Apagaste el entrenamiento. Tu consulta salió igual por la puerta

Qué filtraron 42 plataformas de chat en mayo de 2026

Empecemos por quién hizo el recuento. Bekos, Tsouvalas, Nikiforakis y Polychronakis, de la Universidad de Stony Brook, auditaron 42 plataformas de chat con IA con interfaz web: 25 asistentes de uso general y 17 hechos para un solo campo —educación, salud y asesoría legal—. La ventana de medición fue del 6 al 20 de mayo de 2026, desde un único punto en el este de Estados Unidos, con el aviso de cookies aceptado, porque es lo que hace un visitante normal.

El resultado es contundente. De las 42, 21 enviaron el título de la conversación a un rastreador de terceros y 9 enviaron la consulta literal que la persona había escrito. Solo en el grupo de uso general, 13 de 25 filtraron el título y 4 filtraron el texto de la consulta.

La escala importa más que el número de plataformas. Cada consulta escrita en un asistente de uso general generó 540 peticiones salientes, de las cuales 118 —el 22%— fueron a un dominio de una lista de rastreadores conocida. En las sesiones que midieron, los investigadores registraron 153 dominios de rastreo distintos, unos 13 por sesión.

Y el tráfico no está repartido. Google se llevó más del 40% de las peticiones de rastreo, Microsoft el 12,2%, ByteDance el 8,6% y Meta el 8,3%: más del 70% en manos de cuatro empresas. Esa concentración es lo que convierte esto en una decisión sobre la que una pyme puede actuar y no en una niebla de riesgo.

Los hallazgos no están solos. Un segundo equipo, Jazlan, Wang, Vekaria y Shafiq, de la Universidad de California en Davis, midió 20 chatbots populares en sesiones normales y encontró 47 propietarios de terceros distintos y 178 pares chatbot-tercero distintos. Diecisiete de los 20 compartieron algo con al menos un tercero durante una sola conversación normal, y tres —Genspark, SeaArt y ChatOn— enviaron el texto de la conversación en claro a Microsoft Clarity, una herramienta de grabación de sesión.

Dos detalles del trabajo de Stony Brook evitan que esto se lea como el escándalo de un solo proveedor. Algunas plataformas estaban más limpias de lo que sugiere el titular: Gemini, Meta AI y Duck.ai no contactaron con ningún tercero en las sesiones de UC Davis. Y ChatGPT y Grok retiraron los rastreadores que los investigadores encontraron durante el estudio, antes de entregar el artículo: el recuento es la foto de quince días, no una propiedad permanente de ningún producto.

Lo que sí deja claro es un fallo concreto de expectativa. Puedes leerte todas las páginas de privacidad, desactivar el entrenamiento del modelo y seguir con una pestaña abierta que, sin avisar, envía lo primero que escribiste —a menudo el nombre del cliente, la referencia de la pieza o el trabajo que originó la pregunta— a una red publicitaria que no elegiste.

La fuga no es el ajuste de entrenamiento

Todas las guías sobre cómo usar la IA en el trabajo, incluidas las que escribimos nosotros, te dicen que desactives el entrenamiento del modelo y que taches los nombres antes de pegar. Son dos buenas costumbres. Ninguna de las dos cierra el canal que midió el equipo de Stony Brook, porque los datos no salen por el modelo: salen por la página que rodea al modelo.

El mecanismo es casi aburrido. La plataforma de chat trata cada conversación como una subpágina y le escribe un título, generado a partir de tu primera consulta. Los rastreadores que corren en esa página leen el título con una sola llamada al DOM: document.title en ocho de las nueve plataformas estudiadas, o document.querySelector("title") en el caso del píxel de Meta. Microsoft Clarity va más allá y recorre el DOM leyendo texto y valores de los campos. You.com mete la consulta en la URL de la página, donde los parámetros publicitarios la recogen. Nada de esto necesita acceso al modelo, a la cuenta ni a la API: solo a la página web que ya tienes delante.

Por eso el análisis del artículo señala una brecha entre la política de privacidad y la fontanería real. Varias plataformas afirman que los datos no se venden ni se comparten para publicidad segmentada mientras hay píxeles publicitarios funcionando en esa misma página y recogiendo el contexto de la conversación.

La identidad viaja con todo esto. De las 13 plataformas de uso general que filtraron contexto, 11 enviaron también el correo con el que te registraste, y en 8 de ellas una misma empresa recibió tanto el correo como el contexto de la conversación. En Writesonic y You.com los dos datos viajaron en la misma petición. A lo largo de la medición, Google recogió contexto de 8 plataformas en 230 peticiones y Meta en unas 55. En las plataformas legales y sanitarias la tasa de fuga era más alta, no más baja: el 39,7% de las peticiones fueron a rastreadores, frente al 22% de los asistentes de uso general.

Las políticas no son un mapa fiable. En el estudio de UC Davis, 8 de las 20 políticas de privacidad no nombraban ni a uno solo de los terceros que se observó recibiendo datos; ChatOn, SeaArt y Genspark nombran a algunos destinatarios pero se saltan por completo al proveedor de grabación de sesión. Si lees la política para decidir si una herramienta es segura, estás leyendo un documento que, en la cuarta parte de los casos medidos, está incompleto sobre adónde va el tráfico.

Conviene mantener una cosa en su justa medida: esto es una fuga de contexto, es decir, el título, la consulta, la URL, el correo de la cuenta. En las plataformas medidas no es la grabación de toda tu conversación subida a algún sitio, salvo en los tres casos en que la grabación de sesión capturó el texto en claro. El daño que estás gestionando es la primera línea que escribiste, sentada en los registros de una red publicitaria junto a tu correo electrónico y ligada a una cuenta de empresa con nombre y apellidos.

Lo que expone una empresa de diez personas, en números

Es fácil quitarse de encima las cifras abstractas. Mete a tu propia empresa en la aritmética y deja a la vista cada supuesto.

Supón una empresa de diez personas en la que cuatro usan un asistente de IA para responder a clientes, hacer presupuestos y escribir descripciones de producto: seis consultas cada uno al día. Son 24 consultas al día, unas 6.000 al año con 250 días laborables. En una plataforma de uso general de las medidas en el estudio, cada consulta generó 540 peticiones salientes, 118 de ellas a dominios de rastreo. Haz la multiplicación: 2.832 peticiones de rastreo al día, cerca de 708.000 al año, por cuatro personas haciendo su trabajo.

Son peticiones, no conversaciones, y conviene decirlo cuando alguien te lo devuelva como argumento. La segunda cifra es la que escuece. De las 42 plataformas auditadas, 21 sacaron fuera el título de la conversación y 9 sacaron la consulta literal. En You.com, los investigadores contaron 62 peticiones por consulta que llevaban el título de la conversación a Google y 92 que llevaban el texto de la consulta. Una pregunta escrita por una persona, con el nombre del cliente dentro, se convierte en 92 peticiones registradas a un tercero.

Ahora el contrafactual, porque ahí es donde vive la decisión. Si esas mismas cuatro personas usaran el modo privado o temporal del asistente, las mediciones de UC Davis encontraron que los pares con terceros bajaban de 178 a 13 y los propietarios terceros de 47 a 3, sin ninguna exposición de contenido ni de identidad observada en ninguna sesión privada. Misma plataforma, mismo modelo, misma calidad de respuesta. Un interruptor.

El precio a pagar es la fricción: no hay historial por el que desplazarse, ni aquella respuesta guardada del mes pasado para reutilizar. Para una empresa que usa el asistente como un buscador con mejor gramática, no cuesta nada. Para la que se ha montado una biblioteca de consultas e hilos guardados, le quita una función de la que depende. Por eso la sección siguiente va de elegir persona a persona en lugar de cambiar todo de golpe.

Mete también el correo electrónico en la aritmética, porque es la pieza que convierte una petición anónima en una identificada. En 8 de las 13 plataformas de uso general que filtraron contexto, la misma empresa recibió tanto el contexto de la conversación como el correo de la cuenta; en 2, los dos salieron en una sola petición. Si tu equipo usa una cuenta compartida tipo info@ para el asistente, todas esas peticiones apuntan al mismo buzón.

Elige la vía de acceso a propósito

La pregunta útil no es «qué asistente es seguro» —la respuesta cambia con la versión, la región y la quincena—. Es «por qué vía entramos al asistente y para qué tipo de contenido». Cuatro vías cubren casi todo lo que hace una pyme, y no son igual de seguras para la misma tarea.

La cuarta fila es la que la gente coge demasiado deprisa. Ejecutar un modelo en local elimina la página web, y con ella esta clase de fuga, pero no elimina el problema del proveedor si por la tarde vuelves a pegar el mismo texto en un servicio alojado. Ajusta la vía al contenido, no a tu estado de ánimo con los proveedores.

Hay una razón más afilada para preferir el modo privado a eso de «ten cuidado y ya está». Un análisis aparte de agentes conversacionales de web y móvil, de IMDEA Networks y otros coautores, encontró que algunos proveedores exponen enlaces permanentes a la conversación sin control de acceso, lo que convierte una URL filtrada en una transcripción legible en lugar de en un simple fragmento. Cuando lo único que tiene el rastreador es un título, la exposición es pequeña. Cuando es un enlace permanente, es la conversación entera.

Si quieres el mínimo esfuerzo para la máxima reducción: activa el modo privado por defecto para todos y deja el chat normal con sesión iniciada solo para texto que no te importaría ver en el panel de anuncios de un competidor. Esa regla no necesita ningún conocimiento técnico para aplicarla y sobrevive a cualquier actualización del producto.

La versión del lunes por la mañana: cinco cosas que cambiar

Nada de esto es un proyecto. Es una reunión y unos cuantos ajustes, y el orden importa porque los dos primeros pasos te protegen aunque el resto no llegue a hacerse.

1. Activa el modo privado o temporal por defecto en todas las cuentas que toquen texto de clientes. Es un interruptor dentro del producto, no cuesta nada y es el único cambio con efecto medido: los propietarios terceros bajaron de 47 a 3 en las sesiones en las que estaba activo.
2. Escribe una regla sobre el contenido, no sobre las herramientas: ni nombres de clientes, ni datos bancarios, ni números de salud o de identidad, ni contratos, en ninguna ventana de chat pública. El regulador de privacidad de Australia recomienda exactamente esto como buena práctica: las organizaciones no deberían introducir información personal, y menos aún información sensible, en herramientas de IA generativa de acceso público.
3. Mira con quién habla la página, una vez. Abre el asistente, abre las herramientas de desarrollo del navegador en la pestaña de red, escribe una consulta y lee la lista de dominios. Quince minutos, sin más conocimiento que reconocer el nombre de una red publicitaria, y te dice más de tu propia herramienta que la política de privacidad.
4. Pasa a quien necesite historial a un plan con condiciones de empresa. OpenAI afirma que los datos de empresa y de la API no se usan para entrenamiento por defecto, con AES-256 en reposo, TLS 1.2+ en tránsito y retención cero disponible para organizaciones de API que cumplan los requisitos. Lee ese compromiso por lo que cubre: el trato que da el proveedor a tus datos, no los píxeles de una página de marketing ni el comportamiento de un complemento de terceros que hayas instalado encima.
5. Déjalo en tus registros. Si el asistente trata algo que identifique a una persona, la finalidad tiene que ser una que puedas defender: es la organización la que carga con la obligación de demostrar que la persona podía esperarlo razonablemente. Una línea en el mismo documento donde ya listas tus otros encargados de tratamiento basta para la mayoría de las pymes.

La lista está ordenada a propósito de lo más barato a lo más difícil, y puedes parar después del segundo paso y seguir muy por delante de la mayoría de las empresas de tu tamaño. Los pasos tres a cinco son para la empresa que ya ha decidido que el asistente se queda en el flujo de trabajo, que es una conversación distinta de si debería quedarse.

Una cosa que evitar: prohibir las herramientas sin más. La investigación no demuestra que los asistentes de chat repartan los datos de clientes por todas partes; demuestra que lo hace una capa concreta y cerrada, en cerca de la mitad de las plataformas, y que el arreglo está dentro del producto. Una prohibición lleva ese mismo uso a móviles personales y cuentas personales, donde ninguno de estos ajustes está bajo tu control.

Cuándo puedes ignorar todo esto

Muchas pymes pueden leer esto, no cambiar nada y estar bien. Si el asistente se usa para descripciones de producto, traducciones, fragmentos de código, borradores internos y textos de marketing —texto en el que no hay ninguna persona—, la fuga es un título que nadie puede asociar a un cliente y el daño práctico ronda cero. Lo mismo vale para la empresa que ya tiene el asistente en un plan de pago, con el modo privado activado y sin complementos de terceros en la página: la exposición que queda es la que hay entre tú y el proveedor, que es la exposición con la que ya contabas.

También hay un límite en lo que sostiene la investigación, y merece la pena decirlo claro. Las dos auditorías midieron cuentas web gratuitas. Ninguna midió planes de pago, aplicaciones de escritorio ni apps móviles, así que soltar estas cifras sobre tu herramienta de pago es una extrapolación, no un hallazgo. El único punto de medición estaba en el este de Estados Unidos y con el aviso de cookies aceptado; el conjunto de rastreadores cambia con la decisión de consentimiento y con la región del visitante. El recuento de Stony Brook son quince días de mayo de 2026, y los despliegues cambian: dos de las plataformas retiraron sus rastreadores mientras el estudio seguía en marcha.

Lo que no deberías hacer es tomar el modo privado por una estrategia de privacidad. En las mediciones, el modo privado recortó casi a cero el contacto observado con terceros, y no hace nada respecto al proveedor del modelo, que sigue recibiendo el texto y cuyas reglas de retención dependen de tu contrato, no de un interruptor. El regulador australiano es tajante sobre la consecuencia: una vez que la información personal ha entrado en un sistema de IA, será muy difícil seguirle la pista o controlar cómo se usa, y puede que sea imposible borrarla.

Así que la línea es fácil de trazar. Los rastreadores son un problema de higiene con un arreglo barato. Si el texto debía haber estado en la herramienta o no es una decisión que tomas antes de escribir, y ningún ajuste la toma por ti.

Preguntas frecuentes

¿Es ilegal pegar datos de clientes en un asistente de chat?

No por sí solo, y la respuesta útil es más estrecha que un «sí o no». Lo que importa es la finalidad con la que lo usas y si la persona podía esperarlo razonablemente: el criterio que hay detrás de normas como el principio de finalidad que la OAIC aplica a las organizaciones australianas, que pone la carga de justificar esa expectativa en la organización y no en el cliente. Un borrador de respuesta a un cliente que te escribió por correo es defendible. Meter la base de datos de clientes en un asistente para redactar segmentos de marketing es otra conversación. El análisis de IMDEA Networks enmarca los hallazgos sobre rastreadores en el contexto del RGPD y de la Directiva ePrivacy, sin llegar a afirmar que las herramientas sean ilegales.

¿Un plan de empresa de pago lo arregla?

Arregla la parte que no ves desde tu lado: en los planes de empresa y en la API, el proveedor se compromete a no entrenar con tus datos por defecto, a cifrado en tránsito y en reposo y, en algunos casos, a retención cero. No arregla la página. Los píxeles del artículo corrían en interfaces web públicas, y una suscripción a un plan barato no los quita necesariamente; las dos auditorías midieron cuentas gratuitas en concreto, así que nadie ha publicado cifras para la interfaz de pago. Comprueba tu propio plan igual que antes: abre la pestaña de red, escribe una consulta, lee los dominios. Y mantén los complementos de terceros fuera de la cuenta, porque una integración de terceros pone tu texto bajo las condiciones de privacidad de otro.

¿El modo privado también oculta la conversación al proveedor?

No, y esto es lo que despista a la gente. El modo privado o temporal evita que la conversación aparezca en tu historial y, en las sesiones medidas, redujo el contacto con terceros casi por completo: los propietarios terceros pasaron de 47 a 3 y no se observó exposición de contenido ni de identidad. El proveedor sigue procesando la consulta para producir la respuesta, y las reglas de retención que se apliquen salen del contrato, no del interruptor. Toma el modo privado como el cierre del canal publicitario, no como una forma de hacer el texto invisible.

¿Tengo que avisar a los clientes de que su mensaje pasó por una IA?

No hay una única norma que valga para todos los países, y quien te diga lo contrario te está vendiendo algo. La prueba práctica es la expectativa: si un cliente manda una pregunta por correo y una persona envía una respuesta asistida por IA, la mayoría de los marcos de privacidad lo consideran dentro de la finalidad original. Si metes sus datos en una herramienta que comparte contexto con redes publicitarias, o usas sus mensajes para algo distinto de responderlos, te sales de lo que razonablemente esperarían y deberías decirlo en tu aviso de privacidad. Escribe esa frase ahora, mientras sigue siendo una frase, y no después de que un cliente pregunte.

¿La app móvil es igual que la web?

Se desconoce, y la investigación no lo resuelve. Las dos auditorías midieron interfaces web: el equipo de Stony Brook probó 42 plataformas web, el de UC Davis 20 chatbots en sesiones normales, y el mecanismo rastreable —un título en la página, un script que lee el DOM, una consulta en la URL— es una propiedad de la página web. Que una app móvil cargue los mismos rastreadores exige una medición aparte, que nadie ha publicado para este conjunto de plataformas. En un móvil, los controles de privacidad del propio sistema operativo son la palanca relevante, y ese es otro tema.