Inteligencia artificial y protección de datos en Chile

Usar ChatGPT, Claude, Copilot o Gemini en la oficina ya es parte de la rutina en Chile: resumir un contrato, ordenar una planilla, redactar la respuesta a un reclamo. La pregunta que casi nadie se hace antes de pegar el texto es qué datos de quién van adentro, y qué dice la ley chilena sobre eso.

La respuesta corta es que Chile todavía no tiene una ley de inteligencia artificial, pero sí tiene una ley de datos personales que se aplica a cualquier cosa que hagas con la información de una persona, y una reforma que la endurece. Esta guía explica qué te exigen hoy la Ley 19.628 y, desde su entrada en vigencia, la Ley 21.719 cuando usas IA con datos de clientes, pacientes o trabajadores: qué revisar del proveedor, qué informar y qué hacer para que el dato no salga si no hace falta. La salud tiene reglas propias, que vemos en la guía de IA en salud y ficha clínica.

Si buscas la explicación completa de la Ley 19.628 y de su reforma, está en nuestra guía de la Ley 19.628. Aquí nos quedamos con lo que cambia cuando entra la inteligencia artificial.

¿Hay una ley de inteligencia artificial en Chile?

No todavía. El proyecto que «regula los sistemas de inteligencia artificial» ingresó a la Cámara de Diputados el 7 de mayo de 2024 (boletín 16.821-19) y se tramita refundido con una moción anterior, de abril de 2023 (boletín 15.869-19). La Cámara lo despachó al Senado en octubre de 2025, y al 21 de octubre de 2026 está en segundo trámite constitucional, en la Comisión de Desafíos del Futuro, Ciencia, Tecnología e Innovación del Senado.

Según la prensa jurídica (Diario Constitucional, febrero de 2026), el texto que aprobó la Cámara sigue el modelo europeo: clasifica los usos de la IA por nivel de riesgo (inaceptable, alto, limitado y sin riesgo evidente) y fija obligaciones para cada nivel, y en la votación se cayó el artículo que encargaba la fiscalización a la Agencia de Protección de Datos Personales. Es un proyecto: el diseño final todavía puede cambiar en el Senado.

Para una empresa o un estudio, eso tiene una consecuencia práctica: hoy no hay una regla específica que diga qué IA puedes usar, pero sí hay una ley que regula lo que haces con los datos de las personas, y esa ley no distingue si el tratamiento lo hace un practicante, una planilla o un modelo de lenguaje.

Inteligencia artificial y protección de datos personales: la ley que ya se aplica

La Ley 19.628 define el tratamiento de datos como cualquier operación, automatizada o no, que permita recolectar, almacenar, organizar, extraer, comunicar o transferir datos personales, «o utilizarlos en cualquier otra forma» (artículo 2 o). Pegar un texto con el nombre y el correo de un cliente en un chat de IA entra en esa definición sin forzarla.

De ahí salen tres obligaciones que ya rigen hoy:

• Finalidad (artículo 9). Los datos se usan sólo para los fines con que se recolectaron. El cliente te dio su correo para que le respondieras, no para que quedara en el historial de una plataforma de IA.
• Secreto (artículo 7). Quienes trabajan con datos personales están obligados a guardar secreto sobre ellos, y esa obligación sigue aunque dejen el trabajo.
• Diligencia (artículo 11). El responsable debe cuidar los datos con la debida diligencia y responde de los daños.

Si la información es de salud, de la vida sexual, de creencias u opiniones, entra además el régimen de los datos sensibles, que en principio no pueden tratarse sin autorización legal o consentimiento del titular (artículo 10). Lo desarrollamos en datos sensibles.

¿Es ilegal poner datos personales en ChatGPT?

No existe un artículo que diga «prohibido pegar datos en ChatGPT». Lo que existe son reglas que ese gesto puede infringir, según qué pegues, para qué y con qué herramienta.

Ayuda pensarlo en tres casos:

1. Un texto sin datos de nadie. Una cláusula tipo, una pregunta sobre cómo calcular un plazo, un borrador sin nombres. No hay tratamiento de datos personales y la ley de datos no entra.
2. Un texto con datos que la tarea no necesita. El caso más común: el correo completo de un cliente, con nombre, celular y dirección, para pedir que la IA mejore la redacción. La tarea no requería ninguno de esos datos, y mandarlos choca con la finalidad y, con la reforma, con la proporcionalidad.
3. Un texto donde el dato es la tarea. Pedirle a la IA que analice el historial clínico de un paciente o la situación financiera de un cliente. Aquí hace falta una base de licitud clara, un proveedor con contrato y, muy probablemente, el consentimiento del titular, sobre todo si son datos sensibles.

La mayor parte del uso real cae en el caso 2, y es el que tiene la solución más simple: sacar los datos antes de pegar. Si quieres el detalle de qué hace cada plataforma con lo que le mandas, está en ¿es seguro ChatGPT?.

Ley 21.719 e IA: qué cambia

La Ley 21.719 entra en vigencia el 1 de diciembre de 2026, salvo que se apruebe la prórroga en trámite en el Senado (boletín 18.623-07), que propone el 1 de diciembre de 2027. Cuando rija, varias de sus reglas le hablan directamente a quien usa IA con datos personales, aunque nunca usen esa palabra.

Bases de licitud (artículos 12 y 13). El tratamiento es lícito con consentimiento libre, informado y específico, o sin él cuando lo exige la ley, cuando es necesario para un contrato con el titular, cuando hay un interés legítimo que no afecte sus derechos, o para defender un derecho ante tribunales. Antes de mandar datos a una IA, tienes que poder decir en cuál de esas bases te apoyas. Y el responsable debe poder acreditarlo. Para un estudio jurídico, una forma práctica de dejarlo acreditado con el cliente es la cláusula de IA en el contrato de honorarios.

Proporcionalidad (artículo 3 c). Los datos que se traten deben limitarse estrictamente a los necesarios, adecuados y pertinentes para la finalidad. Es la regla que hace que pegar un correo entero para corregir la ortografía sea difícil de justificar.

Protección desde el diseño y por defecto (artículo 14 quáter). El responsable debe aplicar medidas técnicas y organizativas desde antes del tratamiento, y garantizar que por defecto sólo se traten los datos estrictamente necesarios. Una política de uso de IA que diga «se tapan los datos antes de pegar» es una medida de este tipo.

Seguridad (artículo 14 quinquies). Las medidas deben ser apropiadas al riesgo, y la ley pone como primer ejemplo «la seudonimización y el cifrado de datos personales». Cambiar un nombre por una etiqueta antes de mandarlo a un tercero es exactamente seudonimizar, y lo explicamos en anonimización y disociación de datos.

Evaluación de impacto (artículo 15 ter). Cuando un tratamiento pueda producir un alto riesgo, hay que evaluarlo antes de empezar. Es obligatoria, entre otros casos, en la evaluación sistemática de aspectos personales basada en decisiones automatizadas con efectos jurídicos significativos, y en el tratamiento masivo o a gran escala. Junto con esa evaluación, vale la pena revisar si a tu empresa le conviene un seguro cibernético.

Transparencia (artículo 14 ter). El responsable debe publicar su política de tratamiento, los destinatarios de los datos, las transferencias a otros países y, si las hay, las decisiones automatizadas con información significativa sobre la lógica aplicada.

El proveedor de IA: ¿mandatario o cesión?

La pregunta jurídica más importante cuando usas una plataforma de IA es qué papel tiene el proveedor frente a los datos que le mandas.

Si el proveedor trata los datos sólo por tu cuenta, para darte el servicio y sin usarlos para nada más, actúa como tercero mandatario o encargado. La Ley 19.628 ya exige que ese mandato conste por escrito (artículo 8). Con la Ley 21.719, el artículo 15 bis pide un contrato que fije el objeto del encargo, su duración, la finalidad, el tipo de datos, las categorías de titulares y los derechos y obligaciones de las partes. El encargado no puede usar los datos para otro objeto, y al terminar el servicio debe suprimirlos o devolverlos. Si los usa para otra cosa, pasa a ser responsable de datos para todos los efectos legales.

Si el proveedor usa lo que le mandas también para sus propios fines, como entrenar o mejorar sus modelos, ya no actúa sólo por tu cuenta. En ese caso se parece más a una cesión de datos, que según el artículo 15 requiere el consentimiento del titular o una de las otras bases que la ley admite, y debe constar por escrito. En las cuentas personales de Gemini, por ejemplo, Google informa que revisores humanos leen una parte de los chats, como contamos en nuestra guía de Gemini.

En la práctica, eso significa leer los términos antes de usar la herramienta con datos de clientes:

• ¿Usa el contenido para entrenar modelos? ¿Se puede desactivar, y para quién?
• ¿Cuánto tiempo conserva las conversaciones y los archivos?
• ¿Tiene un acuerdo de tratamiento de datos que puedas firmar o aceptar?
• ¿En qué país están sus servidores?

Las versiones gratuitas y las de pago para empresas de una misma plataforma suelen tener condiciones distintas en estos puntos. Cómo convertir esas respuestas en reglas internas para tu equipo está en política de uso de IA en empresas.

¿Qué IA cumple con la ley chilena?

Es la pregunta que más se hace, y la respuesta honesta es que ninguna herramienta «cumple» por sí sola. La ley no certifica plataformas: le pone obligaciones a quien trata los datos, que eres tú. Una misma IA puede usarse de forma correcta o incorrecta según qué le mandes y con qué contrato.

Lo que sí puedes hacer es comparar las herramientas con las preguntas que la ley te obliga a responder:

• ¿Tiene un contrato de tratamiento de datos? Sin contrato escrito, es difícil sostener que el proveedor actúa como mandatario (artículo 8 de la Ley 19.628 y 15 bis de la reforma).
• ¿Usa tu contenido para entrenar? Si lo hace, ya no trata los datos sólo por tu cuenta. En Claude, por ejemplo, depende del plan y de un interruptor, como contamos en cómo trata Claude tus chats.
• ¿Dónde procesa y qué garantías ofrece para la transferencia? Es lo que piden los artículos 27 y 28.
• ¿Cuánto tiempo conserva lo que le mandas, y puedes borrarlo? Lo necesitas para responder una solicitud de supresión.
• ¿Quién en tu empresa tiene cuenta, y de qué tipo? Una cuenta personal gratuita usada para trabajo es el escenario más difícil de defender.

Si la respuesta a varias de esas preguntas es «no sé», la salida más simple no es cambiar de herramienta, sino dejar de mandarle datos personales. Una IA que sólo recibe etiquetas no necesita cumplir nada respecto de tus clientes, porque no sabe quiénes son.

Transferencia internacional: el servidor está fuera de Chile

Casi ninguna plataforma de IA procesa en Chile. Cuando mandas datos personales a un servidor en Estados Unidos o en Europa, hay una transferencia internacional de datos.

La Ley 19.628 vigente no tiene reglas específicas sobre esto. La Ley 21.719 sí, en sus artículos 27 y 28. La transferencia es lícita cuando va a un país con niveles adecuados de protección, cuando está amparada por cláusulas contractuales u otros instrumentos con garantías adecuadas, o cuando las partes adoptan un modelo de cumplimiento o certificación con esas garantías. Sin ninguna de esas tres, sólo cabe una transferencia específica y no habitual en supuestos tasados, como el consentimiento expreso del titular para esa transferencia determinada o la ejecución de un contrato con él.

La Agencia de Protección de Datos Personales determinará qué países son adecuados y publicará en su sitio un listado de países y modelos de cláusulas contractuales. Mientras esos listados no existan, lo prudente es revisar qué garantías ofrece el contrato del proveedor y, sobre todo, no mandar datos que la tarea no necesita. Un dato que no sale del computador no se transfiere a ninguna parte.

Decisiones automatizadas: seleccionar candidatos, evaluar clientes

Usar IA para redactar es una cosa. Usarla para decidir sobre una persona es otra, y la Ley 21.719 la regula aparte.

El artículo 8 bis da al titular el derecho a oponerse y a no ser objeto de decisiones basadas en el tratamiento automatizado de sus datos, incluida la elaboración de perfiles, que le produzcan efectos jurídicos o le afecten significativamente. Las excepciones son la celebración o ejecución de un contrato, el consentimiento previo y expreso, y la autorización legal con salvaguardas. Y aun en esos casos, el responsable debe asegurar el derecho del titular a la información, a obtener una explicación, a la intervención humana, a expresar su punto de vista y a pedir la revisión de la decisión.

Ejemplos que entran de lleno: descartar postulantes con un filtro automático, fijar la tasa de un crédito con un modelo, decidir si un arrendatario califica según un puntaje. Si tu proceso se parece a eso, una persona tiene que poder revisar lo que decidió la máquina, y el titular tiene que poder pedir esa revisión. El caso de la selección de personal lo vemos en detalle en IA para recursos humanos.

Además, el derecho de acceso del artículo 5 incluye la información significativa sobre la lógica aplicada cuando hay decisiones de este tipo. «Lo decidió el sistema» no es una respuesta suficiente.

Agencia de Protección de Datos Personales: qué podrá hacer

La Ley 21.719 crea la Agencia de Protección de Datos Personales, una corporación autónoma de derecho público que se relaciona con el Presidente a través del Ministerio de Economía (artículo 30). No es una agencia de inteligencia artificial, pero va a ser la autoridad que mire lo que las empresas hacen con datos personales, también cuando pasan por una IA.

Según el artículo 30 bis, la Agencia podrá:

• Dictar instrucciones y normas generales obligatorias, previa consulta pública.
• Fiscalizar el cumplimiento de la ley y pedir cualquier documento o antecedente necesario.
• Resolver los reclamos de los titulares y aplicar las sanciones de la ley.
• Certificar los modelos de prevención de infracciones y llevar el Registro Nacional de Sanciones y Cumplimiento.

Las multas van de la amonestación o hasta 5.000 UTM en las infracciones leves, hasta 10.000 UTM en las graves y hasta 20.000 UTM en las gravísimas (artículo 35). Vulnerar el deber de secreto o las obligaciones de seguridad es grave; hacerlo con datos sensibles es gravísimo. Durante los primeros doce meses de vigencia, a una empresa de menor tamaño la Agencia puede aplicarle una amonestación por escrito en vez de multa (artículo sexto transitorio).

Qué poner en tu política de privacidad si usas IA

Si en tu oficina se mandan datos de clientes a una plataforma de IA, tu política de tratamiento tiene que decirlo. El artículo 14 ter de la Ley 21.719 pide, entre otras cosas, informar:

• Las finalidades del tratamiento y su base de licitud.
• Los destinatarios a los que se prevé comunicar o ceder los datos, donde entra el proveedor de IA.
• La transferencia a otro país, si la hay, y si ese país ofrece un nivel adecuado de protección o qué garantías la justifican.
• El período de conservación.
• La existencia de decisiones automatizadas o perfiles, con información significativa sobre la lógica aplicada y sus consecuencias.

Hay una forma de simplificar todo esto: si los datos personales se tapan antes de llegar a la IA, el proveedor recibe un texto con etiquetas en vez de nombres, y lo que tienes que informar sobre ese uso se reduce mucho. No desaparece la obligación de tener una política, pero la parte más difícil de explicar deja de existir.

Qué contestar si un cliente pregunta si usas IA

Cada vez más clientes lo preguntan, sobre todo en estudios jurídicos, oficinas contables y empresas que manejan información delicada. Una buena respuesta tiene tres partes y no necesita tecnicismos:

1. Qué tareas. «Usamos inteligencia artificial para redactar borradores, resumir documentos y ordenar información.»
2. Qué datos. «Antes de usarla, cambiamos los nombres, correos, teléfonos, direcciones y RUT por etiquetas, en nuestro computador. A la plataforma no llegan sus datos.»
3. Quién revisa. «Todo lo que sale de la IA lo revisa una persona del equipo antes de enviárselo.»

Si no puedes decir la segunda frase con honestidad, ese es el punto que hay que arreglar primero.

Un ejemplo: el correo de la corredora

Así es un pedido típico que alguien de una corredora de propiedades pegaría en un chat:

Redacta una respuesta amable para este arrendatario:
Arrendatario: Rodrigo Valdebenito Araos
Correo: nombre@example.com
Celular: +56 9 0000 0000
Dirección: Calle Inexistente 0, Providencia
Pregunta si le podemos devolver la garantía antes de entregar las llaves.

Y esto es lo que llega al chat después de pasarlo por Nonimo, copiado tal cual:

Redacta una respuesta amable para este arrendatario:
Arrendatario: [PERSONA_1]
Correo: [CORREO_1]
Celular: [TELEFONO_1]
Dirección: [DIRECCION_1]
Pregunta si le podemos devolver la garantía antes de entregar las llaves.

Para escribir una respuesta amable sobre la devolución de la garantía, la IA no necesita saber quién es el arrendatario ni dónde vive, y con el segundo texto el proveedor no recibe nada que lo identifique. Cuando copias la respuesta, Nonimo devuelve el nombre a su lugar en tu pantalla.

Cómo usar IA con datos de clientes sin que salgan de tu computador

Nonimo es una app para Windows y Mac que trabaja en tu computador antes de que el texto llegue al chat. Seleccionas el fragmento, presionas la tecla que elegiste y los datos personales se cambian por etiquetas. Cuando copias la respuesta y presionas la misma tecla, cada etiqueta vuelve a su valor. A Nonimo no le llega tu texto.

En textos chilenos tapa los datos que identifican a la persona, como el nombre, el correo, el celular, la dirección o el RUT. Funciona con ChatGPT, Claude, Copilot y Gemini, y para empresas hay una extensión de navegador que instala el área de TI. El detalle está en la página de seguridad.

Nonimo no decide por ti la base de licitud ni reemplaza el contrato con el proveedor. Lo que hace es que, en la mayoría de los usos diarios, esa pregunta ni siquiera se plantee, porque el dato personal no llega al chat.

IA y protección de datos según tu actividad

El riesgo cambia con el tipo de documento que circula en cada oficio.

• Corredoras de propiedades. Fichas de arrendatarios, liquidaciones de sueldo para evaluar la renta, avales y garantías. Lo vemos en corredoras de propiedades.
• Corredores de seguros. Pólizas, siniestros y declaraciones de salud, que son datos sensibles. Tienen su página en corredores de seguros.
• Municipalidades. Solicitudes de vecinos, fichas sociales y expedientes de permisos, con datos de situación socioeconómica que la Ley 21.719 trata como sensibles. Lo contamos en municipalidades.

Fuentes

Consultadas el 21 de octubre de 2026.

• Ley 19.628, sobre protección de la vida privada. Texto en LeyChile. Artículos 2, 7 a 11.
• Ley 21.719, regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos Personales, DO 13-dic-2024. Texto en LeyChile. Artículos 3, 5, 8 bis, 12, 13, 14 ter a 15 ter, 27, 28, 30, 30 bis y 35 de la Ley 19.628 reformada; artículos primero y sexto transitorios.
• Proyecto que regula los sistemas de inteligencia artificial, boletines 16.821-19 y 15.869-19. Ficha de tramitación del Senado. Segundo trámite constitucional.
• Proyecto que modifica la Ley 21.719 (prórroga), boletín 18.623-07. Ficha de tramitación del Senado. Primer trámite constitucional.
• Diario Constitucional, «Proyecto de ley que regula integralmente la inteligencia artificial en Chile prosigue su tramitación en el Senado», 23-feb-2026. Artículo. Categorías de riesgo del texto aprobado por la Cámara.

Esta guía resume la ley y no reemplaza la asesoría de un abogado.