Privacidad · Protección de datos · IA
La Ley 21.719 entra en vigencia el 1 de diciembre de 2026. Cada flujo en que un agente de IA lea, resuma o envíe datos personales necesitará finalidad, base de licitud y trazabilidad. Ayudamos a empresas reguladas de Chile y Latinoamérica a llegar a esa fecha con evidencia.
Ley 21.719
La Ley 21.719 moderniza la Ley 19.628 y crea la Agencia de Protección de Datos Personales. El plazo para adecuarse es corto para cualquier empresa que opere con agentes, CRM o proveedores en la nube.
Faltan para que entre en vigencia la Ley 21.719 de Protección de Datos Personales, el 1 de diciembre de 2026 a las 00:00 de Chile continental. El conteo se calcula en su navegador con la hora actual.
La Agencia de Protección de Datos Personales podrá fiscalizar, resolver reclamos de titulares y aplicar sanciones según una escala de infracciones leves, graves y gravísimas. Valide los montos directamente con el texto legal.
Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. La ley también regula las decisiones basadas en tratamiento automatizado, algo directo para cualquier agente de IA que clasifique o responda a personas.
El responsable debe poder acreditar su cumplimiento. La ley contempla un modelo de prevención de infracciones. Un registro de actividades, las evaluaciones de impacto y la evidencia de cada tratamiento son la base para demostrarlo.
Pieza interactiva
Elija un dato y un uso. Verá su recorrido, cómo se clasifica, qué base de licitud necesita, qué obligaciones activa y dónde lo procesaríamos según nuestra política de modelos. Es orientativo y no reemplaza un análisis del caso concreto.
"Aplica" indica una obligación o una práctica que recomendamos como evidencia de cumplimiento. "Evaluar" indica que depende de la escala, la finalidad o el tipo de tratamiento. Valide cada caso con asesoría legal y la reglamentación vigente.
IA y datos personales
Así opera nuestro propio circuito de agentes y así lo implementamos en clientes: tarea, ejecución, evidencia con SHA-256 y revisión humana.
Cada tarea declara qué datos toca. La clasificación decide el modelo. Los modelos por API, Anthropic Claude y OpenAI GPT, solo reciben información pública o no crítica.
Lo personal y lo sensible se procesa en modelos locales sobre infraestructura propia. Nunca por API.
El agente accede a herramientas solo por un gateway que registra riesgo, modo, esquema y acción permitida. Una herramienta que lee datos personales se declara como tal.
Cada ejecución deja un archivo de evidencia con huella SHA-256 en una bitácora sobre infraestructura propia. Una persona identificada aprueba o rechaza.
Cada tarea con datos personales corre en un ambiente creado para ella en infraestructura propia, y ese ambiente se elimina al terminar.
El conocimiento se indexa en un NAS propio. Cuando un titular pide supresión, el borrado alcanza también el índice que consulta el agente.
Simulador
Elija un derecho y vea qué debe hacer la empresa para responder, incluido lo que cambia cuando un agente de IA trató el dato. Los plazos que mostramos son referenciales.
Contenido orientativo. Los plazos, formas y excepciones deben validarse con el texto de la Ley 21.719 y la reglamentación que dicte la Agencia de Protección de Datos Personales.
Arquitectura de privacidad
Nuestro modelo de implementación avanza en seis capas. Cada una tiene su propia guía con controles, entregables y evidencia.
Propósito, liderazgo y cultura de privacidad en toda la organización.
02 · gobernanza-operativaRoles, comité, delegado de protección de datos y modelo operativo.
03 · arquitectura-datosInventario, flujos, RAT y ciclo de vida de los datos personales.
04 · riesgos-controlesEvaluación de impacto, controles técnicos y organizativos, y evidencia.
05 · innovacion-pbdPrivacidad desde el diseño en productos, procesos y agentes de IA.
06 · interfaz-titularAvisos, consentimiento y atención de derechos ARCO+.
Servicios y recursos
Servicios
Trabajamos con ISO/IEC 27701, 27001 y 27002 e ISO 31000, y los aterrizamos a la Ley 21.719. Nuestro equipo suma más de 12 años en banca, gobierno, retail, energía y seguros.
Levantamos flujos, sistemas y proveedores, y medimos la distancia frente a la ley. Entregamos hallazgos priorizados por riesgo y un plan de acción con responsables.
RAT · RoPAFinalidad, base de licitud, categorías, plazos de retención, destinatarios y transferencias de cada tratamiento, incluidos los que ejecutan agentes.
EIPD · DPIAPara datos sensibles, tratamiento a gran escala, perfilamiento o decisiones automatizadas. Identificamos riesgos para los titulares y los controles para mitigarlos.
ISO/IEC 27701 · PIMSExtendemos el SGSI ISO 27001 hacia la gestión de privacidad, con roles de responsable y encargado, controles y evidencia auditable.
DPO as a serviceUn equipo que atiende solicitudes de titulares, mantiene el registro, acompaña a las áreas y reporta al directorio con indicadores.
IA · gobierno de datosClasificación de datos para enrutar modelos, manifiestos de agentes, herramientas MCP declaradas, RAG privado y supresión efectiva en índices.
Regional
Muchas empresas operan con titulares en más de un país. Armamos un solo programa de privacidad con capas locales, y usamos el GDPR como referencia de buenas prácticas.
Modifica la Ley 19.628 y eleva el estándar de protección con una autoridad especializada.
Ley de Protección de Datos Personales y su reglamento.
Ley sobre protección de datos personales y su reglamentación.
Reglamento (UE) 2016/679. Lo usamos como referencia metodológica y cuando hay titulares en la UE.
Resumen orientativo. Cada país tiene reglas propias de registro, notificación y sanción, que revisamos con el texto vigente en cada proyecto.
Sesión ejecutiva
Agende una sesión confidencial de 45 minutos. Revisamos sus flujos de datos personales, el uso de IA en su empresa y las brechas más urgentes frente a la Ley 21.719.