Hace unas semanas me tocó ver una escena que se repite en muchas empresas. Un equipo de tecnología propuso usar inteligencia artificial para monitorear accesos a datos y generar registros automáticos de cumplimiento. El abogado de la compañía frenó el proyecto por los riesgos de la IA. Sobre su escritorio estaba, impreso y subrayado, el memo sobre la Ley 21.719 de Protección de Datos Personales, cuya plena vigencia está fijada para el 1 de diciembre, con multas de hasta 20.000 UTM que, en caso de reincidencia grave, pueden llegar al 4% de los ingresos anuales. El responsable del cumplimiento estaba bloqueando la herramienta que le permitiría cumplir.
Entiendo su dilema: si la herramienta falla, responde él; si la empresa incumple, también. Pero está mirando el problema con el lente equivocado. Todo el aparato tradicional de cumplimiento produce fotos. La auditoría anual es una foto. El pentest de ciberseguridad, otra. Hasta el certificado enmarcado en la recepción lo es. Todas fueron verdaderas el día en que se tomaron y todas envejecen al día siguiente. La ley que viene no pide fotos. Exige demostrar, con evidencia fechada, quién accedió a qué dato, cuándo y bajo qué control. Eso es una película que corre todos los días, incluidos los feriados. Y no es la única cámara encendida: la Ley Marco de Ciberseguridad ya opera y obliga a reportar incidentes significativos en cuestión de horas.
Esta película no es un estreno. España la exhibe hace más de tres décadas con su agencia de protección de datos, Perú y Colombia tienen autoridades fiscalizando hace más de una década, y Brasil sanciona desde 2021, con notificaciones que ya alcanzaron a Uber y Telegram. En todas las funciones anteriores el final fue el mismo: las empresas que intentaron cumplir a mano, con planillas y buenas intenciones, terminaron pagando multas o ejércitos de consultores. Ambas cosas cuestan más que la tecnología que las evita.
La inteligencia artificial es hoy lo único que hace económicamente viable el cumplimiento continuo: monitorea, alerta y deja rastro sin agotarse. Y sí, esa misma IA debe estar gobernada, con reglas claras sobre qué puede tocar y quién responde. Lo escribí hace un mes en esta misma sección: adoptar sin torre de control es peligroso. Pero frenar no es la respuesta: la torre hay que construirla ahora.
Lo que cambió en Chile no es el estándar de conducta. Las empresas serias siempre quisieron portarse bien. Lo que cambió es el estándar de prueba. Cuando rija, la pregunta del regulador no será si su empresa cumple, sino si puede demostrarlo un martes cualquiera a las tres de la tarde. Si su respuesta depende de una carpeta que nadie abre desde marzo, le quedan cien días. Y si el Gobierno termina aplazando la fecha, no lo celebre: las prórrogas postergan las multas, no los incidentes.