Actualizado el 19 agosto 2026
Perplexity 
ChatGPT Chile está avanzando en dos cambios regulatorios importantes para las empresas: la nueva Ley de Protección de Datos Personales y la Ley Marco de Ciberseguridad.
Son leyes distintas. Una regula cómo las organizaciones tratan los datos personales; la otra establece un marco para prevenir, gestionar y responder frente a incidentes de ciberseguridad.
Pero ambas tienen algo en común: exigen a las empresas tener mucha más claridad sobre qué ocurre con su información, quién tiene acceso a ella y qué responsabilidades existen cuando intervienen terceros.
Y ahí los contratos tienen un rol importante.
Gran parte de los procesos que involucran datos o tecnología dependen hoy de proveedores externos. Las condiciones bajo las cuales esos proveedores pueden tratar información, las medidas de seguridad que deben mantener o la forma en que deben actuar frente a un incidente suelen quedar establecidas en contratos y anexos.
Por eso, prepararse para estas nuevas exigencias no pasa solamente por actualizar políticas y procedimientos internos. También implica revisar qué se acordó con cada proveedor y poder acceder a esa información cuando realmente se necesita.
¿De qué trata la Ley 21.719?
La Ley 21.719 actualiza el marco chileno de protección de datos personales y entra en plena vigencia el 1 de diciembre de 2026.
En términos simples, establece reglas más exigentes sobre cómo las organizaciones recopilan, utilizan, almacenan y comparten datos personales.
Eso puede incluir información de clientes, trabajadores, usuarios, postulantes y otras personas naturales.
La ley refuerza los principios aplicables al tratamiento de datos, amplía los derechos de sus titulares y aumenta las responsabilidades de las organizaciones que administran esa información.
También crea la Agencia de Protección de Datos Personales, que será la autoridad encargada de fiscalizar este nuevo marco.
Para las empresas, esto significa que la responsabilidad sobre los datos no termina necesariamente dentro de la organización.
Si un tercero procesa información por cuenta de la empresa, también será necesario tener claridad sobre bajo qué condiciones lo hace.
¿Y qué regula la Ley 21.663?
La Ley 21.663, o Ley Marco de Ciberseguridad, aborda otro frente.
Su foco está en cómo las organizaciones previenen, gestionan y responden frente a incidentes de ciberseguridad.
La ley crea la Agencia Nacional de Ciberseguridad (ANCI) y establece una nueva institucionalidad en esta materia, incluyendo el rol del CSIRT Nacional para la gestión y reporte de incidentes.
También contempla obligaciones específicas para las organizaciones alcanzadas por la normativa en ámbitos como gestión de riesgos, prevención y respuesta.
Mientras la Ley 21.719 pone el foco en cómo se tratan y protegen los datos personales, la Ley 21.663 aborda cómo se gestionan los riesgos de ciberseguridad y qué ocurre cuando se produce un incidente.
Un mismo hecho puede involucrar ambas materias.
Por ejemplo, un incidente de seguridad que afecte información personal puede generar preguntas tanto desde el punto de vista de la ciberseguridad como de la protección de datos.
¿Qué tienen que ver estas leyes con la gestión de contratos?
Más de lo que puede parecer a primera vista.
Las empresas trabajan con terceros para procesos como nómina, beneficios, cobranza, reclutamiento, marketing, plataformas de software, servicios cloud, contact centers o infraestructura tecnológica.
En muchas de esas relaciones hay datos personales o información sensible involucrada.
Y las responsabilidades de cada parte suelen quedar definidas en los contratos.
Ahí se acuerda, por ejemplo:
- qué datos puede tratar un proveedor;
- para qué puede utilizarlos;
- qué medidas de seguridad debe mantener;
- si puede utilizar subencargados;
- cómo debe informar un incidente;
- qué ocurre con la información cuando termina la relación.
Por eso, frente a una exigencia regulatoria o un incidente, la empresa no solo necesita saber qué dicen sus políticas internas.
También necesita poder responder qué acordó con sus proveedores.
Ese es el punto concreto donde la Ley 21.719 y la Ley 21.663 se encuentran con la gestión contractual.
Un ejemplo concreto
Pensemos en una empresa que externaliza el procesamiento de la nómina de sus trabajadores.
El proveedor detecta un acceso no autorizado a sus sistemas y comunica el incidente algunos días después.
En ese momento empiezan las preguntas.
¿Qué información estaba involucrada?
¿Cuándo detectó el proveedor el incidente?
¿Qué obligación tenía de informar?
¿Había un plazo definido?
¿Qué medidas de seguridad se habían acordado?
Legal pide el contrato. Compras encuentra una versión en un correo. TI tiene un anexo técnico. El contrato se renovó y no está claro si alguna condición cambió después.
El contrato existe.
El problema es que encontrar la respuesta puede tomar horas o incluso días.
Y frente a un incidente, ese tiempo importa.
Cómo saber si tu contrato te protege ante un incidente
La cláusula de notificación de incidentes es un buen ejemplo.
No es lo mismo que un contrato diga que el proveedor deberá informar "oportunamente" a que establezca claramente un plazo, un canal y las personas responsables de recibir el aviso.
Lo mismo ocurre con otras condiciones relacionadas con protección de datos y seguridad: uso de subencargados, obligaciones de colaboración, medidas de seguridad o eliminación de información al terminar el servicio.
Son decisiones que se toman durante la negociación contractual y que pueden volverse especialmente relevantes meses o años después.
Por eso hay una pregunta bastante simple que muchas organizaciones deberían hacerse hoy:
¿Sabemos qué proveedores tratan datos personales y qué obligaciones acordamos con cada uno?
En una empresa con cientos o miles de contratos, la respuesta no siempre está disponible.
Qué debería poder conocer una empresa de su cartera contractual
Hay tres cosas básicas.
1. Qué contratos tiene
El primer paso es contar con un inventario actualizado.
Qué contratos siguen vigentes, con qué proveedores, qué área es responsable y cuáles de esas relaciones involucran datos personales o información crítica.
Parece sencillo, pero en organizaciones grandes esa información suele estar distribuida entre distintos equipos, correos y repositorios.
Tener todos los contratos guardados no significa necesariamente poder consultarlos.
2. Qué dicen esos contratos
Después viene una tarea más compleja: identificar las condiciones que importan.
Por ejemplo:
- tratamiento de datos personales;
- medidas de seguridad;
- autorización de subencargados;
- plazo y canal de notificación de incidentes;
- obligaciones de colaboración;
- devolución o eliminación de información.
Cuando hay cientos o miles de contratos, revisar manualmente cada documento puede convertirse en un proyecto de meses.
La IA puede ayudar justamente en ese punto: identificar cláusulas, extraer información y convertirla en datos que después puedan ser revisados por Legal, Compliance u otros equipos.
No se trata de reemplazar el criterio legal.
Se trata de evitar que una persona tenga que abrir cientos de documentos solamente para encontrar dónde está la información.
3. Qué ocurrió durante la vida del contrato
También importa la trazabilidad.
Qué versión se aprobó. Quién dio el visto bueno. Qué terminó firmándose. Si después hubo una adenda, un cambio o una renovación.
Cuando esa información queda registrada, es mucho más fácil reconstruir el proceso frente a una auditoría, una consulta o un incidente.
Qué cambia cuando esa información está disponible
La diferencia se nota cuando aparece una pregunta concreta.
En vez de comenzar buscando contratos, la empresa puede consultar qué proveedores tienen acceso a datos personales, qué obligaciones asumieron, qué plazo de notificación se acordó o qué contratos deberían actualizarse antes de renovarse.
La misma información contractual empieza entonces a servir a distintas áreas.
Legal puede detectar condiciones que necesitan revisión.
Compras puede identificar proveedores con cláusulas débiles o incompletas.
TI y Seguridad pueden entender qué obligaciones existen frente a determinados terceros.
Compliance puede acceder al historial de aprobaciones y cambios.
Es una aplicación concreta de lo que entendemos por Contract Intelligence: hacer que la información contenida en los contratos pueda ser consultada y utilizada por el negocio, en lugar de quedar atrapada dentro de documentos.
La seguridad de la plataforma también debe evaluarse
Si una empresa va a centralizar contratos, información comercial y eventualmente datos personales en una plataforma, también debería preguntarse cómo esa plataforma protege la información que recibe.
Ahí las certificaciones internacionales ayudan a entender qué controles existen.
Aunque sus nombres pueden parecer técnicos, cada una cubre un aspecto distinto.
ISO/IEC 27001 está enfocada en la seguridad de la información. Establece un sistema para identificar riesgos, implementar controles y gestionar de manera continua la seguridad de la información que maneja una organización.
ISO/IEC 27701 extiende ese enfoque hacia la privacidad y la gestión de datos personales. Ayuda a establecer controles y responsabilidades específicas sobre cómo se administra ese tipo de información.
ISO/IEC 27018 se concentra en la protección de datos personales cuando son procesados en servicios cloud, algo especialmente relevante para una plataforma SaaS.
Y ISO/IEC 42001 está enfocada en la gestión de sistemas de inteligencia artificial. Establece un marco para abordar gobernanza, riesgos y controles asociados al uso de IA.
Webdox cuenta con estas certificaciones como parte de su enfoque de seguridad, privacidad y gobernanza de inteligencia artificial.
Para una empresa enterprise, esto importa porque la evaluación de un CLM no debería limitarse a preguntar qué funcionalidades tiene.
También importa cómo protege la información contractual y bajo qué controles opera la IA que trabaja sobre ella.
Qué cambia para el negocio
Ordenar la información contractual tiene un impacto operativo evidente.
En Chile, Ariztía logró con Webdox reducir en un 66% sus tiempos de procesamiento contractual, mejorar en un 65% los tiempos de firma y acumular más de 4.000 horas de ahorro.
Pero frente a las nuevas exigencias regulatorias aparece otra necesidad igual de importante: poder encontrar rápidamente la información que está dentro de esos contratos.
Porque cuando ocurre un incidente o llega una consulta, el valor no está solamente en haber firmado más rápido.
También está en saber qué se firmó, qué sigue vigente y quién aprobó esas condiciones.
Un CLM no reemplaza un programa de cumplimiento
También es importante poner el alcance en perspectiva.
Ni un CLM ni ninguna otra plataforma hace que una empresa cumpla automáticamente con la Ley 21.719 o con la Ley 21.663.
La protección de datos y la ciberseguridad involucran sistemas, bases de datos, procesos internos, controles técnicos, políticas, capacitación y responsabilidades organizacionales que van mucho más allá de los contratos.
Lo que un CLM sí puede ayudar a resolver es una parte específica del problema: ordenar las obligaciones que una empresa acuerda con terceros y mantener trazabilidad sobre cómo fueron gestionadas.
Para organizaciones enterprise, donde esas relaciones involucran múltiples áreas y proveedores, esa capacidad puede hacer una diferencia importante.
Preguntas frecuentes
¿Cuándo entra en vigencia la Ley 21.719?
La Ley 21.719 fue publicada en diciembre de 2024 y entra en plena vigencia el 1 de diciembre de 2026.
¿Qué regula la Ley 21.719?
Regula la protección y el tratamiento de datos personales en Chile. Refuerza los derechos de las personas, establece nuevas responsabilidades para las organizaciones que tratan sus datos y crea la Agencia de Protección de Datos Personales.
¿Qué regula la Ley 21.663?
La Ley 21.663 establece el marco general de ciberseguridad en Chile. Crea la Agencia Nacional de Ciberseguridad y contempla obligaciones en materias como gestión de riesgos, prevención y reporte de determinados incidentes.
¿Por qué estas leyes afectan los contratos con proveedores?
Porque muchas empresas trabajan con terceros que procesan datos o prestan servicios tecnológicos.
Las responsabilidades de esos proveedores suelen quedar definidas contractualmente: tratamiento de información, medidas de seguridad, uso de subencargados, reporte de incidentes y obligaciones al terminar la relación, entre otras.
¿Qué debería revisar una empresa en sus contratos?
Dependerá de cada servicio, pero debería poder identificar con claridad qué datos trata el proveedor, para qué puede utilizarlos, qué medidas de seguridad se acordaron, si puede trabajar con terceros, cómo debe informar un incidente y qué ocurre con los datos al finalizar el contrato.
¿Un CLM permite cumplir con estas leyes?
Un CLM puede ayudar a gestionar la parte del cumplimiento que vive dentro de los contratos: relaciones con terceros, cláusulas, aprobaciones, versiones y trazabilidad.
No reemplaza un programa integral de privacidad o ciberseguridad.
¿Por qué importan las certificaciones ISO de un CLM?
Porque permiten entender cómo el proveedor tecnológico gestiona aspectos específicos de seguridad y privacidad.
ISO/IEC 27001 aborda seguridad de la información; ISO/IEC 27701, privacidad y datos personales; ISO/IEC 27018, protección de datos personales en servicios cloud; e ISO/IEC 42001, gestión y gobernanza de inteligencia artificial.
Prepararse para la ley significa poder responder, no solo cumplir la fecha
Es lógico que gran parte de la conversación sobre la Ley 21.719 esté hoy concentrada en el 1 de diciembre de 2026.
Las empresas necesitan llegar preparadas.
Pero después de esa fecha los proveedores van a seguir cambiando, los contratos se van a renovar y aparecerán nuevos servicios y nuevas formas de tratar información.
Por eso hay una pregunta que probablemente sea más útil para medir qué tan preparada está una organización:
Si mañana necesitas saber qué proveedor trata determinados datos, qué acordaste con él y quién aprobó esas condiciones, ¿cuánto te demorarías en encontrar la respuesta?
Si todavía necesitas abrir contratos uno por uno para averiguarlo, ahí hay una brecha que conviene empezar a resolver hoy.
Prepararse no significa solo tener los documentos correctos.
También significa poder encontrar y utilizar la información que contienen cuando realmente se necesita.
