La fecha que no se puede mover
El 1 de diciembre de 2026 entra en vigor en Chile la Ley 21.719 de Protección de Datos Personales. Reemplaza a la Ley 19.628 y eleva de forma importante las exigencias para cualquier organización que recopile, almacene o use información personal. Si tu empresa usa inteligencia artificial —aunque sea solo un chatbot de atención al cliente o un asistente interno—, esta ley te afecta directamente.
No es un tema solo legal. Es un tema operativo: la mayoría de las empresas chilenas no está preparada, y el uso de IA complica aún más el panorama porque los modelos se alimentan de datos, muchas veces sensibles, y porque los colaboradores ya están usando herramientas de IA por su cuenta sin que la empresa lo sepa.
Este artículo no es asesoría legal. Es una guía práctica para que entiendas qué cambia, cuáles son los riesgos reales y qué puedes hacer antes de la fecha límite. Para el detalle jurídico, consulta con un abogado especializado.
Actualización (26 de octubre de 2026): el proyecto de postergación
La fecha legal de entrada en vigor sigue siendo el 1 de diciembre de 2026. Existe un proyecto de ley (Boletín N.º 18.623-07) que busca postergar la vigencia al 1 de diciembre de 2027 y ampliar el Consejo de la Agencia de Protección de Datos Personales. El 20 de octubre de 2026, la Comisión de Constitución del Senado aprobó el proyecto en general. Sin embargo, la postergación aún no está aprobada por el Senado en su conjunto ni promulgada. Por lo tanto, las empresas deben seguir preparándose para el 1 de diciembre de 2026.
Fuente: Senado de la República de Chile, tramitación Boletín N.º 18.623-07 (proyecto ingresado el 31 de agosto de 2026).
Qué cambia con la Ley 21.719
La nueva ley refuerza los derechos de las personas sobre sus datos (conocidos como derechos ARSOP): acceso, rectificación, supresión, oposición y portabilidad. También incorpora obligaciones de trazabilidad y crea una Agencia de Protección de Datos Personales con facultades fiscalizadoras.
En la práctica, esto significa que tu empresa debe saber qué datos personales tiene, de dónde vienen, para qué los usa, quién los accede y cómo los protege. Y debe poder demostrarlo.
La ley también endurece las sanciones por tratamiento indebido de datos personales. Y se articula con la Ley Marco de Ciberseguridad (Ley 21.663), que exige a los operadores de importancia vital estándares estrictos de gestión de riesgos y reporte de incidentes en plazos acotados.
Por qué la IA cambia el escenario
Sin inteligencia artificial, la protección de datos ya era un desafío. Con IA, se vuelve más complejo por tres razones.
1. Los modelos se entrenan y operan con datos sensibles
Muchos sistemas de IA se entrenan o alimentan con información personal: historial de clientes, datos de salud, transacciones financieras, comunicaciones internas. Esa información debe someterse a medidas de protección antes de ser utilizada. Si tu asistente de IA accede a la base de clientes sin filtros, estás exponiendo datos que la ley protege.
2. Shadow AI: la IA que usan tus empleados sin que te enteres
Este es probablemente el mayor riesgo invisible. Colaboradores usan herramientas de IA por su cuenta —ChatGPT, Copilot, asistentes gratuitos— para redactar correos, resumir documentos o analizar datos. Lo hacen sin autorización ni supervisión de la organización. El problema: esos datos pueden quedar en servidores de terceros, usarse para entrenar modelos, o filtrarse. La protección de datos se vuelve inseparable de la gobernanza tecnológica.
3. Agentes conectados a sistemas críticos
No es lo mismo una herramienta aislada que un agente de IA conectado a tus sistemas, documentos y flujos críticos. Un agente que puede leer correos, modificar registros o enviar mensajes a clientes tiene un impacto real. Si se equivoca —o si alguien lo manipula—, el daño es inmediato. La pregunta clave es: ¿quién responde si el sistema se equivoca, y cómo lo vas a medir en tres meses?
El contexto chileno: ciberseguridad e IA
El escenario se agrava con las cifras locales. En 2025, Chile enfrentó cerca de 8,8 billones (atribuido a FortiGuard Labs/Fortinet; 5 billones corresponden a escaneos activos, no a ataques exitosos; fuente corroborante: SEK, reporte Think Ahead) de intentos de ciberataque. Y un 16% de las brechas (según columna de opinión publicada en BioBioChile, 21 de julio de 2026; no se pudo verificar la fuente primaria ni la metodología; tratar como estimación no verificada) de datos ya son perpetradas por ciberdelincuentes que usan IA para potenciar sus ofensivas.
Esto significa que la adopción de IA no solo expone a tu empresa por errores internos, sino también por ataques externos más sofisticados. La superficie de ataque crece cuando conectas modelos a tus sistemas.
Checklist práctico antes del 1 de diciembre de 2026
Esto no es una lista exhaustiva ni asesoría legal, pero es un buen punto de partida para el lado técnico y operativo.
- Mapea tus datos personales. Aunque no sea una obligación explícita de la ley, necesitas saber qué datos tienes, dónde están y quién los accede. Sin este mapa, no puedes proteger nada.
- Inventa tu IA interna. Haz un inventario de qué herramientas de IA usan tus equipos (oficiales y no oficiales). Incluye las que usan los colaboradores por su cuenta.
- Clasifica los usos. No es lo mismo IA para un borrador interno que para procesar datos sensibles, influir en decisiones relevantes o interactuar con clientes. Define qué usos están permitidos, cuáles requieren aprobación y cuáles están prohibidos.
- Define quién responde. Asigna un responsable por cada uso de IA en la operación. Si el sistema se equivoca, debe haber una persona clara que responda.
- Protege los datos que entran a los modelos. Filtra y anonimiza antes de enviar información personal a un modelo de IA. Evita que datos sensibles queden en servidores de terceros.
- Revisa los accesos. Limita qué sistemas puede tocar un agente de IA. Principio de mínimo privilegio: solo lo que necesita para su tarea.
- Establece trazabilidad. Registra qué datos se usaron, qué modelo se aplicó y qué decisión se tomó. La ley exige trazabilidad.
- Prepara un plan de respuesta a incidentes. Si hay una brecha o un error del sistema, ¿qué haces en las primeras 24 horas? Define el flujo antes de que ocurra.
Qué NO alcanza con hacer
Actualizar la política de privacidad de tu sitio web. Tener un aviso de cookies. Comprar una herramienta de ciberseguridad y listo. Estas medidas son necesarias pero insuficientes si la IA sigue operando sin gobernanza.
Tampoco alcanza con prohibir el uso de IA. Los colaboradores seguirán usándola por su cuenta si no les das una alternativa segura y útil. La gobernanza no es prohibición; es orden.
Cómo puede ayudar Personnn
En Personnn trabajamos IA aplicada con foco en operación real: modelos que funcionan sobre tus datos, agentes conectados a tus sistemas, y seguridad de datos e infraestructura. Ayudamos a empresas a pasar de pilotos a operación controlada: mapeo de datos, clasificación de usos, despliegue de asistentes sobre infraestructura propia, y monitoreo de lo que la IA hace en producción.
Si quieres conversar sobre cómo preparar tu empresa para la Ley 21.719 y para usar IA sin perder el control, escríbenos. No es una llamada de venta: es una conversación técnica para ver si te podemos ayudar.
Aviso legal
Este artículo es informativo y no constituye asesoría legal. La Ley 21.719 y su reglamentación pueden tener matices que afecten tu caso particular. Para decisiones legales, consulta con un abogado especializado en protección de datos.