El riesgo no se posterga con la ley

Lo que era un secreto a voces, terminó por confirmarse esta última semana. El pasado 31 de agosto, el Gobierno ingresó al Senado, con suma urgencia, un proyecto de artículo único que posterga desde el 1 de diciembre de 2026 al 1 de diciembre de 2027 laentrada envigorde la Ley N° 21.719 de Protección de Datos Personales. Todo esto se deriva de la no instalación de la Agencia de Protección de Datos Personales, organismo llamado a fiscalizar la nueva normativa, ya que en mayo se rechazó la terna de consejeros propuesta por el Ejecutivo, y en junio venció el plazo legal para su designación. Además de mover la fecha, el proyecto presentado amplía de tres a cinco los integrantes del Consejo Directivo de la Agencia y ajusta su régimen de renovación.

Sin duda se trata de una discusión legislativa más que legítima. La instalación de un ente regulador nuevo con capacidad fiscalizadora real es un trámite que requiere seriedad. No obstante, resulta pertinente separar dos preguntas que tienden a llevar a la confusión dentro del debate: ¿Cuándo empieza a regir la Ley 21.719? ¿Qué ley nos regirá mientras tanto y qué tan preparada está para el mundo que ya está operando? 

Esta última pregunta es la más urgente de las dos.

Mientras la Ley 21.719 espera su turno, Chile sigue regulado por la Ley N° 19.628, promulgada en 1999. Hace casi tres décadas. Es una norma que fue concebida para un mundo de bases de datos estáticas y tratamientos manuales. Para ese entonces, el tratamiento masivo de datos para entrenar modelos, la elaboración de perfiles mediante algoritmos y la toma de decisiones automatizada resultaban ser conceptos propios a la ciencia ficción. En la actualidad, estos son los que definen gran parte de la experiencia digital de clientes, empleados y ciudadanos.

Esta notoria diferencia es la que marca distancia entre una norma que describe obligaciones de papel y una que exige, como lo contempla la Ley 21.719, responsabilidad demostrable. Cada decisión sobre datos personales conserve contexto, responsable y evidencia verificable. Ese estándar, hoy por hoy, no es exigible por ley en Chile, pero ya lo es en el mercado mediante los proveedores tecnológicos globales y, cada vez más, por los propios titulares de los datos, que preguntan qué hace una organización con su información antes de decidir si confían en ella.

En otras palabras, la postergación cambia el calendario regulatorio,masno la realidad operativa. Las organizaciones, tanto públicas como privadas, continúan incorporando inteligencia artificial generativa, motores de recomendación, scoring predictivo y automatización de decisiones a un ritmo que no tiene pausa mientras el Senado tramita un artículo único. Cada sistema nuevo que procesa datos personales sin un marco actualizado agrega una capa de exposición que, cuando la Ley 21.719 finalmente entre en vigor (en 2027 o en la fecha que se termine fijando), habrá que reconstruir con evidencia retroactiva. Eso siempre cuesta más que construirlo bien desde el principio.

Puede que el año adicional beneficia al Estado en su calendario de instalación, pero no reduce el riesgo acumulado para quienes tratan datos personales hoy, más aun cuando ese tratamiento ya involucra IA. La ausencia de un fiscalizador no es ausencia de exposición, sinomenos visibilidad sobre ella .

Esta es la razón por la que, en PDP Suite, insistimos en una distinción que suele perderse en la conversación sobre plazos: el cumplimiento no es un evento que ocurre el día en que una ley entra en vigencia, es una operación que se construye antes. Un registro de actividades de tratamiento actualizado, un mapa de bases legales por proceso, un flujo de atención de derechos ARSOBP que no dependa de correos sueltos, o una evaluación de impacto para los sistemas que ya toman decisiones automatizadas no son requisitos que aparecen el 1 de diciembre de 2027. Son la infraestructura que permite responder, con evidencia, cuando alguien (un titular, un cliente, un regulador) pregunta qué se hizo con sus datos y por qué.

Esa es la lógica detrás de una plataforma como PDP Suite: conectar sistemas, consentimientos, derechos ARSOBP, RAT y evidencias en una sola operación trazable, nativa en SAP BTP o integrada a los sistemas que ya usa una organización, en lugar de depender de planillas que envejecen por separado. No porque la fecha legal lo exija todavía, sino porque la trazabilidad y la responsabilidad demostrable ya son un estándar de negocio en la economía de los datos, con o sin fiscalizador instalado.

La postergación de la Ley 21.719 es, en el fondo, un problema de gobernanza institucional que el Ejecutivo intenta resolver con más tiempo. Pero el tiempo adicional solo tiene sentido si se usa para adecuarse con mayor profundidad, no para postergar también la decisión de empezar. Mientras la ley espera su fecha, los datos (y los algoritmos que los procesan, potenciados con IA) no esperan la nuestra.