Multas hasta 20.000 UTM en Ley 21.719: los 12 controles mínimos para tu empresa
Tabla de los 3 tramos de sanciones de la Ley 21.719 con equivalente CLP y los 12 controles mínimos agrupados que toda empresa chilena necesita antes del 1 de diciembre de 2026.
La Ley 21.719 entra en vigor el 1 de diciembre de 2026 con un régimen sancionatorio que escala desde 100 UTM en infracciones leves hasta 20.000 UTM o el 4% de los ingresos anuales en infracciones gravísimas. Para una empresa chilena con facturación anual de USD 5 millones, el techo de sanción es del orden de USD 200.000. La pregunta no es "si quiero cumplir" sino "qué tengo que tener listo el 30 de noviembre". Este artículo entrega los 12 controles mínimos que recomendamos en Cognitiva: tres por área (gobernanza, legal, técnico-operativo, personas), agrupados como roadmap accionable. Es la versión condensada del cornerstone de 90 días, optimizada para la conversación con el directorio.
Los 3 tramos de sanciones
La Ley 21.719 establece tres tramos según la gravedad de la infracción. Las cifras se expresan en UTM (Unidad Tributaria Mensual), valor que se actualiza mensualmente. Equivalente CLP usado para referencia: UTM ≈ CLP 73.050 (junio 2026); verificar valor vigente al momento de calcular exposición real.
| Tramo | Sanción máxima (UTM) | Equivalente CLP referencial | Ejemplos típicos |
|---|---|---|---|
| Leve | 100 UTM | ~CLP 7,3 millones | No mantener registro de actividades, demora en responder solicitud de titular dentro de plazos formales |
| Grave | 10.000 UTM | ~CLP 730 millones | Transferencia internacional sin garantías, tratamiento sin base de licitud, falta de DPIA cuando es obligatoria |
| Gravísima | 20.000 UTM o 4% ingresos anuales (el mayor) | ~CLP 1.460 millones o 4% facturación | Brecha de seguridad no notificada, tratamiento de datos sensibles sin consentimiento, decisiones automatizadas que violan derechos |
Adicional: la Agencia de Protección de Datos Personales puede ordenar suspensión o cesación del tratamiento, y publicar las sanciones. El costo reputacional suele superar al monetario.
Cómo se determina el tramo
El proyecto establece criterios graduados para determinar la sanción aplicable:
- Naturaleza y gravedad de la infracción (cuántos titulares afectados, qué categoría de datos, qué derechos vulnerados).
- Conducta del infractor: dolo, culpa, conducta reiterada.
- Beneficio obtenido por la infracción.
- Adopción de medidas para evitar o mitigar el daño.
- Cooperación con la Agencia.
- Tamaño del responsable y volumen de tratamientos.
Implicación operativa: contar con controles documentados, formales y auditables baja sustancialmente el tramo aplicable aun cuando ocurra una infracción. La diferencia entre tramo grave y leve puede ser de 100x en monto.
Los 12 controles mínimos — bloque Gobernanza
Tres controles de gobernanza sostienen todo lo demás:
- Comité de gobernanza de datos / IA con representantes de TI, legal, operaciones y al menos un patrocinador del C-level. Reuniones mensuales con acta.
- Definir formalmente quién responde por la protección de datos en la organización. Precisión legal: la Ley 21.719 no obliga a designar un delegado de protección de datos; el artículo 50 dice que el responsable de datos "podrá" designarlo. Solo pasa a ser obligatorio como elemento mínimo de un modelo de prevención de infracciones, cuya adopción el artículo 49 califica de voluntaria. Va en esta lista como control de gestión, no como exigencia legal.
- Política interna de protección de datos personales y uso de IA generativa publicada, comunicada y firmada por todo el staff.
Los 12 controles mínimos — bloque Legal y contractual
- DPAs (Data Processing Agreements) revisados con cada proveedor que procese datos personales por cuenta de la empresa: jurisdicción declarada, retención configurada, sub-procesadores documentados.
- Registro de actividades de tratamiento actualizado, con base de licitud declarada (consentimiento, contrato, interés legítimo, obligación legal) para cada tratamiento.
- Procedimiento documentado para atender derechos del titular (acceso, rectificación, oposición, cancelación, portabilidad, oposición a decisiones automatizadas) en plazos legales.
Los 12 controles mínimos — bloque Técnico-operativo
- Logging y trazabilidad de accesos a datos personales y de inputs/outputs en sistemas IA de alto riesgo. Sin logs, no hay auditoría posible.
- Mecanismo de supervisión humana documentado para todas las decisiones automatizadas sobre personas (scoring, contratación, pricing).
- Procedimiento de gestión de incidentes y notificación de brechas en 72 horas a la Agencia, alineado al estándar internacional.
Los 12 controles mínimos — bloque Personas y cultura
- Capacitación básica en protección de datos y AI literacy para todo el staff (mínimo 2 horas, anualmente, con registro de asistencia).
- Capacitación específica para áreas que tratan datos sensibles o operan sistemas de alto riesgo (RRHH, finanzas, riesgo, atención al cliente).
- Canal interno de reporte de incidentes y consultas, con confidencialidad documentada y respuesta en plazos predefinidos.
Plan de prioridad cuando hay menos de 90 días
Si el calendario aprieta, este es el orden de prioridad que aplicamos:
- Definir quién responde por la protección de datos: decisión interna, sin costo y sin trámite. La ley no la exige, pero ordena todo lo que sigue.
- Inventario de tratamientos y revisión de DPAs críticos (1-2 semanas).
- Política interna publicada y comunicada (2-3 semanas).
- Procedimiento de incidentes y notificación de brechas (1 semana).
- Capacitación masiva del staff (2 semanas, en formato breve).
- Lo demás: programa continuo postvigencia.
Quien empiece programa el 1 de diciembre llegará tarde a la fiscalización. La Agencia tendrá facultades desde el primer día.
Errores típicos que detectan auditorías
Estos cinco errores aparecen una y otra vez en diagnósticos previos:
- Inventario de tratamientos incompleto: omite SaaS con IA embebida (HubSpot, Microsoft 365 Copilot, Notion AI) o shadow IT del staff.
- DPA del proveedor no revisado: se firma como aparece sin verificar jurisdicción, retención ni sub-procesadores.
- Capacitación "una vez al año" sin refuerzo: el staff olvida en 3 meses; sin evaluación formal, no hay evidencia.
- Procedimiento de derechos del titular existe en papel pero ningún incidente real probó el sistema: cuando llega el primer requerimiento, el equipo improvisa.
- Logging activado pero sin retención auditada ni alertas: se loggea todo pero nadie revisa hasta que ocurre algo.
El programa de cumplimiento es tan bueno como las pruebas que se hacen sobre él. Recomendamos al menos un simulacro anual de brecha + dos requerimientos de titular reales (o ficticios pero formales) por semestre.
Los 12 controles mínimos — implementación en bloques
Cuatro bloques de tres controles cada uno, ordenados para implementación gradual: gobernanza, legal, técnico-operativo y personas.
- Bloque 1
Gobernanza
Definir quién decide, quién es responsable y qué reglas aplican.
- Constituir Comité de Gobernanza con C-level + TI + Legal + Operaciones
- Definir formalmente quién responde por la protección de datos
- Publicar política de protección de datos y uso de IA generativa
- Bloque 2
Legal y contractual
Asegurar la base contractual del tratamiento.
- Revisar y actualizar DPAs con proveedores
- Mantener registro de actividades de tratamiento al día
- Implementar procedimiento de atención de derechos del titular
- Bloque 3
Técnico-operativo
Habilitar controles técnicos auditables.
- Activar logging y trazabilidad de accesos y sistemas IA
- Documentar supervisión humana en decisiones automatizadas
- Configurar gestión de incidentes y notificación de brechas en 72h
- Bloque 4
Personas y cultura
Sostener el programa con capacitación y canales.
- Capacitación básica anual con registro de asistencia
- Capacitación específica para áreas de alto riesgo
- Habilitar canal interno de reporte con confidencialidad
Preguntas frecuentes
Referencias
- Ley N° 21.719 — Regula la protección y el tratamiento de los datos personales y crea la Agencia de Protección de Datos PersonalesBiblioteca del Congreso Nacional de Chile, diciembre de 2024
- Ley N° 19.628 sobre protección de la vida privada — texto refundido que rige desde el 1 de diciembre de 2026Biblioteca del Congreso Nacional de Chile, versión al 1-12-2026
Artículos relacionados
Ley IA Chile + Ley 21.719: guía operativa de 90 días para gerentes
Plan de 90 días para gerentes chilenos: comité de gobernanza, política de uso de IA generativa y DPIA antes de la entrada en vigor de la Ley 21.719.
22 de junio de 2026 · 24 min de lecturaLeer artículoCumplimientoSistemas IA de alto riesgo en Chile: árbol de decisión para tu empresa
Árbol de decisión en 5 preguntas para clasificar tus sistemas de IA según los 4 niveles del Proyecto de Ley de IA chileno. Con casos por industria y obligaciones por nivel.
22 de junio de 2026 · 10 min de lecturaLeer artículoStack técnicoEl stack 2026 para agentes IA: Vercel AI SDK, Claude, n8n y MCP
Arquitectura defendible para agentes IA empresariales en Chile y LATAM: por qué este stack, qué hace cada pieza, dónde rompe y cómo lo construimos en clientes reales.
22 de junio de 2026 · 22 min de lecturaLeer artículoVerticales chilenasIA en plantas pesqueras chilenas: trazabilidad y eficiencia del mar a la exportación
La industria pesquera chilena acumuló US$7.664 millones en exportaciones a octubre de 2025. Los líderes ya implementan visión computacional y plataformas SAP. Este artículo presenta los casos verificados y un framework de tres pasos para que una planta mediana evalúe dónde aplicar IA primero.
24 de junio de 2026 · 10 min de lecturaLeer artículoCumplimientoDerechos ARCOP en la Ley 21.719: cómo debe responder tu empresa
El artículo 11 de la Ley 21.719 fija el procedimiento que toda empresa debe seguir ante una solicitud de derechos ARCOP: canal de recepción, verificación de identidad, un plazo de 30 días corridos para responder y las causales válidas de denegación.
30 de julio de 2026 · 15 min de lecturaLeer artículoStack técnicoIA privada on-premise en Chile: modelos pequeños (SLM) para datos sensibles
Cómo usar SLM —Phi, Gemma, Qwen, Llama— en tu propia infraestructura para procesar datos sensibles sin enviarlos a la nube, con soberanía de datos, cumplimiento de la Ley 21.719 y costo predecible.
30 de junio de 2026 · 10 min de lecturaLeer artículoDa el siguiente paso
Hablemos
Cuéntanos qué tienes que resolver. Respondemos dentro de un día hábil.
Otros canales
Escríbenos por WhatsApp o solicita una evaluación de tu operación.