En resumen
- La Ley 21.719 reemplaza las reglas de datos personales en Chile: pide una base legal para usar datos, informar cómo se usan, responder las solicitudes de las personas en 30 días y protegerlos. Rige el 1 de diciembre de 2026, salvo que se apruebe la postergación que hoy está en el Congreso.
- Si un agente de IA atiende por WhatsApp, revisa el aviso de privacidad, el paso a una persona, los contratos con tus proveedores (Meta y el modelo de IA) y el envío de datos fuera de Chile.
- Las multas llegan a 20.000 UTM, cerca de $1.443 millones con la UTM de octubre de 2026. En el primer año, a una pyme la Agencia puede aplicarle solo una amonestación escrita.
Cuándo empieza a regir
La Ley 21.719 se publicó en el Diario Oficial el 13 de diciembre de 2024 y fijó su entrada en vigencia para el 1 de diciembre de 2026. Reescribe la antigua ley de datos personales (Ley 19.628) y crea la Agencia de Protección de Datos Personales, que fiscalizará y aplicará multas.
Hay un cambio en camino. El 28 de octubre de 2026 el Senado aprobó el proyecto del Boletín 18.623-07, que según la prensa mueve la fecha al 15 de octubre de 2027. El proyecto pasó a la Cámara de Diputados con urgencia de discusión inmediata. Mientras esa ley no se publique, la fecha vigente sigue siendo el 1 de diciembre de 2026.
La Agencia todavía no tiene consejo: en mayo de 2026 el Senado rechazó la primera propuesta de consejeros porque no alcanzó los dos tercios de los votos. Por eso aún no existen sus instrucciones, ni la lista de países con protección adecuada, ni las cláusulas modelo para enviar datos al extranjero.
Qué exige la ley, en simple
| Obligación | Qué significa | Artículo |
|---|---|---|
| Base legal | Usar datos con consentimiento libre, informado y específico, o con otra base: un contrato con la persona, una obligación legal o un interés legítimo que no pase a llevar sus derechos. | 12 y 13 |
| Informar | Publicar la política de datos con fecha y versión, un canal de contacto, para qué se usan los datos, con qué base legal, si salen del país, cuánto tiempo se guardan y si hay decisiones automatizadas. | 14 ter |
| Derechos de las personas | Acceso, rectificación, supresión, oposición, bloqueo y portabilidad. Hay que responder en 30 días corridos, prorrogables una vez. | 4 a 11 |
| Seguridad | Medidas acordes al riesgo. Si hay un incidente, la empresa debe probar que las tenía. | 14 quinquies |
| Filtraciones | Avisar a la Agencia sin demoras injustificadas y llevar un registro interno de cada incidente. | 14 sexies |
| Proveedores | Un contrato con cada empresa que procesa datos por cuenta tuya: objeto, duración, finalidad y tipos de datos. | 15 bis |
| Datos fuera de Chile | Enviarlos solo con garantías, como cláusulas contractuales, o con el consentimiento expreso de la persona para esa transferencia. | 27 |
La ley también se aplica a empresas de fuera de Chile que ofrecen productos o servicios a personas en el país.
Lo que cambia si atiendes por WhatsApp con IA
Un agente de IA que responde por WhatsApp usa datos personales todo el tiempo: el número, el nombre y lo que el cliente escribe. Estos son los puntos que conviene revisar antes del 1 de diciembre.
- Aviso de privacidad a mano. Ten tu política de datos publicada y enlázala en el perfil o en el primer mensaje. La ley lo exige, y la política de WhatsApp Business también pide tener una política de privacidad publicada.
- Una base legal por cada uso. Responder la consulta de un cliente no es lo mismo que enviarle ofertas. Para marketing, WhatsApp exige que la persona haya aceptado recibir mensajes, y el Registro No Molestar del Sernac también cubre WhatsApp.
- Paso a una persona. La política de WhatsApp exige una vía clara y directa para hablar con un humano cuando hay automatización. Y si el agente toma decisiones con efectos importantes para alguien, la ley le da derecho a pedir una explicación y la revisión de una persona (artículo 8 bis).
- Cuidado con los datos de salud. Son datos sensibles: requieren consentimiento expreso y, salvo las excepciones que la ley indica, solo pueden usarse para los fines que permiten las leyes de salud.
- Contratos con tus proveedores. En sus condiciones, Meta se define como encargado del tratamiento. Revisa también el contrato con el proveedor del modelo de IA y con quien integró el agente.
- Datos que salen del país. Meta indica que, incluso con almacenamiento local activado, el contenido de los mensajes puede procesarse en sus centros de datos en el extranjero. Si el modelo de IA también está fuera de Chile, necesitas garantías como cláusulas contractuales.
- Nada de entrenar modelos con los chats. Las condiciones de Meta prohíben usar los datos de WhatsApp Business para entrenar o mejorar modelos de IA, salvo ajustar uno para uso exclusivo de tu empresa.
- Evaluación de impacto cuando corresponde. Es obligatoria si hay perfilamiento o decisiones automatizadas con efectos significativos, o tratamiento de datos a gran escala. No hacerla es una infracción gravísima.
Multas y qué pasa con las pymes
| Infracción | Multa máxima | En pesos, UTM de octubre de 2026 |
|---|---|---|
| Leve | 5.000 UTM o amonestación escrita | Cerca de $361 millones |
| Grave | 10.000 UTM | Cerca de $722 millones |
| Gravísima | 20.000 UTM | Cerca de $1.443 millones |
Son graves, por ejemplo, usar datos sin consentimiento ni otra base legal, no cumplir las obligaciones de seguridad o no registrar una filtración. Si la falta no se corrige en el plazo fijado, la multa sube 50%. Las sanciones quedan cinco años en un registro público.
El tope de 2% o 4% de los ingresos anuales solo aplica a empresas que no son de menor tamaño y que reinciden en infracciones graves o gravísimas. Para las pymes, durante los primeros doce meses la Agencia puede aplicar una amonestación escrita en vez de una multa. Es una facultad, no una exención automática, y la amonestación también queda en el registro.
Cuatro errores que se repiten
- "Hay 72 horas para avisar una filtración." Ese plazo viene del reglamento europeo. La ley chilena pide avisar sin demoras injustificadas, sin fijar horas.
- "La multa es de hasta 4% de las ventas." Solo para empresas grandes que reinciden en faltas graves o gravísimas.
- "El delegado de protección de datos es obligatorio." Es voluntario, aunque el deber de prevenir infracciones aplica a todos.
- "La ley ya se postergó a 2027." Hasta hoy solo lo aprobó el Senado. Falta la Cámara y la publicación.
En Belgrano, grupo chileno de tecnología, IA, medios, marca y eventos con sede en Santiago de Chile, hacemos agentes de IA para WhatsApp; esta lista sirve para revisar cualquier propuesta, incluida la nuestra. Y si estás comparando opciones, revisa cuánto cuesta un agente de IA para WhatsApp en Chile.
Esta guía es informativa y no reemplaza la asesoría legal de tu empresa.
Preguntas frecuentes
¿La Ley 21.719 ya está vigente?
Se publicó el 13 de diciembre de 2024 y su fecha de entrada en vigencia es el 1 de diciembre de 2026. El Senado aprobó el 28 de octubre de 2026 un proyecto para postergarla al 15 de octubre de 2027, pero mientras esa ley no se publique, la fecha sigue siendo el 1 de diciembre de 2026.
¿Necesito el consentimiento del cliente para responderle por WhatsApp?
No siempre. La ley acepta otras bases además del consentimiento, por ejemplo que el uso de los datos sea necesario para celebrar o cumplir un contrato con esa persona. Para enviarle mensajes de marketing, WhatsApp exige además que la persona haya aceptado recibirlos.
¿Tengo que nombrar un delegado de protección de datos?
No es obligatorio. La ley permite adoptar en forma voluntaria un modelo de prevención de infracciones, que incluye un delegado de protección de datos. Si la Agencia certifica ese modelo, cuenta como atenuante si hay una sanción. En una pyme, el propio dueño puede asumir el rol de delegado.
¿En cuántas horas hay que avisar una filtración de datos?
La ley no fija horas. Pide avisar a la Agencia por los medios más rápidos posibles y sin demoras injustificadas cuando la filtración crea un riesgo razonable para las personas, y avisarles también a ellas si incluye datos sensibles, de menores de 14 años o financieros.
¿Puedo usar las conversaciones de WhatsApp para entrenar un modelo de IA?
Las condiciones de Meta para WhatsApp Business lo prohíben, con una excepción: ajustar un modelo de IA para uso exclusivo de tu empresa. Además, la Ley 21.719 exige que ese nuevo uso de los datos tenga su propia base legal y que esté informado en tu política de privacidad.
Fuentes
- Ley 21.719, que regula la protección y el tratamiento de los datos personales, Biblioteca del Congreso Nacional
- Tramitación del Boletín 18.623-07 (postergación de la entrada en vigencia), Senado de Chile
- Senado aprueba modificaciones al proyecto que posterga la entrada en vigencia de la ley de datos personales, Diario Financiero, 28-10-2026
- Desestiman propuesta de consejeros para la Agencia de Protección de Datos, Senado de Chile, 20-05-2026
- Valores de UTM 2026, Servicio de Impuestos Internos
- Meta Terms for WhatsApp Business Platform, Meta
- Política de mensajes de WhatsApp Business, WhatsApp
- Cloud API: almacenamiento local, Meta for Developers
- Registro No Molestar, ChileAtiende