El Comité de Tecnología e Innovación de CICMEX (Cámara de Integración Chileno Mexicana A.G.) realizó el 27 de agosto el encuentro «Del riesgo a la ventaja competitiva: Data Privacy y Gobernanza de IA», en modalidad híbrida y con Aurys Consulting como anfitrión del formato presencial. La actividad contó con la participación de Verónica Onetto, CTO de BRANDLEX, y Diego Acuña, CEO de BRANDLEX, y tuvo como objetivo trasladar la experiencia regulatoria europea en materia de datos personales e inteligencia artificial a la realidad de las empresas que operan en Chile y México.
La pregunta con la que abrimos
El encuentro comenzó con la pregunta incómoda, la misma que probablemente se hicieron varios de los asistentes al inscribirse: ¿para qué hablar de gobernanza de datos e inteligencia artificial ahora, si en Chile el proyecto de ley de IA se está reescribiendo y la Ley 21.719 recién entra en plena vigencia en diciembre?
Lo que respondió la sala
Pedimos a los asistentes calificar dos afirmaciones, en una escala de «muy en desacuerdo» a «muy de acuerdo».
A la primera, «gobernanza de datos e IA es prioridad para mi empresa hoy», el promedio de la sala fue: de acuerdo.
A la segunda, «mi empresa está preparada para demostrarlo si mañana se lo piden», el promedio se detuvo exactamente en: neutral. Neutral. Sobre su propia empresa. No es un no: es un «no me consta».
La segunda medición fue más concreta. Preguntamos: si mañana un cliente o la Agencia de Protección de Datos Personales te pregunta qué datos entraron a una decisión y quién la validó, ¿podrías responder? De los diez asistentes que respondieron, seis dijeron que no, o que no lo sabían.
El patrón se repite en ambas mediciones. El problema no es que las empresas no puedan responder. Es que no saben si podrían.
Europa como espejo
La primera parte del encuentro revisó la experiencia europea como referencia, con el cronograma real de aplicación del Reglamento Europeo de Inteligencia Artificial: la alfabetización en IA y las prácticas prohibidas exigibles desde febrero de 2025, y las obligaciones de transparencia plenamente vigentes desde el 2 de agosto de 2026.
Un punto que suele malinterpretarse: el Digital Omnibus aplazó las obligaciones de alto riesgo del Anexo III a diciembre de 2027, pero eso no significa que el estándar europeo haya bajado. La transparencia rige sin cambios, y en paralelo la Oficina Europea de Inteligencia Artificial quedó con más facultades de fiscalización que antes, no menos.
Se revisaron también casos concretos de fiscalización y sanción. Entre ellos, la multa de 10,04 millones de euros aplicada a Aena por el uso de reconocimiento facial en el embarque sin una evaluación de impacto válida.
El hilo común de esos casos merece atención: ninguna de las sanciones revisadas se habría evitado leyendo mejor el reglamento. Se habrían evitado con alguien dentro de la organización haciendo la pregunta incómoda a tiempo. Los riesgos no nacieron del desconocimiento normativo, sino de decisiones operativamente razonables —agilizar un embarque, evitar fraude en un examen, controlar la asistencia— cuyo impacto nadie evaluó oportunamente.
Lo que ya rige en Chile, hoy
Mientras se discute el calendario legislativo, existen normativas chilenas que ya establecen exigencias concretas en materia de gobernanza y protección de datos:
La Ley 21.663 de Ciberseguridad y su Decreto 295 rigen desde marzo de 2025. Si la empresa califica como prestador de servicios esenciales u operador de importancia vital, tiene 3 horas para entregar la alerta temprana ante un incidente de ciberseguridad, con plazos posteriores escalonados y sanciones asociadas al incumplimiento.
La Ley Fintec 21.521 y la normativa de la CMF sobre finanzas abiertas ya definen las exigencias de consentimiento, seguridad y trazabilidad que regirán el intercambio de datos financieros.
Y para quienes ofrecen servicios a clientes en Europa, el RGPD ya aplica de forma extraterritorial, con independencia de lo que ocurra con la legislación local.
Chile y México: el estado del arte
En el caso chileno se revisó el tránsito hacia la Ley 21.719, cuya plena vigencia está prevista para el 1 de diciembre de 2026, con un régimen sancionatorio que llega a 20.000 UTM y, para grandes empresas, a un porcentaje de los ingresos. Se abordó también el estado del proyecto de ley de inteligencia artificial, aprobado por la Cámara de Diputados y actualmente en proceso de reformulación, y la situación institucional de la Agencia de Protección de Datos Personales, que a la fecha del encuentro aún no contaba con su Consejo Directivo instalado.
En el caso mexicano se revisó la ausencia de una ley general de inteligencia artificial y el impulso legislativo iniciado en el Senado, junto con las implicancias para empresas con operación binacional.
De costo defensivo a activo comercial
Uno de los mensajes centrales del encuentro fue la necesidad de comenzar a entender el cumplimiento regulatorio como un activo comercial y no únicamente como un costo defensivo. En un escenario donde los clientes corporativos incorporan cada vez más procesos de due diligence sobre datos e inteligencia artificial antes de contratar, contar con una gobernanza bien construida se transforma en un elemento de confianza y diferenciación.
La conclusión de la jornada fue directa: las obligaciones no esperan a que toda la institucionalidad esté implementada. Y la pregunta correcta para las empresas no es cuándo se les va a exigir, sino qué decisiones están tomando hoy con datos e inteligencia artificial que no sabrían defender mañana, ni ante un regulador, ni ante un cliente, ni ante la persona cuyos datos utilizaron.
Si te perdiste el webinar: Te lo dejamos AQUÍ