Bots y ley de datos
Chatbots y datos personales: diseñar el bot para cumplir la ley
Un bot de atención junta datos personales todos los días: nombres, direcciones, fotos, audios, a veces un diagnóstico. La ley no prohíbe nada de eso. Pide que se decida qué se pide, para qué, dónde queda y cuándo se borra. Así lo resolvemos al construir el bot.
Qué datos recibe un bot, aunque no los pida
El problema de un bot no son solo los campos que pregunta. Es todo lo que la gente le manda por iniciativa propia, porque escribe como si hablara con una persona.
- Identificación: nombre, número de teléfono (en WhatsApp viene siempre), correo, a veces el RUT.
- Ubicación: la dirección para una visita o un despacho, o una ubicación compartida en el mapa.
- Fotos y audios: la fachada de la casa, el auto con la patente, un documento con datos, la voz de la persona.
- Datos sensibles sin querer: un síntoma, un diagnóstico, una situación económica difícil contada para pedir facilidades de pago.
El primer mensaje: aviso y base legal
La Ley 21.719 exige una razón para cada dato (artículos 12 y 13). En un bot que cotiza o agenda, la razón suele ser que la persona pidió el servicio: los datos se tratan para ejecutar medidas precontractuales a su solicitud. Para usarlos después en publicidad hace falta otra base, normalmente su consentimiento.
El deber de información del artículo 14 ter pide tener publicada tu política de tratamiento; como ejemplo, puedes ver cómo escribimos la nuestra. En el bot, eso se traduce en un primer mensaje corto, no en un contrato pegado en el chat.
Cómo lo escribimos
Un saludo que diga tres cosas: que responde un asistente automático, para qué se usarán los datos que la persona entregue y un enlace a la política de privacidad. Avisar que es un bot no está exigido todavía por una ley chilena específica, pero el reglamento europeo de IA lo exige en su artículo 50 y el proyecto de ley de IA apunta a lo mismo.
¿Tu bot ya está funcionando?
Revisamos su primer mensaje, lo que pregunta y cuánto guarda, y te decimos qué cambiar. Escríbenos por WhatsApp.
Pedir menos: el diseño de las preguntas
El principio de proporcionalidad del artículo 3 dice que se tratan solo los datos necesarios para el fin. En un bot eso es una decisión de diseño concreta, pregunta por pregunta:
- Para cotizar basta la comuna, no la dirección exacta. La dirección se pide cuando la persona confirma.
- El RUT se pide solo si vas a emitir una factura o un documento que lo requiere.
- Si una foto sirve para evaluar, el bot pide la foto del problema, no de la persona.
- Cuando alguien cuenta más de lo necesario, el bot no lo repite ni lo copia al resumen que te llega.
Cuánto guardar y cuándo borrar
La ley dice que los datos se conservan solo el tiempo necesario para su fin y después se suprimen o anonimizan. Una conversación de cotización que no terminó en venta no tiene por qué quedar guardada indefinidamente.
Al construir el bot fijamos contigo un plazo por tipo de conversación: consultas que no avanzaron, clientes activos, reclamos. Las fotos y audios se tratan aparte, porque pesan más y suelen tener más información. Lo que pasa a tu CRM o a tu planilla queda allá, con su propio plazo, y se borra del historial del bot.
Datos sensibles: salud, menores, finanzas
Los datos de salud son sensibles y, según el artículo 16 de la ley reformada, su tratamiento requiere consentimiento expreso salvo excepciones. Además, si hay una filtración de datos sensibles, de niños menores de 14 años o financieros, hay que avisar también a las personas afectadas (artículo 14 sexies).
En un centro de salud diseñamos el bot para agendar sin preguntar el motivo de consulta, como lo explicamos en IA para clínicas y salud. En cualquier rubro, si la persona cuenta un dato sensible por su cuenta, el bot no lo guarda en el resumen y deriva a una persona cuando corresponde.
El modelo de IA está en otro país
Casi todos los modelos de IA que responden en un bot funcionan en servidores fuera de Chile. Para la ley eso tiene dos lecturas. Primero, el proveedor del modelo y la plataforma del bot tratan los datos por encargo tuyo, así que solo pueden usarlos para lo que les encargaste (artículo 15 bis). Segundo, enviar datos al extranjero es una transferencia internacional, lícita si el país tiene un nivel adecuado de protección, si hay cláusulas contractuales con salvaguardas o en los otros casos del artículo 27.
En la práctica: usamos planes empresariales cuyas condiciones dicen que no entrenan con tus datos, como las de Anthropic para sus productos comerciales, y revisamos contigo sus términos. La lectura jurídica de esos contratos es de un abogado.
Checklist de diseño de un bot
Lo que revisamos en cada bot que construimos o que nos piden auditar:
- Primer mensaje con aviso de asistente automático y enlace a la política
- Cada pregunta tiene un motivo y se hace solo cuando hace falta
- Plazo de guardado definido por tipo de conversación
- Fotos y audios con su propio plazo de borrado
- Datos sensibles fuera del resumen y derivación a una persona
- Proveedores con plan empresarial y términos revisados
- Un camino para que el cliente pida ver o borrar sus datos
- Acceso al historial solo para quienes lo necesitan
¿Tengo que avisar al cliente que habla con un bot?
Hoy ninguna ley chilena lo exige de forma específica, pero el proyecto de ley de IA apunta a la transparencia y el reglamento europeo ya lo exige. Lo recomendamos siempre: además ordena las expectativas del cliente y ayuda a cumplir el deber de información de la ley de datos.
¿Puedo guardar las fotos que me mandan por WhatsApp?
Sí, mientras sirvan para el fin por el que las mandaron, como evaluar un trabajo o cotizar. Cuando ese fin se cumple, la ley pide borrarlas o anonimizarlas. Conviene definir un plazo y aplicarlo también en el celular o computador donde se descargan.
¿Es legal usar un modelo de IA de Estados Unidos con datos de clientes chilenos?
Puede serlo. Es una transferencia internacional y la Ley 21.719 la permite, por ejemplo, con cláusulas contractuales que den salvaguardas adecuadas. Por eso importan el plan que contratas y sus términos. La revisión jurídica del contrato corresponde a un abogado.
¿Cuánto tiempo puedo guardar las conversaciones?
La ley no fija un número: dice que solo el tiempo necesario para el fin. Lo razonable es distinguir entre consultas que no avanzaron, clientes activos y reclamos, y fijar un plazo para cada una. Otras leyes pueden exigir guardar algunos registros más tiempo.
¿Tu bot ya está funcionando?
Mándanos qué datos pide y dónde los guarda. Te decimos qué ajustar en el aviso, el consentimiento y el proveedor para la Ley 21.719.