¿Cuál es el plazo vigente y qué propone el boletín 18.623-07?
El plazo legal vigente es el 1 de diciembre de 2026. La Ley 21.719 se publicó el 13 de diciembre de 2024. Según el resumen de Anguita Osorio sobre la nueva ley de datos, contempla una vacancia de 24 meses antes de reemplazar el régimen de la Ley 19.628.
Según la publicación de presencia360.cl sobre el proyecto de prórroga (2026), el Gobierno ingresó al Senado el boletín 18.623-07 el 1 de septiembre. El texto correría la entrada en vigencia al 1 de diciembre de 2027.
La misma fuente advierte que se trata de un proyecto. Hasta que se apruebe y se publique en el Diario Oficial, la fecha exigible sigue siendo el 1 de diciembre de 2026. Conviene revisar su estado de tramitación en el Senado antes de tomar decisiones.
Muze AI no es un estudio de abogados. El alcance jurídico del proyecto y su efecto sobre cada empresa los define el área legal del cliente. Este artículo trata otra pregunta: qué hay que tener funcionando en sistemas y procesos en cada escenario.
¿Qué cambia y qué no cambia si se aprueba la postergación?
Si el proyecto se aprueba en los términos ingresados, cambia una sola variable: la fecha de exigibilidad, que pasaría del 1 de diciembre de 2026 al 1 de diciembre de 2027. Según su descripción pública, el proyecto no reescribe los seis derechos, los plazos de respuesta ni las multas del Art. 35.
| Escenario | Fecha exigible | Implicancia en sistemas y procesos |
|---|---|---|
| El proyecto no se aprueba ni se publica antes del 1-dic-2026 | 1 de diciembre de 2026 | El flujo de solicitudes, el bloqueo temporal y el registro de evidencia deben estar operando ese día |
| Se aprueba y se publica antes del 1-dic-2026 en los términos ingresados | 1 de diciembre de 2027, según el texto ingresado | Mismas obligaciones, con 12 meses más para construir y probar |
| Se aprueba con modificaciones durante la tramitación | La que fije el texto publicado | El área legal revisa los cambios y luego se ajustan los requisitos de sistema |
En ninguno de los tres escenarios desaparece una obligación. Lo único que se mueve es la fecha desde la cual la Agencia de Protección de Datos Personales (APDP) puede fiscalizar.
El análisis de Unegocios FEN UChile sobre el espejismo de la prórroga (2026) lo plantea así: la ley puede esperar, la confianza de los clientes no. Un titular que pide sus datos no consulta el estado del boletín antes de escribir.
¿Qué sistemas hay que tener listos con o sin prórroga?
Con o sin prórroga, hacen falta cuatro capacidades operativas, todas definidas en el texto vigente:
- Responder solicitudes de derechos en 30 días corridos (Art. 11).
- Ejecutar un bloqueo temporal en 2 días hábiles.
- Guardar evidencia de cada respuesta.
- Mantener el registro de actividades de tratamiento (Art. 14 ter).
Estas son las reglas que el sistema tiene que cumplir, tomadas del texto oficial de la Ley 21.719:
- Seis derechos del titular (Art. 4º): acceso, rectificación, supresión, oposición, portabilidad y bloqueo. El término legal es “supresión”, no “cancelación” como en el esquema ARCO.
- Respuesta en 30 días corridos desde el ingreso, con acuse de recibo. Se puede prorrogar una sola vez, hasta por 30 días corridos más.
- Bloqueo temporal en 2 días hábiles. Mientras no se resuelva, esos datos no se pueden tratar.
- Respuesta por escrito, con respaldos que demuestren la remisión, su fecha y el contenido íntegro.
- Gratuidad: rectificación, supresión y oposición son siempre gratuitas. El acceso es gratuito al menos una vez por trimestre (Art. 10).
| Requisito legal | Componente del stack | Evidencia que genera |
|---|---|---|
| Recepción por correo, formulario o medio electrónico (Art. 11) | Microsoft Forms o Power Pages + Power Automate | Fecha y hora de ingreso, acuse de recibo automático |
| Plazo de 30 días corridos y prórroga única | Tabla de solicitudes en Dataverse + alertas en Power Automate | Contador de días por solicitud, registro de la prórroga |
| Bloqueo temporal en 2 días hábiles | Flujo prioritario en Power Automate con aprobación | Hora de recepción y hora de bloqueo efectivo |
| Respaldo de la respuesta escrita | Biblioteca de SharePoint con versionado + copia del envío | Contenido íntegro, destinatario y fecha |
| Clasificación del tipo de derecho ejercido | AI Builder (clasificación de texto) con revisión humana | Etiqueta propuesta y validación de quien revisó |
| Seguimiento del cumplimiento | Power BI sobre Dataverse | Solicitudes vencidas, por vencer y cerradas |
| Registro de actividades de tratamiento | Lista estructurada en Dataverse o SharePoint | Finalidad, base de licitud, conservación y transferencias por proceso |
El bloqueo temporal es el punto más sensible. Responderlo tarde o denegarlo sin causa justificada es infracción grave (Art. 34 ter, f), mientras que responder tarde otras solicitudes es leve (Art. 34 bis, c). En cuanto llega una solicitud, el flujo tiene que distinguir de qué tipo es.
El registro de actividades merece su propio análisis. Quién lo levanta y con qué método está explicado en este artículo sobre el registro de actividades de tratamiento de la Ley 21.719.
¿Qué pasa con la IA y las decisiones automatizadas?
Cualquier proceso que use IA para decidir sobre personas queda alcanzado por el Art. 8º bis. El titular puede oponerse a decisiones automatizadas, incluida la elaboración de perfiles, que le produzcan efectos jurídicos o le afecten significativamente. Esto no cambia con la prórroga: solo cambia la fecha.
Incluso en las excepciones (contrato, consentimiento expreso o mandato legal), el responsable debe asegurar tres cosas: el derecho a obtener una explicación, la intervención humana y la posibilidad de pedir revisión de la decisión. Además, el Art. 14 ter, letra l, exige informar la existencia de esas decisiones y la lógica aplicada.
En términos de arquitectura, eso significa:
- Un agente en Copilot Studio o un modelo de AI Builder que califica, prioriza o rechaza no puede cerrar el caso solo.
- Necesita un paso de aprobación humana en Power Automate.
- Cada decisión debe guardar en Dataverse la explicación de su lógica, para poder entregarla si el titular la pide.
Los datos muestran que este diseño también mejora la operación. En procesos de verificación KYC/AML, Muze AI midió un 85% de reducción en el tiempo de procesamiento en un caso de seguros. Ese resultado se logró con controles humanos en los puntos de decisión, no eliminándolos.
En el criterio de Muze, la revisión humana debe quedar en la arquitectura desde el día uno. Agregarla después obliga a rehacer el flujo. Qué exigirle a un proveedor en este punto está desarrollado en qué pedir antes de contratar un proyecto de IA agéntica.
¿Qué riesgo tiene apostar a que la prórroga se apruebe?
El riesgo es llegar al 1 de diciembre de 2026 sin sistemas si el proyecto no se publica a tiempo. Desde ese día rige el régimen de multas del Art. 35:
- Leves: amonestación escrita o multa de hasta 5.000 UTM.
- Graves: hasta 10.000 UTM.
- Gravísimas: hasta 20.000 UTM.
La reincidencia agrava el escenario. La Agencia puede aplicar hasta tres veces el monto. En empresas que no son de menor tamaño según la Ley 20.416, una reincidencia grave puede llegar al 2% de los ingresos anuales, y una gravísima al 4%.
Hay dos sanciones adicionales que conviene tener presentes:
- Si una infracción no se subsana en un plazo no mayor a 60 días, la multa tiene un recargo de 50%.
- Ante infracciones gravísimas reiteradas en 24 meses, el Art. 38 permite suspender las operaciones de tratamiento hasta por 30 días.
Las sanciones quedan en el Registro Nacional de Sanciones y Cumplimiento, que es público. El daño reputacional, por lo tanto, no depende del monto de la multa.
“La prórroga mueve la fecha en que la Agencia puede fiscalizar, no la fecha en que un cliente te pide sus datos. El flujo que responde en 30 días corridos y guarda la evidencia hay que construirlo igual; lo único que se decide es si se construye con calma o a última hora.” — Marco Chávez, Fundador de Muze AI.
¿Cómo usar el tiempo extra si la postergación se aprueba?
Si la prórroga se publica, los 12 meses adicionales sirven para hacer en orden lo que bajo presión se haría en paralelo: inventario, flujo de derechos, evidencia y revisión de los procesos con IA. Muze AI pone el primer proceso automatizado en producción en 4 a 7 semanas, así que hay margen para iterar y probar con casos reales.
| Fase | Entregable | Componentes |
|---|---|---|
| 1. Inventario | Registro de actividades de tratamiento por proceso | Dataverse o SharePoint, entrevistas con dueños de proceso |
| 2. Validación legal | Bases de licitud, finalidades y plazos de conservación definidos | Área legal del cliente (no es un entregable técnico) |
| 3. Flujo de derechos | Recepción, clasificación, plazos, bloqueo y respuesta | Power Pages o Forms, Power Automate, AI Builder |
| 4. Evidencia | Respaldo íntegro de cada respuesta y tablero de cumplimiento | SharePoint, Dataverse, Power BI |
| 5. IA y decisiones automatizadas | Aprobación humana y registro de la lógica aplicada | Copilot Studio, Power Automate |
La misma lógica aplica a cualquier reporte regulatorio. En automatización de reportería de compliance, Muze AI registra un 60% de reducción en el tiempo de preparación de informes. Uno de esos casos es la reportería a SERNAPESCA para una de las cinco salmoneras más grandes del mundo, donde la trazabilidad de cada dato es parte del entregable.
Todo esto se construye dentro del tenant Microsoft 365 del cliente. Los datos personales no salen a una plataforma externa para cumplir la ley que los protege. Los controles de acceso que eso exige están detallados en cómo proteger los datos empresariales en proyectos de BI y automatización. El marco de gobierno que los sostiene está en cómo asegurar el gobierno de datos en proyectos de automatización.
Más detalle sobre este tipo de trabajo está en la página de compliance regulatorio de Muze, que cubre Ley 21.719, SMA/SERNAPESCA y ESG-CMF.
Siguiente paso
La prórroga, si llega, mueve una fecha. El trabajo de fondo es el mismo: saber qué datos personales se tratan, responder a tiempo y demostrar cómo se respondió. Para dimensionar ese trabajo en sus propios sistemas, Muze AI ofrece un diagnóstico IA gratuito en muze.cl, que identifica qué procesos tocan datos personales y qué se puede automatizar primero.
