El problema: la IA amplifica los riesgos de datos que ya tenías
Tu empresa ya maneja datos de clientes. Nombres, RUT, correos, teléfonos, direcciones, historiales de compra, preferencias. Estos datos son el activo más valioso de tu empresa y también el más expuesto.
Cuando adoptas IA en tu operación, el riesgo se multiplica. Un chatbot que responde consultas puede exponer datos de otros clientes si no está bien configurado. Un agente de IA que procesa correos puede guardar información sensible en un log que nadie monitorea. Un modelo de IA entrenado con datos de clientes puede memorizar información personal y reproducirla en una respuesta. Un empleado que usa ChatGPT con datos de clientes envía esos datos a servidores en Estados Unidos sin que nadie lo sepa.
La Ley 21.719, vigente desde el 1 de diciembre de 2026, exige que las empresas protejan los datos personales de sus clientes. No es una sugerencia: es una obligación legal con multas que pueden llegar al 4% de la facturación anual.
El Boletín 18.623-07, que postergaría la vigencia al 1 de diciembre de 2027, fue aprobado en general por la Comisión de Constitución del Senado el 20 de octubre de 2026, pero no ha sido aprobado en pleno ni promulgado. La fecha legal vigente sigue siendo el 1 de diciembre de 2026. No cuentes con la postergación.
Lo que dicen los datos
SEK "Think Ahead" (2025): Chile enfrentó 8,8 billones de intentos de ciberataque en 2025. De ese total, 5 billones fueron escaneos activos (no ataques exitosos). La fuente primaria es SEK (Security Ecosystem Knowledge), reporte "Think Ahead" (datos 2025), publicado en rga.cl (Pulso/La Tercera) el 1 de julio de 2026. También atribuido a FortiGuard Labs/Fortinet.
Columna de opinión, BioBioChile (21 julio 2026): Un 16% de las brechas de seguridad involucran delincuentes que usan IA. Esta cifra proviene de una columna de opinión y no se pudo verificar la metodología ni la fuente primaria. Se trata como estimación no verificada.
Informe de Materialidad de Grandes Empresas (La Tercera, junio 2025): La escasez de talento y la irrupción de la IA son los principales desafíos para las empresas chilenas. La conclusión: las empresas saben que necesitan IA, pero no tienen el equipo para implementarla de forma segura.
Microemprendedoras IA (Fundación Luksic, mayo 2026): Encuesta a más de 15.000 mujeres emprendedoras. El 80% usa IA en su negocio y el 77% usa IA generativa. El dato revela que la adopción de IA es masiva, incluso entre microempresas, pero la seguridad de datos no siempre acompaña.
La conclusión es que las empresas chilenas necesitan un checklist práctico para verificar que sus datos están protegidos cuando usan IA, no solo teoría.
El checklist de seguridad de datos con IA
Este checklist tiene 15 puntos organizados en 5 categorías. Cada punto tiene una pregunta, una respuesta ideal y una acción si la respuesta es "no".
Categoría 1: Infraestructura
1. ¿Dónde corren tus modelos de IA?
Pregunta: ¿Los modelos de IA que usas corren en tu infraestructura o en la de un tercero?
Respuesta ideal: En tu infraestructura o en infraestructura en Chile con garantías de protección de datos.
Si la respuesta es "no": Evalúa proveedores que ofrezcan inferencia local (como Personnn Inference) o que garanticen que los datos no salen de Chile.
2. ¿Tus datos viajan a servidores en Estados Unidos?
Pregunta: ¿Los datos que envías a herramientas de IA (ChatGPT, Claude, Copilot, etc.) viajan a servidores en Estados Unidos?
Respuesta ideal: No. Los datos se procesan localmente o en servidores en Chile.
Si la respuesta es "no": Identifica qué herramientas envían datos a EE.UU. y busca alternativas que procesen datos localmente.
3. ¿Tienes respaldo de tus datos?
Pregunta: ¿Tienes respaldo regular de los datos que usan tus herramientas de IA?
Respuesta ideal: Sí, respaldo diario o semanal en una ubicación segura.
Si la respuesta es "no": Implementa respaldo automático de bases de datos, archivos de configuración y logs.
Categoría 2: Acceso y control
4. ¿Quién tiene acceso a tus herramientas de IA?
Pregunta: ¿Sabes exactamente quién tiene acceso a las herramientas de IA que usa tu empresa?
Respuesta ideal: Sí, hay una lista actualizada de usuarios con roles y permisos definidos.
Si la respuesta es "no": Crea un inventario de herramientas de IA y quién las usa. Implementa control de acceso por roles.
5. ¿Tienes una política de uso de IA para tus empleados?
Pregunta: ¿Tus empleados saben qué herramientas de IA pueden usar, qué datos pueden enviar y qué no?
Respuesta ideal: Sí, hay una política escrita y comunicada a todo el equipo.
Si la respuesta es "no": Escribe una política de uso de IA que defina herramientas permitidas, datos que se pueden enviar y datos que no se pueden enviar. Capacita a tu equipo.
6. ¿Monitoreas el uso de IA en tu empresa?
Pregunta: ¿Sabes qué datos de clientes se envían a herramientas de IA y con qué frecuencia?
Respuesta ideal: Sí, hay monitoreo activo de uso de IA con alertas para patrones anómalos.
Si la respuesta es "no": Implementa monitoreo de uso de IA. Revisa periódicamente qué datos se envían a herramientas externas.
Categoría 3: Datos y privacidad
7. ¿Anonimizas los datos antes de enviarlos a IA?
Pregunta: ¿Eliminas o enmascas la información personal (nombres, RUT, direcciones) antes de enviar datos a un modelo de IA?
Respuesta ideal: Sí, todos los datos se anonimizan antes de procesarse.
Si la respuesta es "no": Implementa un proceso de anonimización que reemplace nombres con identificadores, RUT con hashes y direcciones con códigos de zona.
8. ¿Tus logs contienen datos personales?
Pregunta: ¿Los logs de tu aplicación guardan información personal identificable (RUT, tarjetas, contraseñas)?
Respuesta ideal: No, los logs excluyen datos sensibles.
Si la respuesta es "no": Configura el logging para excluir datos sensibles. Encripta los logs en reposo. Limita el acceso a logs.
9. ¿Tienes consentimiento válido para usar datos en IA?
Pregunta: ¿Tienes consentimiento explícito de tus clientes para usar sus datos en modelos de IA?
Respuesta ideal: Sí, el consentimiento está documentado con valor probatorio.
Si la respuesta es "no": Actualiza tu política de privacidad para incluir el uso de IA. Obtén consentimiento explícito. Documenta el consentimiento con timestamp y hash verificable (como Personnn Verificador).
10. ¿Tu política de privacidad menciona el uso de IA?
Pregunta: ¿Tu política de privacidad informa a los clientes que usas IA para procesar sus datos?
Respuesta ideal: Sí, la política incluye los propósitos específicos del uso de IA.
Si la respuesta es "no": Actualiza tu política de privacidad para incluir el uso de IA, los propósitos específicos y los derechos del cliente.
Categoría 4: Seguridad técnica
11. ¿Tus claves de API están protegidas?
Pregunta: ¿Las claves de API de los servicios de IA que usas están en el backend, en variables de entorno, y no en el frontend?
Respuesta ideal: Sí, todas las claves están en el backend.
Si la respuesta es "no": Mueve las claves al backend. Revoca las claves expuestas y genera nuevas. Usa variables de entorno.
12. ¿Tus dependencias npm están actualizadas?
Pregunta: ¿Has ejecutado npm audit en los últimos 30 días y corregido las vulnerabilidades críticas?
Respuesta ideal: Sí, las dependencias están actualizadas y sin vulnerabilidades críticas.
Si la respuesta es "no": Ejecuta npm audit y corrige las vulnerabilidades. Programa actualizaciones regulares. Usa herramientas como Dependabot o Snyk.
13. ¿Tu sitio tiene archivos sensibles expuestos?
Pregunta: ¿Intentaste acceder a tusitio.com/.env, tusitio.com/.git/config, tusitio.com/wp-config.php? ¿Se descargaron?
Respuesta ideal: No, todos los archivos sensibles están bloqueados.
Si la respuesta es "no": Configura el servidor web para bloquear el acceso a archivos sensibles. Mueve los archivos fuera del directorio público.
Categoría 5: Respuesta a incidentes
14. ¿Tienes un plan de respuesta a incidentes?
Pregunta: ¿Sabes qué hacer si hay una brecha de datos relacionada con IA?
Respuesta ideal: Sí, hay un plan documentado con roles, pasos y contactos.
Si la respuesta es "no": Crea un plan de respuesta a incidentes que incluya detección, contención, erradicación, recuperación y comunicación.
15. ¿Tienes un proveedor de seguridad que te apoye?
Pregunta: ¿Tienes un proveedor o equipo de seguridad que te ayude a detectar y responder a amenazas?
Respuesta ideal: Sí, hay un proveedor o equipo de seguridad con experiencia en IA.
Si la respuesta es "no": Evalúa proveedores de seguridad que entiendan IA (como Personnn Servicios y CisoTeam).
Cómo interpretar tu resultado
12-15 puntos "sí": Tu empresa tiene una buena postura de seguridad de datos con IA. Sigue monitoreando y actualizando.
8-11 puntos "sí": Tienes trabajo por hacer. Prioriza los puntos de Categoría 3 (datos y privacidad) porque son los que más riesgo legal generan.
4-7 puntos "sí": Tu empresa está en riesgo. Empieza por los puntos de Categoría 1 (infraestructura) y Categoría 4 (seguridad técnica).
0-3 puntos "sí": Tu empresa tiene un problema serio. Necesitas ayuda inmediata. Contacta a un proveedor de seguridad.
El trade-off: checklist manual vs. auditoría automatizada
| Aspecto | Checklist manual | Auditoría automatizada (Personnn) |
|---|---|---|
| Cobertura | Limitada a lo que recuerdas verificar | Exhaustiva (escanea todo el sitio) |
| Frecuencia | Puntual (cuando te acuerdas) | Continua (monitoreo constante) |
| Precisión | Depende del conocimiento técnico | Alta (reglas y patrones) |
| Coste | Bajo (tu tiempo) | Bajo (diagnóstico gratuito) |
| Escalabilidad | No escala | Escala con el sitio |
| Requiere conocimiento técnico | Sí | No |
Qué hace Personnn
Personnn tiene productos y servicios que ayudan a cumplir con este checklist:
Servicios (diagnóstico gratuito): Pega la dirección de tu sitio en personnn.com/servicios y obtén un diagnóstico pasivo que no toca tu servidor. Detecta claves expuestas, archivos sensibles, dependencias vulnerables y configuraciones inseguras. Cubre los puntos 11, 12 y 13 del checklist.
CisoTeam: Equipo de seguridad que audita tu infraestructura y te ayuda a responder a incidentes. Cubre los puntos 14 y 15 del checklist.
Higiene: Monitoreo continuo de tu sitio para detectar exposiciones. Cubre los puntos 11, 12 y 13 del checklist de forma continua.
npmsecure: Seguridad de dependencias npm. Cubre el punto 12 del checklist.
Inference: Modelos de IA que corren en tu infraestructura. Cubre los puntos 1 y 2 del checklist.
Verificador: Sistema de consentimiento digital con valor probatorio. Cubre el punto 9 del checklist.
ModelForge (en construcción): Entrena modelos con tus datos en tu infraestructura. Cubre los puntos 1 y 2 del checklist.
Para empezar, entra a personnn.com/servicios y pega la dirección de tu sitio. El diagnóstico es gratuito y no toca tu servidor.
Fuentes
- SEK "Think Ahead" (2025): 8,8 billones de intentos de ciberataque en Chile 2025. Fuente primaria: SEK (Security Ecosystem Knowledge). Publicado en rga.cl (Pulso/La Tercera) el 1 de julio de 2026. También atribuido a FortiGuard Labs/Fortinet. Verificado por web_fetch (vuelta 16).
- BioBioChile (21 julio 2026): columna de opinión sobre brechas de seguridad con IA. La cifra del 16% se trata como estimación no verificada. Verificado por web search (vuelta 16).
- Informe de Materialidad de Grandes Empresas. La Tercera, junio 2025. Escasez de talento + irrupción de IA. Verificado por web search (vuelta 16).
- Microemprendedoras IA. Fundación Luksic, encuesta mayo 2026, +15.000 mujeres. 80% usa IA, 77% IA generativa. Verificado por web search (vuelta 16).
- Ley 21.719: vigente desde el 1 de diciembre de 2026. Protección de datos personales en Chile. Fuente: tramitacion.senado.cl + varelaabogados.cl + boostify.cl + tline.cl. Verificado por web search (vuelta 16).
- Boletín 18.623-07: proyecto que posterga la vigencia al 1 de diciembre de 2027. Aprobado en general por Comisión de Constitución el 20 de octubre de 2026. NO aprobado aún. Fecha legal vigente: 1 dic 2026. Verificado por web search (vuelta 16).
- Las cifras de "12-15 puntos sí", "8-11 puntos sí", etc. son una estructura editorial, no datos verificables. Se tratan como framework de evaluación.