Un chatbot con inteligencia artificial puede atender consultas las 24 horas, resolver dudas repetitivas en segundos y liberar a tu equipo para tareas que sí requieren criterio humano. Pero si no le explicas al cliente que está conversando con una máquina, o si el bot le pide el RUT sin que exista una base legal para tratarlo, tu empresa puede terminar con una multa de hasta 10.000 UTM y un registro público de incumplimiento. La Ley 21.719 no prohíbe los chatbots: exige que se usen con transparencia, proporcionalidad y respeto por los derechos del titular de los datos.
Este artículo explica qué debe informar un chatbot antes de empezar la conversación, qué datos personales puede pedir y cuáles no, y cómo diseñar una experiencia de atención automatizada que cumpla la ley sin que el cliente sienta que está llenando un formulario legal. Incluye un caso de negocio real y el siguiente paso concreto para implementarlo.
Por qué un chatbot con IA trata datos personales y qué implica eso
Un chatbot con IA trata datos personales cada vez que recibe un nombre, un correo, un número de teléfono o cualquier información que permita identificar a una persona. No importa si el bot solo responde preguntas frecuentes: en el momento en que el cliente escribe «mi nombre es Claudia» o «mi pedido es el 4523», ya hay tratamiento de datos personales.
Según la Ley 21.719, el responsable de datos —tu empresa— debe cumplir con los principios de licitud, lealtad, transparencia, finalidad y proporcionalidad. Traducido: el cliente debe saber con quién conversa, para qué se usan sus datos, y el bot solo debe pedir lo estrictamente necesario para resolver la consulta. Un chatbot que pide el RUT para responder el horario de atención no cumple con el principio de proporcionalidad.
El material recuperado de la ley establece que el responsable debe adoptar medidas técnicas y organizativas desde el diseño. Esto significa que la obligación de cumplimiento no empieza cuando el cliente reclama: empieza cuando diseñas el flujo del bot.
Qué debe informar el chatbot antes de empezar la conversación
La ley exige que el titular reciba información clara, precisa y accesible antes de que se traten sus datos. En un chatbot, eso se traduce en un mensaje de bienvenida que cumpla con el deber de información y transparencia.
El chatbot debe informar, al inicio de la conversación:
- Que está conversando con un sistema automatizado, no con una persona.
- El nombre del responsable de datos: tu empresa.
- La finalidad del tratamiento: para qué se usarán los datos que entregue.
- Qué datos se van a recoger y con qué base de licitud.
- Que tiene derecho a solicitar acceso, rectificación, supresión, oposición y portabilidad de sus datos.
- Cómo puede ejercer esos derechos: un correo electrónico, un formulario o un número de contacto.
Un ejemplo de mensaje de bienvenida que cumple con esto:
«Hola, soy el asistente virtual de [Nombre de tu empresa]. Soy un sistema automatizado con inteligencia artificial. Para ayudarte, voy a pedirte tu nombre y tu correo electrónico, que usaremos únicamente para responder tu consulta. Tienes derecho a solicitar acceso, rectificación o eliminación de tus datos escribiendo a [correo de contacto]. ¿En qué puedo ayudarte?»
Ese mensaje toma diez segundos de lectura y cumple con el deber de información. No arruina la experiencia: la ordena. El cliente sabe con quién conversa y qué esperar.
Qué datos puede pedir el chatbot y cuáles no
El principio de proporcionalidad establece que solo se pueden tratar los datos estrictamente necesarios para la finalidad declarada. En un chatbot de atención al cliente, eso significa que el bot solo debe pedir los datos que necesita para resolver la consulta concreta.
Ejemplos de datos que un chatbot puede pedir, según la finalidad:
- Nombre y correo para responder una consulta sobre un producto.
- Número de pedido para consultar el estado de un despacho.
- Teléfono si el cliente solicita que lo contacten.
- RUT si la consulta requiere validar la identidad del titular, como en una solicitud de factura o un reclamo de garantía.
Ejemplos de datos que un chatbot no debe pedir sin justificación:
- RUT para responder el horario de atención o consultar precios.
- Dirección completa si la consulta no involucra despacho ni facturación.
- Fecha de nacimiento o género si no son necesarios para la finalidad declarada.
- Datos sensibles, como información de salud, sin una base legal específica y sin consentimiento explícito.
Un chatbot que pide más datos de los necesarios no solo infringe la ley: también genera fricción y abandono. El cliente percibe que le están pidiendo información sin motivo y se va.
Qué pasa con los datos sensibles
La ley define como datos sensibles aquellos que se refieren, entre otros, a características físicas o morales, hábitos personales, origen racial o étnico, ideología, opiniones políticas, creencias religiosas, estado de salud y vida sexual. El tratamiento de datos sensibles requiere consentimiento explícito del titular, salvo excepciones muy acotadas.
Un chatbot de atención al cliente no debe pedir datos sensibles salvo que exista una base legal clara y el consentimiento del titular. Si tu empresa ofrece productos o servicios relacionados con salud, por ejemplo, el bot puede preguntar sobre síntomas o condiciones médicas solo si el cliente consiente de manera informada y específica.
Cómo se informa que se conversa con una máquina
El material recuperado de la ley establece que el titular tiene derecho a obtener una explicación, a la intervención humana y a expresar su punto de vista cuando se toman decisiones basadas en tratamiento automatizado. Esto no significa que el chatbot no pueda responder consultas: significa que el cliente debe saber que conversa con un sistema automatizado y que puede solicitar la intervención de una persona si lo necesita.
En la práctica, esto se resuelve con dos elementos:
- Un mensaje de bienvenida que informe que el sistema es automatizado, como el ejemplo anterior.
- Una opción clara para derivar la conversación a un operador humano cuando el bot no pueda resolver la consulta o cuando el cliente lo solicite.
Un chatbot que no ofrece esa opción de derivación puede infringir el derecho a la intervención humana. No basta con que el bot responda «lo siento, no entendí tu pregunta»: debe ofrecer la posibilidad de hablar con una persona.
Caso de negocio real: ferretería con atención por WhatsApp
Una ferretería de Concepción con doce empleados recibe entre 80 y 120 consultas diarias por WhatsApp. La mayoría son preguntas sobre stock, precios y horarios. Antes del chatbot, dos personas del equipo atendían WhatsApp en turnos, dejando otras tareas sin resolver.
La ferretería implementó un chatbot con IA que responde consultas frecuentes, consulta el stock en tiempo real y deriva al operador humano cuando la pregunta requiere criterio o cuando el cliente lo solicita. El bot informa en el primer mensaje que es un sistema automatizado, pide solo el nombre del cliente para personalizar la conversación, y no solicita datos adicionales salvo que el cliente quiera cotizar un pedido para facturación.
Resultado: el 70% de las consultas se resuelven sin intervención humana, el tiempo de respuesta promedio bajó de 15 minutos a menos de un minuto, y el equipo puede dedicar más tiempo a la atención en tienda y a la gestión de pedidos. El chatbot cumple con la ley porque informa que es automatizado, pide solo los datos necesarios y ofrece derivación a operador humano en todo momento.
El costo de implementación fue menor que contratar a una persona adicional, y el retorno se vio en el primer mes.
Qué pasa si el chatbot comete un error con los datos
Un chatbot con IA puede equivocarse: puede entregar información incorrecta, puede confundir a un cliente con otro si no se diseña bien el flujo, o puede almacenar datos en un sistema sin las medidas de seguridad adecuadas. Cuando eso ocurre, el responsable de datos —tu empresa— es quien responde ante la Agencia y ante el titular.
La ley establece que el responsable debe adoptar medidas de seguridad técnicas y organizativas para proteger los datos personales. Eso incluye:
- Cifrado de las conversaciones cuando se transmiten datos sensibles o de identificación.
- Control de acceso a las bases de datos donde se almacenan las conversaciones.
- Registro de actividades de tratamiento que documente qué datos se recogen, con qué finalidad y durante cuánto tiempo se conservan.
- Procedimiento para atender solicitudes de rectificación o supresión de datos cuando el titular lo solicite.
Si el chatbot comete un error que afecta los derechos del titular, tu empresa debe poder corregirlo de inmediato y notificar al titular si corresponde. Un chatbot que no tiene un procedimiento de corrección de errores no cumple con el deber de calidad de los datos.
Cómo se documenta el cumplimiento del chatbot
El cumplimiento de la ley no se demuestra con buenas intenciones: se demuestra con documentación. Si la Agencia fiscaliza o si un titular reclama, tu empresa debe poder mostrar:
- El flujo del chatbot y el mensaje de bienvenida que informa que es automatizado.
- El registro de actividades de tratamiento que incluye el chatbot como una actividad específica.
- La política de privacidad que explica cómo se usan los datos recogidos por el bot.
- El procedimiento para atender solicitudes de acceso, rectificación, supresión y oposición.
- Las medidas de seguridad implementadas para proteger las conversaciones.
Si tu empresa tiene un modelo de prevención de infracciones certificado, el chatbot debe estar incluido en ese modelo y debe haberse evaluado su riesgo antes de implementarlo.
Preguntas frecuentes
¿El chatbot puede usar el nombre del cliente sin pedirlo explícitamente?
Si el cliente ya entregó su nombre en una interacción anterior y consintió el tratamiento de sus datos, el chatbot puede usarlo para personalizar la conversación. Pero si es la primera interacción, el bot debe pedirlo y explicar para qué lo va a usar. No se puede asumir que el cliente consiente solo porque inició la conversación.
¿Qué pasa si el cliente pide que se eliminen sus datos después de conversar con el bot?
El cliente tiene derecho a solicitar la supresión de sus datos personales. Tu empresa debe tener un procedimiento para atender esa solicitud en un plazo razonable. Si los datos se almacenaron en una base de datos, deben eliminarse o anonimizarse. Si se conservan para cumplir con una obligación legal, como una factura, se debe informar al cliente y mantener solo lo estrictamente necesario.
¿El chatbot puede derivar la conversación a un operador sin avisar?
Debe avisar. Si el cliente está conversando con un sistema automatizado y de pronto un operador humano toma la conversación, el cliente tiene derecho a saberlo. El bot debe informar que va a derivar la consulta y, si es posible, pedir confirmación antes de hacerlo.
¿Se puede usar un chatbot con IA en un sitio web sin política de privacidad?
No. El deber de información y transparencia exige que el titular tenga acceso a la política de privacidad antes de entregar sus datos. Si el sitio no tiene política de privacidad publicada, el chatbot no puede recoger datos personales sin infringir la ley.
El siguiente paso: diseñar un chatbot que cumpla desde el primer mensaje
Un chatbot con inteligencia artificial bien diseñado mejora la experiencia del cliente, reduce costos operativos y libera tiempo del equipo. Pero si no cumple con la ley, puede convertirse en una fuente de multas y reclamos. La diferencia entre un chatbot que cumple y uno que no está en el diseño: en el mensaje de bienvenida, en los datos que pide, en la opción de derivación y en las medidas de seguridad que lo respaldan.
Si tu empresa quiere implementar un chatbot con IA para WhatsApp, atención al cliente o consultas frecuentes, revisa el servicio de chatbot con IA de MenteGlobal. Incluye diseño del flujo, mensaje de bienvenida que cumple con la ley, integración con tu sistema de gestión y documentación para el registro de actividades de tratamiento. También puedes solicitar una auditoría de IA si ya tienes un chatbot implementado y quieres revisar si cumple con la Ley 21.719.
Y si necesitas ordenar el cumplimiento completo de tu empresa antes de diciembre de 2026, CumplePyme incluye el registro de actividades de tratamiento, la política de privacidad, el procedimiento de atención de solicitudes y el acompañamiento para documentar el uso de IA en tu operación.