Ley 21.719 y la IA en tu empresa

Qué exige la ley

Aplica a toda organización que trate datos de personas naturales, sin importar su tamaño. Estos son los cambios que más impactan la operación.

• Una base legal para cada uso

  Cada tratamiento de datos necesita un fundamento: el consentimiento de la persona u otra base que la ley reconozca. Usar datos para algo distinto de lo informado requiere revisar esa base.

• Derechos de las personas

  Acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Tu empresa necesita un procedimiento para recibir y responder estas solicitudes dentro de plazo.

• Seguridad y aviso de vulneraciones

  Hay que aplicar medidas de seguridad acordes al riesgo e informar a la Agencia cuando ocurre una vulneración que afecte datos personales.

• Evaluación de impacto

  Los tratamientos de alto riesgo, como el uso masivo de datos sensibles o la elaboración de perfiles, exigen evaluar su impacto antes de ponerlos en marcha.

• Decisiones automatizadas

  Las personas pueden oponerse a decisiones tomadas solo por un sistema automatizado, incluida la elaboración de perfiles, salvo excepciones legales. Aquí la IA entra de lleno.

• Una Agencia que fiscaliza

  La ley crea la Agencia de Protección de Datos Personales, que fiscaliza y sanciona. Las infracciones gravísimas pueden llegar a 20.000 UTM, y más en caso de reincidencia.

Dónde se cruza con la IA

La mayoría de los riesgos no viene de un proyecto de IA formal, sino del uso diario que nadie ordenó.

• Datos de clientes en un promptCopiar un contrato, una planilla o un reclamo en una IA pública es un tratamiento de datos, con un tercero que tu empresa quizás no autorizó.
• Herramientas que nadie aprobóExtensiones, asistentes y cuentas personales de IA que el equipo usa por su cuenta. No se puede proteger lo que no se conoce.
• Proveedores que entrenan con tus datosAlgunos servicios usan lo que escribes para mejorar sus modelos. El contrato tiene que decir que no.
• Agentes con demasiados permisosUn agente que lee el CRM o el correo accede a datos personales. Necesita permisos mínimos y registro de lo que hace.
• Decisiones sobre personasEvaluar créditos, filtrar postulantes o segmentar clientes con IA puede ser una decisión automatizada que la persona tiene derecho a objetar.

Por dónde empezar

Seis pasos, en este orden. Los primeros tres se pueden partir esta semana.

1. Haz un inventario de datos personalesQué datos tienes, dónde están, para qué se usan y quién accede a ellos.
2. Escribe una política de uso de IAQué herramientas están aprobadas y qué información nunca se pega en ellas.
3. Ordena los accesosDoble factor en correo y sistemas, mínimo privilegio y bajas el mismo día.
4. Define cómo responder a las personasUn canal y un procedimiento para solicitudes de acceso, rectificación o supresión.
5. Prepara la respuesta a incidentesQuién decide, cómo se investiga y cómo se informa a la Agencia y a los afectados.
6. Revisa los contratos con proveedoresIncluidos los de IA: dónde guardan los datos, si entrenan con ellos y cómo los eliminan.