Parte 15 — Tecnología, datos, IA y operación digital

La empresa moderna corre sobre software de terceros

🔴 Etapa 5 — Operar, vender y crecer · salida de la etapa: Empresa habilitada, operando y creciendo con control

Estado de evidencia: DINAMICO · Clases: 14 (197–210) · Fecha base normativa: 07-08-2026
Contenido central: Arquitectura mínima, identidad y accesos, respaldos probados, ciberhigiene, datos, IA y FinOps
Conceptos definidos en esta parte: 56

🎯 De qué trata esta parte

Casi ninguna pyme construye su tecnología: la contrata. Eso cambia la naturaleza del problema, que deja de ser técnico y pasa a ser de gobierno: qué sistemas son fuente de verdad de qué dato, quién tiene acceso a qué, qué pasa si un proveedor cambia sus reglas y cómo se sale de él. Esta parte trata la arquitectura mínima viable como una decisión de riesgo y costo, no de preferencia.

Cuatro controles cubren la mayor parte del riesgo de seguridad de una empresa pequeña: autenticación multifactor en todos los accesos, actualizaciones al día, respaldos probados con una restauración real, y formación básica del equipo frente a la ingeniería social. Son baratos y se omiten por comodidad hasta el primer fraude por correo. Un respaldo que nunca se restauró no es un respaldo: es una hipótesis.

La incorporación de IA generativa merece su propio marco. El orden razonable es proceso, datos, digitalización y luego modelo, porque automatizar un proceso desordenado produce desorden más rápido. Y cada uso de IA sobre datos de clientes activa obligaciones de protección de datos que hay que resolver antes, con acuerdo de tratamiento y revisión humana en las decisiones con efecto.

📚 Resultados de la parte

Al terminar esta parte podrás:

1. Definir una arquitectura mínima viable y justificar cada pieza por costo y riesgo.
2. Implantar identidad, accesos y gestión de secretos con principio de menor privilegio.
3. Probar respaldos con una restauración real y no solo confiar en el respaldo programado.
4. Usar IA en operaciones con trazabilidad, revisión humana y control de datos.

🗺️ Mapa de la parte

flowchart TB
    NEC["Necesidad de proceso"] --> DEC{{"¿Comprar, construir<br/>o integrar?"}}
    DEC -->|"proceso que diferencia"| CONS["Construir<br/>+ costo de mantención"]
    DEC -->|"paridad de mercado"| COMP["Comprar SaaS"]
    CONS & COMP --> ARQ["Arquitectura mínima viable:<br/>una fuente de verdad por dato"]
    ARQ --> ID["Identidad y accesos"]
    ID --> MFA["Multifactor · menor privilegio<br/>· baja al salir"]
    ARQ --> RESP["Respaldos con RPO/RTO"]
    RESP --> PRUEBA{{"Restauración probada:<br/>si no, no es respaldo"}}
    ARQ --> DATOS["Datos maestros<br/>y calidad"]
    DATOS --> BI["Analítica con<br/>métricas definidas"]
    DATOS --> IA{{"IA generativa y agentes"}}
    IA --> HIL["Humano en el circuito<br/>en acciones irreversibles"]
    IA --> TRAT["Acuerdo de tratamiento<br/>de datos personales"]
    COMP --> SALIDA["Plan de salida:<br/>portabilidad verificada"]
    ARQ --> FIN["FinOps: inventario<br/>de licencias y consumo"]

⚖️ Marco aplicable

• Ley 21.663 Marco de Ciberseguridad y su reglamentación
• Ley 21.719 en lo relativo a tratamiento automatizado y decisiones basadas en datos
• controles de referencia tipo CIS Controls y NIST CSF adaptados a pyme

Autoridades o contrapartes: ANCI, CSIRT Nacional, Agencia de Protección de Datos Personales (en implementación). Profesionales de apoyo: responsable de TI, consultor de ciberseguridad, analista de datos, abogado de datos.

⚠️ Riesgos característicos

• Respaldos que nunca se probaron y no restauran cuando se necesitan.
• Accesos compartidos y credenciales que sobreviven a la salida de una persona.
• Cargar datos personales o confidenciales de clientes en herramientas de ia sin base contractual.
• Dependencia de un saas sin plan de salida ni exportación de datos.

📘 Las 14 clases

🔤 Glosario de la parte

🔗 Cómo se conecta

Habilita la operación de la parte 13 y el CRM de la parte 14. Sus obligaciones de datos vienen de la parte 11, sus contratos de proveedor de la parte 10, y su continuidad se prueba en el plan de recuperación de la parte 21.

📖 Pauta bibliográfica

• Ley 21.663 Marco de Ciberseguridad y Ley 21.719 en tratamiento automatizado.
• CIS Controls v8 — controles priorizados y proporcionales para organizaciones pequeñas.
• NIST Cybersecurity Framework — funciones identificar, proteger, detectar, responder y recuperar.

🏛️ Fuentes oficiales de la parte

Biblioteca del Congreso Nacional · LeyChile — Normativa oficial consolidada <https://www.bcn.cl/leychile/> · verificado 2026-08-19

• Qué contiene: Publica el texto oficial y consolidado de leyes, decretos y reglamentos, con la versión vigente a una fecha, el historial de modificaciones y la tramitación que las originó.
• Cómo leerla: Usa siempre el selector de versión vigente a la fecha en que ejecutarás el trámite, no la última publicada. Y lee el artículo transitorio: en normas en implantación gradual —jornada, datos personales— ahí está la fecha que realmente te aplica.

Corporación de Fomento de la Producción — Innovación, inversión y garantías <https://www.corfo.cl/> · verificado 2026-08-19

• Qué contiene: Reúne los instrumentos de fomento a la innovación y la inversión, incluidos programas de capital semilla, escalamiento, garantías y cobertura de riesgo para el sistema financiero.
• Cómo leerla: Filtra por etapa de la empresa antes que por monto. Y verifica el componente de innovación que exige cada instrumento: presentar una expansión comercial como innovación es la causa más común de rechazo.