Una IA puede trabajar con los datos de tu empresa, pero los que identifican a clientes o trabajadores siguen protegidos por la Ley 29733. Si el servicio de IA los procesa fuera del Perú, es un flujo transfronterizo: necesita garantías y hay que comunicarlo a la Autoridad. Lo práctico es empezar por datos que no identifican a nadie y sumar los personales con reglas escritas.
Lo escribo desde el lado de quien conecta asistentes a los datos de una empresa. No es asesoría legal: es lo que dice la norma, artículo por artículo, y cómo lo aplicamos al diseñar. Para tu caso concreto, consulta a un abogado.
¿Qué cambió con el nuevo reglamento de la Ley 29733?
El Decreto Supremo 016-2024-JUS aprobó un reglamento nuevo de la Ley de Protección de Datos Personales. Se publicó en El Peruano el 30 de noviembre de 2024, derogó el reglamento de 2013 y entró en vigencia 120 días calendario después.
Para quien quiere usar IA, trae cuatro cosas que antes no estaban así de claras:
- Reglas para los servicios de terceros. Llama «medios tecnológicos tercerizados» a los servicios, aplicaciones e infraestructura que procesan datos de forma automática (artículo 28). Un servicio de IA en la nube entra ahí.
- Plazo para avisar de una fuga: 48 horas (artículo 34).
- Un responsable designado, el Oficial de Datos Personales, para ciertas empresas y con fechas escalonadas (artículo 37).
- Infracciones con nombre propio, como no comunicar el envío de datos al extranjero o no designar al oficial cuando corresponde (artículo 132).
¿Qué datos cuentan como personales y cuáles como sensibles?
Dato personal es todo lo que identifica a una persona o la hace identificable: nombre, DNI, celular, correo, dirección, historial de compras asociado a un cliente.
Los datos sensibles tienen un trato más estricto. El reglamento los define como los datos genéticos o biométricos, los neuronales, los morales o emocionales, los de la vida afectiva o familiar, los hábitos personales más íntimos, la afiliación sindical y la salud física o mental. Hay más de estos en una pyme de lo que parece: la huella del control de asistencia es un dato biométrico, y el descanso médico de un trabajador es un dato de salud.
¿Usar un servicio de IA con datos de clientes está permitido?
Sí, con condiciones. El artículo 28 permite contratar el tratamiento por medios tecnológicos tercerizados siempre que se garantice lo que piden la ley y el reglamento. El artículo 29 fija lo mínimo que debe cumplir ese servicio:
- No quedarse con la titularidad de tus bancos de datos.
- Garantizar la confidencialidad, la integridad y la disponibilidad de los datos.
- Dejarte a ti el control, las decisiones y la responsabilidad sobre el tratamiento.
- Garantizar y dejar evidencia de que los datos se destruyen, o quedan inaccesibles, al terminar el servicio.
- Informar con transparencia las subcontrataciones que toquen esa información.
El artículo 30 agrega que el proveedor debe avisarte de los cambios en su política de privacidad, dejarte limitar el tipo de tratamiento y mantener medidas de seguridad adecuadas.
Traducido a preguntas para cualquier proveedor de IA: ¿en qué país procesa los datos?, ¿los usa para entrenar sus modelos?, ¿cuánto tiempo los guarda y cómo los borra?, ¿puedo limitar para qué los usa?, ¿con quién más los comparte? Si no responde por escrito, no es el proveedor para datos de tus clientes.
¿Mandar datos a una IA en otro país es un flujo transfronterizo?
Si el destinatario está fuera del Perú, sí. El reglamento llama flujo transfronterizo a la transferencia de datos personales a un destinatario situado en un país distinto al de origen de los datos, sin importar el soporte.
Tiene tres reglas:
- País con nivel adecuado o garantías. El receptor debe estar en un país con un nivel de protección adecuado. Si no lo está, quien envía los datos debe dar garantías, por ejemplo con cláusulas contractuales modelo (artículos 18 y 20).
- Siempre se comunica. «En cualquier caso», el flujo transfronterizo se pone en conocimiento de la Autoridad Nacional de Protección de Datos Personales y se inscribe en el Registro Nacional de Protección de Datos Personales (artículo 21.2).
- No comunicarlo es infracción. Está en la lista de infracciones leves (artículo 132, numeral 8).
El caso más común no es un proyecto de IA. Es alguien del equipo que pega una lista de clientes en un chat de IA para que se la ordene. Eso también es tratamiento de datos personales por un servicio de terceros, y probablemente fuera del Perú. Por eso el primer control no es técnico: es una regla escrita para el equipo sobre qué se puede pegar y qué no. Sobre cómo lograr que esas reglas se usen de verdad escribí en adopción de IA en empresas.
¿Qué pasa si hay una fuga de datos?
El artículo 34 pide notificar a la Autoridad en 48 horas como máximo desde que la empresa toma conocimiento, cuando el incidente expone grandes volúmenes de datos, afecta a muchas personas, toca datos sensibles o causa un perjuicio evidente. Si pasa en el entorno digital, también se notifica al Centro Nacional de Seguridad Digital. Y si afecta otros derechos de la persona, hay que avisarle a ella en el mismo plazo, en lenguaje sencillo.
Dos detalles que importan cuando usas proveedores. El encargado del tratamiento debe informarte de inmediato de cualquier incidente que conozca (artículo 36). Y todo incidente se documenta, aunque no haya que notificarlo (artículo 35). Si tu contrato con el proveedor no dice cómo te avisa, no vas a llegar a las 48 horas.
¿Mi empresa necesita un Oficial de Datos Personales?
Depende de qué datos trate y de cuánto venda. El artículo 37 lo exige, entre otros casos, a quien trata grandes volúmenes de datos o datos sensibles, o a quien tiene como giro principal el tratamiento de datos sensibles: una clínica o un laboratorio, por ejemplo.
Para esas empresas, el reglamento fija fechas según las ventas anuales. Con la UIT de 2026, que es de S/ 5,500:
- Más de 2,300 UIT (más de S/ 12.65 millones al año): desde el 30 de noviembre de 2025.
- Medianas, de 1,700 a 2,300 UIT (de S/ 9.35 a S/ 12.65 millones): desde el 30 de noviembre de 2026.
- Pequeñas, de 150 a 1,700 UIT (de S/ 825,000 a S/ 9.35 millones): desde el 30 de noviembre de 2027.
El oficial puede ser alguien de la empresa o un tercero, y sus datos de contacto se publican y se comunican a la Autoridad dentro de los 15 días siguientes a su designación.
Un orden para conectar una IA sin exponer a nadie
- Lista los datos que va a tocar la IA y sepáralos en tres grupos: datos del negocio sin personas (catálogo, precios, horarios, procedimientos), datos personales y datos sensibles.
- Empieza por el primer grupo. Un asistente que responde precios, stock, horarios o el estado de un pedido por su código no necesita saber quién pregunta. Es donde más rápido se recupera la inversión y donde casi no hay riesgo.
- Si necesitas datos personales, quita lo que sobra antes de enviarlos. Para resumir un reclamo, el modelo no necesita el DNI ni el celular. El reglamento llama disociación al procedimiento que impide identificar a la persona (artículo 41).
- Pon el control de acceso fuera del modelo. El asistente solo debe recuperar los documentos que la persona que pregunta tiene permiso de ver. Pedirle al modelo «no muestres esto» no es un control.
- Revisa al proveedor con las preguntas de arriba y deja las respuestas en el contrato.
- Si procesa fuera del Perú, da las garantías y comunica el flujo transfronterizo.
- Escribe el plan de incidentes: quién detecta, quién decide, a quién se avisa y en cuántas horas.
- Actualiza tu política de privacidad para que diga para qué usas los datos y qué servicios de terceros intervienen.
¿Cómo lo hacemos en Árkos?
En cada proyecto de integración de IA para empresas en Perú definimos desde el inicio qué información puede ver el modelo y cuál no. El control de acceso se aplica al recuperar los documentos, no se le pide al modelo en el prompt. Los datos personales se filtran antes de salir de tu sistema, la integración se configura para que tus datos no se usen en entrenamiento y cada respuesta queda trazada a la fuente que la produjo.
Si quieres empezar por ordenar qué datos tienes y dónde están, eso es parte del diagnóstico de procesos: dos semanas, S/ 950 y garantía de devolución si no encuentra pérdidas de al menos tres veces su precio al año. Si el primer paso es que tu equipo sepa qué puede pegar en una IA y qué no, eso se trabaja en el taller de adopción de tecnología.
Preguntas frecuentes
¿Puedo usar ChatGPT o Claude con datos de mis clientes en Perú?
Sí, si cumples la Ley 29733: informar la finalidad, aplicar medidas de seguridad y contratar el servicio con las condiciones del artículo 29 del reglamento. Si el proveedor procesa los datos fuera del Perú, es un flujo transfronterizo y se comunica a la Autoridad Nacional de Protección de Datos Personales.
¿Qué es un flujo transfronterizo de datos personales?
Es la transferencia de datos personales a un destinatario situado en otro país. El reglamento de la Ley 29733 exige que ese país tenga un nivel adecuado de protección o que quien envía los datos dé garantías, y que el flujo se inscriba en el Registro Nacional de Protección de Datos Personales.
¿En cuánto tiempo hay que reportar una fuga de datos en Perú?
En 48 horas como máximo desde que la empresa la conoce, cuando expone grandes volúmenes de datos, afecta a muchas personas, toca datos sensibles o causa un perjuicio evidente. Si el incidente ocurre en el entorno digital, también se notifica al Centro Nacional de Seguridad Digital.
¿Qué datos no debería ver una IA en mi empresa?
Los que no necesita para la tarea. Un asistente de ventas no necesita DNI ni datos de salud, y uno de soporte puede trabajar con el código del pedido en vez del nombre del cliente. Los datos sensibles, como la salud, la huella digital o la afiliación sindical, son los que más cuidado piden.
¿Una pyme necesita un Oficial de Datos Personales?
Solo si trata grandes volúmenes de datos o datos sensibles, o si su giro principal es tratar datos sensibles. Para las pequeñas empresas en esa situación, con ventas de 150 a 1,700 UIT al año, la obligación rige desde el 30 de noviembre de 2027.
Fuentes
- Ministerio de Justicia y Derechos Humanos, Decreto Supremo 016-2024-JUS, que aprueba el reglamento de la Ley 29733, publicado en El Peruano el 30 de noviembre de 2024 (texto completo en PDF). Artículos citados: III (definiciones), 18, 20, 21, 28 a 30, 34 a 37, 41 y 132, y la Primera Disposición Complementaria Final.
- El Peruano, Decreto Supremo 301-2025-EF, que fija la UIT de 2026 en S/ 5,500.