Opera mientras cumples

Se publicó en diciembre de 2024 y es plenamente exigible desde el 1 de diciembre de 2026, tras veinticuatro meses de adecuación. Las sanciones llegan hasta 20.000 UTM por infracciones gravísimas y hasta un 4% de los ingresos anuales en caso de reincidencia. La Agencia puede además ordenar la suspensión del tratamiento y publicar un registro nacional de sanciones.

Es el inventario de cómo tu organización trata datos personales: finalidad, base de licitud, categorías de datos, plazos de conservación y destinatarios. La ley exige mantenerlo actualizado. En BRAINLOF se genera y se mantiene vivo a partir de tu mapa de datos y de la operación diaria, sin rehacerlo cada vez.

Obliga especialmente a servicios esenciales y a Operadores de Importancia Vital a implementar un SGSI, designar un encargado de ciberseguridad, gestionar riesgos y reportar incidentes a la ANCI dentro de un plazo máximo de tres horas. Ya está vigente y no tiene período de gracia.

Menos del que parece. Durante los primeros doce meses de vigencia, las empresas de menor tamaño reciben amonestación escrita en lugar de multa por sus primeras infracciones. Eso termina en diciembre de 2027, y la amonestación no exime de corregir ni protege frente a un reclamo del titular.

Una consultoría entrega documentos; la fiscalización revisa operaciones. BRAINLOF deja evidencia operacional trazable por artículo de ley y monitoreo continuo, en lugar de un informe que pierde vigencia. Y deja capacidad instalada en tu equipo en vez de llevarse el conocimiento al terminar el proyecto.

El motor es agnóstico: ISO 27001, 27005, 9001 y 14001, NIST CSF, CIS, Normas Chilenas y marcos propios, además de las leyes chilenas 21.719, 21.663 y 20.584. Los marcos se cruzan entre sí para que un control evaluado responda a todas las normas que lo exigen.

La ANCI califica a los OIV mediante resolución y publica la nómina. El primer proceso se cerró el 24 de julio de 2026. Si tu institución fue calificada, se te notifica y quedas con obligaciones reforzadas exigibles de inmediato: SGSI, encargado de ciberseguridad, gestión de riesgos y reporte de incidentes en tres horas, con multas de hasta 40.000 UTM.

Sí, y es la vía por la que más organizaciones descubren que tienen obligaciones. La Ley 21.663 empuja a los OIV a exigir estándares a su cadena de proveedores, así que vas a recibir cuestionarios de seguridad y cláusulas contractuales que antes no existían. Responderlos con evidencia y no con promesas es hoy un requisito para seguir vendiéndoles.

No. La capa de inteligencia artificial está desacoplada de la lógica de negocio y opera con aislamiento estricto por organización: ni el usuario ni el modelo acceden a datos fuera del tenant y del rol de la sesión. Tus datos no alimentan modelos ni se usan para mejorar el servicio a otros clientes.

Separando quién encuentra de quién redacta. El reconocimiento funciona con reglas fijas y auditables sobre los datos que tu organización ya tiene cargados, y cada hallazgo señala los registros concretos que lo originan. Recién entonces la IA propone el riesgo redactado, y una persona lo acepta, lo edita o lo descarta.

La certificación acredita un momento; la fiscalización pregunta por la operación continua. La plataforma mantiene vivo el SGSI entre auditorías, cruza tu marco actual con las leyes 21.719 y 21.663 sin volver a levantar los mismos controles, y deja el expediente listo para la auditoría de seguimiento sin reconstruirlo.

Sí. El motor es agnóstico: además de los marcos incluidos, puedes definir marcos propios con tus controles, tus documentos exigidos y tu periodicidad, y cruzarlos con las normas externas para que un control evaluado responda a todas a la vez.

Documentos con cifrado de sobre y clave propia por organización en almacenamiento privado, aislamiento estricto entre organizaciones, control de acceso por rol, sesiones de corta vida, registro de accesos y defensas contra el OWASP Top 10. La plataforma opera sobre infraestructura de hosting con certificación SOC 2 tipo II e ISO 27001.

No necesitas ser experto: la IA trae el marco con sus controles, documentos y actividades, y guía paso a paso. Lo que una consultoría tradicional toma en meses se reduce a semanas. La implantación la hace un consultor certificado de la red, en la materia que tu norma exige.

Atienden 7×24 a tus clientes, pacientes, estudiantes o proveedores por chat, voz o portal; ejecutan el flujo del servicio con las reglas de tu organización; escalan a una persona cuando el caso pasa el umbral que tu equipo definió; y dejan la interacción registrada con base de licitud y consentimiento. No toman decisiones clínicas, financieras ni sancionatorias.

Sí. La Ley 21.719 regula las decisiones automatizadas que afectan a personas: exigen base de licitud, información al titular y derecho a oponerse. BRAINLOF permite inventariar tus sistemas de IA, designar un responsable por cada uno, registrar las decisiones y fijar qué resuelve el modelo y qué firma una persona.

Sí. El histórico de cumplimiento es tuyo y se exporta en formato de auditoría cuando lo pidas. Tu permanencia debería ser una decisión, no un costo de salida.

Sí, de dos formas distintas: certificamos aliados que implantan la plataforma en sus clientes, y acordamos canal con redes que incorporan muchas organizaciones a la vez. Se firman por separado porque son relaciones distintas.

La Ley 21.719 exige designar responsables del tratamiento y, en determinados casos, un encargado de prevención con funciones específicas. Aunque no estuvieras obligado, tener a alguien designado con alcance escrito es lo primero que revisa una fiscalización. Si no tienes a quién nombrar, la red de aliados presta el rol de forma externa.

La plataforma registra el incidente con su taxonomía, activa los plazos que corresponden y arma el expediente de notificación. Lo que no se puede improvisar es lo previo: tener el mapa de datos, el inventario de activos y el canal de comunicación definidos antes del incidente. Ese es el trabajo que la plataforma deja hecho.

Hoy la operación ocurre dentro de la plataforma y la evidencia se origina ahí, no importada desde afuera. Las integraciones nativas con proveedores de identidad, nube y SIEM, junto al inicio de sesión único y la API pública, están en desarrollo. Lo decimos así porque es la brecha más citada frente a las suites internacionales.

El asistente de plataforma es para tu equipo: guía la configuración y explica qué se registra en cada campo, y solo ve la documentación disponible para ese perfil — no accede a tus datos ni ejecuta acciones. Los agentes de servicio son para tus clientes: atienden 7×24, resuelven trámites completos y dejan la evidencia de cada interacción.

Una organización matriz gobierna a sus filiales o asociados con aislamiento estricto: cada una opera con su marca, sus datos y su propia clave de cifrado, mientras la matriz consolida el estado del grupo. Es la misma arquitectura que sostiene el programa de canal, y ya está construida.

Sí. El diagnóstico de exposición a la Ley 21.719 es gratuito, toma cuatro minutos y devuelve tus brechas priorizadas con el artículo que las obliga. Si avanzas, ese resultado es el punto de partida de la configuración, y la demo se hace con un proceso real tuyo en vez de una presentación de producto.