La fuga de datos IA ya tiene medición: 124 dominios de terceros y 44 organizaciones implicadas en el rastro de nueve asistentes analizados desde España.
Un equipo de IMDEA Networks y la Universidad Carlos III de Madrid, con paper aceptado en el Privacy Enhancing Technologies Symposium, probó las versiones web y las aplicaciones de Android de ChatGPT, Claude, Grok, DeepSeek, Gemini, Perplexity, Microsoft Copilot, Mistral y Meta AI. El trabajo de campo se hizo en mayo de 2026 con conexiones españolas. Todos contactaron con al menos un servicio de publicidad o seguimiento ajeno y las cifras del estudio son un suelo, no un techo.
Claves de la operación
- Seis webs y tres apps comparten conversación. Los asistentes revelan a terceras direcciones de chat, títulos, mensajes o capturas de pantalla, a menudo junto a identificadores persistentes del usuario.
- 34 de las 44 organizaciones son publicidad o seguimiento. Google Ads, Meta, TikTok y Twitter Analytics aparecen en una lista que convierte al asistente en una superficie publicitaria más.
- Rechazar cookies no apaga el rastreador. Con las cookies no esenciales denegadas, el 80,8% de los rastreadores de terceros seguía activo según las mediciones de los autores.
Qué se escapa de tu conversación y qué empresa lo cobra
El estudio no describe escuchas clandestinas ni venta de transcripciones. Describe algo más aburrido y bastante más rentable: direcciones de conversación, títulos, prompts y capturas viajando a infraestructuras que el usuario nunca eligió. Cinco de las nueve webs enviaron la dirección del chat a terceros y tres mandaron el título que el propio asistente genera para resumir la charla. Ese título, en la práctica, funciona como un asunto de correo.
Los ejemplos concretos dibujan un mapa publicitario reconocible. Gemini envió el título de la conversación a Google Analytics. Perplexity mandó prompts a Wingify. Grok es el caso más llamativo: al compartir una conversación, TikTok recogió capturas de pantalla y Meta y TikTok recibieron el último mensaje del usuario, además de direcciones y títulos. En total, 124 dominios atribuidos a 44 organizaciones, 34 de ellas dedicadas a publicidad o seguimiento, con Google Ads, Meta, TikTok, y Twitter Analytics en la lista.
La consecuencia práctica es incómoda. El asistente se ha convertido en el único sitio donde se escriben cosas que no se dirían en voz alta, y su infraestructura exterior se comporta como la de cualquier web con píxeles de conversión. Nadie instala nada. Basta con abrir el chat y aceptar lo que venga por defecto.
El asistente cobra por la suscripción, pero el rastro de la conversación se paga en otro mercado: el de la atención.
Rechazar las cookies no apaga el rastreador: el 80,8% sigue activo
Rechazar las cookies se ha convertido en un gesto reflejo y, según los datos del trabajo, insuficiente. El 77,3% de las transmisiones de identificadores web a terceros solo ocurrió después de aceptar cookies no esenciales, lo que confirma que el botón sirve para algo. Lo que no consigue es cortar el grifo: con las cookies rechazadas, el 80,8% de los rastreadores de terceros seguía activo.
Hay más. Cuatro de los nueve servicios gratuitos mantenían rastreadores recogiendo datos con el rechazo ya aplicado, y tres asistentes permiten usar el producto sin elegir nada en el aviso de cookies. Pagar tampoco cambia el dibujo: las cuentas gratuitas y las de suscripción muestran infraestructuras de seguimiento casi idénticas, según los autores.
Las recomendaciones son las de manual: rechazar cookies no esenciales, desactivar el uso compartido de chats donde exista la opción y tirar de navegadores con bloqueo por defecto como Brave. Los propios investigadores admiten que son medidas parciales. Por eso el foco se desplaza del usuario al proveedor, que es quien decide qué script carga la página.
La AEPD ya lo tiene sobre la mesa y Bruselas escucha
El calendario regulatorio es la parte del trabajo que más pesa en términos de negocio. Los autores comunicaron los hallazgos a las autoridades de protección de datos de la Unión Europea y del Reino Unido el 13 de abril, y a xAI el 17 de abril por los enlaces accesibles de Grok. La AEPD citó el paper el 27 de mayo y promovió su exposición en el pleno de autoridades europeas del 8 y 9 de junio.
Las respuestas de la industria llegan con matices y sin autocrítica. Google sostiene que el informe malinterpreta cómo funcionan sus productos y que no hay anuncios en Gemini. OpenAI defiende el uso de analítica para entender el tráfico y diagnosticar errores, sin fines publicitarios ni cesión a anunciantes. Microsoft asegura que revisó las acusaciones y no halló infracción de la normativa aplicable. Los autores no evalúan si existe incumplimiento legal, y ese vacío es justo el terreno donde se moverá la próxima decisión regulatoria.
Hay señales de que el mercado corrige por su cuenta cuando el coste reputacional aprieta. Perplexity dejó de enviar la dirección de las conversaciones a rastreadores como Meta el 3 de abril, semanas después de una demanda colectiva presentada en Estados Unidos el 31 de marzo que alega que sus prompts llegan a las plataformas publicitarias de Google y Meta. OpenAI actualizó el 15 de agosto su política de privacidad para mencionar de forma explícita los rastreadores de terceros. Grok, a 10 de septiembre, seguía con enlaces accesibles y sin respuesta oficial.
El precedente español que convierte el rastreo en característica del producto
España no llega virgen a este debate. En diciembre de 2025 quedó documentado que varias extensiones de navegador copiaban conversaciones mantenidas con ChatGPT, Claude o Gemini. La diferencia ahora es de grado y de modelo: no hace falta instalar nada, de modo que el rastreo deja de ser un accidente del ecosistema y pasa a ser una característica del producto. La AEPD lleva años fiscalizando el consentimiento en publicidad digital y su decisión de elevar el caso al pleno europeo encaja con esa trayectoria.
El negocio de fondo es el de siempre con otro envoltorio. ChatGPT estrenó anuncios en España el 24 de agosto, en 31 mercados europeos, para usuarios gratuitos y del plan Go. OpenAI asegura que las conversaciones se mantienen privadas frente a los anunciantes y que en el Espacio Económico Europeo solo llegan datos agregados, como visualizaciones o clics. Son dos canales distintos, el anuncio dentro del chat y la página con sus rastreadores, pero conviene no mezclarlos: apagar el primero no apaga el segundo.
Queda una pregunta que el paper no responde y que ninguna de las compañías ha contestado por escrito: si el rastreo sobrevive al consentimiento rechazado, ¿quién asume el coste de la corrección? El siguiente hito verificable es la posición formal de la AEPD sobre el caso y la respuesta de xAI a los enlaces abiertos de Grok. Ninguna de las dos tiene fecha pública. Hasta entonces, la única certeza medible sigue siendo la de mayo: nueve asistentes, nueve rastreadores.
La entrada Fuga de datos IA: ChatGPT, Gemini y Claude filtran tus chats a los anunciantes, según un estudio español aparece primero en Moncloa.
