Caso ficticio
Juanita Pérez atiende los correos de clientes de una mueblería con tres tiendas en una ciudad del sur de Chile. Un lunes llega uno distinto. Un cliente, que compró un comedor en agosto y reclamó por una pata quebrada, escribe: «Quiero saber si ustedes usaron mis datos en alguna inteligencia artificial, cuáles y para qué». Juanita sabe que el equipo usa IA para redactar respuestas. No sabe si el reclamo del cliente pasó por ahí, ni con qué datos.
Desde el 1 de diciembre de 2026, ese correo es el ejercicio de un derecho: el de acceso. La respuesta que la ley pide es concreta: decirle al cliente, por escrito y dentro de 30 días corridos, si sus datos llegaron a una IA, cuáles, para qué y a qué proveedor, si pide saberlo.
Ejemplo. Si el equipo de Juanita usara una herramienta con registro, la respuesta al cliente cabría en un párrafo: «Sí. El 14 de agosto se usó un asistente de IA para redactar la respuesta a su reclamo. El texto llegó al modelo con su nombre reemplazado por una marca. El asistente lo procesa un proveedor fuera de Chile, bajo contrato, que no puede usar sus datos para otro fin».
Lo que el cliente tiene derecho a saber
El artículo 5° le da a toda persona el derecho de acceso: pedirle a una empresa que confirme si trata sus datos y, si es así, acceder a ellos y a esta información:
- Los datos tratados y su origen.
- Para qué se tratan.
- Las categorías de destinatarios a quienes se comunicaron o cedieron, o se prevé hacerlo. Y si la persona lo pide, la identidad de cada destinatario.
- Por cuánto tiempo se van a tratar.
- Los intereses legítimos de la empresa, si esa es la base del tratamiento.
- Información significativa sobre la lógica aplicada, si hay decisiones automatizadas.
La ley agrega que la empresa «siempre estará obligada» a entregar esa información, salvo que una ley disponga expresamente lo contrario.
El cliente no pregunta por la IA en abstracto. Pregunta lo que dice la tercera viñeta: si sus datos llegaron a un tercero, y a cuál. Un proveedor de IA que recibió su nombre y su reclamo es parte de esa respuesta.
Cómo y cuándo hay que responder
El artículo 11 fija el procedimiento. Para el acceso, basta con que la persona se identifique. La empresa tiene que acusar recibo y pronunciarse dentro de 30 días corridos desde que llegó la solicitud, plazo que puede alargar una sola vez por otros 30. La respuesta va por escrito, al domicilio o correo que indicó la persona, y la empresa tiene que guardar el respaldo de qué respondió, cuándo y adónde.
El acceso es gratuito al menos una vez por trimestre (artículo 10). Si la empresa lo niega, tiene que fundarlo y decirle a la persona que tiene 30 días hábiles para reclamar ante la Agencia. Si no responde, la persona puede reclamar directamente. Los plazos de cada derecho están en los derechos ARCO y sus plazos.
Sin registro, no hay respuesta
Para contestarle al cliente, Juanita tiene que saber tres cosas: si alguien del equipo pegó datos del cliente en una IA, cuáles, y en qué herramienta. Si cada persona usa su propia cuenta de un chat gratuito, no hay de dónde sacarlo. Tendría que preguntar uno por uno y confiar en la memoria de cada cual.
Y las salidas fáciles no sirven:
- «No usamos IA», si no es verdad, es una respuesta incompleta, y omitir la respuesta o responderla en forma incompleta o fuera de plazo es una infracción leve (artículo 34 bis, letra c).
- «No lo sabemos» es honesto, pero deja a la vista otro problema: la empresa tiene que poder acreditar que trata los datos de forma lícita (artículo 3°, letra a), y no puede hacerlo con algo que no ve.
Lo que conviene tener listo antes del primer correo
- Saber qué herramientas de IA se usan con datos de clientes, y que sean las de la empresa, no cuentas personales: con una cuenta personal no hay registro que consultar. Más en usar IA en el trabajo.
- Que tu política de privacidad lo diga: los destinatarios a quienes se comunican datos y si hay transferencia a otro país, como pide el artículo 14 ter. Si la política ya lo dice, buena parte de la respuesta está escrita.
- Un registro que permita buscar si los datos de una persona salieron, cuándo y con qué regla.
- Un responsable interno de estas solicitudes y un modelo de respuesta como el de arriba, para no partir de cero con cada correo.
Lo que hace Plumii
Plumii registra quién envió cada mensaje, cuándo, con qué modelo, qué datos que identifican a una persona traía y qué regla se aplicó. En una empresa, también qué dato fue —por ejemplo, «Juan Pérez»—, visible sólo para quien la empresa designe, para poder contestarle a esa persona y avisarle que su dato salió de Chile. El registro se guarda 24 meses y no incluye las conversaciones. Tiene un límite: lo que el filtro no reconoce, como un diagnóstico o un dato escrito de forma rara, no queda en él. Mira qué registra Plumii.
Las personas, empresas y situaciones de este artículo son ficticias: las inventamos para explicar la ley, y cualquier parecido con un caso real es coincidencia. Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.