Ley 21.719 en Chile: qué deben saber las empresas que usan IA

Piensa en tu último mensaje a ChatGPT. ¿Tenía un nombre real? ¿Un RUT? ¿Datos de sueldo? Si trabajas con información de clientes, empleados o pacientes, probablemente sí. Lo hacemos todos porque es útil y nos ahorra mucho tiempo.

El problema es que el 1 de diciembre de 2026 entra en vigencia la nueva ley de datos personales de Chile, la Ley 21.719, y desde ese día hacer eso sin protección tiene consecuencias legales. La ley crea una Agencia de Protección de Datos con facultad de investigar y sancionar, y las multas por exponer datos personales de otras personas llegan hasta 20.000 UTM, más de $1.380 millones de pesos.

En este artículo vamos a ver qué dice la ley sobre usar IA con datos sensibles, quién fiscaliza, cuáles son las opciones reales para cumplir (un DPA o la seudonimización), y cómo se ve eso en la práctica con un ejemplo concreto.

Qué dice la Ley 21.719

La Ley 21.719 distingue entre faltas leves, graves y muy graves. Que datos personales salgan de tu empresa hacia otro servicio sin medidas de protección es una falta grave. Para ponerlo en perspectiva: 1 UTM hoy cuesta aproximadamente $69.000 CLP. No es una multa que una pyme pueda absorber como costo operativo.

Y aquí es donde nos toca: cada vez que pegas datos sensibles en ChatGPT o Claude, esos datos salen hacia los servidores de ChatGPT o Claude. Para la ley, esos datos personales ya salieron de tu empresa. Si no tenías medidas de protección al hacerlo, califica como falta grave.

La ley también crea la Agencia de Protección de Datos Personales, una entidad nueva con facultad de investigar y sancionar. Piensa en ella como un SII, pero para datos personales. Antes no había en la práctica nadie fiscalizando esto, y a partir de diciembre lo hay.

Cómo cumplir sin dejar de usar IA

Cumplir con esta ley no te obliga a dejar de usar ChatGPT o Claude. Hay por lo menos dos caminos para seguir usándolos sin caer en una falta grave.

El primero es contratar un plan que incluya un DPA. Un DPA es un contrato que obliga a ChatGPT o Claude a tratar tus datos con las mismas reglas que te exige a ti la Ley 21.719. Los datos siguen enviándose igual, pero ese contrato los obliga a hacerse cargo de cuidarlos como corresponde.

El detalle es el precio. El DPA no viene en el plan personal ni en el de US$20 al mes, ni siquiera en el Pro de US$200. Aparece solo en los planes de empresa, que se cobran por usuario y exigen mínimo dos: US$60 al mes de piso en ChatGPT Business, US$50 en Claude Team.

El segundo camino no cambia el plan que pagas, cambia lo que sale de tu computadora. Si el mensaje que llega a ChatGPT o Claude no lleva ningún dato personal, entonces tampoco hay un dato personal saliendo. Y si no sale, no hay nada que un contrato tenga que cubrir. Eso es la seudonimización.

Seudonimizar antes de enviar

Digamos que le escribes a ChatGPT: “Revisa si el sueldo de María González, RUT 12.345.678-9, cuadra con lo que dice su contrato”. Con seudonimización, lo que sale de tu computadora es otra frase: “Revisa si el sueldo de PERSONA_001, RUT_001, cuadra con lo que dice su contrato”. El modelo hace exactamente el mismo trabajo, porque para comparar un sueldo con un contrato no necesita saber que PERSONA_001 se llama María. Cuando llega la respuesta, cada etiqueta vuelve a su dato original y tú lees el nombre de siempre.

Ahí está lo que importa para la ley: de tu empresa no salió el RUT de nadie, salió “RUT_001”. La tabla que conecta las etiquetas con los datos reales se queda en tu computadora.

La Ley 21.719 se toma el trabajo de enumerar qué medidas de protección considera válidas, y la seudonimización aparece mencionada por nombre en esa lista. Es una vía que la propia ley te ofrece.

ZeroPII: seudonimización automática en tu computadora

ZeroPII es una aplicación que se instala en tu computadora y hace el proceso de seudonimización en segundo plano de manera automática. Se pone entre tu computadora y la IA: antes de que el mensaje salga, detecta los datos sensibles y los reemplaza por etiquetas. Cuando la respuesta vuelve, restaura las etiquetas con los datos originales para que tú veas todo con la información real.

Detecta nombres de persona, emails, teléfonos, direcciones, datos de empresa, tarjetas de crédito, cuentas bancarias, direcciones IP y claves de API. También revisa archivos adjuntos: PDFs, Excel, documentos Word, CSVs y más. Todo el proceso pasa en tu computadora, sin que ningún dato sensible salga hacia internet.

Funciona con ChatGPT y Claude, incluso con los planes gratuitos. No necesitas cambiarte de herramienta ni contratar un plan corporativo. Cuesta US$19 al mes por persona, con garantía de 30 días.

Preguntas que probablemente te estás haciendo

¿La IA no se confunde con las etiquetas?

En el 95% de los casos, no. Resumir, comparar, redactar, analizar: al modelo le importa la estructura del texto, no si el nombre dice “Juan Pérez” o “PERSONA_001”. Solo falla cuando necesitas validar el dato mismo (ej: verificar un dígito de RUT), y eso es raro.

¿Contratar ChatGPT Business me cubre?

Sí, incluye DPA. Pero cuesta US$60/mes mínimo. ZeroPII cuesta menos y funciona con ChatGPT y Claude, incluso con los planes gratis.

¿Solo con seudonimizar estoy al día?

Cubre lo más urgente, que los datos no salgan de tu empresa sin protección. La ley tiene más partes (registros, consentimientos, reportes de brechas). Para el cuadro completo, un abogado de datos es buena idea. Pero la seudonimización es el primer paso concreto.

¿Qué pasa si no cumplo antes del 1 de diciembre?

La ley entra en vigencia ese día, pero durante el primer año la Agencia solo puede emitir advertencias, no multas. Es un período de marcha blanca para que las empresas se adapten. Eso no significa que puedas ignorarla: la Agencia sí puede investigar y dejar registro. Y cuando termine ese año, las multas aplican sin más aviso.

¿Dónde quedan mis datos cuando uso ZeroPII?

En tu computadora. ZeroPII procesa todo de forma local. El mapa entre etiquetas y datos originales nunca sale de tu equipo. Ningún servidor externo ve la información original.