Usar IA en el trabajo: qué dice la ley y qué le toca a cada uno

La respuesta corta: la Ley 21.719 no prohíbe que el analista use una IA en su trabajo. Pero los datos que pega son de la empresa, y con su cuenta personal a la empresa le faltan tres cosas que la ley sí pide: un contrato con el proveedor, control sobre la salida de los datos del país y un registro de lo que pasó. A la empresa le toca darle una herramienta que tenga esas tres cosas; al analista, usarla y pegar sólo lo que la tarea necesita; a Juanita, pedir el trabajo de forma que no haga falta pegar más.

Si es para el trabajo, los datos son de la empresa

La ley no se aplica a lo que una persona hace con datos «en relación con sus actividades personales» (artículo 1°). Si el analista usa su cuenta para planificar sus vacaciones, eso es asunto suyo.

La lista de trabajadores no lo es. La recibió por su trabajo y la usa para una tarea de la empresa. La responsable de esos datos es la empresa, que decide para qué y cómo se usan, aunque quien los pegó haya sido él con su teléfono. Y el artículo 14 bis le pide a la empresa adoptar «las medidas necesarias» para que sus dependientes cumplan el deber de secreto. Los papeles de responsable y encargado están en el artículo pilar.

Lo que le falta a la empresa con una cuenta personal

El contrato. Cuando un tercero trata datos por cuenta de tu empresa, la ley lo llama encargado y pide que la relación se rija por un contrato que fije el objeto, la duración, la finalidad, el tipo de datos, las categorías de personas y los derechos y obligaciones de las partes (artículo 15 bis). Con la cuenta personal, el proveedor del chat tiene un contrato con el analista: los términos que él aceptó al registrarse. La empresa no firmó nada, no dio instrucciones y no sabe qué dice ese documento sobre guardar lo que se escribe o usarlo para otra cosa.

El control sobre la salida del país. La mayoría de los chats de IA procesan fuera de Chile, y eso es una transferencia internacional. El artículo 27 la permite cuando el país de destino tiene un nivel adecuado de protección, o cuando hay cláusulas contractuales u otros instrumentos suscritos entre quien transfiere y quien recibe, con garantías adecuadas. Con una cuenta personal, quien transfiere es la empresa —es su dato— pero el único acuerdo con quien recibe lo firmó el analista. La empresa tampoco puede informar en su política de privacidad, como pide el artículo 14 ter, a qué país van esos datos: no lo sabe. Más en transferencia internacional de datos.

El registro. Varias respuestas que la ley le pide a la empresa no se pueden dar sin saber qué pasó:

• Si un trabajador de la obra pide saber a quién se comunicaron sus datos, la empresa tiene que contestar (artículo 5°). Cómo, en el derecho de acceso y la IA.
• Si la lista se filtrara, la empresa tendría que poder evaluar si hay que reportarlo a la Agencia, cuántas personas afecta y qué datos (artículo 14 sexies).
• Si la Agencia pregunta, la empresa tiene que poder acreditar que trata los datos de forma lícita (artículo 3°, letra a).

Con cuentas personales, la empresa no ve nada de eso. No sabe quién usa IA, para qué ni con qué datos.

Lo que le toca a la empresa: una herramienta, no una prohibición

La reacción natural es mandar un correo diciendo que está prohibido usar IA. Suele durar poco: la IA le ahorra trabajo a la gente, y el uso se vuelve invisible en vez de desaparecer. La ley pide lo contrario: saber qué se hace y poder mostrarlo.

Lo que funciona tiene dos partes: una herramienta de la empresa, con contrato de encargo, con la transferencia internacional resuelta por escrito y con registro; y una política escrita, corta, que diga qué herramienta usar, qué datos se pueden pegar y a quién avisar si algo sale mal. Cómo armarla está en la política de uso de IA en la empresa. Si la empresa no da la herramienta, la política se queda en el papel.

Lo que le toca a quien usa la IA, y a su jefatura

Al analista le toca usar la herramienta de la empresa para todo lo que tenga datos de colegas, clientes o proveedores, pegar sólo lo que la tarea necesita y avisar el mismo día si pegó algo de más. Una guía para eso está en qué no compartir con la IA en el trabajo.

A Juanita, como jefatura, le toca algo más cotidiano: hablar con el analista sin castigo —él encontró una forma de trabajar mejor; lo que hay que cambiar es la herramienta, no las ganas— y pedir el trabajo de forma que no exija pegar la lista entera. La ley pide usar sólo los datos necesarios para cada fin (principio de proporcionalidad, artículo 3°, letra c), y quien pide una tarea define qué datos va a necesitar. Para ordenar bonos por faena, la IA puede armar el cálculo con un número por trabajador; los nombres se completan después, fuera del chat. Y si la empresa todavía no tiene una herramienta, es algo que Juanita tiene que levantar hacia arriba.

Lo que hace Plumii

Plumii es un chat de IA con la cuenta de la empresa: la empresa es la responsable, Plumii el encargado, y eso queda en un contrato. Quien lo administra pone una regla para cada dato que identifica a una persona: con la plantilla de partida, nombres, RUT, correos, teléfonos, direcciones y patentes se tapan antes del modelo, y tarjetas y contraseñas se bloquean. Queda un registro de quién envió cada mensaje, cuándo y qué datos traía, sin el texto de las conversaciones, que son sólo de quien las escribe: ni la jefatura ni quien administra las lee. Los modelos corren fuera de Chile, con un proveedor bajo contrato que no puede usar lo que se escribe para entrenar. El filtro no reconoce los datos sensibles; ahí sigue valiendo lo que cada uno escribe. Plumii además capacita a los colaboradores para usar la IA con cuidado. Mira el plan Empresa.

Las personas, empresas y situaciones de este artículo son ficticias: las inventamos para explicar la ley, y cualquier parecido con un caso real es coincidencia. Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.