Asistentes de IA en Perú deben cumplir las reglas de datos personales

La Ley 29733 y su reglamento deben cumplirse también en los sistemas de inteligencia artificial. (Presidencia del Consejo de Ministros, 2026) El reglamento vigente fue aprobado mediante el Decreto Supremo 016-2024-JUS. Ese decreto derogó el reglamento aprobado por el Decreto Supremo 003-2013-JUS. (Ministerio de Justicia y Derechos Humanos, 2024) El nuevo reglamento entró en vigencia el 31 de marzo de 2025. (Autoridad Nacional de Protección de Datos Personales, 2025)

La orientación de la Presidencia del Consejo de Ministros exige una base legítima para tratar datos personales mediante inteligencia artificial. También incluye minimizar la recolección de datos sensibles e incorporar seguridad desde el diseño. (Presidencia del Consejo de Ministros, 2026)

La ubicación extranjera del proveedor no excluye la aplicación de la normativa peruana. El artículo VI del reglamento alcanza al encargado que trata datos por cuenta de un responsable establecido en Perú, independientemente de dónde se encuentre. Contratar un servicio externo exige examinar cómo tratará la información de la empresa bajo ese marco. (Ministerio de Justicia y Derechos Humanos, 2024)

Los artículos 1 y 2 del reglamento exigen consentimiento libre, previo, expreso, inequívoco e informado. La exigencia admite los supuestos del artículo 14 de la Ley 29733. La revisión de un asistente debe identificar qué tratamiento se sustenta en consentimiento y cuál corresponde a una excepción legal. (Ministerio de Justicia y Derechos Humanos, 2024)

Dmunoz Group trabaja con asistentes que responden por WhatsApp o desde una aplicación y registran solicitudes en el ERP del cliente. Las reglas de escalamiento a una persona forman parte de ese servicio.

TI debe documentar qué información requiere cada función y contrastarla con la base legítima del tratamiento. La minimización de datos sensibles se incorpora a esa revisión desde el diseño del sistema. (Presidencia del Consejo de Ministros, 2026) Cuando el sustento sea el consentimiento, corresponde comprobar que reúna las condiciones del reglamento. (Ministerio de Justicia y Derechos Humanos, 2024)

El envío de información personal a un modelo externo puede constituir una transferencia internacional. El artículo 18 exige que el país receptor tenga protección adecuada o que el exportador otorgue garantías adecuadas. La exigencia admite las excepciones del artículo 15 de la Ley. Este requisito es independiente de la base legal que permite tratar los datos. (Ministerio de Justicia y Derechos Humanos, 2024)

TI debe solicitar información sobre el destino de los datos y las condiciones del servicio antes de habilitar el envío. Con esa información se determina cómo se cumple la exigencia de protección adecuada o qué garantías corresponden. Si se invoca una excepción, se contrasta con los supuestos previstos en la Ley. (Ministerio de Justicia y Derechos Humanos, 2024)

Una empresa peruana puede encargar el tratamiento a un proveedor extranjero y mantenerlo dentro del alcance del artículo VI. (Ministerio de Justicia y Derechos Humanos, 2024)

El artículo 46 exige controles de acceso, autenticación y registros de interacción. Los registros deben conservarse como mínimo dos años. En la implementación de un asistente, corresponde verificar que la solución cumpla ambas exigencias. (Ministerio de Justicia y Derechos Humanos, 2024)

La PCM incluye la seguridad desde el diseño entre las orientaciones aplicables a la inteligencia artificial. El acceso del agente se define según el caso de uso autorizado y la información necesaria para operarlo. (Presidencia del Consejo de Ministros, 2026)

El artículo 34.1 establece un plazo de hasta 48 horas desde el conocimiento para notificar a la ANPD ciertos incidentes. Los incidentes comprendidos son los que involucran grandes volúmenes de datos, numerosos afectados, datos sensibles o perjuicio evidente a los derechos. La preparación operativa debe permitir reconocer esos supuestos y reunir la información dentro del plazo. (Ministerio de Justicia y Derechos Humanos, 2024)

El método de Dmunoz Group exige un indicador de negocio por cada intervención tecnológica. La línea base se calcula de forma reproducible y la aprueba el área de finanzas del cliente. Para el doble registro entre sistemas, el material metodológico propone medir las horas de digitación por semana. La intervención asociada es la integración entre Odoo y los sistemas del cliente.

Cada oportunidad lleva una fórmula de beneficio, una fuente de datos, supuestos y un rango. Una oportunidad sin fuente de datos se reporta como cualitativa. La medición comprometida se calcula con una consulta o un tablero repetible. La medición manual se admite solo para la línea base.

El servicio de agentes comienza con un caso acotado. Se mide con el equipo del cliente y se amplía cuando funciona. Los entregables incluyen el agente conectado a WhatsApp o a la aplicación del cliente, el registro automático de solicitudes en el ERP y un panel de conversaciones.

El diagnóstico dura 3 semanas, equivalentes a 15 días hábiles. La implementación y el control toman entre 12 y 24 semanas, en ciclos de 2 semanas. El traspaso incluye dueños de indicadores nombrados y un manual de operación. Las revisiones de sostenibilidad se realizan a los 3, 6 y 12 meses.

El MINJUSDH presenta la evaluación de impacto como un mecanismo preventivo para analizar riesgos y adoptar anticipadamente medidas de seguridad. La comunicación institucional no la describe como una obligación universal. Para un asistente empresarial, puede servir como instrumento de revisión previa, con el alcance que corresponda al tratamiento evaluado. (Ministerio de Justicia y Derechos Humanos, 2024)

La evaluación puede ordenar la revisión de la base legítima y de la información sensible prevista para el sistema. (Presidencia del Consejo de Ministros, 2026) Cuando exista un flujo internacional, incorpora el examen de las condiciones exigidas para la transferencia. También contrasta la solución con los controles de acceso y la conservación de registros previstos en el reglamento. (Ministerio de Justicia y Derechos Humanos, 2024)