31-07-2026 | Albagli Zaliasnik, Noticias
Los incidentes asociados a OpenAI y Anthropic reactivaron el debate sobre cómo enfrentar los riesgos de la inteligencia artificial, justo cuando Chile debe definir un marco regulatorio.
Parece una película de ciencia ficción, pero no lo es. Esta semana, OpenAI informó que, durante el entrenamiento, su modelo GPT- 5.6 Sol se escapó del espacio de prueba, conocido como sandbox, y se conectó a internet y atacó a la startup de datos abiertos Hugging Face. Algo similar ya había ocurrido en abril con Mythos, de Anthropic, que también logró acceder a la red y publicó vulneraciones de seguridad.
Ambas acciones han sido atribuidas por los expertos al entrenamiento de los modelos bajo el método de aprendizaje por refuerzo, que ofrece recompensas para lograr un objetivo y que ha llevado a las principales compañías desarrolladoras a ir más allá de los límites seguros para liderar la carrera por la inteligencia artificial (IA).
El incidente de OpenAI llega en un momento en que Chile debe tomar definiciones regulatorias en torno a la IA. Si bien hay un proyecto de ley en discusión en el Congreso, el gobierno anunció que busca introducir una propuesta sustitutiva que cambia el enfoque en los riesgos tomado de la legislación europea, la cual se presentará próximamente.
En este escenario, en el mundo han surgido interrogantes respecto del real control que tienen los grandes desarrolladores en las pruebas de sus modelos más autónomos y de los riesgos asociados a la ciberseguridad. Mientras tanto, en los países usuarios del sur global, persisten las dudas en torno a qué resguardos se deben tomar y cómo se debe regular el uso y el desarrollo interno de estos sistemas.
Para la directora del Instituto de Data Science de la Universidad del Desarrollo (UDD) e integrante del Panel Científico Internacional Independiente sobre IA de la Organización de las Naciones Unidas (ONU), Loreto Bravo, los incidentes ocurridos no implican que “estemos perdiendo el control humano” sobre la IA o que los modelos actúen con una intención maliciosa.
Argumentó que estos sistemas están diseñados para buscar la forma más eficiente de cumplir el objetivo asignado: “Se pueden tener varias estrategias para minimizar el riesgo, pero no sabes qué cosas podría escoger hacer el modelo, que quizás tú no habrías autorizado”.
Comentó que “no es 100% evitable” que los modelos eludan los espacios de prueba, pero se puede reducir al máximo la probabilidad y mitigar sus efectos, a través de protocolos y prohibiciones claras, exigir autorización humana para acciones sensibles e implementar sistemas para monitorear en tiempo real su comportamiento.
En tanto, el director ejecutivo de Lemontech, Juan Pablo Granda, coincidió en la importancia de los controles, pero enfatizó que la gobernanza corporativa es el factor que marca la diferencia. Señaló que las empresas con certificaciones como las ISO 27.001 y 42.000 —de gobernanza específica en IA—, “tienen muy claro cómo dividir los riesgos y no exponer la información propia y de sus clientes”.
Agregó que aquellas que carecen de estos procesos, en cambio, “son mucho más susceptibles” porque “no delimitaron los procesos”.
Granda también llamó a distinguir los incidentes de frontera (como GPT-5.6 Sol) del uso empresarial cotidiano, pues son “completamente diferentes a lo que usa la mayoría de las compañías”, y señaló que cuando se delimitan con claridad el espacio de acción y el objetivo de un agente, “los riesgos son mínimos”.
Riesgos y resguardos
Respecto del impacto del avance de la IA hacia sistemas cada vez más autónomos en la región, Bravo dijo que la principal diferencia con el norte global “podría estar en la capacidad de reacción” frente a eventuales ciberataques “mucho más especializados y poderosos”, apalancados por estas herramientas.
Añadió que es “muy complicado que sea solo la legislación lo que nos salve (ante los riesgos asociados a los modelos)”, y que, para ello, Chile debe fortalecer las capacidades propias a través de la formación de talento en IA y en seguridad informática, y con el desarrollo de sistemas basados en estas tecnologías para prevenir y mitigar impactos o ataques avanzados.
Para Granda, la legislación por sí sola tampoco basta, pero advirtió que el exceso regulatorio es igual de riesgoso.
“Si nos vamos a poner demasiado conservadores, las empresas no van a tener la posibilidad de implementar herramientas que, con los procesos correctos, sí son seguras y aumentan la productividad”, dijo.
El director de Nuevas Tecnologías e IA de az, Juan Pablo González, se refirió a la Recomendación sobre la Ética de la IA de la Unesco, y señaló que, más que actualizarla, se deben “operativizar” algunos de sus elementos mediante grupos de trabajo para responder a riesgos como la pérdida de control de los sistemas, la desinformación y los ciberataques.
Discusión en Chile
Respecto del proyecto de ley que regula los sistemas de IA —del gobierno anterior y en segundo trámite constitucional—, González planteó una serie de reparos: no crea un órgano específico para hacerse cargo de los sistemas de IA que evite la superposición de competencias y tampoco establece obligaciones diferenciadas para los modelos de uso general. Además, dijo que no diferencia a los distintos actores de la cadena, porque “solo habla de los operadores”, y que no existen procedimientos detallados para las personas afectadas por la IA.
Por otro lado, instó a ampliar los sandboxes con participación del sector privado para impulsar la innovación, y a evaluar una aplicación gradual de la normativa.
Ante el enfoque de evaluación de riesgos ex post que tendrá el nuevo proyecto anunciado por el gobierno, González advirtió que intervenir solo cuando se produzca el daño puede ser “contraproducente”, porque algunos daños son “casi imposibles de reparar”. Por ello, planteó mantener mecanismos de vigilancia, reporte de incidentes, “retiro oportuno” de sistemas y procedimientos claros de infracción.
Según Granda, la regulación debería centrarse en exigir controles de seguridad, herramientas de monitoreo y procedimientos de mitigación y recuperación, pero no restringir el uso en la industria.
“La sobrerregulación es poner un freno de mano al avance tecnológico”, alertó y agregó que eso podría llevar a Chile a perder competitividad frente a empresas de otros países de la región.
Autores: Marco Zecchetto y Renato Olmos | Fuente: Diario Financiero (24 de julio de 2026)
Para más información, escríbenos a contacto@compliancelatam.legal.
16-06-2026 | FERRERE, Noticias
Las organizaciones que operan desde Uruguay cuentan ahora con una herramienta adicional para acreditar garantías suficientes al transferir datos personales a países que no cuentan con un nivel de protección adecuado.
La Resolución Nº 8/2026 habilita las Cláusulas Contractuales Tipo del Convenio 108+ y suma un nuevo mecanismo para legitimar el flujo transfronterizo de datos personales.
Mediante dicha Resolución, la Unidad Reguladora y de Control de Datos Personales (URCDP) habilitó el uso de las Cláusulas Contractuales Tipo del Convenio 108+ del Consejo de Europa como mecanismo válido para respaldar las transferencias internacionales de datos personales.
Se trata de una novedad bienvenida: las organizaciones que operan desde Uruguay cuentan ahora con una herramienta adicional —de amplio reconocimiento en el ámbito internacional— para acreditar garantías suficientes al transferir datos personales a países que no cuentan con un nivel de protección adecuado.
Las cláusulas se organizan en tres módulos (responsable a responsable, responsable a encargado y encargado a encargado) y abordan aspectos clave, como la seguridad, la minimización, la transparencia, la gestión de incidentes y la evaluación del entorno legal del país de destino. Para quienes ya interactúan con contrapartes sujetas al Reglamento General de Protección de Datos (GDPR por sus siglas en inglés), la adopción de este estándar puede facilitar notablemente la interoperabilidad contractual.
La nueva resolución se suma al marco vigente —Resoluciones Nº 41/021 y Nº 50/022— sin sustituirlo: complementa las cláusulas mínimas exigidas y las Cláusulas Modelo de la Red Iberoamericana de Protección de Datos (RIPD), ofreciendo un mayor nivel de detalle y una alineación más estrecha con los parámetros europeos.
Puntos a tener en cuenta
Si bien el nuevo instrumento amplía las opciones disponibles, su implementación requiere ciertos recaudos: verificar la compatibilidad con la normativa uruguaya, documentar la evaluación del entorno legal del país receptor y, en todos los casos, solicitar la autorización previa de la URCDP.
Con esta nueva alternativa, resulta oportuno que cada organización evalúe cuál de los instrumentos disponibles se ajusta mejor a las particularidades de cada transferencia, considerando factores como el perfil y la ubicación de la contraparte, así como el grado de detalle contractual que requiera la operación.
No existe una solución única: la elección del instrumento adecuado dependerá de las circunstancias concretas de cada flujo de datos. Una evaluación caso a caso permitirá adoptar la opción que ofrezca el respaldo más sólido y eficiente para legitimar la transferencia.
Para más información, pueden consultarse la Resolución N° 8/2026 y la nota de la URCDP.
Escríbenos a contacto@compliancelatam.legal si tienes dudas.
26-05-2026 | Albagli Zaliasnik, Noticias
El gremio manifestó que ” los próximos seis meses son decisivos para preparar al país, a las instituciones públicas, a las empresas y a la ciudadanía” al nuevo estándar regulatorio.
La Asociación de Profesionales en Protección de Datos Personales de Chile (AGPD) emplazó al Poder Ejecutivo y al Senado a avanzar en la designación del consejo directivo de la futura Agencia de Protección de Datos Personales, luego que la Cámara Alta rechazara la terna propuesta por el Presidente José Antonio Kast.
A través de una declaración pública, la asociación gremial expresó su preocupación y llamó a las autoridades a encontrar “una salida institucional que permita dar continuidad al proceso de instalación de la Agencia”, dada la importancia del proyecto en la materia.
“La nueva Ley de Protección de Datos Personales entra en vigencia el 1 de diciembre de este año, y su adecuada implementación requiere avanzar oportunamente en las acciones preparatorias previstas”, señaló el gremio en el comunicado.
“Los próximos seis meses son decisivos para preparar al país, a las instituciones públicas, a las empresas y a la ciudadanía frente a este nuevo estándar regulatorio”, agregó la asociación.
En ese sentido, la AGPD reiteró su disposición a contribuir técnica y colaborativamente en el proceso.
Pueden revisar el comunicado de la AGPD a continuación:
Si tienes dudas, escríbenos a contacto@compliancelatam.legal.
27-04-2026 | Albagli Zaliasnik, Opinión
La entrada en vigencia de la nueva Ley de Protección de Datos Personales en Chile marcará un cambio relevante en la forma en que las empresas gestionan la información. Sin embargo, más allá de los ajustes regulatorios que introduce la norma, el verdadero desafío para las organizaciones durante 2026 será otro: lograr que el cumplimiento legal y la implementación tecnológica avancen de manera coordinada.
Por Antonia Nudman, Asociada Senior de az Tech; y Yoab Bitrán, Director del Grupo Compliance de Albagli Zaliasnik
En muchas compañías, los proyectos de cumplimiento normativo suelen abordarse principalmente desde las áreas legales o de compliance. Esto es comprensible: son estas áreas las que interpretan la normativa, definen obligaciones y elaboran políticas internas. Sin embargo, en materia de protección de datos, ese enfoque resulta incompleto si no se articula de forma estrecha con las áreas tecnológicas.
La razón es simple. Mientras el área legal define qué exige la ley —por ejemplo, principios de tratamiento, bases de licitud, deberes de información o medidas de seguridad—, son las áreas de tecnología las que deben traducir esas exigencias en prácticas concretas dentro de los sistemas, plataformas y procesos de la organización. En otras palabras, el cumplimiento jurídico requiere necesariamente una implementación técnica para hacerse efectivo.
Esto se vuelve particularmente evidente en aspectos como la gestión de accesos a bases de datos, la trazabilidad de los tratamientos, la implementación de medidas de seguridad, la gestión de incidentes o la eliminación segura de información. Todos estos elementos forman parte del cumplimiento normativo, pero su ejecución depende en gran medida de la arquitectura tecnológica de la empresa.
Por ello, uno de los principales desafíos para las organizaciones en este nuevo escenario será construir puentes entre ambos mundos. El cumplimiento en protección de datos no puede ser únicamente un ejercicio documental ni tampoco exclusivamente tecnológico: requiere una coordinación permanente entre quienes interpretan la norma y quienes diseñan e implementan los sistemas.
En este contexto, el rol del asesor también evoluciona. Ya no basta con entregar una interpretación jurídica de la ley o con elaborar políticas y documentos de cumplimiento. La implementación efectiva exige abordar el proceso desde ambas dimensiones: la normativa y la técnica. En ese sentido, el asesor debe contar con una sólida mirada legal y, deseablemente, también con conocimientos en seguridad de la información que le permitan dialogar con los equipos tecnológicos de la organización. Solo así es posible acompañar adecuadamente el proceso de implementación, abordándolo tanto desde la lógica normativa (la teoría) como desde la realidad operativa de los sistemas (la práctica).
Precisamente por lo anterior, es cada vez más común que los equipos de asesoría externa incorporen perfiles interdisciplinarios, sumando ingenieros o especialistas en seguridad de la información que permitan abordar la implementación desde una perspectiva integral y faciliten la coordinación entre las áreas legales y tecnológicas de las organizaciones.
En definitiva, la nueva regulación plantea un desafío que es tanto organizacional como técnico. Aquellas empresas que logren integrar adecuadamente el trabajo de sus áreas legales y tecnológicas no solo estarán mejor preparadas para cumplir con la ley, sino también para gestionar de manera responsable uno de los recursos más sensibles de la economía digital: la información personal de las personas.
Antonia Nudman, Asociada Senior de az Tech; y Yoab Bitran, Director del Grupo Compliance en Albagli Zaliasnik
Fuente: Revista Gerencia – marzo 2026.
Si tienes consultas, escríbenos a contacto@compliancelatam.legal.com.
09-01-2025 | Chile, Noticias
El 24 de diciembre de 2024 se publicó en el Diario Oficial el DFL N°1-21.663, de 30 de octubre de 2024, que fija la planta de personal de directivos de la Agencia Nacional de Ciberseguridad (ANCI) y regula otras materias.
Esta normativa se dicta en cumplimiento de lo establecido en la Ley N°21.663 Marco sobre Ciberseguridad.
Por otro lado, además de definir la planta de personal, remuneraciones y requisitos de ingreso, entre otros aspectos. La normativa también establece:
1. La fecha de iniciación de actividades de la agencia es el 1 de enero de 2025.
2. En general, la entrada en rigor de las normas de la Ley Marco de Ciberseguridad es el 1 de enero de 2025, salvo lo dispuesto en los artículos 5°, 8°, 9° y Título VII de la misma ley.
3. Las normas exceptuadas entrarán en vigencia el 1 de marzo de 2025, y dicen relación con:
· Disposiciones sobre calificación de operadores de importancia vital por la agencia.
· Deberes específicos de los operadores de importancia vital.
· Deber de reportar al CSIRT Nacional (Equipo de Respuesta ante Incidentes de Seguridad Informática) los ciberataques e incidentes de ciberseguridad que puedan tener efectos significativos.
· Infracciones y sanciones contempladas en la ley. Recordemos que se establecen sanciones de hasta 20 mil UTM en los casos de infracciones gravísimas, las que podrían llegar a hasta las 40 mil UTM cuando se trate de operadores de importancia vital.
La agencia tendrá como objetivo liderar las políticas de ciberseguridad, coordinar respuestas a incidentes, así como proteger datos y comunicaciones en todos los niveles del Estado, incluyendo el sector privado y la ciudadanía para crear un ecosistema digital seguro y resiliente.
Revisa el decreto completo en el siguiente link: DFL N°1-21.663
Para obtener más información sobre el funcionamiento y los plazos de la nueva Agencia Nacional de Ciberseguridad, pueden contactar a: Rodrigo Albagli | Socio | ralbagli@az.cl Eugenio Gormáz | Socio | egormaz@az.cl Ivonne Bueno | Directora az Tech | ibueno@az.cl Yoab Bitran | Director Grupo Compliance | ybitran@az.cl Antonia Nudman | Asociada Senior | anudman@az.cl
08-04-2024 | Noticias
Con fecha 26 de marzo se promulgó la Ley Marco de Ciberseguridad, iniciativa que crea una Agencia Nacional de Ciberseguridad (ANCI), la cual tendrá por finalidad regular, fiscalizar y sancionar a todos los organismos públicos y privados que presten servicios esenciales y que queden sujetos a esta regulación.
Para efectos de esta ley, son servicios esenciales aquellos que resultan fundamentales para el funcionamiento del país y la calidad de vida de la sociedad. Quedan comprendidos dentro de esta regulación los siguientes sectores:
- Generación, transmisión o distribución eléctrica.
- Transporte, almacenamiento o distribución de combustibles.
- Suministro de agua potable o saneamiento.
- Telecomunicaciones e infraestructura digital.
- Servicios digitales y tecnología de la información gestionada por terceros.
- Transporte terrestre, aéreo, ferroviario o marítimo.
- Bancos, servicios financieros y medios de pago.
- Administración de prestaciones de seguridad social.
- Servicios postales y de mensajería.
- Prestación institucional de servicios de salud.
- Producción y/o investigación de productos farmacéuticos.
Esta norma establece un estándar de cumplimiento mínimo, exigiéndole a las empresas que adopten mejores herramientas para proteger los derechos de las personas en el ciberespacio, así como para evitar la comisión de ilícitos relativos a la suplantación de identidad y otros delitos informáticos, como el acceso ilícito, sabotajes, interceptaciones de servicios y otros ataques que comprometan la seguridad en el entorno digital.
La labor fiscalizadora de la ANCI implica también facultades sancionatorias, pudiendo imponer multas que podrían alcanzar los 40.000 UTM, es decir, cerca de $2.600 millones de pesos.
Esta Agencia dictará normas, protocolos y estándares mínimos que deberán ser considerados por los sujetos obligados a esta ley en orden a prevenir, reportar y resolver incidentes de ciberseguridad y ataques a través de medios informáticos.
La promulgación de esta nueva ley resulta ser un paso importante para la construcción de una legislación nacional integral en materia de ciberseguridad, y se inserta dentro de un marco normativo que, en términos generales, busca guiar a los organismos públicos y privados a mejorar los estándares de seguridad en un mundo cada vez más globalizado y conectado.
Para obtener más información, pueden contactar a nuestro equipo Compliance:
Rodrigo Albagli | Socio Albagli-Zaliasnik | ralbagli@az.cl
Caterina Ravera | Asociada Senior | cravera@az.cl
