Casi todas las grandes plataformas de inteligencia artificial han usado datos personales para entrenar sus modelos, y en muchos casos sin que los usuarios lo supieran. Si te preocupa la privacidad IA y quieres saber quién tiene tus datos personales, la respuesta corta es incómoda: probablemente más gente de la que imaginas.
Tus correos, tus fotos de Instagram de 2013, esa reseña que dejaste en Google y hasta las conversaciones de ChatGPT pueden haber acabado alimentando una red neuronal. Aquí en MataSpam llevamos años viendo cómo los datos se escapan por rendijas que nadie mira, y la inteligencia artificial ha abierto una del tamaño de un portal. Vamos a ver quién entra por ahí, qué dice el RGPD y qué puedes hacer tú, hoy, sin necesidad de abogado.
Qué significa realmente "entrenar IA con datos"
Un modelo de lenguaje no memoriza tu vida como un diario. Aprende patrones estadísticos a partir de cantidades enormes de texto, imágenes o audio. El problema es que esos patrones se extraen de material real, y ese material tiene dueño.
Hay tres vías principales por las que tus datos personales acaban en un dataset de entrenamiento:
- Scraping masivo de la web pública. Datasets como Common Crawl o LAION recogen miles de millones de páginas e imágenes. Si publicaste algo con acceso abierto, es candidato.
- Contenido que subes a la propia plataforma. Tus prompts, los documentos que adjuntas, las correcciones que haces al modelo.
- Datos cedidos por terceros. Acuerdos comerciales entre plataformas: foros, medios, redes sociales que venden o licencian su archivo.
La diferencia jurídica entre "público" y "libre de usar" es enorme, y buena parte del sector ha operado durante años como si no existiera.
Quién usa tus datos: el mapa de los sospechosos habituales
No todas las empresas hacen lo mismo, ni con la misma transparencia. Este es el panorama general en 2026, según las políticas publicadas por cada compañía:
| Plataforma | Usa tus conversaciones para entrenar | ¿Puedes desactivarlo? |
|---|---|---|
| OpenAI (ChatGPT) | Sí en cuentas gratuitas y Plus por defecto | Sí, en Configuración → Controles de datos |
| OpenAI (API, Team, Enterprise) | No por defecto | No aplica |
| Google (Gemini) | Sí, con revisión humana de una muestra | Sí, desactivando la actividad de la app |
| Anthropic (Claude) | En cuentas de consumo depende de lo que aceptes en los ajustes; API y planes empresariales, no por defecto | Sí, en ajustes de privacidad |
| Meta AI | Usa contenido público de Facebook e Instagram | Derecho de oposición vía formulario en la UE |
| Microsoft Copilot | Varía entre consumo y versiones empresariales | Parcialmente, según el plan |
Las políticas cambian con frecuencia y esta tabla es orientativa: confírmalo en la política de privacidad vigente de cada proveedor antes de decidir. Lo que era cierto hace seis meses puede no serlo ahora, así que revisar los ajustes cada cierto tiempo no es paranoia: es mantenimiento.
El caso Meta y el "interés legítimo"
Meta anunció en 2024 su intención de usar publicaciones públicas de usuarios europeos para entrenar sus modelos, amparándose en el interés legítimo del artículo 6.1.f del RGPD. La autoridad irlandesa de protección de datos forzó una pausa, y el proceso se reanudó después con un mecanismo de oposición. Es el ejemplo perfecto de la tensión actual: las empresas prefieren la base legal que no requiere pedirte permiso.
El precedente italiano con ChatGPT
En marzo de 2023, el Garante italiano bloqueó temporalmente ChatGPT en Italia por falta de base legal para el tratamiento de datos y ausencia de verificación de edad. El servicio volvió a finales de abril de ese mismo año con cambios: aviso de privacidad más claro, formulario de oposición y opción de desactivar el historial. En diciembre de 2024 el mismo organismo impuso a OpenAI una sanción de 15 millones de euros. Fue el primer aviso serio de que la inteligencia artificial no opera en un vacío legal.
Qué dice el RGPD y el Reglamento de IA europeo
El RGPD no menciona la palabra "IA" ni una sola vez, pero se aplica en pleno. Los artículos que más te interesan:
- Artículo 15 (derecho de acceso). Puedes pedir a cualquier empresa qué datos tuyos tratan y con qué finalidad.
- Artículo 17 (supresión). El famoso derecho al olvido. Complicado de aplicar a un modelo ya entrenado, pero exigible sobre los datos almacenados.
- Artículo 21 (oposición). Tu arma principal cuando la empresa alega interés legítimo. No tienes que dar explicaciones si el tratamiento es con fines de marketing.
- Artículo 22. Derecho a no ser objeto de decisiones automatizadas con efectos jurídicos significativos.
A esto se suma el Reglamento de Inteligencia Artificial de la UE (Reglamento (UE) 2024/1689), en vigor desde agosto de 2024 y con aplicación escalonada. Las prohibiciones y la obligación de alfabetización en IA se aplican desde febrero de 2025, las normas para modelos de propósito general desde agosto de 2025 y el grueso del reglamento desde agosto de 2026, con algunos sistemas de alto riesgo que no quedan plenamente cubiertos hasta 2027.
Clasifica los sistemas por nivel de riesgo, prohíbe prácticas como el scraping indiscriminado de rostros para bases de datos de reconocimiento facial y obliga a los modelos de propósito general a documentar sus fuentes de entrenamiento. Es la primera norma del mundo que aborda esto de frente.
En España, la AEPD es la autoridad competente. Presentar una reclamación es gratuito y se hace por su sede electrónica. Si has llegado hasta aquí y te preguntas cómo se articula ese trámite, tenemos una guía práctica sobre cómo denunciar ante la AEPD y otras autoridades que sirve igual para casos de tratamiento indebido de datos.
Cómo proteger tus datos personales frente a la IA: guía práctica
Basta de teoría. Esto es lo que puedes hacer esta misma tarde.
1. Desactiva el entrenamiento en las herramientas que usas
- ChatGPT: icono de perfil → Configuración → Controles de datos → desactiva "Mejorar el modelo para todos". Ojo: no borra lo ya usado, solo evita futuros usos.
- Gemini: myactivity.google.com → Actividad de Gemini Apps → desactivar y borrar historial.
- Meta: Configuración de privacidad → busca el formulario de objeción al uso de información para IA. Está deliberadamente escondido.
- Copilot / Microsoft: account.microsoft.com/privacy → revisa el historial de actividad.
2. Aplica higiene de prompts
Regla simple: no escribas en un chatbot nada que no dirías en un ascensor lleno de desconocidos. Nada de DNI, números de cuenta, historiales médicos, contratos con cláusulas de confidencialidad ni datos de clientes.
En mayo de 2023 Samsung prohibió internamente el uso de ChatGPT tras filtrarse código fuente en prompts de empleados. No fue un ataque sofisticado. Fue copiar y pegar.
3. Reduce tu huella pública
- Revisa qué de tu perfil es visible sin iniciar sesión. Eso es lo que un scraper recoge.
- Comprueba si tus credenciales han aparecido en brechas con Have I Been Pwned. Los datos filtrados también acaban en datasets.
- Usa alias de correo para registros de baja confianza. Un buen filtro antispam, como el que hacemos en MataSpam, corta la retroalimentación entre bases de datos vendidas.
- Antes de instalar cualquier extensión "con IA" en el navegador, pásala por VirusTotal y lee qué permisos pide. Muchas leen todo el contenido de las páginas que visitas.
4. Cuidado con las apps que "solo piden acceso al correo"
El auge de asistentes de IA conectados a tu bandeja de entrada ha multiplicado los permisos OAuth concedidos a la ligera. Un token de acceso a Gmail es una llave maestra, y los atacantes lo saben: lo explicamos a fondo en nuestro artículo sobre phishing OAuth y robo de tokens. Revisa periódicamente qué aplicaciones tienen acceso a tus cuentas y revoca lo que no uses.
Riesgos reales más allá de la privacidad
La preocupación por la inteligencia artificial y la privacidad no es solo abstracta. Hay consecuencias concretas:
- Memorización y extracción. Investigadores han demostrado que es posible hacer que un modelo reproduzca fragmentos literales de sus datos de entrenamiento, incluidos correos y direcciones.
- Phishing hiperpersonalizado. Con datos públicos y un modelo generativo, un atacante redacta un correo perfecto en tu idioma, con tu contexto laboral. La época de los mensajes con faltas de ortografía se acabó. Si quieres ver cómo detectar la versión moderna, revisa nuestra guía sobre phishing bancario y cómo protegerte.
- Perfilado sin transparencia. Sistemas que infieren tu estado de salud, ideología o situación económica a partir de datos aparentemente inocuos.
- Deepfakes de voz. Con unos segundos de audio público basta para clonar una voz de forma convincente.
Para empresas, el asunto pasa de incómodo a caro. Meter datos de clientes en un chatbot público puede constituir una cesión de datos no autorizada, con sanción asociada.
Quien esté valorando integrar inteligencia artificial en su empresa debería empezar por el análisis de riesgos. Después, elegir un proveedor que garantice por contrato que no usará los datos para entrenamiento.
Preguntas frecuentes
¿ChatGPT guarda mis conversaciones?
Sí. OpenAI almacena las conversaciones y, en las cuentas de consumo, puede usarlas para mejorar sus modelos salvo que lo desactives en Controles de datos. Las cuentas de API, Team y Enterprise no se usan para entrenamiento por defecto.
¿Puedo pedir que borren mis datos de una IA ya entrenada?
Puedes ejercer el derecho de supresión sobre los datos almacenados, y las empresas suelen atenderlo. Eliminar la influencia de esos datos de un modelo ya entrenado es técnicamente muy complejo, y ahí es donde el RGPD y la realidad técnica todavía chocan.
¿Es legal que entrenen IA con contenido público de internet?
Depende de la base legal y de si hay datos personales implicados. El hecho de que algo sea accesible públicamente no lo convierte automáticamente en tratable. Varias autoridades europeas han cuestionado el uso del interés legítimo para justificarlo.
¿Qué pasa si subo un documento de trabajo a un chatbot?
Si contiene datos de terceros o información confidencial, podrías estar incurriendo en una cesión no autorizada. Usa versiones empresariales con acuerdo de encargado de tratamiento firmado, o herramientas que se ejecuten localmente.
¿Existen alternativas de IA que respeten mejor la privacidad?
Sí. Los modelos que se ejecutan en local (con herramientas tipo Ollama o LM Studio) no envían nada a servidores externos. Son menos potentes que los grandes modelos comerciales, pero para tareas de resumen o redacción cumplen sobradamente. Si el tema de configurar herramientas te resulta denso, en Fácil para Todos encontrarás explicaciones paso a paso sin jerga.
El siguiente paso
Abre ahora mismo la configuración de la herramienta de IA que más uses y desactiva la opción de mejora del modelo. Tarda menos de dos minutos y es la medida con mejor relación esfuerzo-resultado de toda esta lista. Cuando termines, tienes más artículos sobre privacidad y amenazas actuales esperándote en el blog.
