Imagen generada con IA.
«Tu asistente de IA está filtrando tus conversaciones». Ese es, literalmente, el título del estudio preliminar que ha hecho saltar las alarmas en la Agencia Española de Protección de Datos (AEPD). La Agencia no se ha limitado a tomar nota: ha trasladado formalmente el informe al Comité Europeo de Protección de Datos (CEPD) y ha pedido que se difunda a todas las autoridades homólogas de la Unión, con el objetivo de que el asunto se aborde de forma coordinada en la próxima reunión plenaria de autoridades europeas. Te contamos qué dice el estudio, por qué preocupa tanto y qué puede hacer cualquier usuario —o empresa— mientras se aclara el alcance real del problema.
El estudio de Imdea Networks que traslada la AEPD al Comité Europeo
El origen de todo es un estudio preliminar elaborado por el instituto de investigación Imdea Networks, centrado en analizar si algunos de los asistentes de inteligencia artificial más utilizados incorporan, de manera más o menos visible, rastreadores de terceros dentro de sus interfaces de conversación. La AEPD ha considerado el hallazgo lo bastante relevante como para no tramitarlo como un asunto puramente nacional: en lugar de eso, ha enviado una nota informativa al CEPD solicitando que la haga llegar a todas las autoridades de protección de datos de los Estados miembros «para su conocimiento y valoración».
La Agencia también ha promovido que el tema se incluya en el orden del día de la reunión plenaria de autoridades europeas prevista para el 8 y 9 de junio de 2026. La justificación que ofrece la propia AEPD es clara: dado que estos asistentes de IA se usan de forma masiva y transfronteriza, cualquier problema estructural en su diseño no afecta solo a los usuarios españoles, sino potencialmente a cientos de millones de personas en toda la Unión Europea. Por eso la Agencia invoca expresamente el mecanismo de ventanilla única que recoge el Reglamento General de Protección de Datos, pensado precisamente para que los problemas con alcance paneuropeo se coordinen entre autoridades en lugar de resolverse de forma fragmentada país por país.
Cómo los rastreadores de terceros podrían acceder a tus conversaciones con IA
¿Qué es exactamente lo que ha detectado el estudio? Según recoge la nota de la AEPD, la investigación de Imdea Networks identifica tres problemas principales en el diseño de algunos asistentes de IA:
- Enlaces permanentes expuestos a rastreadores de terceros. Cuando una conversación con un asistente de IA genera una URL persistente —por ejemplo, para poder compartirla o recuperarla más adelante—, esa dirección podría quedar accesible, directa o indirectamente, para herramientas de análisis y publicidad de terceros integradas en la propia página o aplicación.
- Vinculación de conversaciones con identidades de usuario. El estudio señala que existirían mecanismos de seguimiento capaces de asociar esas interacciones —en principio privadas— con la identidad real de la persona que las mantuvo, algo que multiplica el riesgo si el contenido de la conversación incluye datos sensibles.
- Políticas de privacidad que no reflejan con precisión los flujos reales de datos. Quizá el punto más delicado: la letra pequeña de algunos servicios podría no describir con exactitud qué terceros reciben qué información, dejando al usuario sin capacidad real de anticipar quién puede llegar a ver, directa o indirectamente, el rastro de sus conversaciones.
En la práctica, esto significa que actores como proveedores de analítica web y publicidad —el estudio menciona expresamente a empresas del tamaño de Google, Meta o TikTok como ejemplos del tipo de terceros implicados— podrían llegar a tener, a través de rastreadores estándar de medición de audiencia o publicidad, alguna forma de visibilidad sobre el hecho de que un usuario concreto ha mantenido una conversación con un asistente de IA, e incluso sobre parte de su contenido o metadatos, sin que esa posibilidad esté siempre reflejada con claridad en las políticas de privacidad del servicio.
Qué asistentes de IA están señalados y por qué
La nota informativa de la AEPD no hace pública, al menos en esta fase preliminar, una lista cerrada de los asistentes concretos analizados por Imdea Networks: habla de «algunos de los sistemas de IA más populares», sin entrar en el detalle técnico de cuáles son ni en qué proporción cada uno presenta el problema. Esto es importante matizarlo: no se trata de una sanción, ni de una acusación formal contra ningún proveedor en particular, sino de un estudio académico preliminar cuyos resultados la AEPD considera lo bastante sólidos como para pedir una revisión coordinada a nivel europeo.
Lo relevante para cualquier usuario o empresa no es tanto «qué marca concreta falla», sino entender que el riesgo descrito es estructural y potencialmente extendido: afecta a la forma en que muchos asistentes conversacionales modernos —integrados en páginas web, aplicaciones móviles o widgets embebidos en terceros sitios— gestionan sus URLs de sesión y sus scripts de analítica y publicidad, una arquitectura técnica común a buena parte del sector, no una característica aislada de un único producto.
Qué puede hacer un usuario para reducir este riesgo
Mientras las autoridades europeas analizan el estudio y valoran posibles actuaciones, hay algunas precauciones razonables que cualquier persona puede aplicar ya mismo al usar asistentes de IA conversacional:
- Evita compartir datos especialmente sensibles —salud, información financiera detallada, documentos identificativos completos— en conversaciones con asistentes de IA integrados en páginas web o aplicaciones de terceros, especialmente si no conoces bien su política de privacidad.
- Revisa qué ocurre con los enlaces para compartir conversaciones. Si un asistente permite generar una URL pública de una conversación, ten en cuenta que esa dirección puede quedar accesible para terceros más allá de la persona con la que pretendías compartirla.
- Utiliza extensiones de bloqueo de rastreadores en el navegador cuando accedas a asistentes de IA embebidos en páginas web, y revisa periódicamente los permisos de cookies que has aceptado en esos servicios.
- Lee —aunque sea por encima— la política de privacidad del asistente que uses habitualmente, prestando atención a qué terceros aparecen mencionados como destinatarios de datos.
Qué deben revisar las empresas que integran asistentes de IA en sus webs
El caso tiene una segunda lectura, quizá más urgente, para las empresas que han incorporado chatbots o asistentes de IA a sus propias páginas web o aplicaciones —ya sea como atención al cliente, buscador interno o asistente comercial—. Si tu organización ha integrado un asistente de este tipo, conviene revisar cuanto antes varios puntos:
En primer lugar, comprobar qué rastreadores de terceros conviven técnicamente con el widget del asistente de IA en la misma página, y si existe algún flujo por el que esos rastreadores podrían acceder a información sobre las conversaciones de los usuarios. En segundo lugar, revisar si la política de privacidad del sitio describe con precisión esa arquitectura de datos, tal y como exige el principio de transparencia del RGPD, o si —como advierte el propio estudio— se ha quedado desactualizada respecto a los flujos técnicos reales. Y, en tercer lugar, valorar si es necesaria una evaluación de impacto cuando el asistente trata datos de categorías especiales o volúmenes significativos de usuarios, algo especialmente relevante si el asistente forma parte de un servicio dirigido al público general.
En Dataibérica ayudamos a empresas a auditar la configuración de privacidad de los asistentes de IA y chatbots que integran en sus webs y aplicaciones, revisando tanto los rastreadores presentes en la página como la coherencia entre lo que se dice en la política de privacidad y lo que ocurre técnicamente con los datos. Si tu empresa utiliza un asistente conversacional de IA y no ha revisado todavía este punto, contacta con nuestro equipo para una auditoría de privacidad.
El caso, en definitiva, está todavía en una fase inicial: un estudio preliminar, una nota informativa trasladada al ámbito europeo y una reunión plenaria pendiente de celebrarse. Pero el mensaje de fondo ya es claro: la conversación con un asistente de IA, por informal que parezca, es un tratamiento de datos personales como cualquier otro, y como tal debe protegerse de miradas ajenas que el usuario nunca autorizó ni imaginó.
