Política de IA para empresas en Chile: qué debe decir la tuya antes de que te la exija la ley

En Chile ya casi nadie discute si usar inteligencia artificial. El estudio SONDA Tech Trends de agosto de 2026 encontró que el 88% de las empresas tiene algún grado de interacción con IA. Lo que sigue pendiente es otra cosa: quién decide cómo se usa.

Los estudios publicados este año apuntan todos al mismo lugar:

82% de las empresas no tiene políticas éticas de uso de IA y 85% no cuenta con un comité o instancia formal que la gobierne, según el Índice de Transformación Digital en IA 2026 de CORFO, la Cámara de Comercio de Santiago y PMG Chile, que encuestó a 740 empresas. Gobernanza es la dimensión peor evaluada del índice: 27 puntos sobre 100.
53% tiene solo lineamientos generales sobre el uso de IA, de acuerdo con el mismo estudio de SONDA.
Solo 9% cuenta con un marco ético formal y 67% no tiene una estructura para identificar sus propios riesgos de IA, según el informe 2026 del Consejo de IA en el Trabajo.
En pymes y startups, el estudio Agentic AI de Endeavor Research e IAméricas (418 organizaciones, 300 de ellas chilenas) calificó con 1,76 sobre 5 la existencia de políticas escritas con un responsable claro. Fue la nota más baja de toda la evaluación. La más alta, 3,56, fue el compromiso declarado con el uso responsable.

Ese último contraste resume el problema. Las empresas saben lo que deberían hacer y no lo han escrito. Mientras tanto la gente usa IA igual, muchas veces con cuentas personales y sin que nadie sepa qué información está saliendo.

El costo de ese vacío ya está medido. En la edición 2025 del informe Cost of a Data Breach de IBM, una de cada cinco organizaciones reportó una brecha de datos originada en IA usada sin autorización, y las que tenían mucho uso de ese tipo pagaron en promedio US$670.000 más por incidente. El 63% de las organizaciones afectadas no tenía una política de gobernanza de IA o todavía la estaba escribiendo.

Qué es una política de IA (y qué no)

No es una prohibición ni un documento legal de cuarenta páginas. Prohibir no funciona: empuja el uso hacia cuentas personales, justo donde no puedes verlo. Y un documento que nadie lee no cambia ninguna conducta.

Una política de IA útil cabe en dos o tres páginas y responde cinco preguntas que hoy cada persona de tu empresa está resolviendo por su cuenta:

¿Qué herramientas puedo usar?
¿Qué información puedo entregarles?
¿Qué puede decidir la IA sola y qué requiere a una persona?
¿Quién responde por cada uso?
¿Qué hago cuando algo sale mal?

La regulación: las fechas se mueven, la dirección no

Hay tres frentes que conviene tener a la vista. Los tres cambiaron de calendario en el último año.

Ley 21.719 de protección de datos personales

Es la norma que más afecta el uso de IA en Chile, porque casi todo sistema útil termina tocando datos de personas. Se publicó en diciembre de 2024 y su entrada en vigencia está fijada para el 1 de diciembre de 2026. A comienzos de septiembre el Gobierno ingresó un proyecto (boletín 18.623-07) para postergarla un año, hasta el 1 de diciembre de 2027. En el Senado hay quienes proponen acotar la prórroga a seis meses o aplicarla por etapas. A comienzos de octubre el proyecto seguía en su primer trámite y sin votación, de modo que la fecha legal vigente sigue siendo diciembre de 2026.

Para efectos de IA, el artículo clave es el 8 bis. Toda persona tiene derecho a oponerse y a no ser objeto de decisiones basadas en el tratamiento automatizado de sus datos, incluida la elaboración de perfiles, cuando esas decisiones produzcan efectos jurídicos o la afecten significativamente. Hay excepciones (un contrato, el consentimiento previo y expreso, o una ley), pero incluso en esos casos la empresa debe garantizar información y transparencia, una explicación, intervención humana, la posibilidad de expresar el propio punto de vista y la revisión de la decisión. Las multas llegan a 20.000 UTM en las infracciones gravísimas.

En la práctica: si tu sistema aprueba créditos, filtra postulantes, fija precios según un perfil o prioriza a quién se le cobra primero, necesitas poder explicar la decisión y tener a una persona disponible para revisarla.

Proyecto de ley de inteligencia artificial

El proyecto que regula los sistemas de IA (boletines 15869-19 y 16821-19, refundidos) fue despachado por la Cámara en octubre de 2025 y está en segundo trámite en el Senado, en la Comisión de Desafíos del Futuro. Clasifica los usos en cuatro categorías: riesgo inaceptable, alto riesgo, riesgo limitado y sin riesgo evidente. A todos los operadores les exige principios como supervisión humana, seguridad técnica, protección de datos y transparencia. Contempla sanciones de entre 5.000 y 20.000 UTM y entrega la fiscalización a la Agencia de Protección de Datos Personales. No tiene fecha de aprobación.

AI Act europeo

Importa por dos razones. El proyecto chileno sigue su lógica de riesgo, y la norma alcanza a empresas fuera de la Unión Europea cuando el resultado del sistema se usa allá. En julio de 2026 entró en vigor el paquete conocido como Digital Omnibus, que movió las obligaciones para sistemas de alto riesgo desde agosto de 2026 a diciembre de 2027, y a agosto de 2028 para los integrados en productos regulados. Las obligaciones de transparencia, como avisar que se está hablando con una IA o marcar el contenido sintético, sí comenzaron a regir en agosto de 2026.

La lectura práctica es la misma en los tres casos. Los plazos se están corriendo, pero ninguna de estas normas ha cambiado lo que pide: saber qué sistemas usas, con qué datos, quién responde, y poder explicar las decisiones que afectan a personas. Una política escrita hoy con ese estándar sirve bajo cualquier calendario. Esperar la fecha definitiva solo acorta el tiempo para implementarla.

Los siete bloques de una política de IA que funciona

1. Herramientas aprobadas

Una lista corta y concreta de qué se puede usar y con qué tipo de cuenta. La cuenta corporativa y la cuenta personal de un mismo producto no son equivalentes: cambian las condiciones de retención, de entrenamiento con tus datos y de administración. Incluye también el camino para pedir una herramienta nueva, con un plazo de respuesta. Si aprobar algo toma dos meses, la gente no va a esperar.

2. Clasificación de datos

Es el bloque que más riesgo elimina. Cuatro niveles bastan:

Público: puede usarse en cualquier herramienta aprobada.
Interno: solo en herramientas aprobadas y con cuenta corporativa.
Confidencial (clientes, contratos, finanzas, código): solo en herramientas con un contrato que excluya el entrenamiento con tus datos y defina retención y ubicación.
Personal y sensible (salud, biometría, menores de edad, situación financiera): solo en casos de uso aprobados uno a uno y con base legal identificada.

3. Niveles de autonomía

No todo uso de IA pesa lo mismo. La política debe decir qué puede hacer la IA sola y qué no.

Nivel	Qué hace la IA	Regla
Asiste	Redacta, resume, busca, traduce	La persona revisa y se hace responsable del resultado
Recomienda	Propone una decisión y muestra su evidencia	Decide una persona y queda registro de lo resuelto
Decide	Ejecuta sin intervención	Solo en decisiones reversibles y de bajo impacto. Si afecta a personas, debe existir explicación y revisión humana

4. Responsables

Cada caso de uso tiene un dueño con nombre y apellido. Y alguien, una persona o un comité pequeño, aprueba los casos nuevos de los niveles «recomienda» y «decide». Es exactamente lo que el estudio de Endeavor encontró más ausente.

5. Transparencia

Cuándo se le avisa a un cliente, postulante o trabajador que está interactuando con una IA, o que una decisión sobre él se apoyó en una. Definirlo antes evita improvisarlo frente a un reclamo.

6. Proveedores

Qué debe decir un contrato antes de conectar una herramienta a tus datos: que no entrena modelos con tu información, dónde se almacena, cuánto tiempo se retiene, qué subcontratistas intervienen y cómo recuperas o eliminas todo al terminar. Si el proveedor no puede responder eso por escrito, la herramienta no entra.

7. Incidentes, revisión y formación

Un canal simple para reportar errores, como un dato que no debía salir o una respuesta falsa enviada a un cliente, sin castigo por avisar. Una revisión trimestral de la lista de herramientas y de los casos de uso. Y una capacitación breve para todos: una política que nadie conoce equivale a no tener ninguna.

Si necesitas un marco más formal, porque te lo pide un cliente o el directorio, los dos estándares de referencia son el AI Risk Management Framework del NIST y la norma ISO/IEC 42001 de sistemas de gestión de IA. Una política de tres páginas es el primer paso hacia cualquiera de los dos.

Cómo escribirla en 30 días

Semana 1: inventario. Pregunta qué se está usando de verdad, con la garantía de que nadie será sancionado por responder. Vas a encontrar más de lo que esperas.
Semana 2: clasificación. Ordena los datos en los cuatro niveles y los casos de uso en los tres niveles de autonomía. Marca los que deciden sobre personas.
Semana 3: redacción. Dos o tres páginas en lenguaje de trabajo, con la lista de herramientas aprobadas como anexo, para poder actualizarla sin reescribir el documento.
Semana 4: puesta en marcha. Aprobación de la gerencia, una sesión de una hora con cada equipo y fecha fijada para la primera revisión.

Cinco errores frecuentes

Prohibirlo todo. El uso no desaparece; se vuelve invisible.
Copiar una plantilla. Una política que no menciona tus herramientas ni tus datos no orienta a nadie.
Dejársela solo al área legal o solo a TI. Sale mejor cuando la escriben juntos quienes conocen el riesgo y quienes conocen el trabajo.
No nombrar responsables. Sin dueño, cada caso de uso queda huérfano al primer problema.
Escribirla una sola vez. Las herramientas cambian cada trimestre y la política tiene que cambiar con ellas.

Una política es un sistema de decisión

El índice de CORFO y la CCS describe la gobernanza como “la oportunidad de menor costo y mayor impacto inmediato” para las empresas chilenas. Estamos de acuerdo. No requiere comprar nada: requiere decidir.

Una política de IA define quién decide qué, con qué información y bajo qué control. Es lo que permite que tus datos sigan siendo tuyos y que las decisiones de tu empresa sigan siendo de tu empresa, sin importar qué modelo esté detrás.

Si quieres revisar la política de tu empresa o partir desde cero, conversemos.

Este artículo es informativo y no constituye asesoría legal. El estado de los proyectos de ley citados corresponde a la información disponible a comienzos de octubre de 2026; conviene revisar su tramitación antes de tomar decisiones.