El perímetro de la protección de datos personales se ha desplazado. Las recomendaciones clásicas (contraseña robusta, antivirus, actualización) siguen siendo una base, pero ya no cubren los vectores de fuga más activos. El uso masivo de herramientas de IA generativa, la multiplicación de transferencias fuera de la Unión Europea y el aumento de las exfiltraciones documentadas por la ANSSI imponen revisar la jerarquía de prioridades para asegurar la seguridad de sus datos y su privacidad en línea.
Fugas de datos a través de los prompts de IA generativa: un vector subestimado
Cada consulta enviada a un servicio de IA generativa puede contener información personal, extractos de documentos internos o identificadores. Cuando el proveedor se reserva el derecho de reutilizar las consultas para entrenar sus modelos, estos datos salen definitivamente del control del usuario.
La CNIL publicó en 2025 recomendaciones específicas sobre la IA y el RGPD. Recomienda pseudonimizar los documentos antes de someterlos a un modelo y prohibir el envío de datos confidenciales cuando el contrato de servicio no garantiza su no reutilización. Para un particular, esto significa nunca pegar un extracto bancario, un documento de identidad o un historial médico en un chatbot de uso general.
Recomendamos verificar sistemáticamente las condiciones de uso del servicio de IA. Dos puntos a controlar: la cláusula de reutilización de los prompts para el entrenamiento y la localización de los servidores de procesamiento. Una guía completa sobre la seguridad en Wiki Dark detalla los mecanismos de exfiltración relacionados con las herramientas conversacionales.
Alojamiento local, nube europea o servicio de uso general: arbitrar según la sensibilidad de los datos
La CNIL distingue ahora tres niveles de alojamiento para las herramientas de IA, y este razonamiento se aplica a cualquier aplicación que trate datos personales. La elección del modo de alojamiento condiciona directamente el nivel de protección de la privacidad.
- Despliegue local (on-premise): los datos nunca abandonan la infraestructura del usuario o de la empresa. Es la opción más protectora para información sensible (salud, finanzas, datos de recursos humanos).
- Nube europea enmarcada por un contrato de subcontratación RGPD: el proveedor se compromete contractualmente sobre la localización, la duración de conservación y la ausencia de transferencia fuera de la UE. Es el compromiso más común para las pymes.
- Servicio de uso general (ChatGPT, Gemini, Copilot en versión gratuita): las garantías varían según las actualizaciones de las condiciones generales. Las transferencias fuera de la Unión Europea son frecuentes y rara vez se informan de manera explícita.
Antes de confiar datos personales a un servicio en línea, la pregunta pertinente ya no es “¿es seguro este servicio?” sino “¿dónde se almacenan mis datos y quién puede acceder a ellos contractual y legalmente?”. El RGPD otorga a los usuarios el derecho a obtener esta información de cualquier responsable del tratamiento.
Aumento de la exfiltración de datos: lo que revela el Panorama ANSSI 2025
El Panorama de la ciberamenaza 2025 publicado por la ANSSI señala un fuerte aumento de los incidentes relacionados con la exfiltración de datos en comparación con 2024, mientras que el volumen global de incidentes confirmados se mantiene prácticamente estable. Esta discrepancia tiene una implicación directa: los atacantes apuntan más al robo de datos que al bloqueo de sistemas.
Para un particular, esto cambia la estrategia de defensa. Un ransomware se detecta inmediatamente (archivos cifrados, demanda de rescate). Una exfiltración silenciosa puede pasar desapercibida durante meses. Los datos robados alimentan luego campañas de phishing personalizado o suplantaciones de identidad.
Observamos que las medidas preventivas más efectivas contra la exfiltración son raramente las que se destacan en las guías de uso general:
- Activar las notificaciones de inicio de sesión en cada servicio crítico (correo, banca, nube). Un inicio de sesión desde un dispositivo o una ubicación inusual debe desencadenar una alerta.
- Segmentar sus direcciones de correo: una dirección para los servicios financieros, una para las redes sociales, una para inscripciones puntuales. En caso de fuga, la superficie de exposición se limita a un solo perímetro.
- Verificar regularmente si sus identificadores figuran en bases de datos comprometidas, a través de servicios como Have I Been Pwned.
Privacidad en la web: más allá del VPN
El VPN cifra el tráfico entre su dispositivo y un servidor remoto. Oculta su dirección IP frente a los sitios visitados. Sin embargo, no protege contra el fingerprinting (huella digital del navegador), el rastreo por cookies de terceros, ni la recopilación de datos por las aplicaciones instaladas en su teléfono.
Un VPN asociado a un navegador que no está configurado para bloquear rastreadores deja una huella casi tan identificable como una navegación sin VPN. La protección de la privacidad en línea se basa en un conjunto de configuraciones complementarias: desactivación de cookies de terceros, bloqueo del fingerprinting y restricción de permisos de aplicaciones.
En cuanto al teléfono, la CNIL recuerda que cada aplicación que solicita acceso al GPS, al micrófono o a los contactos debe justificar este acceso por un propósito específico. Negarse a permisos no necesarios reduce la cantidad de datos personales recopilados en segundo plano, a menudo sin que el usuario sea consciente.
Derechos RGPD: palancas concretas aún poco utilizadas
El derecho de acceso, el derecho a la supresión y el derecho a la portabilidad existen desde 2018. Su uso sigue siendo marginal entre los particulares. Ejercer su derecho de acceso ante un servicio permite visualizar exactamente qué información se posee y con quién se ha compartido.
El derecho de oposición al perfilado, previsto por el artículo 21 del RGPD, autoriza a cualquier usuario a rechazar que sus datos se utilicen para construir un perfil publicitario o conductual. Este derecho se ejerce mediante una simple solicitud escrita al responsable del tratamiento, que dispone de un mes para responder. En caso de no respuesta, la CNIL puede ser contactada directamente en línea.
La seguridad de los datos y la protección de la privacidad en línea ya no se reducen a una higiene digital básica. El marco regulatorio ofrece herramientas jurídicas precisas, y las amenazas actuales exigen combinarlas con elecciones técnicas informadas sobre el alojamiento, el cifrado y la segmentación de identidades digitales.
