Compliance y Protección de Datos en Chile: Guía Práctica para PYMES ante la Ley 21.719 y la Regulación de IA

Compliance y Protección de Datos en Chile

Si eres dueño o gerente de una PYME en Chile, es muy probable que hayas escuchado sobre la Ley 21.719 de Protección de Datos Personales. Esta normativa fue promulgada el 25 de noviembre de 2024 y publicada en el Diario Oficial el 13 de diciembre de 2024, según consta en el texto oficial de la Biblioteca del Congreso Nacional de Chile (LeyChile).  

El estado actual de su vigencia requiere atención inmediata:  

• Fecha original de entrada en vigencia: 1 de diciembre de 2026 (artículo primero transitorio de la ley).  

• Proyecto de postergación: El 1 de septiembre de 2026, el Gobierno ingresó al Senado un proyecto de ley con suma urgencia para postergar la entrada en vigencia hasta el 1 de diciembre de 2027.  

• Situación legal vigente: Mientras el Congreso no apruebe y publique la modificación, la fecha legalmente vinculante sigue siendo el 1 de diciembre de 2026.  

Mi recomendación práctica desde la consultoría: No esperes a que se defina la discusión parlamentaria. Si se aprueba el aplazamiento, habrás ganado tiempo valioso para ordenar tu casa sin prisas. Si no se aprueba, tu empresa estará blindada y operando bajo norma para diciembre de 2026.  

¿Qué es la Ley 21.719 y por qué impacta tu operación?

La Ley 21.719 ("Regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales") reemplaza la antigua Ley 19.628 y establece reglas estrictas de compliance y protección de datos en Chile.  

Aplica a toda empresa —sin importar su tamaño— que trate datos personales de clientes, proveedores, trabajadores o postulantes.  

Entendemos por datos personales cualquier información que identifique o haga identificable a una persona natural: RUT, correo electrónico personal, teléfono, IP vinculable, historial de compras, entre otros.  

Los 5 cambios estructurales que exige la norma

1. Responsabilidad proactiva (accountability): Ya no basta con declarar que cumples; debo ayudarte a estructurar registros, contratos, políticas y evidencias que lo demuestren técnicamente ante la autoridad.  

2. Derechos ARSOP+ reforzados: Las personas pueden ejercer derechos de Acceso, Rectificación, Supresión, Oposición, Portabilidad y Bloqueo. La ley establece plazos exigentes para atender cada solicitud.  

3. Decisiones automatizadas: Si usas algoritmos o Inteligencia Artificial para tomar decisiones que afecten a las personas, debes informar la automatización, explicar los criterios generales y permitir intervención humana.  

4. Multas significativas: El artículo 35 contempla sanciones que, en infracciones gravísimas, pueden llegar hasta 20.000 UTM.  

5. Agencia de Protección de Datos Personales (APDP): La nueva autoridad fiscalizadora, cuya instalación está contemplada durante el primer año de vigencia de la norma.  

   
   

Dato clave para PYMES: Durante el primer año de vigencia, las pequeñas empresas solo recibirán amonestación escrita en lugar de multa económica. Sin embargo, esto no es un cheque en blanco: la autoridad podrá fiscalizarte y procesar denuncias de clientes o colaboradores desde el día uno.  

¿Cómo se conecta esta ley con la Inteligencia Artificial en Chile?

Existen dos capas normativas que debes evaluar en tu empresa:  

1. La Ley 21.719 ya regula el uso de IA

Si tu sistema de IA procesa datos personales (ej. un CRM con asistente generativo o un software de selección), cae bajo la Ley 21.719. La norma no distingue tecnologías: aplica a todo tratamiento de datos, sea manual o automatizado.  

2. El proyecto de Ley de IA en trámite

El marco específico para sistemas de IA sigue en desarrollo en Chile:  

• Boletín 16821-19 ("Regula los sistemas de inteligencia artificial"): Aprobado en primer trámite por la Cámara de Diputados en octubre de 2025, se encuentra en segundo trámite en el Senado con urgencia suma.  

• Indicación sustitutiva: El Ejecutivo presentó indicaciones para ajustar la propuesta europea (AI Act) hacia un modelo híbrido inspirado en EE.UU. y Singapur, buscando equilibrar la prevención de riesgos con la innovación.  

Lo prudente para una PYME no es esperar el texto final, sino implementar controles operativos básicos que sirvan bajo cualquier escenario regulatorio.  

Plan de 5 Pasos para Preparar la Estructura de tu PYME

Para cumplir no necesitas un departamento legal interno. En mi experiencia de consultoría, con un plan enfocado puedes adaptar la estructura operativa de tu PYME en un plazo de 4 a 6 semanas:  

Paso 1: Levanta tu inventario de datos (Semana 1)

Identifica qué datos personales manejas, en qué sistemas residen y quién tiene acceso a ellos.  

Ejemplo:

│ MATRIZ TÍPICA DE LEVANTAMIENTO (EJEMPLO)
Sistema	Datos Recabados	Finalidad	ConservaciónCRM
CRM	Nombre, RUT, correo electrónico, DTE, datos fiscales, cuentas bancarias	Gestión Comercial,	Durante relación comercial+ 2 años
Facturación	Nombre, RUT, correo electrónico, DTE, datos fiscales, cuentas bancarias	Legal/Tributario	5 años por Ley
Nómina	Nombre, RUT, correo electrónico	Contrato de Trabajo	Término de relación

Paso 2: Revisa proveedores críticos y firma DPAs (Semana 2)

Identifica servicios externos que procesan datos por ti: Google Workspace, Microsoft 365, pasarelas de pago, herramientas de soporte o proveedores de IA (OpenAI, Anthropic).

Acción: Firma o exige Acuerdos de Tratamiento de Datos (DPA por sus siglas en inglés) para desligar tu responsabilidad si el proveedor sufre una brecha.  

Paso 3: Actualiza tu política de privacidad (Semana 3)

La política de tu sitio web y de tus contratos debe transparentar:  

• Qué datos recoges y con qué base legal (consentimiento, contrato, obligación legal).  

• Si realizas transferencias internacionales de datos.  

• Cómo se atienden los derechos de las personas y si usas IA para decisiones automatizadas.  

Evita copiar plantillas genéricas de internet; la autoridad verificará que lo escrito coincida con tu operación real.  

Paso 4: Habilita el canal para derechos ARSOP+ (Semanas 3-4)

Establece una casilla dedicada (ej. privacidad@tuempresa.cl) y define el flujo interno para responder en menos de 15 días hábiles: recibir la solicitud, verificar la identidad del titular, buscar los registros y confirmar la acción tomada.  

Paso 5: Implementa controles de seguridad básicos (Semanas 4-6)

• Autenticación de dos factores (MFA) en todos los accesos administrativos.  

• Acceso basado en roles: cada empleado accede únicamente a la información indispensable para su trabajo.  

• Cifrado en tránsito (HTTPS) y respaldos periódicos con prueba de restauración.  

3 Controles Clave si tu Empresa ya Utiliza Inteligencia Artificial

1. Audita el "Shadow AI": Prohíbe formalmente que tu equipo introduzca datos personales de clientes o código confidencial en herramientas públicas gratuitas de IA. Se requieren versiones empresariales con cláusulas de no entrenamiento.  

2. Lleva un registro de uso de IA: Documenta qué herramientas utilizas, qué datos reciben como entrada (inputs) y qué tipo de salidas (outputs) generan.  

3. Mantén la supervisión humana (Human-in-the-loop): Ninguna evaluación de riesgo, contratación, descuento o bloqueo de usuario debe ejecutarse de forma 100% automatizada sin la posibilidad de revisión por parte de una persona.  

Autoevaluación Rápida: ¿Está tu PYME lista para la Ley 21.719?

Responde estas 4 preguntas sencillas:  

• ¿Tienes identificados todos los software externos donde almacenas datos de tus clientes?  

• ¿Cuentas con un Acuerdo de Tratamiento de Datos (DPA) firmado con tu proveedor de alojamiento web o CRM?  

• Si un cliente te pide borrar sus datos hoy, ¿sabes en qué bases de datos debes ejecutar la eliminación?  

• ¿Tienes una regla clara para que tu equipo no suba datos de clientes a ChatGPT u otras IA?  

Si respondiste "No" a dos o más preguntas, tu empresa mantiene un nivel de riesgo operativo que debes corregir antes de las fiscalizaciones.  

Conclusión: El Compliance como Ventaja Competitiva

El cumplimiento en compliance y protección de datos en Chile no es solo una exigencia legal; es una ventaja de mercado. Las PYMES que profesionalizan su estructura operativa transmiten seguridad, cierran contratos B2B de mayor ticket y previenen contingencias que interfieran con la continuidad de su negocio.  

Si necesitas ayuda para diseñar el plan de trabajo de tu empresa, auditar proveedores o estructurar tus políticas internas sin frenar tu operación, puedo acompañarte en el proceso.  

Agenda una sesión

María Alejandra Tuozzo M.

Abogada │ Consultora en Estructura Operativa