¿Qué capacidades exige realmente este trabajo?
Exige tres capacidades simultáneas: cronometraje legal exacto, búsqueda de datos del titular en sistemas heterogéneos, y generación automática de evidencia probatoria. Un proveedor que solo domina una de las tres deja el riesgo intacto: la Ley 21.719 sanciona la respuesta tardía o incompleta, no la ausencia de tecnología.
El cronometraje es el punto donde más proyectos fallan. La ley fija 30 días corridos para pronunciarse desde la fecha de ingreso, con acuse de recibo obligatorio, y una prórroga por una sola vez, hasta por 30 días corridos adicionales.
En paralelo corre un reloj distinto: el bloqueo temporal, con 2 días hábiles desde la recepción del requerimiento. Mientras no se resuelve, el responsable no puede tratar esos datos. Son dos relojes con unidades distintas sobre el mismo expediente.
Circulan guías con plazos de 15 o 30 días hábiles. No coinciden con el texto oficial. Si el proveedor parametriza el flujo con esa cifra, el sistema entregará respuestas fuera de plazo con apariencia de cumplimiento, que es el peor escenario posible.
La segunda capacidad es de datos, no de flujo: encontrar todo lo asociado a un RUT en CRM, ERP, planillas y respaldos. Sin un inventario previo —el registro de actividades de tratamiento del Art. 14 ter— cualquier automatización responde solo por los sistemas que alguien recordó nombrar.
La tercera es probatoria. El Art. 11 obliga a responder por escrito y a almacenar los respaldos que acrediten la remisión, su fecha y el contenido íntegro. Eso convierte el proyecto en uno de gestión documental con retención, no en un envío de correos.
¿Cómo se ve un proyecto bien hecho de punta a punta?
Un proyecto bien hecho parte por el inventario de datos y termina por el expediente exportable, con el flujo automatizado en medio. Invertir el orden —empezar por el chatbot— produce un canal de entrada que dispara relojes legales que nadie puede cumplir.
Fase 1 — Inventario y base de licitud. Mapeo de dónde vive cada categoría de datos personales, con qué finalidad y por cuánto tiempo. Alimenta el registro de actividades de tratamiento y la publicación permanente en el sitio web exigida por el Art. 14 ter.
Fase 2 — Canal de ingreso y verificación de identidad. El Art. 11 admite escrito, correo, formulario de contacto o medio electrónico equivalente. La decisión relevante no es el canal sino cómo se acredita que quien pide los datos es el titular.
Fase 3 — Motor de plazos y orquestación. Acuse de recibo automático, reloj de 30 días corridos, ruta separada de 2 días hábiles para bloqueo, y prórroga como acción registrada una única vez. La comparación entre construirlo con un agente conversacional o con orquestación pura tiene consecuencias distintas en trazabilidad.
Fase 4 — Recolección y armado de la respuesta. Consulta a los sistemas fuente, consolidación, y revisión humana antes del despacho. Los derechos de rectificación, supresión y oposición son siempre gratuitos; el acceso es gratuito al menos trimestralmente (Art. 10), lo que obliga a controlar la frecuencia por titular.
Fase 5 — Expediente y métricas. Cada solicitud cerrada debe poder exportarse completa. La guía práctica de KPMG sobre el ejercicio de derechos de los titulares (KPMG Chile, 2025) propone KPIs de atención de solicitudes que sirven como base para definir qué se mide.
Los datos del texto legal muestran que la exposición escala rápido: leves hasta 5.000 UTM, graves hasta 10.000 UTM, gravísimas hasta 20.000 UTM, con hasta 3 veces el monto en reincidencia. En la experiencia de Muze AI Consulting, la parte automatizable con mayor retorno es la evidencia: 60% de reducción en el tiempo de preparación de informes de compliance y 80% menos errores de digitación.
¿Qué preguntar al evaluar proveedores?
Pregunte por evidencia demostrable en la reunión, no por experiencia declarada. Los criterios que siguen se pueden verificar en una demo de 60 minutos, y son válidos para cualquier proveedor —incluido uno distinto al que usted termine contratando.
| Capacidad | Qué pedir como evidencia | Señal de alerta |
|---|---|---|
| Cronometraje legal correcto | Demo en vivo de un caso con el reloj de 30 días corridos, la prórroga única y la ruta paralela de 2 días hábiles para bloqueo | Menciona “15 días hábiles” o “30 días hábiles”; trata el bloqueo como un estado más del mismo flujo |
| Evidencia probatoria (Art. 11) | Exportar el expediente completo de una solicitud cerrada: acuse, fecha, destinatario, contenido íntegro y respaldos | La evidencia vive en la bandeja de correo de un analista o en una carpeta compartida sin retención |
| Descubrimiento de datos del titular | Lista concreta de conectores y una búsqueda por RUT ejecutada sobre al menos tres sistemas fuente distintos | Promete “búsqueda universal” sin exigir primero un inventario de sistemas y categorías |
| Decisiones automatizadas (Art. 8º bis) | Cómo enruta a un revisor humano, cómo registra el punto de vista del titular y cómo entrega la explicación de la lógica aplicada | Lo declara fuera de alcance por ser “un tema de modelos, no de compliance” |
| Registro de actividades vivo (Art. 14 ter) | Mecanismo por el cual el registro se actualiza cuando cambia un flujo o se agrega una finalidad | Entrega una planilla única al cierre del proyecto, sin proceso de actualización |
| Verificación de identidad del solicitante | Procedimiento documentado ante una solicitud de supresión de un tercero que se hace pasar por el titular | No hay control: responde a cualquier correo que declare un RUT |
| Propiedad y traspaso operacional | Quién queda como dueño de las soluciones, flujos y tablas dentro del tenant del cliente al cierre | Los flujos se crean bajo la cuenta personal de un consultor o en un tenant del proveedor |
| Frontera con el área legal | Cómo se registran las decisiones jurídicas del cliente como parámetros configurables del flujo | El proveedor ofrece resolver él mismo si una solicitud procede o no |
Una advertencia sobre la última fila: la calificación jurídica de una solicitud —si procede, si aplica una excepción, si corresponde denegar— la define el área legal del cliente o su asesor externo. Un proveedor de automatización que la asume está creando un riesgo nuevo, no cerrando uno.
“Un flujo ARCO no se juzga por lo rápido que responde, sino por si a los dos años puedes reconstruir qué respondiste, cuándo y con qué datos. Si esa evidencia no sale sola del sistema, el proceso no está automatizado: está escondido.” — Marco Chávez, Fundador de Muze AI Consulting.
¿Qué señales de alerta descartan a un proveedor?
Cuatro señales descartan sin necesidad de segunda reunión, y todas son verificables con una pregunta directa. Ninguna tiene que ver con el tamaño del proveedor ni con su marca: tienen que ver con si entendió qué exige el texto legal.
Plazos incorrectos en la propuesta. Es la más simple y la más frecuente. Si el documento comercial dice días hábiles donde la ley dice corridos, el error ya está en el diseño y se replicará en la configuración.
Confundir supresión con cancelación. La ley chilena reconoce seis derechos en el Art. 4º: acceso, rectificación, supresión, oposición, portabilidad y bloqueo. “Cancelación” viene del modelo ARCO español y mexicano. Usar la sigla ARCO está bien si se aclara el nombre legal chileno.
Prometer cumplimiento como resultado. Nadie puede garantizar el cumplimiento con un producto. Lo que un proveedor puede garantizar es que el sistema ejecuta los pasos en plazo y deja evidencia; la suficiencia jurídica de la respuesta la evalúa la Agencia de Protección de Datos Personales.
Citar experiencia operativa con una ley que aún no rige. La Ley 21.719 entra en vigencia el 1 de diciembre de 2026 y la APDP todavía no ha resuelto reclamaciones. Nadie tiene métricas de operación real bajo este régimen. Quien las presente está fabricando el dato, y ese mismo criterio se aplica a Muze.
Conviene además revisar cómo el proveedor trata la separación entre quien construye y quien valida el cumplimiento. Si la misma persona diseña el flujo y certifica que cumple, no hay control efectivo.
¿Cuándo conviene resolverlo internamente en vez de contratar?
Conviene internalizar cuando el volumen de solicitudes es bajo, los datos personales viven en pocos sistemas y ya existe capacidad interna en Power Platform. En ese escenario un flujo con Power Automate, Dataverse y SharePoint es un proyecto de semanas para un equipo propio, y contratar agrega coordinación sin agregar criterio.
Conviene contratar cuando el mapa de sistemas fuente es amplio o desconocido. El costo y la complejidad crecen con el número de sistemas donde puede haber datos del titular, no con la cantidad de solicitudes: buscar un RUT en Softland, SAP, un CRM y tres planillas es un problema de integración, no de formularios.
También pesa el componente de decisiones automatizadas. Si la empresa usa scoring, segmentación o perfilamiento con efectos jurídicos sobre personas, el Art. 8º bis obliga a garantizar explicación, intervención humana y revisión de la decisión, incluso cuando aplica una excepción como el contrato o el consentimiento expreso. Ese trabajo toca los modelos, no solo el flujo; es el terreno de la adaptación de sistemas de decisión automatizada.
Un tercer factor es la exposición financiera. Para empresas que no son de menor tamaño según la Ley 20.416, la reincidencia en infracciones graves o gravísimas puede llevar la multa hasta 2% o 4% de los ingresos anuales por ventas y servicios del último año calendario. Frente a esa cifra, el costo de un socio externo deja de ser la variable relevante.
Sea cual sea la decisión, el criterio de diseño no cambia: relojes correctos, evidencia exportable y frontera clara con el área legal. Los KPIs de atención que documenta la guía de ejercicio de derechos de KPMG Chile sirven igual para medir a un equipo interno que a un proveedor, y ese es el punto: si el indicador solo funciona con un proveedor, el indicador está mal.
Cómo avanzar
El primer entregable útil no es un sistema: es saber en cuántos sistemas vive un RUT dentro de su empresa y cuánto demora hoy reunir esa información a mano. Con ese número, la decisión de internalizar o contratar deja de ser una discusión de presupuesto.
Si quiere revisar ese punto de partida con criterio técnico, Muze AI Consulting ofrece un diagnóstico IA gratuito en muze.cl: una sesión para mapear sistemas fuente, identificar dónde se rompen los plazos y estimar qué parte del proceso es automatizable. Para contexto adicional sobre el alcance completo, revise también cómo se aborda el cumplimiento de la ley en su conjunto.