Automatizar con inteligencia artificial ya no es opcional para muchas empresas chilenas: es la diferencia entre crecer o quedarse atrás. Pero cuando esa automatización implica procesar datos personales —correos de clientes, historiales de compra, registros de empleados— aparece una pregunta que no se puede esquivar: ¿cómo uso IA sin violar la Ley 21.719?
La respuesta no es una sola. Existen tres arquitecturas técnicas, cada una con un equilibrio distinto entre costo, complejidad y riesgo legal. Este artículo compara las tres y explica cuándo conviene cada una.
Por qué la arquitectura técnica importa para cumplir la ley
La Ley 21.719 obliga al responsable de datos a aplicar medidas técnicas y organizativas adecuadas desde el diseño. Eso incluye la seudonimización, el cifrado de datos personales y la capacidad de garantizar confidencialidad, integridad, disponibilidad y resiliencia de los sistemas de tratamiento.
Cuando envías datos a un servicio de IA en la nube pública —ChatGPT, Google Gemini, Claude— estás cediendo el control sobre esos datos a un tercero. Ese tercero puede estar en otro país, con otras leyes, y tu empresa sigue siendo responsable si algo sale mal. La arquitectura que elijas determina si puedes cumplir con las obligaciones de seguridad, si necesitas consentimiento expreso del titular y si estás en condiciones de responder ante la Agencia de Protección de Datos Personales en caso de una fiscalización.
No se trata de prohibir la nube pública ni de obligar a montar un servidor propio. Se trata de entender qué implica cada camino y elegir con criterio.
Arquitectura 1: Nube pública (ChatGPT, Gemini, Claude)
Es la opción más rápida y la más barata al principio. Contratas una API, envías tus datos y recibes la respuesta procesada por el modelo. No instalas nada, no contratas infraestructura y pagas por uso.
Ventajas
- Costo inicial bajo: desde unos pocos dólares al mes.
- Sin mantención técnica: el proveedor actualiza el modelo y garantiza disponibilidad.
- Acceso inmediato a modelos de última generación.
Riesgos legales y técnicos
El problema empieza cuando los datos que envías son personales. La ley exige que el responsable evalúe si el tratamiento implica riesgos para los titulares y que adopte medidas proporcionales. Enviar datos personales a un servicio en la nube pública significa:
- Los datos salen de tu control. No sabes dónde se almacenan, quién más los procesa ni cuánto tiempo quedan en los servidores del proveedor.
- Muchos servicios de IA entrenan sus modelos con los datos que les envías, salvo que contrates un plan empresarial con cláusulas específicas de no uso.
- Si el proveedor está fuera de Chile, estás haciendo una transferencia internacional de datos. La ley permite esa transferencia solo si el país de destino ofrece un nivel adecuado de protección o si existen garantías contractuales que lo justifiquen.
- En caso de una vulneración de seguridad —una filtración, un acceso no autorizado— tu empresa es responsable ante los titulares y ante la Agencia, aunque el error haya sido del proveedor.
La Ley 21.719 establece que cuando el tratamiento está basado en decisiones automatizadas que produzcan efectos jurídicos significativos en el titular, se requiere una evaluación de impacto en protección de datos personales. Si usas IA para clasificar postulantes a un empleo, para otorgar créditos o para decidir qué alumnos reciben una beca, estás en ese caso. Y si los datos se procesan en una nube pública sin garantías suficientes, la evaluación de impacto probablemente concluya que el riesgo es alto.
Cuándo tiene sentido esta arquitectura
Cuando los datos que procesas no son personales o cuando ya están anonimizados de forma irreversible. Por ejemplo: análisis de tendencias de mercado con datos agregados, generación de contenido genérico, chatbots que responden preguntas frecuentes sin acceso a bases de datos de clientes.
También puede tener sentido si contratas un plan empresarial con cláusulas de procesamiento de datos, acuerdos de confidencialidad y garantías de no uso para entrenamiento. Pero eso sube el costo y requiere revisar cada contrato con criterio legal, no solo técnico.
Arquitectura 2: Nube privada (infraestructura dedicada)
En lugar de enviar los datos a un servicio público, contratas infraestructura propia en la nube —un servidor virtual o un clúster dedicado— y despliegas ahí el modelo de IA. Los datos nunca salen de ese entorno. Tú defines quién accede, dónde se almacenan y cuánto tiempo se conservan.
Ventajas
- Control total sobre los datos: no se comparten con terceros, no se usan para entrenar modelos ajenos.
- Cumplimiento más sencillo de las obligaciones de seguridad y confidencialidad de la ley.
- Puedes usar modelos de código abierto (Llama, Mistral, Falcon) sin pagar licencias por uso.
- Escalabilidad: si tu volumen de datos crece, amplías la infraestructura sin cambiar de proveedor.
Costos y complejidad
Una infraestructura de nube privada tiene un costo mensual fijo que parte en unos cientos de dólares, dependiendo del tamaño del modelo y del volumen de procesamiento. Además, requiere mantención técnica: actualizaciones, monitoreo, respaldos.
No es una solución para una empresa de tres personas sin equipo técnico. Pero para una pyme de cincuenta empleados con datos sensibles —una clínica, una asesoría legal, una empresa de recursos humanos— el costo se justifica frente al riesgo de una multa o de una filtración.
Cuándo tiene sentido esta arquitectura
Cuando procesas datos personales sensibles de forma habitual y el volumen justifica el costo fijo. Por ejemplo:
- Un colegio que usa IA para analizar el rendimiento académico de sus alumnos y generar informes personalizados.
- Una empresa de cobranza que automatiza la clasificación de deudores según su perfil de riesgo.
- Una clínica que procesa historiales médicos para sugerir diagnósticos o tratamientos.
En estos casos, la nube privada permite cumplir con la ley sin renunciar a la automatización. Y si combinas la infraestructura con un sistema RAG sobre documentos propios, puedes hacer consultas sobre contratos, expedientes o políticas internas sin exponer ningún dato fuera de tu entorno.
Arquitectura 3: Modelo local (servidor propio)
El extremo del control: el modelo de IA corre en un servidor físico dentro de tu empresa. Nada sale de ahí. Ni los datos, ni las consultas, ni las respuestas.
Ventajas
- Riesgo legal mínimo: los datos no se transfieren a terceros, no cruzan fronteras, no se almacenan en servidores ajenos.
- Latencia baja: si el modelo está en tu red local, las respuestas son más rápidas.
- Independencia total de proveedores externos: no dependes de la disponibilidad de un servicio en la nube.
Costos y complejidad
Un servidor con capacidad para correr modelos de lenguaje medianos (7 a 13 mil millones de parámetros) parte en varios miles de dólares. Si quieres correr modelos más grandes, el costo se multiplica. Además, necesitas personal técnico que sepa configurar, mantener y actualizar el sistema.
La electricidad, la refrigeración y el espacio físico también suman. Un servidor de IA consume más que un computador de oficina.
Cuándo tiene sentido esta arquitectura
Cuando el riesgo de exponer los datos es inaceptable y la empresa tiene los recursos para asumir el costo. Por ejemplo:
- Una asesoría jurídica que maneja expedientes de casos penales o de propiedad intelectual.
- Una empresa de seguridad que procesa datos biométricos de sus empleados y clientes.
- Una institución financiera que automatiza la evaluación de créditos con datos de ingresos, deudas y comportamiento de pago.
En estos casos, la inversión inicial se justifica frente al costo potencial de una filtración o de una multa por incumplimiento de la ley.
Comparación: cuánto cuesta y cuánto riesgo asumes
| Arquitectura | Costo inicial | Costo mensual | Complejidad técnica | Riesgo legal |
|---|---|---|---|---|
| Nube pública | Bajo (desde USD 20) | Variable según uso | Baja | Alto si procesas datos personales |
| Nube privada | Medio (desde USD 500) | Fijo (USD 300 a 1.500) | Media | Bajo con configuración adecuada |
| Modelo local | Alto (desde USD 3.000) | Bajo (electricidad y mantención) | Alta | Muy bajo |
La tabla es orientativa: los costos varían según el tamaño del modelo, el volumen de datos y la infraestructura que ya tengas. Pero el patrón es claro: a mayor control, mayor inversión inicial y menor riesgo legal.
Qué dice la ley sobre decisiones automatizadas y elaboración de perfiles
La Ley 21.719 establece que el titular de datos tiene derecho a oponerse y a no ser objeto de decisiones basadas en el tratamiento automatizado de sus datos personales, incluida la elaboración de perfiles, que produzca efectos jurídicos en él o le afecte significativamente.
Hay excepciones: cuando la decisión es necesaria para ejecutar un contrato, cuando existe consentimiento previo y expreso del titular o cuando lo señala la ley. Pero en todos esos casos, el responsable debe poder explicar la lógica aplicada y las consecuencias previstas del tratamiento.
Si usas un modelo de IA en la nube pública, ¿puedes explicar cómo llegó a esa decisión? ¿Puedes auditar el proceso? ¿Puedes garantizar que no hubo sesgos? En la mayoría de los casos, no. El modelo es una caja negra y el proveedor no te da acceso a los detalles.
Con una nube privada o un modelo local, sí puedes. Tienes acceso a los datos de entrada, a los parámetros del modelo y a los registros de cada decisión. Eso no solo te protege legalmente: también te permite mejorar el sistema.
Errores comunes al elegir arquitectura
El primero es pensar que la nube pública es gratis. No lo es: pagas por cada consulta, y si el volumen crece, el costo mensual puede superar el de una nube privada.
El segundo es creer que montar un servidor local es imposible para una pyme. No es imposible, pero sí requiere planificación y presupuesto. Si no tienes equipo técnico, necesitas contratar a alguien que sepa configurar y mantener el sistema.
El tercero es asumir que cualquier dato anonimizado deja de ser personal. La ley define la anonimización como un procedimiento irreversible: si puedes volver a identificar al titular con información adicional, el dato sigue siendo personal. Muchas empresas creen que con eliminar el nombre y el RUT basta. No basta.
El cuarto es no documentar nada. La ley exige que el responsable lleve un registro de actividades de tratamiento, que incluya las categorías de datos, las finalidades, los plazos de conservación y las medidas de seguridad. Si no tienes ese registro, no puedes demostrar cumplimiento. Y si no puedes demostrarlo, la Agencia asume que no cumples.
Preguntas frecuentes
¿Puedo usar ChatGPT si elimino los nombres de los datos antes de enviarlos?
Depende. Si con la información restante aún puedes identificar a la persona —por ejemplo, porque incluyes su dirección, su fecha de nacimiento o su número de teléfono— el dato sigue siendo personal. La ley exige anonimización irreversible, no solo seudonimización. Si tienes dudas, consulta la guía completa de la Ley 21.719.
¿Qué pasa si uso IA para clasificar currículums y alguien reclama?
Si la decisión produce efectos jurídicos significativos —por ejemplo, descartar a un postulante sin revisión humana— el titular tiene derecho a oponerse y a exigir explicaciones. Debes poder demostrar que el proceso fue transparente, que no hubo discriminación y que el titular fue informado. Si usaste un modelo en la nube pública sin auditoría, esa demostración es casi imposible.
¿Cuánto tiempo toma implementar una nube privada?
Entre dos y cuatro semanas, dependiendo del modelo que elijas y de la complejidad de tu infraestructura actual. Si ya tienes servidores en la nube, el proceso es más rápido. Si partes de cero, necesitas configurar accesos, definir políticas de seguridad y hacer pruebas antes de poner el sistema en producción.
¿Es obligatorio contratar a un experto en IA para cumplir la ley?
No es obligatorio, pero sí recomendable. La ley exige que el responsable aplique medidas técnicas adecuadas al estado de la técnica. Si no sabes qué significa eso en términos de IA, es difícil que puedas cumplir. Una auditoría externa puede identificar riesgos que no viste y sugerir mejoras concretas.
Qué hacer ahora
Si tu empresa ya usa IA con datos personales, revisa qué arquitectura estás usando y si cumple con las obligaciones de la ley. Si estás evaluando implementar IA, elige la arquitectura antes de elegir el modelo: el costo de migrar después es alto.
En MenteGlobal ofrecemos auditoría de IA para identificar riesgos y proponer soluciones, nube privada para procesar datos sin exponerlos a terceros y sistemas RAG para consultar documentos propios con respuestas citadas. Si necesitas ayuda para elegir la arquitectura que le conviene a tu empresa, escríbenos.