No toda automatización es una decisión automatizada
Una empresa puede usar un programa para ordenar postulaciones, detectar operaciones inusuales, recomendar contenidos o priorizar solicitudes. Eso no significa, por sí solo, que cada resultado sea una decisión individual automatizada. La pregunta institucional es otra: ¿el sistema toma o influye de manera relevante en una decisión sobre una persona, usando datos personales y sin una revisión real?
La Ley N° 21.719 llama elaboración de perfiles al tratamiento automatizado que evalúa, analiza o predice aspectos de una persona natural. Puede referirse a su situación económica, preferencias, fiabilidad, comportamiento, ubicación o rendimiento profesional. El riesgo no está en la palabra inteligencia artificial. Está en usar una clasificación para producir consecuencias que la persona no puede entender ni discutir.
Por eso conviene separar dos inventarios. El primero reúne las automatizaciones que ayudan a trabajar. El segundo identifica las que asignan un puntaje, clasifican, rechazan, priorizan o activan una medida respecto de una persona. En el segundo grupo el estándar de revisión debe ser mayor.
Qué protege la ley
El artículo 8 bis de la Ley N° 21.719 reconoce al titular el derecho a oponerse y a no quedar sujeto a una decisión basada en tratamiento automatizado, incluida la elaboración de perfiles, cuando produzca efectos jurídicos o le afecte significativamente. La regla no equivale a una prohibición general de automatizar. La ley contempla excepciones cuando la decisión es necesaria para celebrar o ejecutar un contrato, cuando existe consentimiento previo y expreso o cuando una ley la autoriza con salvaguardas.
Incluso en esas excepciones la empresa no queda liberada de cuidar los derechos de la persona. Debe asegurar información y transparencia, una explicación, la posibilidad de intervención humana, que la persona exponga su punto de vista y que solicite revisión de la decisión. La revisión no puede ser un botón decorativo: alguien debe tener facultades y antecedentes suficientes para reconsiderar el resultado.
La primera pregunta para la gerencia no es qué proveedor vende el sistema. Es qué efecto tiene el resultado. Una recomendación interna que un trabajador puede corregir no tiene el mismo peso que una decisión que cambia el acceso a un producto, un servicio, una evaluación o una condición contractual.
La explicación comienza antes de la decisión
El deber de información y transparencia exige que la organización mantenga disponible, entre otros elementos, la existencia de decisiones automatizadas y de perfiles, información significativa sobre la lógica aplicada y las consecuencias previstas para el titular. Esto obliga a abandonar la explicación vaga de que el sistema “analiza muchos datos”. Esa frase no permite comprender nada.
Una explicación útil debe identificar qué datos entran, para qué se usan, qué patrón se busca, qué salida produce el sistema y qué ocurre después. No es necesario publicar el código fuente ni exponer secretos comerciales. Sí es necesario poder explicar el funcionamiento relevante en un lenguaje que una persona pueda entender y que un responsable interno pueda auditar.
La transparencia también debe coincidir con la práctica. Si la política dice que un resultado es solo orientativo, pero en la operación nadie se aparta del puntaje, existe una decisión de hecho. La documentación debe reflejar quién puede apartarse, en qué casos, con qué razones y cómo se registra ese control.
Cuándo aparece la evaluación de impacto
La Ley N° 21.719 exige una evaluación de impacto antes de iniciar un tratamiento que probablemente produzca un alto riesgo para los derechos de los titulares. Entre los casos en que siempre se requiere está la evaluación sistemática y exhaustiva de aspectos personales basada en decisiones automatizadas o perfiles que produzcan efectos jurídicos significativos. También se incluye el tratamiento masivo o a gran escala.
Eso conecta este tema con la evaluación de impacto en protección de datos, pero el ángulo aquí es distinto: no basta con preguntar si hay muchos datos. Hay que revisar qué decisión se toma y qué margen queda para la persona afectada.
La evaluación debe dejar una huella comprensible: finalidad, necesidad, proporcionalidad, riesgos y medidas de mitigación. Si el resultado muestra que el sistema no es necesario o que el riesgo no puede reducirse razonablemente, la empresa debe revisar el diseño antes de ponerlo en producción. Esa conclusión puede significar limitar el uso, incorporar controles o no desplegar ese caso de uso.
Un checklist para la organización
Antes de contratar o activar una herramienta, el equipo responsable debiera responder por escrito al menos estas preguntas:
- ¿Qué decisión o recomendación produce y a qué personas puede afectar?
- ¿Qué datos usa, de dónde vienen y cuánto tiempo se conservan?
- ¿Existe una explicación comprensible de la lógica relevante?
- ¿Qué errores, sesgos o resultados inesperados se han probado?
- ¿Quién puede intervenir, corregir o revisar el resultado?
- ¿Qué canal recibe la solicitud de revisión y qué plazo interno se aplicará?
- ¿El proveedor trata datos por cuenta de la empresa o los reutiliza para otros fines?
La última pregunta enlaza con la revisión de contratos con encargados de tratamiento y, si los datos salen de Chile, con las transferencias internacionales. El proveedor no reemplaza la responsabilidad de la organización: puede entregar documentación, pero la decisión de usar el sistema y controlar sus efectos sigue siendo empresarial.
El control debe vivir en la operación
Una política aislada no resuelve una decisión automatizada. Hace falta asignar un responsable, definir la revisión antes del lanzamiento y programar controles después. La calidad del modelo puede cambiar cuando cambian los datos, el mercado o el comportamiento de las personas. Por eso conviene conservar versiones, registrar incidentes y revisar si los resultados siguen siendo coherentes con la finalidad declarada.
También conviene probar el camino de una persona que reclama. ¿Puede explicar qué ocurrió? ¿Puede acceder a sus datos y a la información significativa sobre la lógica? ¿Hay una persona con autoridad para revisar, o solo un equipo que repite el resultado del sistema? El derecho a la intervención humana se vuelve real recién cuando la organización puede responder esas preguntas sin improvisar.
La automatización puede ahorrar tiempo, pero no elimina la responsabilidad institucional. Para la gerencia, el trabajo previo consiste en saber dónde el sistema decide, qué explicación se entrega y quién puede corregir. Esa preparación permite llegar al 1 de diciembre de 2026 con un proceso controlable, no solo con una herramienta instalada.
Preguntas frecuentes
¿La Ley N° 21.719 prohíbe usar inteligencia artificial?
No. Regula los efectos del tratamiento de datos personales y las decisiones automatizadas. El análisis debe centrarse en la finalidad, el impacto sobre personas, la información entregada y las salvaguardas disponibles.
¿Toda herramienta que ordena datos requiere evaluación de impacto?
No necesariamente. La evaluación procede cuando el tratamiento probablemente implique un alto riesgo y siempre en los supuestos que la ley indica, entre ellos ciertas decisiones automatizadas con efectos jurídicos significativos y los tratamientos masivos o a gran escala.
¿Qué debe hacer la empresa si el sistema se equivoca?
Debe contar con un canal de revisión, una intervención humana efectiva y un registro que permita reconstruir la decisión. El procedimiento concreto dependerá de la finalidad, los datos usados y el efecto producido.
Donde comprobarlo
Este artículo se apoya en fuentes oficiales. Si quiere revisar el texto original:
Este artículo fue preparado por HM Legal a partir de fuentes oficiales, pero es información general y no constituye asesoría legal para un caso concreto. HM Legal es un estudio jurídico privado y no tiene relación con la Policía de Investigaciones, el Ministerio Público ni la Agencia Nacional de Ciberseguridad.