El 15 de septiembre de 2026, la Comisión para el Mercado Financiero (CMF) de Chile publicó la versión definitiva y vinculante de la Norma de Carácter General (NCG) N° 576, que modifica la NCG 540 para reestructurar el sistema de administración del consentimiento que deben operar los reportantes del Registro de Deuda Consolidada (REDEC). La norma obliga a todo reportante del REDEC, incluidos bancos, cooperativas y originadores de crédito chilenos, a archivar consentimientos digitalizados, notificar al deudor al otorgar o revocar el consentimiento, asignar un código interno, cumplir un Anexo Técnico de formatos e integrar tres APIs operativas.
La norma recoge los aportes de dos consultas públicas: la primera, entre el 2 de noviembre y el 23 de diciembre de 2025 (más de 200 comentarios de 22 entidades), y la segunda, entre el 22 de mayo y el 15 de junio de 2026 (167 comentarios de 19 entidades). El cambio más relevante frente al proyecto consultado es la eliminación del hash encriptado obligatorio para el almacenamiento del consentimiento, reemplazado por un estándar de archivo basado en principios y tecnológicamente neutral. El texto completo y el Informe Normativo de la CMF están en el comunicado oficial de la CMF.
¿Qué reemplazó al hash y por qué reduce el costo de cumplimiento?
El proyecto consultado exigía que los reportantes almacenaran los consentimientos tras un código encriptado (hash). La NCG 576 final elimina ese mecanismo prescriptivo y lo reemplaza por una obligación basada en principios: los consentimientos digitalizados deben almacenarse mediante mecanismos que garanticen confidencialidad, integridad, autenticidad, fidelidad y verificabilidad en el tiempo. La CMF espera que el enfoque tecnológicamente neutral reduzca los costos de implementación manteniendo el fin probatorio que cumplía el hash. Los reportantes pueden elegir el mecanismo de almacenamiento que mejor se ajuste a su arquitectura, siempre que cumpla los cinco principios.
¿Qué nuevos deberes frente al deudor aplican y por qué canales?
Los reportantes deben notificar al deudor cada vez que otorga o revoca un consentimiento, y la notificación debe incluir la fecha, hora, canal y código interno del consentimiento, mejorando la transparencia y la trazabilidad. Un Anexo Técnico define los formatos requeridos para los consentimientos digitalizados, y cada consentimiento debe llevar un código interno asignado que permanezca trazable durante toda la vigencia de la operación reportable.
Los deudores también obtienen un nuevo derecho de autogestión: pueden revocar la autorización a un tercero antes de que termine su vigencia directamente en la plataforma "Conoce tu Deuda" de la CMF, una vía de revocación que no existía en el proyecto consultado.
¿Qué deben integrar los reportantes del REDEC y quién puede exceptuarse?
Tres APIs operacionalizan la interacción entre los reportantes y la CMF en torno al REDEC: API1 para la consulta de información del REDEC (ya en producción), API2 para que la CMF solicite consentimientos digitalizados a los reportantes, y API3 para que los reportantes envíen esos consentimientos. La norma incorpora API2 y API3 al marco normativo por primera vez, dando a los reportantes un contrato fijo sobre el cual construir.
La norma también crea un régimen de excepción ordenado: las entidades cuyo modelo de negocio implica que no acceden a la información del deudor sujeta a consentimiento quedan liberadas de los requerimientos asociados a su administración, en lugar de ser forzadas a un proceso de talla única. Los reportantes deben evaluar tempranamente si su modelo califica, ya que la excepción elimina una capa de deberes y no el marco completo.
¿Quién está afectado y con qué rapidez deben avanzar?
Los reportantes del REDEC incluyen a los principales bancos y reportantes de datos de crédito chilenos (Banco de Chile, BancoEstado, Santander Chile, BCI, Itaú, Scotiabank Chile), cooperativas como Coopeuch, y otros originadores de crédito que alimentan el registro de deuda consolidada. Sus equipos de consentimiento, riesgo de crédito y gobernanza de datos asumen la carga de implementación.
La norma fija un calendario de implementación gradual en su sección Vigencia en lugar de una sola fecha tope, de modo que cada deber (archivos digitalizados, notificaciones al deudor, códigos internos, integración de API2 y API3, revocación en Conoce tu Deuda) tiene su propio plazo de entrada en vigencia. Los reportantes deben revisar esa sección y mapear cada deber a su fecha aplicable.
| Deber | Proyecto consultado | NCG 576 final (15 de septiembre de 2026) |
|---|---|---|
| Almacenamiento del consentimiento | Código encriptado (hash) obligatorio | Archivo basado en principios, tecnológicamente neutral (confidencialidad, integridad, autenticidad, fidelidad, verificabilidad) |
| Notificación al deudor | No especificada | Obligatoria al otorgar y revocar (fecha, hora, canal, código interno) |
| Formato del consentimiento | No estandarizado | Formatos del Anexo Técnico más código interno del consentimiento |
| Revocación de tercero | No disponible | El deudor revoca vía "Conoce tu Deuda" antes del término de vigencia |
| Integración reportante a CMF | Parcial | Tres APIs: API1 (consulta, en producción), API2 (CMF solicita), API3 (reportantes envían) |
| Régimen de excepción | Talla única | Exclusión voluntaria para entidades que no acceden a datos sujetos a consentimiento |
El monitoreo continuo por jurisdicción detecta una norma como esta apenas la CMF la publica, antes de que comience a correr el reloj de implementación.
Suscribase a la newsletter gratuita
Próximos pasos para los reportantes del REDEC: confirmen que su entidad está sujeta a la norma y si el régimen de excepción se ajusta a su modelo de negocio; revisen el calendario de Vigencia y asignen cada deber (archivos digitalizados, notificaciones al deudor, códigos internos, integración de API2 y API3) a su fecha de entrada en vigencia; informen a sus equipos de gobernanza de datos, riesgo de crédito e integración de TI; y verifiquen que su mecanismo de archivo de consentimiento cumpla los cinco principios que la CMF exige ahora, en lugar del hash eliminado. El texto normativo completo y el Informe Normativo de la CMF están en el sitio institucional.
