¿Qué exige la Ley 21.719 a los sistemas de Microsoft 365 y Power Platform?
La Ley 21.719 exige que la empresa pueda atender seis derechos del titular dentro de plazos fijos y demostrar que lo hizo. El plazo general es de 30 días corridos desde el ingreso de la solicitud, con acuse de recibo obligatorio (Art. 11). Eso convierte un tema jurídico en un requisito de sistemas.
Los seis derechos del Art. 4º son acceso, rectificación, supresión, oposición, portabilidad y bloqueo. La ley chilena usa “supresión”, no “cancelación”: si su equipo habla de “ARCO”, conviene ajustar formularios y plantillas a la terminología legal.
El plazo legal vigente de entrada en vigencia es el 1 de diciembre de 2026. Desde fines de agosto de 2026 hay discusión pública sobre una posible postergación. Antes de ajustar su planificación, verifique con su área legal si se publicó una ley de prórroga.
La ley no menciona productos de Microsoft. Pero sus obligaciones operativas se traducen en capacidades concretas que el tenant debe tener:
- Ubicar datos personales repartidos en Exchange Online, SharePoint, OneDrive, Teams y Dataverse.
- Responder por escrito al correo o domicilio fijado por el titular, dentro del plazo.
- Probar la remisión: la ley exige almacenar respaldos de la fecha y del contenido íntegro de la respuesta.
- Informar de forma permanente en el sitio web la política de tratamiento, finalidades, plazos de conservación y decisiones automatizadas (Art. 14 ter).
- Diseñar con protección desde el diseño y por defecto (Art. 14 quáter).
Muze AI no es un estudio de abogados. El alcance jurídico de cada obligación lo fija el área legal del cliente. El trabajo técnico consiste en traducir esa interpretación en flujos, permisos y evidencia.
| Obligación (Ley 21.719) | Componente Microsoft | Evidencia que produce |
|---|---|---|
| Responder en 30 días corridos (Art. 11) | Power Automate + Dataverse | Fecha de ingreso, vencimiento y respuesta por solicitud |
| Acusar recibo (Art. 11) | Power Automate (conector Outlook) | Correo de acuse con marca de tiempo |
| Bloqueo temporal en 2 días hábiles | Power Automate + calendario de feriados en Dataverse | Registro de la acción de bloqueo y su fecha |
| Respaldo de la respuesta | SharePoint + etiquetas de retención de Microsoft Purview | Copia íntegra, inmutable durante el período definido |
| Ubicar datos del titular | Microsoft Purview eDiscovery / búsqueda de contenido | Resultado de búsqueda exportable por solicitud |
| Registro de actividades de tratamiento | Lista de SharePoint o tabla Dataverse + Power BI | Inventario versionado y auditable |
| Seguridad y confidencialidad (Art. 14 bis) | Etiquetas de confidencialidad y DLP de Purview | Registros de auditoría de Microsoft Purview Audit |
¿Cómo encontrar los datos personales del tenant con Microsoft Purview?
Para responder un acceso o una supresión en 30 días corridos, primero hay que saber dónde están los datos. Microsoft Purview permite clasificar contenido con tipos de información confidencial, incluido un tipo integrado para el número de cédula de identidad chilena. Con eso se detecta el RUT en correos y documentos.
La clasificación debe partir antes de la primera solicitud. Si el inventario se arma el día que llega un requerimiento, los 30 días corridos se consumen en buscar.
Las capacidades de Purview que más se usan en este proceso son:
- Clasificadores y tipos de información confidencial: detectan RUT, correos y datos de salud o financieros en Exchange Online, SharePoint, OneDrive y Teams.
- Búsqueda de contenido y eDiscovery: localizan todo lo asociado a un titular y exportan el resultado como respaldo de la solicitud de acceso.
- Etiquetas de confidencialidad: marcan y cifran documentos con datos sensibles, lo que apoya el deber de secreto del Art. 14 bis.
- Políticas y etiquetas de retención: fijan cuánto se conserva cada categoría y permiten aplicar la supresión de forma controlada.
El punto ciego habitual está fuera de Microsoft 365. Datos en un ERP como SAP o Softland, en planillas descargadas o en bases de terceros no aparecen en una búsqueda de Purview. El inventario debe declararlos igual y el flujo de solicitudes debe enrutar la tarea a su responsable.
La ley también exige revisar a los proveedores que tratan datos por cuenta de la empresa. La guía de Webdox sobre qué revisar en los contratos frente a la Ley 21.719 y la Ley 21.663 apunta a ese frente contractual, que complementa el inventario técnico.
Para el marco conceptual de clasificación y responsables, sirve revisar los estándares de gobierno de datos que se usan en Latinoamérica antes de configurar Purview.
¿Cómo automatizar las solicitudes de los titulares con Power Automate y Dataverse?
Las solicitudes se automatizan con un caso por requerimiento en Dataverse y flujos de Power Automate que calculan cada vencimiento. Los dos plazos que más importan son 30 días corridos para responder y 2 días hábiles para el bloqueo temporal. Responder fuera de plazo es infracción leve; responder tarde un bloqueo es grave.
El Art. 11 permite que la solicitud llegue por correo, formulario de contacto o medio electrónico equivalente. Por eso el flujo necesita al menos dos entradas: un buzón compartido de Exchange Online y un formulario en Power Pages o Microsoft Forms.
| Hito | Plazo legal | Qué automatiza Power Automate | Calificación si se incumple |
|---|---|---|---|
| Acuse de recibo | Al ingresar la solicitud | Correo automático con número de caso | — |
| Bloqueo temporal | 2 días hábiles | Alerta al responsable y marca de bloqueo en Dataverse | Grave (Art. 34 ter, f) |
| Respuesta general | 30 días corridos | Alertas escalonadas antes del vencimiento | Leve si es tardía (Art. 34 bis, c) |
| Prórroga | Una vez, hasta 30 días corridos más | Registro del motivo y nueva fecha | — |
| Reclamación del titular | 30 días hábiles ante la Agencia | Bloqueo del cierre del caso y conservación de evidencia | Gravísima si se incumple la resolución (Art. 34 quáter, i) |
El cálculo de días hábiles es el detalle que más se subestima. Power Automate no trae feriados chilenos, así que hay que mantener una tabla de feriados en Dataverse y calcular con ella. Si no, el plazo de 2 días hábiles se calcula mal en semanas con feriado.
Un diseño mínimo del flujo incluye:
- Ingreso: el flujo crea el caso en Dataverse con tipo de derecho, fecha de ingreso y canal.
- Verificación de identidad: se asigna a una persona y el flujo espera su aprobación.
- Búsqueda: se dispara la búsqueda en Purview y se crean tareas para sistemas externos (ERP, CRM).
- Respuesta: se genera desde plantilla, se envía por escrito y se guarda una copia íntegra en SharePoint con etiqueta de retención.
- Cierre: queda registrada la fecha de remisión, que es la prueba que exige el Art. 11.
Las alertas y el tablero de casos abiertos se resuelven con el mismo patrón que se usa para automatizar reportes y alertas con Power BI y Power Automate. Un panel por estado y vencimiento le muestra al encargado qué casos están en riesgo.
El patrón no es nuevo para un equipo que ya reporta a un regulador. Muze AI construyó la reportería a SERNAPESCA para una de las cinco salmoneras más grandes del mundo. Ese tipo de reporte tiene la misma lógica: plazo fijo, fuentes múltiples y evidencia de envío.
Los datos de los proyectos de Muze muestran una reducción de 60% en el tiempo de preparación de informes de compliance. El ahorro se explica porque la evidencia se genera mientras el proceso ocurre, no después.
“El riesgo no está en la solicitud número cien. Está en la primera, cuando nadie sabe en qué buzón llegó ni quién cuenta los días. El flujo tiene que existir antes de que llegue.” — Marco Chávez, Fundador de Muze AI.
¿Qué cambia para los agentes de Copilot Studio y los modelos de AI Builder?
Si un agente o un modelo toma decisiones sobre personas, el Art. 8º bis da al titular el derecho a oponerse y a no ser objeto de decisiones automatizadas con efectos jurídicos o significativos. Esto incluye la elaboración de perfiles. Incluso en las excepciones, la empresa debe asegurar explicación, intervención humana y revisión de la decisión.
En Power Platform esto afecta tres escenarios frecuentes:
- Clasificación de solicitudes o documentos con AI Builder que define si un cliente accede a un beneficio, un crédito o una cobertura.
- Agentes de Copilot Studio que responden y además resuelven, por ejemplo rechazando una solicitud.
- Modelos predictivos que asignan puntajes de riesgo. El caso se analiza al usar AI Builder para análisis predictivo en empresas.
Hechos de la ley: hay tres excepciones (contrato, consentimiento previo y expreso, mandato legal), y el Art. 14 ter, letra l, obliga a publicar la existencia de estas decisiones y la lógica aplicada. Si un caso concreto cae o no en una excepción lo define el área legal.
Criterio de Muze: diseñar desde el inicio con un paso de aprobación humana en Power Automate antes de que cualquier decisión con efecto sobre la persona se comunique. Agregarlo después obliga a rehacer el flujo y su evidencia.
El diseño técnico que sostiene el Art. 8º bis tiene cuatro piezas:
- Registro de la decisión: entrada del modelo, resultado, puntaje de confianza y versión, guardados en Dataverse.
- Aprobación humana: el conector de Aprobaciones de Power Automate deja traza de quién revisó y cuándo.
- Explicación: una plantilla que traduce los criterios del modelo a lenguaje que el titular entienda.
- Canal de revisión: la solicitud de revisión entra al mismo flujo de derechos, con su plazo.
Muze AI trabaja en el ecosistema de modelos de lenguaje como OpenAI Select Partner (en el OpenAI Partner Network) y miembro del Claude Partner Network de Anthropic. En los proyectos de agentes, el registro de decisiones y la intervención humana son parte de la especificación base, no un extra.
¿Cómo gobernar Power Platform para que no genere nuevos riesgos de datos?
Power Platform se gobierna con políticas de datos (DLP) del Power Platform admin center, entornos separados y un inventario de flujos que tocan datos personales. Las políticas clasifican cada conector como de negocio, no de negocio o bloqueado. Sin eso, un flujo creado por un usuario puede copiar datos personales a un servicio externo.
El riesgo crece con la adopción. Cada flujo que un área crea por su cuenta es una actividad de tratamiento que debería figurar en el registro que exige el Art. 14 ter, con su finalidad y período de conservación.
Las medidas mínimas de gobierno son:
- Políticas de datos (DLP) que impidan combinar conectores con datos personales con servicios no aprobados.
- Entornos separados para desarrollo, pruebas y producción, con Dataverse en los de producción.
- Managed Environments para tener visibilidad de uso y limitar el compartir aplicaciones con datos personales.
- Auditoría de Dataverse activada en las tablas que guardan datos de titulares.
- Inventario de flujos cruzado con el registro de actividades de tratamiento.
Las decisiones sobre qué automatizar primero y quién es dueño de cada flujo conviene tomarlas antes de configurar. Varias de ellas aparecen en las decisiones clave antes de automatizar con IA.
El costo de no hacerlo está fijado en el Art. 35. Las multas llegan hasta 5.000 UTM en infracciones leves, 10.000 UTM en graves y 20.000 UTM en gravísimas. La reincidencia permite aplicar hasta tres veces el monto.
En empresas que no son de menor tamaño según la Ley 20.416, la reincidencia en infracción grave o gravísima puede llegar al 2% o al 4% de los ingresos anuales, respectivamente. No subsanar en un plazo no mayor a 60 días agrega un recargo de 50%. Ante infracciones gravísimas reiteradas en 24 meses, la Agencia puede suspender el tratamiento hasta por 30 días.
¿Qué plan seguir para tener el tenant listo?
El plan práctico tiene cuatro fases, y las dos primeras son de inventario. La encuesta de PwC Chile sobre protección de datos personales en empresas indica que el 59% cree tener tiempo suficiente, el 23% no y el 18% no sabe. Sin inventario, esa confianza no se puede verificar.
Una hoja de ruta general, como la hoja de ruta para cumplir la Ley 21.719 de Prey, parte por el mapeo de datos. En un tenant Microsoft, ese mapeo se apoya en Purview.
| Fase | Objetivo | Componentes | Entregable |
|---|---|---|---|
| 1. Inventario | Saber qué datos personales hay y dónde | Microsoft Purview (clasificación), listado de sistemas externos | Mapa de datos y registro de actividades inicial |
| 2. Protección | Reducir exposición | Etiquetas de confidencialidad, DLP de Purview, políticas de datos de Power Platform | Políticas activas y auditoría habilitada |
| 3. Derechos | Responder dentro de plazo con evidencia | Power Automate, Dataverse, Power Pages, SharePoint | Flujo de solicitudes en producción |
| 4. Decisiones automatizadas | Cumplir Art. 8º bis | Copilot Studio, AI Builder, Aprobaciones | Registro de decisiones y canal de revisión |
En la experiencia de Muze, la fase 3 es la que conviene poner en producción primero: es la que tiene plazos medibles y la que deja evidencia ante una reclamación. El primer proceso queda en producción en 4 a 7 semanas.
Después de la puesta en marcha, alguien tiene que operar el flujo mes a mes: ajustar plantillas, mantener el calendario de feriados y revisar alertas. Ese trabajo puede quedar en el equipo interno o en un servicio de automatización gestionada dentro del mismo tenant.
