Protección de datos personales e IA en Perú: lo que tu empresa debe cuidar

Qué ley regula la protección de datos personales en Perú

• Ley N.º 29733, Ley de Protección de Datos Personales (2011).
• Reglamento aprobado por DS N.º 016-2024-JUS, publicado en El Peruano el 30 de noviembre de 2024 y vigente desde el 31 de marzo de 2025. Reemplazó al reglamento anterior de 2013.
• Autoridad: Autoridad Nacional de Protección de Datos Personales (ANPD).

Además, la Ley N.º 31814, que promueve el uso de la inteligencia artificial, y su reglamento ponen énfasis en un uso responsable y respetuoso de los derechos, lo que incluye la privacidad. Lo explicamos en qué implica el reglamento de la Ley 31814 para empresas.

Entidades públicas. Las entidades de la Administración Pública tienen obligaciones específicas de IA en el reglamento para entidades públicas, además de la Ley 29733 cuando tratan datos personales.

Dónde se cruzan la IA y los datos personales

• Chatbots y agentes de WhatsApp: reciben nombres, teléfonos, DNI, direcciones, comprobantes de pago y, a veces, datos sensibles.
• Asistentes internos (RAG): leen documentos que pueden contener datos de clientes o trabajadores.
• Modelos de scoring o clasificación: toman decisiones o recomendaciones sobre personas.
• Proveedores de modelos en la nube: los datos pueden procesarse fuera del Perú (flujo transfronterizo).

La normativa vigente y el nivel de adopción están en el informe de adopción de IA en empresas peruanas 2026.

Checklist práctico para empresas

1. Inventario: qué datos personales usa cada solución de IA, de dónde vienen y para qué.
2. Base legal y consentimiento: informar con claridad y obtener consentimiento cuando corresponda, en especial para fines comerciales.
3. Minimización: el agente solo debe ver los datos que necesita para su tarea.
4. Proveedores: revisar dónde procesan los datos y qué hacen con ellos (por ejemplo, si los usan para entrenar modelos) y firmar los contratos adecuados.
5. Seguridad: control de accesos, registro de acciones del agente, cifrado y retención limitada.
6. Derechos de los titulares: un canal para atender solicitudes de acceso, rectificación, cancelación y oposición.
7. Bancos de datos: verificar las obligaciones de registro ante la ANPD.
8. Supervisión humana: sobre todo cuando la IA influye en decisiones sobre personas.

El nuevo reglamento incorporó obligaciones adicionales (por ejemplo, sobre incidentes de seguridad y la figura del oficial de datos personales en ciertos casos). Conviene revisarlas con un especialista según el tamaño y el tipo de tratamiento de tu empresa.

Cómo diseñamos IA con datos personales en ANDE

Desde el diagnóstico definimos qué datos ve cada agente, dónde se procesan y cómo queda registrada cada acción. Esa práctica viene de productos propios como Helia (2025), una plataforma de inteligencia legal, donde trabajar con fuentes trazables es parte del diseño. No somos un estudio de abogados: cuando un proyecto lo requiere, trabajamos junto con el asesor legal de la empresa.

Escenario de ejemplo: agente de WhatsApp en una clínica

Escenario ilustrativo, no corresponde a un cliente real.

Una clínica quiere un agente que agende citas por WhatsApp. El diseño responsable separa lo necesario (nombre, teléfono, especialidad, horario) de lo sensible (síntomas o diagnósticos), evita que el agente pida datos de salud que no necesita, informa el uso de los datos en el primer mensaje y deriva a una persona cualquier consulta médica.

Fuentes

• Ley N.º 29733, Ley de Protección de Datos Personales.
• Decreto Supremo N.º 016-2024-JUS, nuevo Reglamento de la Ley 29733 (El Peruano, 30-11-2024; vigente desde 31-03-2025). ANPD
• Ley N.º 31814, que promueve el uso de la inteligencia artificial.