El riesgo invisible de la IA: Por qué la Ley 21.719 ya no permite errores en tu software

La inteligencia artificial llegó para quedarse, y en el mundo del desarrollo de software eso se nota fuerte. Hoy crear una aplicación, integrar una API o automatizar un proceso es más rápido que nunca gracias a herramientas de codificación asistida por IA. El problema es que, mientras el desarrollo avanza a toda velocidad, la protección de los datos personales muchas veces queda corriendo detrás.

Y no es por mala intención. Simplemente, cuando el foco está en “que funcione”, es fácil pasar por alto qué datos se están usando, dónde terminan y quién más puede verlos.

El riesgo invisible: datos que se filtran sin que nadie lo note

Uno de los errores más comunes (y costosos) ocurre cuando datos sensibles terminan donde no deberían:
logs, archivos temporales, integraciones de terceros o incluso servicios de IA externos.

Un simple descuido —como imprimir información completa de un usuario para depurar un error— puede exponer nombres, correos, RUT, tokens de acceso o datos financieros. En equipos pequeños es más fácil detectarlo, pero cuando el desarrollo crece, estos detalles se multiplican y se vuelven difíciles de rastrear.

El resultado: riesgos de seguridad, pérdida de control de la información y posibles incumplimientos legales.

IA sin supervisión: cuando la innovación se adelanta a las reglas

Muchas organizaciones tienen políticas que restringen el uso de inteligencia artificial, pero en la práctica es común que aparezcan librerías o SDK de IA “colados” en los proyectos. No porque la IA sea mala, sino porque nadie está mirando el flujo completo de los datos.

¿Se están enviando datos personales a servicios externos?
¿Eso está informado al usuario?
¿Existe una base legal para hacerlo?

Cuando estas preguntas se responden después, ya es tarde. La corrección suele ser lenta, costosa y, en algunos casos, imposible de revertir.

De reaccionar a prevenir: el verdadero cambio de enfoque

Tradicionalmente, la seguridad y la privacidad se revisan cuando la aplicación ya está en producción. El problema es que ahí los datos ya están circulando.

El enfoque moderno apunta a algo distinto:
prevenir los riesgos desde el desarrollo utilizando SDLC O SSDLC, entendiendo cómo fluye la información en el código antes de que llegue a producción.

Esto permite:

• Detectar fugas de datos antes de que ocurran
• Mantener mapas de datos actualizados
• Tener claridad real sobre integraciones de terceros e IA
• Reducir incidentes y retrabajos

Ley 21.719: El fin de la improvisación en la gestión de datos y la IA

Aquí es donde todo esto deja de ser solo una “buena práctica” y pasa a ser una obligación legal.

La Ley 21.719, publicada en diciembre de 2024 y con vigencia plena desde el 1 de diciembre de 2026, moderniza la protección de datos personales en Chile y nos alinea con estándares internacionales como el GDPR.

Esta ley:

• Refuerza los derechos de las personas sobre sus datos (acceso, rectificación, supresión, portabilidad)
• Exige que las empresas justifiquen y aseguren el tratamiento de datos personales
• Obliga a implementar medidas de seguridad adecuadas
• Establece el deber de reportar vulneraciones de datos
• Introduce sanciones relevantes en caso de incumplimiento
• Crea la Agencia de Protección de Datos Personales

En este contexto, no saber qué hace tu propio código con los datos ya no es una excusa válida.

IA, desarrollo y cumplimiento: el nuevo estándar.

El uso de inteligencia artificial en el desarrollo no es el problema. El problema es usarla sin control, sin visibilidad y sin gobernanza.

Con la Ley 21.719 en el horizonte, las organizaciones deberán demostrar que:

• Saben qué datos recopilan
• Cómo los procesan
• Dónde se almacenan
• Con quién se comparten
• Y cómo se protegen desde el origen

La privacidad deja de ser un documento y pasa a ser parte del diseño del software.