El Observatorio del Departamento de Administración de la FEN U. de Chile reunió a ejecutivos y académicos con Rodrigo Cetina Presuel, Associate Dean de UPF Barcelona School of Management, para revisar qué enseña la experiencia europea frente al año adicional de plazo que hoy discute el Congreso.
El Observatorio de Inteligencia Artificial e Innovación de los Negocios, del Departamento de Administración de la Facultad de Economía y Negocios (FEN) de la Universidad de Chile, realizó un encuentro con ejecutivos y académicos para analizar el proyecto que posterga la entrada en vigencia de la Ley 21.719 sobre protección de datos personales. El invitado fue Rodrigo Cetina Presuel, académico de Derecho y Políticas Públicas y Associate Dean de UPF Barcelona School of Management, quien siguió desde España la implementación del Reglamento General de Protección de Datos (RGPD) europeo y las sanciones que vinieron después.
El 1 de septiembre, el Ejecutivo ingresó al Senado, con suma urgencia, el Mensaje N° 110-374, que aplaza hasta el 1 de diciembre de 2027 la entrada en vigencia de la norma. La iniciativa amplía de tres a cinco los consejeros de la futura Agencia de Protección de Datos Personales y adelanta la designación de su primer Consejo Directivo. Los derechos, obligaciones y sanciones establecidos en la ley se mantienen sin cambios.
El Observatorio abordó el tema porque la regulación de datos se ha convertido en una condición para los proyectos de inteligencia artificial y la gestión de la innovación: sin información recogida de manera correcta y trazable, los modelos no llegan a producción.
Lecciones del RGPD
Cetina planteó que lo más útil de los ocho años de aplicación del RGPD son sus fallas. La primera fue interpretar el plazo de adecuación como una tregua. Entre 2016 y 2018, las empresas europeas elaboraron los documentos que exigía la norma y no volvieron a revisarlos. Cuando el regulador solicitó el registro de actividades de tratamiento, muchas organizaciones presentaron planillas desactualizadas. Según expuso, las sanciones posteriores no se originaron en prácticas excepcionales, sino en rutinas cotidianas: manejo de datos biométricos, fotografías, información de salud y formularios que recogen más datos de los necesarios.
El académico sostuvo que cambiar la fecha legal no reduce la exposición de las empresas, ya que las auditorías de clientes corporativos, los incidentes de ciberseguridad y las condiciones para transferir datos fuera de Chile siguen su propio calendario. Como referencia para los directorios, propuso una prueba: si el equipo técnico no logra ubicar un dato personal sensible dentro de la infraestructura en menos de una semana, la organización no está preparada.
Secuencia de trabajo
A partir de esa prueba, Cetina describió tres pasos. Primero, designar un responsable con mando y presupuesto, mediante acuerdo del directorio consignado en acta. Segundo, levantar el mapa de datos de la empresa: un inventario que registre qué datos se recogen, en qué sistemas se almacenan, quién accede a ellos, con quién se comparten dentro y fuera del país, bajo qué base legal y por cuánto tiempo se conservan. Tercero, decidir la inversión tecnológica solo después de contar con ese inventario, ya que adquirir plataformas antes implica indexar el desorden existente.
El académico advirtió que este levantamiento rara vez se resuelve con recursos internos, porque involucra a las áreas legal, de sistemas y de negocio, que en la mayoría de las empresas no dependen de un mismo responsable. En ese escenario, recomendó incorporar apoyo externo con criterio técnico y regulatorio en etapas tempranas. A su juicio, el plazo en discusión permite realizar ese trabajo de forma adecuada, pero no improvisarlo en el último trimestre.
El Observatorio de Inteligencia Artificial e Innovación de los Negocios es dirigido por el profesor asociado David Díaz Solís, con el apoyo del investigador senior colaborador Juan Ernesto Sepúlveda, y trabaja estas materias con directorios y equipos ejecutivos.