Transferencia internacional de datos: ¿pueden salir de Chile?

La respuesta corta

Los datos pueden salir de Chile. La ley no prohíbe la transferencia internacional: le pone condiciones, en los artículos 27 y 28. Para un uso de todos los días, como el de los corredores, la corredora necesita dos cosas: que el uso sea lícito, y que el destino sea un país que la Agencia declare adecuado o que haya un contrato con el proveedor con garantías adecuadas. Hoy, a la corredora de Juanito le falta lo segundo: no tiene ningún contrato con el proveedor.

Primero, por qué esto es una transferencia. Los modelos de IA que usan los asistentes más conocidos corren en centros de datos fuera de Chile. Cada mensaje viaja, se procesa allá y vuelve. Si el mensaje tiene datos personales —el nombre del comprador, su RUT, su dirección—, esos datos salieron de Chile.

Ejemplo. Un corredor de Juanito pega en un chat de IA gratuito: «Redacta una promesa de compraventa entre María Pérez, RUT 11.111.111-1, domiciliada en el número 1234 de una avenida, y la inmobiliaria…». Ese texto completo se procesó en otro país, sin un contrato de la corredora con el proveedor y sin garantías que la corredora pueda mostrar.

La condición de base: que el uso sea lícito

El artículo 27 parte con una frase que se pasa por alto: las transferencias son lícitas «cumpliéndose los requisitos que, de conformidad a esta ley, autorizan al tratamiento de datos». Antes de pensar en el país de destino, el uso tiene que tener su base de licitud, respetar la finalidad y limitarse a lo necesario. Si eso falla, el destino da lo mismo. Los conceptos están en el artículo pilar.

Las vías que sirven para el uso diario

Cumplido lo anterior, el artículo 27 admite la transferencia en cualquiera de estos casos:

a) A un país adecuado. Cuando quien recibe los datos está sujeto a las leyes de un país que, según la Agencia, tiene un nivel adecuado de protección: estándares similares o superiores a los de la ley chilena (artículo 28). La Agencia publica la lista en su sitio web.

b) Con cláusulas contractuales u otros instrumentos. Cuando la transferencia está amparada por cláusulas contractuales, normas corporativas vinculantes u otros instrumentos jurídicos entre quien envía y quien recibe —sea otro responsable o un encargado—, con garantías adecuadas. El artículo 28 dice cuáles: principios, derechos y garantías similares o mayores a los de la ley, y en particular derechos exigibles y acciones legales efectivas para las personas. La Agencia puede aprobar cláusulas modelo; si usas una aprobada, no necesitas otra garantía ni autorización.

c) Con un modelo de cumplimiento o certificación que ambas partes adopten y que contenga garantías adecuadas.

Para la corredora, lo práctico es la letra b: un contrato con el proveedor de IA que traiga esas garantías, salvo que el proveedor procese en un país que la Agencia haya declarado adecuado.

Por qué las excepciones no sirven aquí

Si no hay país adecuado ni garantías, el artículo 27 permite una transferencia específica y que no sea habitual en casos como el consentimiento expreso de la persona para esa transferencia determinada, o que sea necesaria para un contrato con ella. Que cada corredor pegue datos de compradores en un asistente de IA todos los días es lo contrario de una transferencia puntual. Para un uso diario, la salida es el contrato, no la excepción.

Lo que tiene que firmar y tener la corredora

1. Saber qué datos salen y hacia dónde. Proveedor por proveedor, incluida la IA.
2. Un contrato con el proveedor de IA, que cubra el encargo (qué tiene que decir) y, si el destino no es un país adecuado, cláusulas con garantías adecuadas.
3. Decirlo en la política de privacidad. El artículo 14 ter, letra h, pide informar si los datos se transfieren a otro país, si ese país tiene un nivel adecuado de protección y, si no lo tiene, qué garantías justifican la transferencia.
4. Poder acreditarlo. El último inciso del artículo 28 dice que corresponde a quien hizo la transferencia acreditar ante la Agencia que la hizo conforme a la ley.

Lo que está en juego si no: la Agencia fiscaliza estas transferencias y, en casos calificados, puede suspender temporalmente el envío de datos (artículo 29). Hacerlas contra las reglas de la ley es infracción grave (artículo 34 ter, letra m), y gravísima si es a sabiendas (artículo 34 quáter, letra h).

Dónde ayuda Plumii

Plumii lo dice de frente: los modelos y el filtro corren en la nube, fuera de Chile, con un proveedor bajo contrato que no puede usar lo que se escribe para entrenar. Para la ley, es una transferencia internacional. En una empresa, la relación con Plumii queda por escrito en un contrato de encargo de tratamiento. Y hay una forma de bajar el problema que no depende de contratos: que salga menos. Antes de que el mensaje salga, la regla de tu empresa tapa nombres, RUT, correos, teléfonos, direcciones y patentes, y bloquea tarjetas y contraseñas: al modelo le llega «Redacta una promesa entre {NAME}, RUT {rut}, y la inmobiliaria». Lo que el filtro no reconoce —un dato raro o mal escrito, o un dato sensible como un diagnóstico— pasa igual. El registro de uso guarda qué dato fue, visible sólo para quien la empresa designe, para poder avisarle a esa persona que su dato salió de Chile. Mira cómo funciona.

Las personas, empresas y situaciones de este artículo son ficticias: las inventamos para explicar la ley, y cualquier parecido con un caso real es coincidencia. Este artículo es información general, no asesoría legal. El texto oficial de la ley está en la Biblioteca del Congreso Nacional.