Ley de inteligencia artificial en Chile: qué exige el proyecto y qué ya te obliga hoy

Chile todavía no tiene una ley de IA. Y eso no significa que puedas hacer lo que quieras

Es la confusión más cara que vemos hoy en las empresas chilenas. Como no existe una “Ley de Inteligencia Artificial” publicada en el Diario Oficial, muchos gerentes asumen que el tema es futuro y lo dejan para cuando se promulgue. Al mismo tiempo, otros leen los titulares sobre multas millonarias y frenan proyectos que hoy son perfectamente legales.

Las dos lecturas están equivocadas, y por la misma razón: confunden el proyecto de ley con lo que ya te obliga. Este artículo separa una cosa de la otra, con las fuentes a la vista.

La síntesis, si tienes treinta segundos:

• No hay ley de IA vigente.Hay un proyecto en segundo trámite en el Senado.
• Sí hay obligaciones vigentesque se aplican a cómo usas IA hoy: protección de datos personales, ciberseguridad y, si le vendes al Estado, lineamientos que ya aparecen en las bases de licitación.
• El dato que cambia tu plan:la autoridad que fiscalizará la futura ley de IA es la misma que fiscaliza la Ley 21.719 de datos personales. No son dos proyectos de cumplimiento distintos: es uno solo.

Qué es el Boletín 16.821-19 y dónde está parado

El proyecto se llama, literalmente, “Regula los sistemas de inteligencia artificial”. Es un Mensaje del Ejecutivo —no una moción parlamentaria— ingresado a la Cámara de Diputados el 7 de mayo de 2024, y viene firmado por diez ministerios, entre ellos Segpres, Ciencia, Hacienda, Economía, Justicia e Interior. Se tramita refundido con el Boletín 15.869-19.

La Cámara lo despachó el 13 de octubre de 2025mediante el oficio de ley a la Cámara revisora. Desde entonces está en segundo trámite constitucional en el Senado, radicado en la Comisión de Desafíos del Futuro, Ciencia, Tecnología e Innovación.

Un detalle que conviene mirar antes de creerle a los titulares: el movimiento más reciente que registra la ficha oficial de tramitación es del 4 de agosto de 2026, y corresponde a la cuenta del Mensaje 233-374, que retira la urgencia anterior y hace presente una urgencia simple. Varios artículos que circulan siguen hablando de la “urgencia suma” de enero de 2026, que ya fue retirada. La diferencia no es cosmética: la urgencia marca el ritmo con que el Ejecutivo empuja la discusión.

Traducido a decisiones de negocio: esto no se convierte en ley el mes que viene, pero lleva dos años y medio de tramitación y ya pasó una cámara completa. El texto que se discute hoy es lo suficientemente estable como para planificar sobre él.

Las cuatro categorías de riesgo

El proyecto sigue la lógica del reglamento europeo: no regula la tecnología, regula el usoque le das. Clasifica los usos en cuatro niveles, y de esa clasificación cuelga todo lo demás.

• Riesgo inaceptable.Usos incompatibles con el respeto y garantía de los derechos fundamentales. Quedan absolutamente prohibidos.
• Alto riesgo.Sistemas autónomos o componentes de seguridad cuya utilización puede transgredir derechos. Se permiten, pero con obligaciones fuertes.
• Riesgo limitado.Usos con riesgos no significativos de manipulación, engaño o error. Obligaciones básicas, sobre todo de transparencia.
• Sin riesgo evidente.Todo lo demás. Es, en la práctica, donde cae la enorme mayoría del uso empresarial cotidiano.

Entre los usos prohibidosfiguran los sistemas que causan daño físico o psicológico mediante manipulación subliminal, la categorización biométrica y la puntuación social de personas, y la identificación biométrica remota en espacios de acceso público en tiempo real. Durante el primer trámite también se ajustó la lista para incorporar la extracción masiva de imágenes faciales y la evaluación emocional en determinados contextos.

Vale la pena decirlo sin rodeos, porque ahorra reuniones enteras: usar un asistente conversacional para redactar borradores, resumir documentos o responder correos no es un uso de alto riesgo. Lo que escala en la clasificación es decidir sobre personas —a quién contratas, a quién le das crédito, a quién priorizas en una atención— con un sistema automatizado de por medio.

A quién obliga, incluso si el proveedor está afuera

El proyecto no se dirige solo a quien desarrolla modelos. Alcanza a los proveedores que introducen un sistema de IA en el mercado o lo ponen en servicio, a los implementadoresdomiciliados en Chile —es decir, la empresa que simplemente lo usa en su operación—, y a importadores y distribuidores.

Y aquí está el punto que más se pasa por alto: respecto de prestadores ubicados fuera de Chile, la regla se aplica sobre la información de salida generada por el sistema que se utilice en Chile. Contratar una herramienta extranjera no te saca del perímetro. Si su resultado se usa acá, el resultado queda cubierto.

Para los usos de alto riesgo se contemplan obligaciones concretas de monitoreo continuo y de notificación de incidentes dentro de 72 horas. Si ese plazo te suena familiar es porque es el mismo orden de magnitud con el que ya opera la normativa de datos personales y de ciberseguridad: el legislador chileno está estandarizando el reflejo de avisar rápido.

Hay además una obligación transversal de transparencia que afecta a muchísimas empresas de marketing y servicios: todo operador de sistemas de IA que generen contenido sintético de audio, imagen, video o texto deberá velar por que sus salidas sean identificables. Se incorporó, además, una excepción para componentes con licencias libres y código abierto, salvo que medie comercialización.

Cuánto cuesta equivocarse

Las sanciones del proyecto se mueven en un rango de 5.000 a 20.000 UTMsegún la gravedad de la infracción. Con la UTM de agosto de 2026 en $71.649, eso son aproximadamente $358 millones en el piso y $1.433 millones en el techo.

La lógica es la esperable: operar un sistema de uso inaceptable se considera la infracción más grave, e incumplir las reglas de los usos de alto riesgo cae en el tramo de las graves. Durante la tramitación se incorporaron criterios de proporcionalidad para graduar la multa.

Como el proyecto sigue en discusión, estas cifras pueden cambiar antes de la promulgación. Lo que no va a cambiar es el orden de magnitud: está pensado para que a una empresa mediana le duela de verdad.

El dato que debería cambiar tu plan: el fiscalizador ya existe

Si hay una sola cosa que rescatar de este artículo, es esta.

El proyecto no crea una nueva superintendencia de IA. Entrega la fiscalización a la Agencia de Protección de Datos Personales: el mismo organismo que crea la Ley 21.719 y que ya tiene el mandato de fiscalizar el tratamiento de datos personales en Chile. Será ella la que fiscalice el cumplimiento, resuelva los reclamos de las personas afectadas y aplique las sanciones.

Las consecuencias prácticas son grandes y casi nadie las está sacando:

• No son dos proyectos de cumplimiento, es uno.El inventario de sistemas, el registro de tratamientos, las cláusulas con proveedores y la gobernanza que armes para la Ley 21.719 son la base sobre la que se monta lo de IA. Hacerlo dos veces es pagar dos veces.
• El regulador va a llegar con curva de aprendizaje.No empezará desde cero contigo: llegará con criterio formado fiscalizando datos personales, que es donde la IA de verdad roza derechos.
• Tu punto de partida ya está definido.Si hoy no sabes qué datos personales tratas, tampoco vas a poder explicar qué hace tu sistema de IA con ellos. El orden es ese, y no al revés.

Lo que ya te obliga hoy, sin esperar la ley

La Biblioteca del Congreso Nacional publicó en abril de 2026 un informe de Asesoría Técnica Parlamentaria sobre el uso de IA en el Estado chileno cuya conclusión vale la pena citar, porque desarma el discurso del vacío legal: Chile ha optado por un enfoque gradual y sectorial, sustentado en instrumentos de soft law—oficios, códigos de ética y recomendaciones— más que en una regulación legal sistemática.

“Soft law” suena a que no obliga. En la práctica comercial obliga igual, porque entra por otras tres puertas:

1. La Ley 21.719 de datos personales.Si entrenas, ajustas o alimentas un sistema con datos de personas, ya estás regulado. No importa que lo llames IA.

2. La Circular N°711 de MinCiencia y Segpres, de 11 de diciembre de 2023, remitida a 309 organismos del Estado—ministerios, subsecretarías, servicios, el Poder Judicial, ambas cámaras y la propia BCN—. Fija tres lineamientos: IA centrada en las personas, transparencia y explicabilidad, y privacidad y uso de datos. Este último recomienda explícitamente no introducir información personal sensible en herramientas de IA generativa que no hayan sido contratadas por el organismo o desarrolladas por o para él. Si le vendes al Estado, esa frase termina apareciendo en las bases y en las cláusulas que te van a pedir firmar. A esto se suma el Decreto N°12 de MinCiencia, de 28 de enero de 2025, que actualizó la Política Nacional de IA.

3. La transparencia algorítmica.El Consejo para la Transparencia aprobó en agosto de 2024, por Resolución Exenta N°372, recomendaciones sobre sistemas de decisiones automatizadas y semiautomatizadas. Alcanzan a ministerios, gobiernos regionales, municipalidades, Fuerzas Armadas y de Orden y servicios públicos, en la medida en que usen estos sistemas. Y define “sistema de decisión automatizada” de forma deliberadamente amplia: no requiere que haya un modelo de lenguaje, basta con que un algoritmo ayude, asista, apoye o reemplace la toma de decisiones que luego se plasma en un acto administrativo.

En el Poder Judicial, además, la Corte Suprema sancionó en 2025 un Código de Ética cuyo artículo 17 aborda expresamente la responsabilidad en el uso de IA, con una regla que cualquier empresa haría bien en copiar: la tecnología cumple funciones de apoyo, la decisión descansa en la valoración humana, y hay que dejar constancia de cuál fue el rol de la herramienta.

Qué hacer ahora (y qué no)

Cinco pasos que rinden hoy, valen igual si la ley cambia, y no requieren esperar a nadie:

1. Levanta el inventario real. No el que aparece en el presupuesto de TI: el real. Incluye las herramientas que tus equipos contrataron por su cuenta y las funciones con IA que tus proveedores de siempre activaron sin preguntarte. Casi nunca coinciden.

2. Clasifica por decisión, no por tecnología.La pregunta correcta no es “¿esto usa IA?” sino “¿esto decide algo sobre una persona?”. Si la respuesta es sí, ahí está tu alto riesgo, y probablemente también tu exposición bajo la Ley 21.719.

3. Revisa qué sale de tu empresa.Qué datos entran a herramientas de terceros, bajo qué contrato, con qué compromiso de no entrenamiento. Es la brecha más común y la más barata de cerrar.

4. Deja rastro.Quién aprobó el uso, qué revisó un humano antes de que la salida tuviera efecto, qué se hizo cuando el sistema se equivocó. Cuando llegue una fiscalización, la diferencia entre una multa y una observación suele ser exactamente eso.

5. Etiqueta el contenido sintético.Si generas audio, imagen, video o texto para uso comercial, la obligación de que sea identificable ya está escrita en el proyecto. Adoptarla ahora no cuesta nada y te evita rehacer campañas después.

Y tres errores que salen caros:

• Esperar a que se promulgue.Las obligaciones de datos personales y de contratación pública ya corren, y son la mitad del trabajo.
• Prohibir la IA por circular interna.No la elimina, la vuelve invisible: la gente la sigue usando desde su cuenta personal, y ahí sí que no tienes ni contrato ni trazabilidad.
• Tratarlo como un proyecto legal.El abogado redacta la política; quien la hace cumplir es quien conoce los sistemas. Sin la parte técnica queda un documento que nadie puede sostener en una fiscalización.

Nota sobre las fuentes

Este artículo distingue a propósito lo verificado de lo que está en discusión. El estado de tramitación, las fechas, la iniciativa y la urgencia vigente están tomados de la ficha oficial del Boletín 16.821-19 de la Cámara de Diputados. El diagnóstico sobre el enfoque de soft law, la Circular N°711, el Decreto N°12 y la Resolución N°372 provienen del informe de Asesoría Técnica Parlamentaria de la BCN de abril de 2026. Las categorías de riesgo, las obligaciones y el rango de sanciones corresponden al texto en discusión y pueden modificarse durante el segundo trámite: son la mejor lectura disponible hoy, no una ley vigente.

Cuando el proyecto avance, actualizaremos este artículo. Si algo cambia de forma relevante para tu operación, es preferible que te enteres por nosotros y no por una notificación.

En resumen

Chile no tiene todavía una ley de inteligencia artificial, pero tiene un proyecto avanzado, un fiscalizador ya definido —la Agencia de Protección de Datos Personales— y un conjunto de obligaciones que hoy ya te alcanzan por la vía de los datos personales, la ciberseguridad y la contratación pública.

La buena noticia es que el trabajo no se duplica: quien ordena hoy su cumplimiento de la Ley 21.719 está construyendo, sin costo adicional, la base de lo que la ley de IA le va a exigir mañana.

Si necesitas levantar el inventario de sistemas, clasificar tus usos por riesgo, revisar los contratos con tus proveedores de IA o dejar la trazabilidad que una fiscalización va a pedirte, es exactamente lo que hacemos. Diagnóstico, implementación y acompañamiento — con criterio técnico y sin intermediarios.