Ley 21.719 y chatbots con IA: qué cambia para tu empresa desde diciembre de 2026

La Ley 21.719 reemplaza buena parte del régimen de la Ley 19.628 sobre datos personales. Se publicó el 13 de diciembre de 2024 y entra en vigencia el 1 de diciembre de 2026. Si tu empresa usa un chatbot de WhatsApp o un agente de IA que conversa con clientes, recibe nombres, teléfonos, correos y todo lo que cada persona escriba: son datos personales.

Cuándo puedes tratar datos personales

La regla general es el consentimiento del titular (art. 12). Debe ser libre, informado y específico en cuanto a su finalidad, y otorgarse en forma previa e inequívoca: por una declaración verbal o escrita, por un medio electrónico equivalente o por un acto afirmativo claro. La persona puede revocarlo en cualquier momento, sin expresar causa.

Hay otras bases que no requieren consentimiento (art. 13). Las más relevantes para un chatbot comercial son:

• Cuando el tratamiento es necesario para celebrar o ejecutar un contrato con el titular, o para medidas precontractuales que él mismo pidió, como una cotización.
• Cuando es necesario para un interés legítimo del responsable, siempre que no afecte los derechos y libertades del titular, quien puede exigir que se le informe cuál es ese interés.
• Cuando lo exige una obligación legal.

En todos los casos, el responsable debe poder acreditar la licitud del tratamiento.

Qué debes informar en tu sitio

El artículo 14 ter obliga a mantener a disposición del público, en tu sitio web o un medio equivalente, al menos:

• Tu política de tratamiento de datos, con su fecha y versión.
• Quién es el responsable y su representante legal, y el medio para que las personas hagan solicitudes.
• Qué datos tratas, con qué finalidad, sobre qué base legal y a quiénes se comunican.
• Las medidas de seguridad que adoptas.
• Los derechos de acceso, rectificación, supresión, oposición y portabilidad, y el derecho a recurrir ante la Agencia.
• Si transfieres datos a otro país, y si ese país ofrece un nivel adecuado de protección o con qué garantías se hace.
• Por cuánto tiempo conservas los datos.
• Cuando la base es el consentimiento, el derecho a retirarlo en cualquier momento.

Para un chatbot, esto se traduce en algo concreto: un aviso visible en el propio chat y un enlace a una política de privacidad que mencione el chatbot, sus finalidades y los proveedores que procesan las conversaciones.

Los proveedores de IA son encargados de tratamiento

Cuando un tercero procesa datos por cuenta tuya (la plataforma de IA, el orquestador, el hosting), la ley lo llama mandatario o encargado (art. 15 bis). Sólo puede tratar los datos según tus instrucciones y para el objeto del encargo, y la relación se rige por un contrato que debe establecer, entre otras cosas, el objeto y la duración del encargo, la finalidad y el tipo de datos tratados. Si el encargado usa los datos para otra cosa, pasa a responder como responsable.

En la práctica: revisa los términos de procesamiento de datos de cada proveedor de tu chatbot y archiva esa documentación.

Transferencias internacionales

Muchos proveedores de IA procesan los datos fuera de Chile. Según el artículo 27, la transferencia internacional es lícita, entre otros casos, cuando el país de destino ofrece niveles adecuados de protección, o cuando cláusulas contractuales u otros instrumentos jurídicos establecen garantías adecuadas. Y, como vimos, debes informar estas transferencias.

Decisiones automatizadas: derecho a una persona

El artículo 8° bis da a las personas derecho a oponerse y a no ser objeto de decisiones basadas en tratamiento automatizado, incluida la elaboración de perfiles, que produzcan efectos jurídicos en ellas o les afecten significativamente. Hay excepciones (contrato, consentimiento expreso o ley), pero incluso entonces el responsable debe asegurar el derecho a obtener una explicación, a la intervención humana, a expresar su punto de vista y a pedir la revisión de la decisión.

Para un agente de IA que, por ejemplo, filtra solicitudes o califica clientes, la recomendación es clara: que las decisiones con efectos importantes las confirme una persona, y que exista una vía para pedir revisión.

Plazos para responder solicitudes

Cuando una persona ejerce sus derechos, el responsable debe acusar recibo y pronunciarse dentro de 30 días corridos, prorrogables una sola vez por otros 30 (art. 11). La persona también puede pedir el bloqueo temporal del tratamiento mientras se resuelve una solicitud de rectificación, supresión u oposición (art. 8° ter).

Multas

Ante reincidencia, la multa puede llegar al triple. Para empresas que no son de menor tamaño y reinciden en infracciones graves o gravísimas, puede alcanzar el 2 % o el 4 % de sus ingresos anuales, respectivamente. Además, la ley dispone que los estándares de cumplimiento de los deberes de información y seguridad se diferencien según el tamaño de la empresa (art. 14 septies); la Agencia de Protección de Datos Personales los definirá mediante instrucciones generales.

Lista de revisión para tu chatbot

1. Aviso en el chat: que es un asistente automático, que no se compartan datos sensibles y un enlace a la política de privacidad.
2. Política de privacidad actualizada con el chatbot, sus finalidades, sus proveedores y las transferencias internacionales.
3. Consentimiento explícito en los formularios que recogen datos, registrando la versión de la política aceptada.
4. Términos de procesamiento de datos de cada proveedor, archivados.
5. Minimización: que el chatbot no pida datos que no necesita, sobre todo datos sensibles como los de salud.
6. Un plazo de conservación definido para conversaciones y registros.
7. Un canal claro para que las personas ejerzan sus derechos y un procedimiento para responder en 30 días.
8. Intervención humana en las decisiones con efectos importantes.

Así está construido el chat de este sitio: avisa que es automático, pide no compartir datos sensibles, enlaza a la política de privacidad y no guarda el contenido de las conversaciones en sus registros. Si quieres revisar tu caso, lo vemos en el diagnóstico gratuito.