Ley 21.719: qué debe revisar tu pyme antes de usar un chatbot o agente de IA
Respuesta corta: Desde el 1 de diciembre de 2026 rige en Chile la Ley 21.719 de protección de datos personales. Si un proveedor trata los datos de tus clientes por ti, como ocurre con un chatbot o agente de IA, necesitas un contrato de encargo que diga para qué, por cuánto tiempo y qué datos trata. Además debes tener una base legal para usar esos datos, informarlo en tu política de privacidad, cuidar la seguridad y tener especial cuidado con los datos de salud.
Este artículo es informativo y no reemplaza la asesoría de un abogado.
Lo que cambia para una pyme
- Aplica a todas las empresas, sin importar su tamaño, que traten datos de personas.
- Hay una Agencia de Protección de Datos Personales que fiscaliza y puede multar.
- Las multas llegan hasta 5.000 UTM en las infracciones leves, 10.000 UTM en las graves y 20.000 UTM en las gravísimas, y pueden triplicarse si se repiten.
La lista para revisar antes de usar un chatbot
- Contrato de encargo con el proveedor. La ley (artículo 15 bis) pide un contrato que diga el objeto, la duración, la finalidad, los tipos de datos, de quiénes son y las obligaciones de cada parte.
- Base legal para usar los datos. Por ejemplo, que el cliente te escribió para comprar o que dio su consentimiento.
- Tu política de privacidad. Debe contar que usas un asistente automático y para qué.
- Proveedores del proveedor. Si el chatbot usa servicios de terceros (servidores, modelos de IA, WhatsApp), deben estar autorizados y, si están fuera de Chile, con garantías para esa transferencia.
- Seguridad e incidentes. Accesos con usuario propio, sin compartir contraseñas, y un compromiso de aviso rápido si algo falla. Los incidentes se informan a la Agencia sin dilaciones indebidas.
- Datos de salud y otros sensibles. Por regla general requieren consentimiento expreso. Si tu negocio es del área de la salud, el chatbot debe pedir solo lo necesario.
- Decisiones automáticas. Las personas tienen derecho a no quedar sujetas a decisiones tomadas solo por un sistema cuando les producen efectos importantes. Lo seguro es que el agente no apruebe ni rechace nada importante sin revisión de una persona.
Cómo lo resolvemos en NodAIS
- Cada proyecto lleva un contrato con anexo de tratamiento de datos: qué datos, de quiénes, qué proveedores y qué pasa al terminar.
- Un Mapa de permisos del agente: qué lee, qué escribe, qué no hace nunca y cuándo deriva a una persona.
- Accesos siempre con usuario propio de NodAIS, nunca con tus contraseñas, y una instancia separada para cada cliente.
Más sobre esto: Cómo trabajamos en NodAIS · Agentes administrativos
Preguntas frecuentes
¿Desde cuándo rige la Ley 21.719?
Fue publicada en diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026.
¿El proveedor del chatbot también es responsable?
Sí. El proveedor actúa como encargado y responde si trata los datos para fines distintos de los acordados o sin cumplir el contrato. Tu empresa sigue siendo la responsable frente a tus clientes.
¿Puedo usar un chatbot si mi negocio es de salud?
Sí, con más cuidado: pedir solo los datos necesarios, informar a los pacientes y aplicar medidas de seguridad reforzadas. Conviene revisarlo con un abogado.
Fuentes
- Texto de la Ley 21.719 (Biblioteca del Congreso Nacional)
- Guía de la Ley 21.719 (Idónea)
- Contrato de encargo y Ley 21.719 (Prey)
Última actualización: 10 de octubre de 2026