¿Cuál de las dos herramientas responde realmente una solicitud del titular?
Power Automate. La respuesta a una solicitud de acceso, rectificación, supresión, oposición, portabilidad o bloqueo es un acto jurídico con plazo, formato escrito y respaldo probatorio. Eso es un flujo determinístico: se dispara, ejecuta pasos en orden fijo, deja registro y no improvisa.
Copilot Studio hace otra cosa: recibe al titular en lenguaje natural, identifica qué derecho invoca, valida identidad y arma el expediente. Es la puerta de entrada, no la máquina de cumplimiento.
La distinción no es de marketing. Como documenta este análisis comparativo de agentes autónomos en Power Platform, Power Automate está diseñado para automatización determinística y orientada a eventos que corre en segundo plano, mientras Copilot Studio opera sobre razonamiento del modelo y objetivos abiertos.
Para el Artículo 11 de la Ley 21.719, “razonamiento abierto” es un riesgo, no una ventaja. El responsable debe almacenar los respaldos que demuestren la remisión, su fecha y el contenido íntegro de la respuesta. Un agente que decide qué contestar cada vez no produce esa evidencia de forma reproducible.
El patrón que funciona es híbrido: Copilot Studio adelante, Power Automate atrás. Y si sólo hay presupuesto para uno, el orden de implementación es Power Automate primero.
Tabla de decisión: Copilot Studio vs. Power Automate vs. híbrido
| Criterio | Copilot Studio | Power Automate | Híbrido (recomendado) |
|---|---|---|---|
| Rol en el proceso ARCO | Intake conversacional, clasificación del derecho invocado, primer contacto | Orquestación del expediente, SLA, notificaciones, archivo probatorio | Copilot Studio capta, Power Automate ejecuta y prueba |
| Cumplimiento del plazo de 30 días corridos (Art. 11) | No garantiza: depende de que el usuario complete la conversación | Garantiza: temporizador desde el ingreso, escalamiento automático | Garantiza, con acuse de recibo inmediato al titular |
| Bloqueo temporal en 2 días hábiles (Art. 11) | Puede recibir el requerimiento, no puede ejecutarlo en sistemas fuente | Ejecuta la marca de bloqueo vía conectores a Dataverse, SQL, SAP o Softland | Detecta en el chat, ejecuta en backend, notifica al DPO |
| Evidencia probatoria (fecha, contenido íntegro, remisión) | Transcripción de chat, no documento formal | Registro inmutable en Dataverse + PDF fechado + log de envío | Cadena completa: chat → expediente → PDF → acuse |
| Comportamiento determinístico | Probabilístico, sujeto a variación del modelo | Determinístico y auditable paso a paso | Determinístico donde importa legalmente |
| Riesgo bajo Art. 8º bis (decisiones automatizadas) | Alto si el agente resuelve solo el fondo de la solicitud | Bajo si el flujo enruta a aprobación humana | Bajo: intervención humana explícita en el paso de resolución |
| Costo de operación por solicitud | Crece con volumen conversacional y mensajes facturados | Crece con número de sistemas fuente conectados | Crece con ambos, se justifica sobre volumen alto |
| Tiempo de puesta en marcha | Rápido para el chat, lento para integrar backends | Directo si los sistemas fuente ya están accesibles | Mayor, se implementa por fases |
¿Qué exige el Artículo 11 que ninguna herramienta resuelve sola?
Cuatro obligaciones concretas: acusar recibo de la solicitud, pronunciarse en 30 días corridos desde el ingreso, responder por escrito al domicilio o correo fijado por el titular, y almacenar los respaldos que acrediten la remisión, la fecha y el contenido íntegro.
La prórroga existe pero es acotada: por una sola vez, hasta por 30 días corridos adicionales. Ningún chatbot decide eso; lo decide un responsable con criterio y debe quedar registrado.
El plazo del bloqueo temporal es el más apretado del articulado: 2 días hábiles desde la recepción del requerimiento. Mientras no se resuelva, el responsable no puede tratar esos datos.
Esa restricción es arquitectónica, no legal: implica que el flujo debe poder propagar una marca de bloqueo a todos los sistemas donde vive el dato en menos de 48 horas hábiles. Si el CRM, el ERP y el data warehouse no están conectados, ninguna herramienta de Power Platform lo salva.
Hay además una precisión terminológica que conviene corregir en la documentación interna. La ley chilena habla de supresión, no de “cancelación”: la sigla ARCO viene del marco mexicano y español. La guía práctica de KPMG sobre el ejercicio de derechos en la Ley 21.719 desarrolla los seis derechos con esa nomenclatura y sus implicancias operativas.
Los seis derechos del Artículo 4º son acceso, rectificación, supresión, oposición, portabilidad y bloqueo. Rectificación, supresión y oposición son siempre gratuitos; el acceso es gratuito al menos trimestralmente (Art. 10).
¿Dónde aporta valor real Copilot Studio en este proceso?
En el intake y la clasificación. El titular no escribe “invoco mi derecho de portabilidad del Artículo 4º”; escribe “quiero que me manden todo lo que tienen mío para llevármelo a otro banco”. Traducir eso al derecho correcto es exactamente lo que un modelo de lenguaje hace bien.
Copilot Studio también resuelve la verificación de identidad conversacional, la captura de los datos de contacto que el Artículo 11 exige para la respuesta escrita, y el estado de avance del expediente sin que el titular tenga que llamar.
La integración es nativa: la documentación oficial de Microsoft confirma que Copilot Studio invoca Power Automate Cloud Flows mediante conectores y habilidades para alcanzar aplicaciones y servicios de terceros. El agente conversa; el flujo actúa.
Donde Copilot Studio no debe entrar es en resolver el fondo. El Artículo 8º bis otorga al titular el derecho a oponerse y a no ser objeto de decisiones basadas en tratamiento automatizado, incluida la elaboración de perfiles, cuando produzcan efectos jurídicos o le afecten significativamente.
Y aplica una cláusula que suele leerse mal: en todos los casos, incluidas las excepciones (contrato, consentimiento expreso, mandato legal), el responsable debe garantizar información y transparencia, derecho a obtener una explicación, intervención humana, expresión del punto de vista y solicitud de revisión de la decisión.
En términos de arquitectura, eso significa que denegar una solicitud ARCO con un agente autónomo crea la obligación exacta que se pretendía evitar. La decisión de fondo va con aprobación humana registrada.
¿Cómo se construye la evidencia que la Agencia va a pedir?
Con un expediente por solicitud en Dataverse, no con una carpeta de correos. La Ley 21.719 crea la Agencia de Protección de Datos Personales (Art. 30), corporación autónoma de derecho público que se relaciona con el Presidente a través del Ministerio de Economía, Fomento y Turismo, y que administra un Registro Nacional de Sanciones y Cumplimiento de carácter público.
El diseño mínimo del expediente: identificador único, fecha y hora de ingreso, derecho invocado, canal de entrada, acuse de recibo enviado, sistemas fuente consultados, decisión, aprobador humano, PDF de respuesta y log de remisión.
Power Automate es el que escribe cada uno de esos campos como efecto secundario de ejecutar el proceso. No es un reporte que alguien arma después; es el rastro de la ejecución misma. El mismo principio que aplicamos al automatizar reportes regulatorios con AI Builder extrayendo el dato en el momento en que se genera.
AI Builder aporta en un punto específico: extraer datos estructurados de solicitudes que llegan como PDF adjunto o carta escaneada, que es como todavía llegan muchas en sectores regulados.
Power BI cierra el ciclo con el tablero de plazos: solicitudes abiertas, días transcurridos desde el ingreso, cuáles superan el día 20, cuáles usaron prórroga. Sin ese tablero, el incumplimiento se descubre cuando ya venció.
Los datos verificables: el incumplimiento de plazo es infracción leve (Art. 34 bis, letra c) — amonestación escrita o multa de hasta 5.000 UTM. Obstaculizar el ejercicio de los derechos es grave (Art. 34 ter, letra e) — hasta 10.000 UTM. Incumplir una resolución de la Agencia que resuelve una reclamación es gravísima (Art. 34 quáter, letra i) — hasta 20.000 UTM.
El criterio de Muze AI Consulting: el riesgo económico relevante no es la multa individual sino la reincidencia. La Agencia puede aplicar hasta 3 veces el monto en caso de reincidencia, y para empresas que no son de menor tamaño según la Ley 20.416 que reincidan, la multa puede alcanzar hasta 2% de los ingresos anuales en infracciones graves y 4% en gravísimas. Un proceso manual falla de forma sistemática, no aislada — y ese es justamente el patrón que gatilla los tramos altos.
“El error más caro que vemos no es responder tarde una solicitud. Es no poder demostrar cuándo respondiste. La fecha de ingreso, el acuse y el contenido íntegro tienen que escribirse solos mientras el proceso corre, porque reconstruirlos después de una fiscalización no se puede.” — Marco Chávez, Fundador de Muze AI Consulting.
Muze AI Consulting no presta asesoría legal: la calificación jurídica de cada solicitud, los criterios de denegación y el alcance de las excepciones los define el área legal del cliente. Nuestro terreno es la arquitectura que ejecuta esa definición y produce la evidencia.
¿Qué se necesita antes de elegir herramienta?
El inventario de sistemas donde vive el dato personal. Sin eso, la elección entre Copilot Studio y Power Automate es prematura: el costo y la factibilidad del proyecto crecen con el número de sistemas fuente que hay que conectar, no con la herramienta de la capa superior.
El Artículo 14 ter obliga a mantener un registro de actividades de tratamiento y deber de información permanente en el sitio web: política de tratamiento, categorías de datos, finalidades, destinatarios, base de licitud, medidas de seguridad, período de conservación, transferencias internacionales y decisiones automatizadas — incluida la lógica aplicada (letra l).
Ese registro es el insumo del flujo. Si no existe, Power Automate no sabe a qué sistemas consultar cuando entra una solicitud de acceso.
El Artículo 14 quáter exige protección desde el diseño y por defecto, lo que en Power Platform se traduce en políticas de prevención de pérdida de datos (DLP) por entorno, entornos separados para desarrollo y producción, y conexiones con cuentas de servicio auditadas — no con la cuenta personal de quien construyó el flujo.
Conviene revisar también el modelo de soporte contratado. En despliegues de compliance, el nivel de soporte de Microsoft sobre Power Platform determina los tiempos de respuesta ante incidentes en producción, y un flujo caído durante una ventana de 2 días hábiles no es un problema técnico menor.
Sobre los fundamentos de construcción del flujo mismo, aplican los mismos pasos de diseño que usamos para automatizar procesos críticos con Power Automate: disparador único, manejo explícito de errores, reintentos y notificación al responsable ante fallo.
¿Cuál conviene según tu caso?
Escenario 1 — Empresa con bajo volumen de solicitudes y pocos sistemas (retail mediano, clínica, servicios profesionales). Power Automate solo. Formulario web en Power Pages o Microsoft Forms como canal de entrada, flujo que genera el expediente en Dataverse, acuse automático, temporizador de 30 días corridos, alerta al día 20 y respuesta con aprobación humana. Copilot Studio no aporta lo suficiente para justificar su costo.
Escenario 2 — Empresa con alto volumen y atención al público masiva (banca, seguros, retail e-commerce, salud con muchos pacientes). Híbrido. Copilot Studio en el sitio y en WhatsApp para el intake y el estado del expediente, Power Automate para toda la ejecución y la evidencia. El chat descarga al equipo de atención; el flujo sostiene el cumplimiento. Regla dura: el agente nunca resuelve el fondo ni deniega.
Escenario 3 — Empresa con datos dispersos en sistemas legados sin API (manufactura, minería, salmonicultura con Softland o SAP antiguo). Ninguna de las dos, todavía. Primero la capa de integración: conectores personalizados, vistas de base de datos o un middleware que exponga el dato personal por RUT. Después Power Automate. Aquí el cuello de botella no es la interfaz sino el acceso al dato — y el plazo de 2 días hábiles del bloqueo es el que primero se rompe.
El denominador común de los tres: el reloj legal parte el día de ingreso, no el día en que alguien revisa la casilla de correo. Cualquier arquitectura que dependa de que una persona lea un buzón ya está en riesgo desde el primer minuto.
Por dónde empezar
El primer paso no es abrir Power Automate. Es levantar el inventario de sistemas donde vive el dato personal y medir cuánto se demora hoy, manualmente, en responder una consulta de un cliente sobre sus propios datos. Ese número define el tamaño del problema.
Muze AI Consulting trabaja con equipos de compliance, TI y legal en la arquitectura que sostiene esa obligación: intake, expediente, evidencia y tablero de plazos sobre Power Platform. En proyectos de compliance hemos reducido en 60% el tiempo de preparación de informes regulatorios y en 80% los errores de digitación.
Si quieres evaluar en qué estado está tu organización frente al 1 de diciembre de 2026, puedes solicitar el diagnóstico IA gratuito en muze.cl. Revisamos tus sistemas fuente, el flujo actual de solicitudes y qué se puede automatizar antes de la entrada en vigencia.