Ley 21.719: tu diagnóstico de datos ya salió de Chile

El 1 de diciembre de 2026 entra en régimen la Ley 21.719. Multas de hasta 20.000 UTM, cerca de 1,55 millones de dólares, o el 4% de tus ingresos anuales si reincides. Y hoy, para saber si tu pyme está expuesta, tienes dos caminos: llenar un cuestionario que nadie contrastó contra tus archivos, o mandar esos mismos archivos a un servidor en Estados Unidos para que te digan si están expuestos.

Ninguno de los dos cumple la ley que dice defender.

El plazo ya corre, la multa también

La 21.719 se publicó en diciembre de 2024 y entra en plena vigencia este diciembre. Reemplaza una ley de 1999 y crea la Agencia de Protección de Datos Personales, con potestad para fiscalizar, sancionar y publicar un registro nacional de infractores. Las pymes tienen un año de gracia, solo amonestación escrita hasta diciembre de 2027, pero el reloj para todo el resto ya está corriendo. La multa máxima, 20.000 UTM, es más de lo que factura en un año la mayoría de las pymes chilenas que la ley obliga a cumplir.

La pregunta que nadie contesta es más simple que la cifra: ¿quién revisó de verdad qué datos personales tienes guardados, en qué carpeta, desde cuándo?

Cuestionario o nube extranjera, elige tu castigo

Revisé lo que se vende hoy en Chile para la 21.719. Hay plataformas que generan tu Registro de Actividades de Tratamiento con inteligencia artificial, automatizan la gestión de solicitudes ARCO y te asignan un DPO externo. Ninguna de esas herramientas abre un archivo de tu empresa. Trabajan con lo que tú les cuentas, no con lo que hay.

Y están los escáneres de verdad, del tipo que sí lee tus archivos y detecta un RUT o un correo enterrado en una planilla de diez años. Esos existen, pero son de matriz extranjera: Safetica, Netwrix. Para decirte si cumples la ley chilena de soberanía de tus datos, primero sacan tus datos del país.

Cumplir la Ley 21.719 exportando la exposición que la misma ley busca evitar no es una ironía menor.

Lo que construí en vez de eso

Fundé EscudoIA hace unas semanas, con la misma pregunta técnica que me hago en cualquier simulación numérica: si el modelo no toca los datos reales, ¿qué está midiendo? Catastroia, la primera herramienta de la consultora, hace el catastro de datos personales corriendo en el propio equipo del cliente. Los archivos no salen de ahí, ni a un servidor en Santiago ni a uno en Virginia.

La acompaña maskops, el motor de anonimización que construí para detectar y enmascarar datos personales en campos estructurados (RUT, IBAN, tarjetas), hasta 4.800 veces más rápido que Presidio, la librería de referencia de Microsoft, según el benchmark que publiqué en el propio repositorio. La diferencia entre lo que una empresa declara que tiene y lo que efectivamente aparece al escanear sus archivos es, casi siempre, el hallazgo que justifica todo el diagnóstico.

No inventé el problema. Lo encontré escaneando organismos públicos chilenos antes de tener empresa, y reportándolo por responsible disclosure, con mi nombre y mi afiliación de la UPM, no con un logo detrás.

No es cumplimiento, es maquillaje con IA

Que un cuestionario tenga inteligencia artificial no lo vuelve auditoría. Sigue siendo lo mismo que llenar un formulario en Word, pero más rápido y con mejor letra.

La ley da un año de gracia a las pymes, no un año de vista gorda. En diciembre de 2027 empiezan las multas de verdad, y para entonces alguien tendrá que explicar por qué certificó que cumplía sin haber abierto nunca la carpeta correcta.