Hay un artículo de la Ley 21.719 que casi nadie está mirando y que es el que realmente conecta la nueva ley de datos con la inteligencia artificial. No está en el capítulo del inventario ni en el de las brechas. Es el artículo 8° bis, y dice, en resumen, que una persona tiene derecho a no ser objeto de decisiones basadas únicamente en tratamiento automatizado —incluido el perfilado— cuando esas decisiones produzcan efectos jurídicos en ella o la afecten significativamente.
Actualización, 2 de septiembre de 2026: el Gobierno ingresó al Senado un proyecto para postergar la vigencia de la ley al 1 de diciembre de 2027. Es un proyecto, no una ley: las obligaciones no cambian. Qué cambia y qué no para tu empresa.
Traducido a la operación de una empresa chilena: si tienes un sistema que decide solo, sobre personas, y esa decisión les cambia algo importante, esa persona tiene derecho a que se lo expliques, a que un humano intervenga y a pedir que la decisión se revise.
La razón por la que esto importa ahora es simple: la mayoría de las empresas que están automatizando con IA está construyendo exactamente ese tipo de sistemas, y lo está haciendo sin ninguna de esas tres capacidades. Este artículo explica qué cae bajo la norma, qué no, y qué hay que tener resuelto antes del 1 de diciembre de 2026. Es orientación general basada en implementaciones reales, no asesoría legal para tu caso.
Primero: la 21.719 no es una ley de IA
Conviene dejarlo claro porque es fuente de confusión permanente. La Ley 21.719 es de protección de datos personales: regula cómo se recopilan, usan, comparten y protegen los datos de las personas, con independencia de la tecnología. No es la ley de inteligencia artificial. Esa es otra, todavía en trámite en el Congreso, y funciona con otra lógica.
Pero hay un punto donde la 21.719 sí le habla directamente a la IA, y es este: cuando el tratamiento automatizado de datos personales decide sobre alguien. Ahí deja de dar lo mismo qué tecnología uses, porque la ley regula la consecuencia, no la herramienta.
Si todavía no tienes el panorama general de la ley, parte por qué es la Ley 21.719 y a quién aplica, o por el checklist de implementación. Este artículo asume que ya sabes lo básico y se mete en la parte que cruza con la automatización.
Las dos condiciones que activan la norma
No toda automatización queda cubierta. Tienen que darse dos cosas al mismo tiempo.
Condición 1: la decisión es únicamente automatizada
Es decir, no hay intervención humana significativa en el resultado. Y la palabra clave es significativa. Poner a una persona a apretar “aceptar” sobre lo que el sistema ya resolvió no convierte la decisión en humana. Para que la intervención cuente, esa persona tiene que tener información suficiente, competencia para evaluar y autoridad real para cambiar el resultado.
Este es el punto donde más empresas se van a llevar una sorpresa. Muchos procesos que se describen internamente como “con supervisión humana” son, en los hechos, aprobaciones automáticas con un click de por medio.
Condición 2: produce efectos jurídicos o afecta significativamente
La decisión tiene que tener peso real en la vida de la persona. Rechazar un crédito, descartar a alguien de un proceso de selección, cancelar un servicio, negar una cobertura, incluir a alguien en una lista de riesgo. No aplica a decisiones de bajo impacto, como ordenar el orden de aparición de productos en una vitrina.
Qué sistemas chilenos caen acá en la práctica
Estos son los casos que aparecen una y otra vez cuando revisamos la operación de una empresa:
- Scoring crediticio o de riesgo. El caso de manual: un modelo asigna un puntaje y de ese puntaje depende si la persona accede o no a un producto financiero.
- Filtro automático de currículums. Si el sistema descarta postulantes antes de que un reclutador los vea, esa decisión afecta significativamente a alguien y fue tomada por una máquina.
- Detección de fraude que bloquea cuentas o transacciones. Especialmente cuando el bloqueo es inmediato y la revisión humana viene después, o solo si el afectado reclama.
- Segmentación de cobranza. Decidir a quién se contacta, con qué intensidad y con qué condiciones de pago según un modelo predictivo.
- Precios o condiciones personalizadas según el perfil de la persona, cuando eso determina el acceso o el costo real del servicio.
- Priorización de atención en salud o en beneficios, cuando el orden lo define un algoritmo.
Nota algo importante: ninguno de estos ejemplos requiere IA generativa. Un modelo estadístico de hace quince años, o incluso un conjunto de reglas de negocio en una planilla, puede constituir una decisión automatizada. La norma no habla de inteligencia artificial: habla de tratamiento automatizado. La IA solo hizo que estos sistemas se multiplicaran.
Las garantías que hay que poder entregar
Cuando una decisión cae bajo la norma, el responsable debe adoptar medidas para resguardar los derechos de la persona. En concreto, tiene que poder darle:
- Información y transparencia: que sepa que hay una decisión automatizada de por medio, y no que lo descubra reclamando.
- Una explicación: qué factores llevaron a ese resultado, en lenguaje que la persona entienda.
- Intervención humana: acceso a una persona con capacidad real de evaluar el caso.
- Expresar su punto de vista: poder aportar antecedentes que el sistema no consideró.
- Solicitar la revisión de la decisión.
La ley contempla excepciones a la oposición, entre ellas los tratamientos con fines de investigación científica, histórica o estadística, y aquellos necesarios para el cumplimiento de una función pública o el ejercicio de una actividad de interés público. Como toda excepción, hay que poder fundamentarla, no invocarla por comodidad.
El problema técnico real: la explicación
De las cinco garantías, cuatro son de proceso y se resuelven con diseño organizacional: definir quién revisa, en qué plazo, por qué canal, con qué registro. Trabajo, pero trabajo conocido.
La que duele es la segunda. Muchos modelos no fueron construidos para explicar por qué decidieron lo que decidieron. Un modelo complejo puede entregar un puntaje excelente en términos de precisión y ser, al mismo tiempo, incapaz de decirte qué factor pesó más en el caso de esta persona específica. Y “el modelo lo determinó” no es una explicación.
Esto tiene una consecuencia de diseño que conviene asumir antes y no después: en procesos que deciden sobre personas, la explicabilidad es un requisito, no una característica deseable. A veces eso significa preferir un modelo un poco menos preciso pero interpretable. Otras, mantener el modelo complejo y agregarle una capa que reconstruya los factores determinantes de cada decisión individual. Lo que no funciona es dejarlo para el final, porque rehacer un sistema en producción cuesta mucho más que diseñarlo bien de entrada.
Qué hacer ahora, en orden
- Inventaria tus decisiones automatizadas. No tus sistemas: tus decisiones. Recorre los procesos donde algo se resuelve sobre una persona y pregunta quién decide realmente. Suelen aparecer más de los que la empresa cree, incluyendo reglas viejas que nadie recuerda haber configurado.
- Clasifícalas por impacto. Cuáles producen efectos jurídicos o afectan significativamente, y cuáles no. Esa línea define dónde tienes obligaciones.
- Audita la intervención humana que crees tener. Para cada decisión con impacto, verifica si la persona que aprueba tiene información, competencia y autoridad real para cambiar el resultado. Si solo confirma, no es intervención significativa.
- Evalúa si puedes explicar cada decisión. Toma un caso concreto de los últimos meses e intenta redactar la explicación que le entregarías a esa persona. Si no puedes, ahí tienes tu brecha.
- Diseña el canal de revisión y déjalo documentado: cómo pide una persona la revisión, quién la atiende, en qué plazo y qué registro queda.
- Registra todo. Sin trazabilidad de qué decidió el sistema y con qué antecedentes, no puedes explicar ni revisar nada seis meses después.
La buena noticia
Casi todo lo que exige esta norma es lo que uno querría tener igual, sin ley de por medio. Saber qué decide tu sistema y por qué, poder explicárselo a un cliente molesto, tener registro de cada decisión, contar con un canal formal de revisión: eso es control sobre tu propia operación. Las empresas que no lo tienen no están solo expuestas a una sanción, están operando a ciegas sobre decisiones que afectan a sus clientes.
Cuando construimos sistemas que deciden —priorización de contacto, clasificación de casos, scoring— dejamos el registro de auditoría y la trazabilidad desde el primer día, porque agregarlos después es rehacer el sistema. Puedes ver cómo se ve eso en la práctica en nuestro caso de plataforma de cumplimiento de la Ley 21.719 o en el motor de scoring de prospectos, donde el sistema entrega un ranking de confianza en vez de un veredicto opaco.
Si tienes procesos que deciden sobre personas y no sabes si caen bajo el artículo 8° bis, revisemos tu caso. Queda menos de lo que parece para el 1 de diciembre de 2026.
Preguntas frecuentes
¿Qué dice la Ley 21.719 sobre las decisiones automatizadas?
El artículo 8° bis reconoce el derecho de la persona a oponerse y a no ser objeto de decisiones basadas únicamente en el tratamiento automatizado de sus datos personales, incluido el perfilado, cuando esas decisiones produzcan efectos jurídicos o la afecten significativamente. Además obliga al responsable a resguardar sus derechos entregándole información y transparencia, una explicación, intervención humana, la posibilidad de expresar su punto de vista y de solicitar la revisión de la decisión.
¿Mi sistema de scoring queda cubierto por esta norma?
Si el puntaje determina por sí solo el resultado para la persona y ese resultado le produce efectos jurídicos o la afecta significativamente, sí. Es el caso típico del scoring crediticio, del filtro automático de postulantes, del bloqueo por detección de fraude o de la segmentación de cobranza. No importa si el modelo usa inteligencia artificial moderna o reglas de negocio antiguas: la norma habla de tratamiento automatizado, no de una tecnología en particular.
¿Basta con que una persona apruebe la decisión del sistema?
No, si esa aprobación es solo formal. Para que la intervención humana cuente, la persona debe tener información suficiente sobre el caso, competencia para evaluarlo y autoridad real para modificar el resultado. Un flujo donde alguien confirma en un click lo que el sistema ya resolvió sigue siendo, en los hechos, una decisión automatizada. Muchos procesos descritos internamente como supervisados no resisten este análisis.
¿Qué pasa si mi modelo no puede explicar por qué decidió algo?
Es la brecha más común y la más cara de cerrar tarde. Un modelo complejo puede ser muy preciso y aun así no poder indicar qué factor pesó más en un caso individual, y “el modelo lo determinó” no constituye una explicación. Las salidas posibles son preferir un modelo interpretable, o mantener el actual y agregarle una capa que reconstruya los factores determinantes de cada decisión. Conviene resolverlo en el diseño, porque rehacer un sistema en producción cuesta mucho más.
¿La Ley 21.719 regula el uso de inteligencia artificial?
No directamente. La 21.719 es una ley de protección de datos personales y regula el tratamiento de datos con independencia de la tecnología. El punto donde le habla a la IA es el de las decisiones automatizadas: ahí regula la consecuencia sobre la persona, no la herramienta que se usó. La regulación específica de la inteligencia artificial es otra, todavía en tramitación en el Congreso, y funciona con una lógica distinta basada en niveles de riesgo.
¿Desde cuándo tengo que cumplir con esto?
La vigencia plena de la Ley 21.719 es el 1 de diciembre de 2026, fecha desde la cual la Agencia de Protección de Datos Personales puede fiscalizar y sancionar. Conviene no dejarlo para el final, porque las tareas que exige esta parte de la ley —auditar la intervención humana real, lograr explicabilidad y montar el canal de revisión— tocan el diseño de los sistemas y no se resuelven redactando una política.