolver el pedido de otro cliente si el chatbot no filtra por identidad.
Cómo prevenirlo: El chatbot debe filtrar todas las consultas por la identidad del usuario autenticado. Nunca debe tener acceso a datos de otros clientes. Usa tokens de sesión y validación de identidad en cada consulta.
2. Logs que guardan información sensible
Los logs de tu aplicación guardan todo: consultas, respuestas, errores. Si un cliente envía su RUT o su número de tarjeta en un mensaje, ese dato queda en el log. Si el log no está protegido, cualquiera con acceso al servidor puede leerlo.
Cómo prevenirlo: Configura el logging para excluir datos sensibles (RUT, tarjetas, contraseñas). Encripta los logs en reposo. Limita el acceso a logs solo a personas autorizadas. Rota los logs periódicamente.
3. Modelos que memorizan datos de entrenamiento
Si entrenas un modelo de IA con datos de clientes, el modelo puede memorizar información personal y reproducirla en una respuesta. "¿Qué compró Juan Pérez?" puede devolver la compra real de Juan Pérez si el modelo la vio durante el entrenamiento.
Cómo prevenirlo: Anonimiza los datos antes de entrenar. Usa técnicas de differential privacy. Evalúa el modelo después del entrenamiento para detectar memorización. No entrenes con datos personales identificables si no es necesario.
4. APIs de terceros que guardan tus datos
Cuando envías datos a la API de OpenAI, Anthropic o Google, esos datos viajan a servidores en Estados Unidos. El proveedor puede guardarlos, usarlos para entrenar sus modelos o compartirlos con terceros. Aunque los proveedores dicen que no lo hacen, el riesgo existe.
Cómo prevenirlo: Si los datos son sensibles, no los envíes a APIs de terceros. Usa inferencia local (modelos que corren en tu propia infraestructura). Si usas APIs de terceros, anonimiza los datos antes de enviarlos. Lee los términos de servicio del proveedor.
5. Shadow AI: empleados que usan IA sin control
Tus empleados ya usan ChatGPT, Claude y Copilot en su trabajo diario. Lo hacen con datos de clientes: correos, documentos, hojas de cálculo. Nadie controla qué envían ni qué reciben. Esto es Shadow AI y es el riesgo más subestimado.
Cómo prevenirlo: Crea una política de uso de IA que defina qué herramientas están permitidas, qué datos se pueden enviar y qué no. Capacita a tu equipo. Proporciona herramientas de IA controladas (como Personnn) que mantienen los datos en tu infraestructura.
6. Consentimiento no válido
La Ley 21.719 exige que el tratamiento de datos personales se base en un consentimiento válido. Si un cliente te dio sus datos para un propósito (comprar un producto) y tú los usas para entrenar un modelo de IA, el consentimiento original no cubre ese uso.
Cómo prevenirlo: Actualiza tus políticas de privacidad para incluir el uso de IA. Obtén consentimiento explícito para usar datos en modelos de IA. Documenta el consentimiento con valor probatorio.
7. Falta de monitoreo
La mayoría de las empresas no monitorea qué datos de clientes se envían a herramientas de IA. Sin monitoreo, no sabes si hay un problema hasta que es demasiado tarde.
Cómo prevenirlo: Implementa monitoreo de uso de IA en tu empresa. Revisa periódicamente qué datos se envían a herramientas externas. Configura alertas para detectar patrones anómalos.
Los 5 principios de protección de datos con IA
1. Minimización
Solo usa los datos que necesitas. Si un modelo de IA necesita el nombre y el monto de una factura, no le envíes el RUT, la dirección y el historial de compras.
2. Anonimización
Antes de enviar datos a un modelo de IA, elimina o enmascara la información personal. Reemplaza nombres con identificadores, RUT con hashes, direcciones con códigos de zona.
3. Control de acceso
Solo las personas autorizadas deben tener acceso a los datos de clientes y a las herramientas de IA que los procesan. Implementa roles y permisos. Revisa accesos periódicamente.
4. Transparencia
Informa a tus clientes que usas IA para procesar sus datos. Incluye esta información en tu política de privacidad. Si un cliente pregunta, responde con claridad.
5. Auditabilidad
Mantén un registro de qué datos se enviaron a qué herramienta de IA, cuándo y por quién. Si hay un incidente, debes poder reconstruir qué pasó.
Checklist: ¿estás protegiendo los datos de tus clientes?
- Política de privacidad actualizada: ¿Tu política de privacidad menciona el uso de IA? ¿Incluye los propósitos específicos?
- Consentimiento válido: ¿Tienes consentimiento explícito para usar datos de clientes en IA?
- Datos anonimizados: ¿Anonimizas los datos antes de enviarlos a modelos de IA?
- Inferencia local: ¿Usas modelos que corren en tu propia infraestructura para datos sensibles?
- Logs protegidos: ¿Tus logs no contienen datos personales identificables?
- Shadow AI controlado: ¿Tienes una política de uso de IA para tus empleados?
- Monitoreo activo: ¿Monitoreas qué datos se envían a herramientas de IA?
- Equipo capacitado: ¿Tu equipo sabe cómo proteger datos al usar IA?
Si respondiste "no" a 3 o más preguntas, tienes trabajo por hacer.
Qué hace Personnn
Personnn tiene productos y servicios que ayudan a proteger los datos de tus clientes cuando usas IA:
Inference: Modelos de IA que corren en tu propia infraestructura. Los datos no salen de tu empresa. API compatible con OpenAI, así que puedes cambiar de proveedor sin cambiar tu código.
Verificador: Sistema de consentimiento digital con valor probatorio. Registra cuándo y cómo un cliente dio su consentimiento, con timestamp y hash verificable. Cumple con los requisitos de la Ley 21.719.
Servicios de seguridad: Auditoría de tu sitio y tu infraestructura para detectar claves expuestas, archivos sensibles, dependencias vulnerables y configuraciones inseguras. Diagnóstico pasivo que no toca tu servidor.
ModelForge (en construcción): Entrena modelos de IA con tus datos en tu propia infraestructura. Los datos no salen para el entrenamiento. Motor listo, autoservicio en construcción.
Para empezar, entra a personnn.com/servicios y pega la dirección de tu sitio. El diagnóstico es gratuito y no toca tu servidor.
Fuentes
- Ley 21.719: vigente desde el 1 de diciembre de 2026. Protección de datos personales en Chile. Fuente: tramitacion.senado.cl + varelaabogados.cl + boostify.cl + tline.cl. Verificado por web search (vuelta 16).
- Boletín 18.623-07: proyecto que posterga la vigencia al 1 de diciembre de 2027. Aprobado en general por Comisión de Constitución el 20 de octubre de 2026. NO aprobado aún. Fecha legal vigente: 1 dic 2026. Verificado por web search (vuelta 16).
- SEK "Think Ahead" (2025): 8,8 billones de intentos de ciberataque en Chile 2025. Fuente primaria: SEK (Security Ecosystem Knowledge). Publicado en rga.cl (Pulso/La Tercera) el 1 de julio de 2026. También atribuido a FortiGuard Labs/Fortinet. Verificado por web_fetch (vuelta 16).
- BioBioChile (21 julio 2026): columna de opinión sobre brechas de seguridad con IA. La cifra del 16% se trata como estimación no verificada. Verificado por web search (vuelta 16).
- Informe de Materialidad de Grandes Empresas. La Tercera, junio 2025. Escasez de talento + irrupción de IA. Verificado por web search (vuelta 16).
- Microemprendedoras IA. Fundación Luksic, encuesta mayo 2026, +15.000 mujeres. 80% usa IA, 77% IA generativa. Verificado por web search (vuelta 16).