La ley que no se cumple con abogados

Quedan menos de cinco meses. El 1 de diciembre de 2026 entra en plena vigencia la Ley 21.719, la reforma más profunda a la protección de datos personales en la historia de Chile. Muchas empresas creen estar preparándose: contrataron asesorías, actualizaron políticas, revisaron contratos. Los números dicen otra cosa: según PwC Chile y la Fundación Generación Empresarial, solo un 13% de las empresas se declara muy preparada. Y el problema de fondo no lo resuelve ningún documento: está en la cultura.

La nueva ley no fiscaliza declaraciones de intención; fiscaliza conductas. Exige demostrar quién accede a qué datos y con qué finalidad, notificar brechas de seguridad y responder a los titulares en plazos acotados, con multas de hasta 20.000 UTM y, en reincidencia, porcentajes de los ingresos anuales.

Nada de eso puede ejecutarlo un equipo legal por sí solo. Cuando comercial reutiliza una base de clientes, cuando producto incorpora IA que perfila usuarios, cuando RR.HH. implementa una herramienta que evalúa desempeño: todas son decisiones de protección de datos. La ley convierte en decisiones regulatorias miles de microdecisiones diarias que hoy nadie identifica como tales.

Por eso el cumplimiento de la Ley 21.719 es, antes que un proyecto legal, un proyecto cultural. Las organizaciones que lo entiendan diseñarán sus productos con privacidad desde el inicio, capacitarán a sus equipos para reconocer cuándo una decisión involucra datos personales, y tratarán la confianza como un activo que se gestiona, no como un eslogan.

La IA hace esto más urgente. Un sistema de inteligencia artificial no declara qué datos usa ni con qué alcance decide; simplemente produce un resultado, y las organizaciones lo adoptan sin preguntarse qué datos lo alimentaron ni bajo qué criterio decidió. La ley exige que la empresa sepa —y pueda demostrar— qué datos entraron a cada sistema, con qué finalidad y bajo control de quién, incluso cuando la decisión la tomó un algoritmo.

¿Qué deben hacer los directorios en los meses que quedan? Primero, sacar el tema del comité legal y llevarlo al comité ejecutivo, con responsabilidades e incentivos transversales. Segundo, mapear las decisiones —no solo los sistemas— que involucran datos personales, incluyendo los usos informales de IA. Tercero, invertir en capacitación que cambie comportamientos, no que solo certifique asistencia.

El GDPR europeo dejó una lección clara: las empresas que trataron la regulación como un trámite pagaron dos veces, en sanciones y en confianza perdida. Las que la entendieron como oportunidad para ordenar su gobernanza convirtieron el cumplimiento en ventaja competitiva.

Diciembre de 2026 no es una fecha límite para los abogados. Es el momento en que cada organización descubrirá si su relación con los datos de las personas fue, todo este tiempo, de responsabilidad o de conveniencia. Esa respuesta no está en ningún documento: está en cómo decidimos, día a día, qué hacer con la confianza que otros depositaron en nosotros.

Nicolás Poklepovic Zegers

Pedro Videla Hermansen