Ley 21.719: cuenta regresiva a diciembre de 2026, qué debe estar listo

El 1 de diciembre de 2026 no es una fecha estimada por la prensa: la fija el texto de la propia ley. El artículo primero transitorio de la Ley 21.719 establece que la entrada en vigencia queda diferida hasta el primer día del mes vigésimo cuarto posterior a su publicación en el Diario Oficial. Como la ley se publicó el 13 de diciembre de 2024, el cálculo da exactamente el 1 de diciembre de 2026.

La misma ley le fija un plazo al Estado, y ese plazo ya venció. El artículo cuarto transitorio, en su texto vigente desde el 5 de febrero de 2026, dispone que la primera designación de los consejeros del Consejo Directivo de la Agencia de Protección de Datos Personales —el organismo que va a fiscalizar y sancionar— se haga seis meses antes de la entrada en vigencia, es decir, el 1 de junio de 2026. En mayo de 2026 la Sala del Senado desechó el oficio del Presidente de la República con los tres nombres propuestos, por no alcanzar el quórum de dos tercios exigido para ratificarlos.

Para tu empresa, el efecto práctico de ese atraso institucional es nulo en materia de plazos: el 1 de diciembre no se mueve y las obligaciones de la ley empiezan a regir ese día, con o sin Agencia instalada. La lectura correcta es la contraria a la tentación: un regulador que parte con retraso llega con una lista de pendientes, no con manga ancha.

Con el inventario del RAT armado, corresponde resolver dos cosas antes de negociar nada con terceros: quién dentro de la empresa responde por el cumplimiento, y qué sistemas de IA necesitan una evaluación de impacto antes de seguir operando.

La Ley 21.719 no obliga a designar un Delegado de Protección de Datos (DPO): el artículo 50 dispone que el responsable de datos podrá designarlo. La exigencia aparece por una vía indirecta —si la empresa adopta el Modelo de Prevención de Infracciones, que es voluntario, el artículo 49 exige que ese programa de cumplimiento contenga, al menos, la designación de un delegado—. Cognitiva detalla cuándo conviene asumir esa figura y cómo sostenerla con equipos acotados. En paralelo, cuando sea probable que un tratamiento produzca un alto riesgo para los derechos de los titulares, el artículo 15 ter obliga a realizar una Evaluación de Impacto en Protección de Datos (DPIA) previa al inicio de las operaciones; el blog ya describe ese procedimiento paso a paso.

Con el RAT, el DPO, las DPIA y los DPA resueltos, noviembre queda para el control que amarra todo lo anterior: el Modelo de Prevención de Infracciones. No es obligatorio, pero es la vía que la ley reconoce para que una organización pueda acreditar que actuó con la diligencia debida si ocurre un incidente, y su certificación ante la Agencia toma tiempo de preparar.

Cognitiva explica en qué consiste el programa de cumplimiento y qué evidencia exige antes de solicitar esa certificación.

El siguiente calendario es un ordenamiento propio de Cognitiva: agrupa los seis controles que ya cubre el blog en la secuencia que tiene más sentido operativo, de lo interno a lo externo, según los plazos verificados en la ley y sus artículos transitorios.