Chile se ha consolidado como uno de los ecosistemas fintech más dinámicos de América Latina. En 2017 había 65 empresas fintech en el país. En 2023 llegaron a 300. En 2024, el Fintech Radar Chile registró 348 compañías activas con un crecimiento interanual del 16%, y para 2025 el gremio FinteChile estima más de 500 empresas activas empleando a más de 35.000 personas. (Fuentes: Finnovista / Fintech Radar Chile 2024; FinteChile 2025)
Los segmentos más dinámicos son pagos digitales (15,8%), gestión financiera empresarial (17,8%), lending, open finance y proptech. En 2022, solo el 25% de las fintech chilenas superaba los US$100 millones en volumen de transacciones. Para 2025, esa cifra se estima en el 60,7% — más que duplicada en tres años. (Fuente: Fintech Radar Chile VI, Finnovista/Mastercard)
Las fintech chilenas comparten un conjunto de tensiones estructurales que se agudizan a medida que la regulación madura. No son problemas de mala voluntad — son consecuencias naturales de crecer más rápido que los marcos de control.
|
Regulacion que supera la velocidad de desarrollo
La Ley 21.521 exige registro CMF, APIs certificadas y políticas de ciberseguridad. La Ley 21.719 exige RAT, consentimientos válidos y EPD. Las startups no tienen equipos legales internos para absorber dos marcos regulatorios nuevos simultáneamente.
Datos de clientes sin gobernar
Las fintech recopilan datos financieros, conductuales y de identidad de sus usuarios. En muchos casos no existe un RAT actualizado, no hay base legal documentada para cada tratamiento y los datos se comparten con terceros (APIs, analytics, CRMs) sin contratos DPA.
Dependencia de proveedores tecnologicos extranjeros
La mayoría de las fintech chilenas usa proveedores SaaS globales (AWS, Stripe, Twilio, Salesforce). La Ley 21.719 exige contratos DPA con cada uno. La transferencia internacional de datos activa el régimen de TIDP de la ley.
|
Consentimiento mal capturado
El consentimiento para el SFA (Ley 21.521) debe cumplir los estándares de la Ley 21.719: libre, específico, informado e inequívoco. Los checkboxes genéricos de "acepto los términos" no son válidos bajo ninguna de las dos leyes. La mayoría de los onboardings digitales actuales no pasan ese test.
Sin EPD designado
Las fintech que tratan datos a gran escala o que procesan datos sensibles (datos financieros, scores crediticios, biometría para KYC) tienen la obligación de designar un EPD. Muy pocas lo han hecho. (Fuente: Prey Project / Neuronet 2026)
Ausencia de protocolo de brechas
Las filtraciones de datos en Chile crecieron un 188% en 2025. Las fintech que no tienen un protocolo de notificación de brechas activo no pueden cumplir el plazo legal de notificación a la APDP cuando ocurra un incidente. (Fuente: Anami.cl 2026)
|
| GAP | Ley afectada | Nivel de riesgo |
|---|---|---|
| Sin RAT documentado | Ley 21.719 Art. 16 | CRITICO |
| Consentimiento invalido en onboarding | Ley 21.719 Art. 12 + Ley 21.521 Art. 23 | CRITICO |
| Proveedores SaaS sin contrato DPA | Ley 21.719 + NCG 514 (externalización) | CRITICO |
| Sin EPD designado | Ley 21.719 Art. 49 bis | ALTO |
| Sin canal ARCOP operativo | Ley 21.719 Art. 22-26 | ALTO |
| APIs del SFA sin EIPD previa | Ley 21.719 Art. 15 + NCG 514 | ALTO |
| Sin protocolo de notificacion de brechas | Ley 21.719 Art. 49 + Ley 21.663 | ALTO |
| Politica de privacidad desactualizada | Ley 21.719 Art. 12 — Transparencia | MEDIO |
|
R1
|
Sancion multiple y simultanea
Una fintech puede ser sancionada por la CMF (incumplimiento Ley 21.521/NCG 514), por la APDP (incumplimiento Ley 21.719) y por el Ministerio Público (Ley 21.595) ante el mismo incidente. Son tres procesos independientes. La multa de la APDP puede llegar a 20.000 UTM (~$1.397 millones CLP). (Fuente: Netprovider 2026)
|
|
R2
|
Perdida de licencia CMF
Las fintech que no cumplan con los estándares técnicos de la NCG 514 o que presenten deficiencias graves en sus políticas de ciberseguridad pueden ver suspendida o revocada su inscripción en el Registro de Prestadores CMF — lo que equivale a la pérdida de la licencia para operar. (Fuente: Banproyecta / CMF NCG 514)
|
|
R3
|
Riesgo reputacional irreversible
El 63% de las empresas que sufrieron brechas no tenía política de gobernanza de datos. Para una fintech, una brecha de datos de clientes financieros es devastadora: pérdida de confianza, fuga de usuarios y dificultades para levantar capital. La Ley 21.719 obliga a notificar públicamente — lo que convierte cualquier incidente en un evento de reputación. (Fuente: Netprovider 2026)
|
|
R4
|
Bloqueo en expansión internacional
Las fintech que aspiran a operar en Europa o en mercados con estándares GDPR necesitan demostrar adecuación en protección de datos. La Ley 21.719 posiciona a Chile como "puerto seguro" para transferencias internacionales — pero solo para las empresas que cumplan. Las que no, quedan excluidas de esos mercados. (Fuente: Neuronet 2026)
|
|
R5
|
Responsabilidad personal de fundadores y CTO
La Ley 21.595 establece que la empresa responde penalmente incluso sin dolo directo si fallaron los controles. El CTO que no implementó controles de acceso, el CEO que no aprobó una política de seguridad documentada, pueden ser personalmente responsables. En una startup donde fundadores y operadores son la misma persona, el riesgo es directo. (Fuente: Trino360 2025)
|
La buena noticia es que el compliance fintech no requiere un equipo de 20 personas. Requiere metodología, priorización y ejecución sistemática. Esta es la secuencia que ShellTI recomienda para fintech de cualquier tamaño: