Leyes para algoritmos: el avance de las regulaciones de ciberseguridad y confianza digital

A lo largo de esta serie vimos cómo la IA potencia el fraude, reescribe malware y se convierte ella misma en blanco de ataque. La respuesta no es solo técnica: es también legal. Los Estados están construyendo marcos que obligan a proteger datos, reportar incidentes y usar la tecnología de forma ética y preventiva. Cerramos la serie mirando esa otra mitad de la defensa, con foco en Chile —Ley 21.663 y Ley 21.719— y su contexto internacional.

1. Por qué regular ahora

Durante años la ciberseguridad fue, para muchas organizaciones, una decisión voluntaria. Eso cambió por tres presiones simultáneas:

• El costo social de los incidentes (filtraciones masivas, fraude, interrupción de servicios esenciales) se volvió demasiado alto para dejarlo al criterio de cada empresa.
• Las tecnologías emergentes —IA, big data, IoT— avanzan más rápido que las buenas prácticas, y la autorregulación no bastó.
• La asimetría de información: las personas no pueden proteger datos que ni siquiera saben que se están recolectando.

La regulación busca cerrar esa brecha fijando mínimos obligatorios y creando autoridades que fiscalicen. En Chile, esto se materializó en dos leyes complementarias.

2. Ley 21.663 — Ley Marco de Ciberseguridad

Publicada el 8 de abril de 2024, con sus artículos clave y la nueva agencia en vigor desde el 1 de marzo de 2025, es el primer marco general de ciberseguridad del país.

• Crea la ANCI (Agencia Nacional de Ciberseguridad): coordina, supervisa y fiscaliza; puede dictar normas técnicas obligatorias, calificar a los Operadores de Importancia Vital (OIV), recibir notificaciones de incidentes y aplicar sanciones.
• Reporte obligatorio de incidentes. Las instituciones públicas y privadas que prestan servicios esenciales deben notificar los incidentes significativos a la ANCI, con un primer aviso en un plazo de hasta 3 horas desde que es posible hacerlo.
• Obligaciones para OIV. Implementar un sistema de gestión de seguridad de la información, planes de continuidad operacional y ciberseguridad, y designar un Delegado de Ciberseguridad (regulado, junto con el registro y los estándares mínimos, por las Instrucciones Generales N° 2, 3 y 4 de 2025).
• Sanciones. Multas de hasta 5.000 / 10.000 / 20.000 UTM (leve / grave / gravísima), que para los OIV pueden llegar hasta el doble.

La norma legal fija el qué es obligatorio; los marcos técnicos como ISO 27001 y los CIS Controls aportan el cómo cumplirlo. Ley y estándar se complementan.

3. Ley 21.719 — Protección de Datos Personales

Publicada el 13 de diciembre de 2024, moderniza por completo el régimen chileno (reemplaza a la antigua Ley 19.628) y lo acerca al estándar europeo.

• Inspirada en el GDPR europeo: consentimiento, finalidad, derechos ARCO+ (acceso, rectificación, cancelación, oposición y portabilidad), responsabilidad proactiva y notificación de brechas.
• Crea la Agencia de Protección de Datos Personales (APDP) como autoridad fiscalizadora con poder sancionatorio.
• Multas de hasta 5.000 / 10.000 / 20.000 UTM según la gravedad (con un régimen más benévolo para pymes durante el primer año).
• Vigencia en discusión. La ley fijó su entrada en plena vigencia para el 1 de diciembre de 2026, pero hay un proyecto de postergación (boletín 18.623-07, en el Senado desde septiembre de 2026) que la movería a diciembre de 2027. Conviene seguir el estado oficial antes de planificar plazos.

4. El contexto internacional

Chile no legisla en el vacío; sigue una ola global de “leyes para algoritmos”:

• GDPR (UE, 2018). El estándar de referencia en protección de datos, con multas de hasta el 4% de la facturación global. Inspira directamente a la 21.719.
• AI Act europeo (2024). El primer marco integral del mundo para regular la IA por nivel de riesgo: prohíbe ciertos usos, exige controles estrictos a los sistemas de alto riesgo y transparencia a los de IA generativa. Marca la pauta de la regulación ética y preventiva de la IA.
• NIS2 (UE). Eleva las exigencias de ciberseguridad y reporte para sectores esenciales, en una lógica muy parecida a la de la Ley 21.663.

La tendencia es clara: de recomendaciones voluntarias a obligaciones con fiscalización y multas, y de regular solo los datos a regular también los algoritmos que los procesan.

5. Qué significa para las organizaciones

• El cumplimiento es ahora parte de la seguridad. No basta con estar protegido; hay que poder demostrarlo y reportar cuando algo falla.
• Gobernanza de datos y de IA. Saber qué datos se tienen, con qué base legal se tratan y —cada vez más— cómo se usan los modelos de IA sobre ellos.
• Procesos de respuesta a incidentes. El plazo de 3 horas de la ANCI obliga a tener detección y un procedimiento de notificación listos antes del incidente.
• Oportunidad, no solo carga. La confianza digital se vuelve diferenciador comercial: cumplir bien es un argumento de venta frente a clientes que ya exigen garantías.

6. Conclusión

Las amenazas que recorrimos en esta serie —phishing con IA, malware que muta, ataques a los propios modelos— explican por qué la regulación dejó de ser opcional. La Ley 21.663 y la Ley 21.719 ponen a Chile en línea con el GDPR y el AI Act: un mundo donde proteger la infraestructura, custodiar los datos y usar la IA de forma responsable son obligaciones con nombre, plazo y sanción. Para quienes hacemos seguridad, es una buena noticia: la ley convierte en exigible lo que llevábamos años recomendando. La confianza digital, por fin, tiene marco legal.

Este artículo cierra el arco que va de la ofensiva asistida por IA a la defensa, y de la técnica a la ley.

Fuentes

• Ley 21.663 — Se promulga la Ley Marco sobre Ciberseguridad (análisis, Carey) · ANCI — Instrucciones Generales N° 2, 3 y 4 (Carey)
• Chile implements mandatory reporting of cybersecurity incidents (Allende & Brea)
• Ley 21.719 — Checklist de cumplimiento, vigencia y multas (Pirani)
• Texto oficial de ambas leyes — BCN / LeyChile
• AI Act de la Unión Europea — marco regulatorio de la IA (Comisión Europea)