Cómo construir el RAT de IA en Chile bajo Ley 21.719

Un sistema de IA puede incorporar modelos, bases de datos, integraciones y proveedores con configuraciones distintas. El registro debe describir el flujo que realmente existe: qué datos entran, con qué finalidad, dónde se procesan, quién toma decisiones y qué contrato regula a cada tercero. El nombre de la tecnología no basta para resolver ese análisis.

• Retención en servicios LLM: documenta la configuración efectiva, los registros habilitados y las condiciones contractuales del proveedor; no presumas que todo envío se conserva ni que nunca se conserva.
• Representaciones vectoriales: evalúa si siguen vinculadas o pueden vincularse razonablemente con una persona según los datos, el modelo, los accesos y el uso previsto.
• Procesamiento internacional: identifica si existe una transferencia y analiza el régimen aplicable de los artículos 27 y 28, en vez de asumirla por la marca del proveedor.
• Agentes e integraciones: registra los datos y permisos usados en cada flujo; distingue los sistemas técnicos de las personas o entidades que reciben o procesan información.
• Entrenamiento o ajuste del modelo: si existe, documenta finalidad, datos, roles, base de licitud, conservación y controles según el caso concreto.

Para ordenar el levantamiento, Cognitiva propone cinco categorías de análisis. No son categorías legales ni obligan a crear cinco entradas separadas: una organización puede agrupar o dividir actividades según sus finalidades, bases de licitud, titulares, datos, actores y riesgos. El objetivo es evitar omisiones sin convertir la plantilla en una regla rígida.

1. Inferencia mediante LLM externo

Cuando una consulta envía datos personales a un modelo externo, documenta el servicio y su configuración, las categorías de datos, la finalidad, la región efectiva de procesamiento, la retención aplicable y los términos contractuales vigentes. Determina el rol del proveedor según el uso y el contrato, no sólo por el tipo de API.

2. Almacenamiento y búsqueda semántica (embeddings)

Si una actividad convierte información en vectores para búsqueda semántica, documenta los datos de origen, el modelo, la base vectorial, los accesos, la conservación y el procedimiento aplicable a los derechos de titulares. Una actualización del índice no constituye automáticamente una actividad nueva: depende de si cambian la finalidad u otros elementos relevantes.

3. Agentes autónomos y orquestación

Un agente puede leer correos, consultar un CRM y redactar respuestas en una misma ejecución. Documenta los datos y permisos utilizados en cada flujo, junto con las personas o entidades que los reciben o procesan. Un sistema técnico no se convierte por ese solo hecho en destinatario o encargado del tratamiento.

4. Análisis e inferencia sobre datos agregados

Modelos que generan informes, predicciones o segmentos a partir de datos de múltiples titulares. Si los resultados permiten re-identificar individuos, se trata de datos personales. Documenta el modelo, los datos de entrada, la metodología de anonimización o seudonimización y los controles de re-identificación aplicados.

5. Ajuste fino (fine-tuning) con datos propios

Si se usan datos personales para entrenar o afinar un modelo, documenta la finalidad, la fuente, los roles, la base de licitud aplicable, la minimización, los accesos y la conservación. La ley no impone automáticamente una base específica por tratarse de ajuste fino. Si el tratamiento puede producir alto riesgo, realiza la EIPD del artículo 15 ter antes de iniciarlo.