Tu empresa frente a la Ley 21.719

Desde cuándo rige

La ley se publicó en diciembre de 2024 y su entrada en vigor quedó fijada para el 1 de diciembre de 2026. En septiembre de 2026 el Gobierno ingresó al Senado un proyecto que propone postergarla un año, hasta diciembre de 2027, junto con cambios en la instalación de la Agencia de Protección de Datos (Boletín 18623-07).

Mientras ese proyecto no se apruebe, la fecha vigente sigue siendo diciembre de 2026. Conviene planificar con esa fecha y tomar la eventual postergación como holgura, no como permiso para esperar.

Qué cambia respecto de la Ley 19.628

El cambio de fondo es que aparece un fiscalizador con dientes y obligaciones documentales concretas para quien trata datos.

• Una Agencia de Protección de Datos con facultades de fiscalización y sanción.
• Derechos de acceso, rectificación, cancelación, oposición y portabilidad.
• Deber de informar brechas de seguridad en plazos acotados.
• Registro de actividades de tratamiento y base de licitud documentada.
• Delegado de protección de datos cuando el tratamiento es significativo.
• Multas de hasta 20.000 UTM; durante el primer año, las pymes reciben amonestaciones antes que multas.

Lo que una pyme puede hacer sin equipo legal

Antes de contratar una asesoría, hay trabajo que sólo puede hacer quien conoce la operación: saber qué datos personales tiene la empresa y dónde están.

• Inventariar dónde viven los datos personales: CRM, planillas, correos, respaldos, herramientas de terceros.
• Anotar para qué se usa cada conjunto de datos y con qué justificación.
• Revisar quién tiene acceso y quitar los accesos heredados que nadie usa.
• Definir cuánto tiempo se conserva cada cosa y cuándo se borra.
• Listar los proveedores que tocan esos datos, incluidos los servicios de IA.
• Escribir el procedimiento para responder cuando alguien pida sus datos o cuando ocurra una brecha.

Dónde aparece la inteligencia artificial

Usar un modelo por API no convierte a tu proveedor en dueño de tus datos, pero sí te obliga a saber qué sale de la empresa. Revisa si el contrato del proveedor excluye el uso del contenido para entrenamiento, dónde se procesa la información y cuánto se retiene.

El control más efectivo es anterior a todo eso: minimizar. Si el modelo puede resolver la tarea con un identificador interno en vez del nombre y el RUT, no hay razón para enviarle la identidad. La tabla que conecta ambos se queda en tu base de datos.

Cómo lo abordamos en un proyecto

En cada implementación dejamos documentado qué datos se tratan, con qué finalidad, dónde se almacenan, cuánto se conservan y qué proveedores intervienen. Ese documento es justamente el insumo que el área legal necesita para el registro de tratamiento.

No hacemos interpretación jurídica: implementamos los controles técnicos y trabajamos con lo que tu abogado o tu delegado defina. Si en tu caso la información no puede salir de la empresa, eso se diseña desde el principio, no se parcha al final.