Opérez pendant que vous vous conformez

Elle a été publiée en décembre 2024 et est pleinement applicable depuis le 1er décembre 2026, après vingt-quatre mois d'adaptation. Les sanctions atteignent 20 000 UTM pour les infractions très graves et jusqu'à 4 % du chiffre d'affaires annuel en cas de récidive. L'Agence peut en outre ordonner la suspension du traitement et publier un registre national des sanctions.

C'est l'inventaire de la façon dont votre organisation traite les données personnelles : finalité, base légale, catégories de données, durées de conservation et destinataires. La loi exige de le tenir à jour. Dans BRAINLOF il est généré et maintenu vivant à partir de votre cartographie des données et de l'activité quotidienne, sans le refaire à chaque fois.

Elle oblige en particulier les services essentiels et les Opérateurs d'Importance Vitale à mettre en place un SMSI, à désigner un responsable cybersécurité, à gérer les risques et à signaler les incidents à l'ANCI dans un délai maximum de trois heures. Elle est déjà en vigueur et sans période de grâce.

Moins qu'il n'y paraît. Pendant les douze premiers mois d'application, les entreprises de petite taille reçoivent un avertissement écrit au lieu d'une amende pour leurs premières infractions. Cela prend fin en décembre 2027, et l'avertissement ne dispense pas de corriger ni ne protège contre une réclamation de la personne concernée.

Un cabinet livre des documents ; le contrôle examine des opérations. BRAINLOF laisse une preuve opérationnelle traçable par article de loi et un suivi continu, au lieu d'un rapport qui se périme. Et il laisse une capacité installée dans votre équipe au lieu d'emporter le savoir à la fin du projet.

Le moteur est agnostique : ISO 27001, 27005, 9001 et 14001, NIST CSF, CIS, Normes Chiliennes et référentiels propres, ainsi que les lois chiliennes 21.719, 21.663 et 20.584. Les référentiels se croisent entre eux pour qu'un contrôle évalué réponde à toutes les normes qui l'exigent.

L'ANCI désigne les OIV par résolution et publie la liste. Le premier processus s'est clos le 24 juillet 2026. Si votre établissement a été désigné, vous en êtes informé et vous avez des obligations renforcées immédiatement exigibles : SMSI, responsable cybersécurité, gestion des risques et signalement des incidents en trois heures, avec des amendes jusqu'à 40 000 UTM.

Oui, et c'est par là que la plupart des organisations découvrent qu'elles ont des obligations. La Loi 21.663 pousse les OIV à exiger des standards de leur chaîne de fournisseurs : vous allez donc recevoir des questionnaires de sécurité et des clauses contractuelles qui n'existaient pas avant. Y répondre avec des preuves et non des promesses est aujourd'hui une condition pour continuer à leur vendre.

Non. La couche d'intelligence artificielle est découplée de la logique métier et fonctionne avec un cloisonnement strict par organisation : ni l'utilisateur ni le modèle n'accèdent à des données en dehors du locataire et du rôle de la session. Vos données n'alimentent pas de modèles et ne servent pas à améliorer le service d'autres clients.

En séparant qui trouve de qui rédige. La détection fonctionne avec des règles fixes et auditables sur les données que votre organisation a déjà chargées, et chaque constat désigne les enregistrements précis qui en sont à l'origine. C'est seulement ensuite que l'IA propose le risque rédigé, et qu'une personne l'accepte, le modifie ou l'écarte.

La certification atteste d'un moment ; le contrôle interroge l'activité continue. La plateforme maintient le SMSI vivant entre deux audits, croise votre référentiel actuel avec les lois 21.719 et 21.663 sans remonter les mêmes contrôles, et laisse le dossier prêt pour l'audit de surveillance sans le reconstruire.

Oui. Le moteur est agnostique : outre les référentiels inclus, vous pouvez définir les vôtres avec vos contrôles, vos documents exigés et vos périodicités, et les croiser avec les normes externes pour qu'un contrôle évalué réponde à toutes à la fois.

Documents avec chiffrement d'enveloppe et clé propre par organisation dans un stockage privé, cloisonnement strict entre organisations, contrôle d'accès par rôle, sessions de courte durée, journalisation des accès et défenses contre l'OWASP Top 10. La plateforme s'exécute sur une infrastructure d'hébergement certifiée SOC 2 type II et ISO 27001.

Vous n'avez pas besoin d'être expert : l'IA apporte le référentiel avec ses contrôles, documents et activités, et guide pas à pas. Ce qu'un cabinet classique met des mois à faire se réduit à des semaines. La mise en œuvre est assurée par un consultant certifié du réseau, dans le domaine que votre norme exige.

Ils servent 24×7 vos clients, patients, étudiants ou fournisseurs par chat, voix ou portail ; ils exécutent le flux du service selon les règles de votre organisation ; ils escaladent vers une personne quand le cas dépasse le seuil défini par votre équipe ; et ils laissent l'interaction enregistrée avec sa base légale et son consentement. Ils ne prennent pas de décisions cliniques, financières ni disciplinaires.

Oui. La Loi 21.719 encadre les décisions automatisées qui touchent des personnes : elles exigent une base légale, une information de la personne concernée et un droit d'opposition. BRAINLOF permet d'inventorier vos systèmes d'IA, de désigner un responsable pour chacun, d'enregistrer les décisions et de fixer ce que le modèle règle et ce qu'une personne signe.

Oui. L'historique de conformité est à vous et s'exporte au format d'audit quand vous le demandez. Rester devrait être une décision, pas un coût de sortie.

Oui, de deux manières différentes : nous certifions des partenaires qui déploient la plateforme chez leurs clients, et nous concluons des accords de canal avec des réseaux qui intègrent de nombreuses organisations à la fois. Ils se signent séparément parce que ce sont des relations différentes.

La Loi 21.719 exige de désigner des responsables du traitement et, dans certains cas, un chargé de prévention avec des missions précises. Même si vous n'y étiez pas tenu, avoir quelqu'un de désigné avec un périmètre écrit est la première chose qu'un contrôle vérifie. Si vous n'avez personne à nommer, le réseau de partenaires assure ce rôle en externe.

La plateforme enregistre l'incident avec sa taxonomie, déclenche les délais applicables et constitue le dossier de notification. Ce qui ne s'improvise pas, c'est l'amont : avoir la cartographie des données, l'inventaire des actifs et le canal de communication définis avant l'incident. C'est le travail que la plateforme laisse fait.

Aujourd'hui l'activité a lieu dans la plateforme et la preuve y naît, elle n'est pas importée de l'extérieur. Les intégrations natives avec les fournisseurs d'identité, le cloud et le SIEM, ainsi que l'authentification unique et l'API publique, sont en développement. Nous le disons ainsi parce que c'est l'écart le plus souvent cité face aux suites internationales.

L'assistant de la plateforme est pour votre équipe : il guide la configuration et explique ce qui est enregistré dans chaque champ, et il ne voit que la documentation disponible pour ce profil — il n'accède pas à vos données et n'exécute pas d'actions. Les agents de service sont pour vos clients : ils répondent 24×7, règlent des démarches complètes et laissent la preuve de chaque interaction.

Une organisation mère gouverne ses filiales ou adhérents avec un cloisonnement strict : chacune opère avec sa marque, ses données et sa propre clé de chiffrement, tandis que la maison mère consolide l'état du groupe. C'est la même architecture qui soutient le programme de canal, et elle est déjà construite.

Oui. Le diagnostic d'exposition à la Loi 21.719 est gratuit, prend quatre minutes et renvoie vos écarts priorisés avec l'article qui les impose. Si vous allez plus loin, ce résultat est le point de départ de la configuration, et la démonstration se fait sur un de vos processus réels au lieu d'une présentation produit.