Zero data retention: ¿qué significa exactamente?
La respuesta corta: no significa que no se guarde nada. Significa que tu contenido queda excluido de los registros de vigilancia de abusos — pero solo en ciertos endpoints y solo con ciertas excepciones.
Por defecto — sin ZDR — un gran proveedor conserva los registros de vigilancia de abusos hasta 30 días, «salvo que la ley exija más tiempo».
Con ZDR ese registro se salta. Pero no en todas partes:
| Con derecho a ZDR | SIN derecho |
|---|---|
| endpoints de chat y de respuesta | asistentes e hilos |
| embedding | vector store |
| transcripción y síntesis de voz | subida de archivos |
| generación de imágenes (con ciertos modelos) | fine-tuning |
| moderación | evaluaciones, ejecuciones por lotes, vídeo |
Vuelve a leer la columna de la derecha: vector store y subida de archivos. Si subes los documentos de la empresa para montar RAG sobre ellos, el ZDR no se aplica a eso. Es el malentendido más frecuente del tema.
Y una excepción que sigue viva incluso con ZDR: las imágenes y los archivos subidos pasan por un filtro de protección de menores y, si el clasificador marca algo, el contenido se conserva para revisión manual, aunque el ZDR esté activado.
En el otro gran proveedor, el ZDR se aplica a los productos usados con clave de API de empresa, pero no a los planes de consumo. Y aquí también hay cuatro excepciones:
- Los resultados del clasificador de seguridad se conservan, también con ZDR.
- El ZDR vale, salvo donde el cumplimiento legal o la lucha contra el abuso justifiquen lo contrario.
- En ciertos modelos hay que aceptar una retención y una revisión limitadas como parte del trabajo de seguridad.
- En los contratos que cubren datos sanitarios algunas funciones no se pueden usar, por ejemplo la búsqueda web.
En ambos proveedores es cierto que el ZDR no es autoservicio: se concede organización por organización.
¿Dónde está físicamente el dato?
Esta parte resulta sorprendentemente limitada en 2026.
La documentación de residencia de datos de un proveedor conoce dos ajustes independientes entre sí:
| Ajuste | Qué regula | Valores disponibles |
|---|---|---|
| Ubicación de la inference | dónde se ejecuta el modelo, por petición | global o EE. UU. |
| Ubicación del espacio de trabajo | dónde se almacena el dato en reposo | EE. UU. — el único valor |
Es decir, en septiembre de 2026 en esa plataforma no hay espacio de trabajo en la UE. La inference se puede restringir a EE. UU., pero no a la UE. El aviso general de privacidad de la empresa lo confirma: «el dato se almacena en Estados Unidos.»
En el otro gran proveedor, la residencia de datos en la UE existe, pero solo se puede activar en un proyecto nuevo, no de forma retroactiva en uno ya existente.
De ese tema se ocupa en detalle el post residencia de datos en la UE , con los matices.
Tres filtraciones documentadas
1. Un fallo de caché, marzo de 2023. Ni ataque ni abuso: por un fallo en una biblioteca cliente de código abierto, las peticiones interrumpidas cruzaron los datos de unos usuarios con los de otros. Se filtraron títulos de conversaciones, el primer mensaje de las conversaciones nuevas y los datos de pago de los suscriptores: nombre, dirección y los cuatro últimos dígitos de la tarjeta. Afectados: el 1,2 % de los suscriptores, en nueve horas.
Es el caso más importante de los tres, porque enseña que el riesgo del proveedor no es teórico ni es cuestión de mala fe.
2. Una base de datos abierta, enero de 2025. Un grupo de investigación en seguridad encontró en un proveedor de IA una base de datos accesible sin autenticación: más de un millón de entradas de registro, con historiales de conversación, claves de API y secretos internos. La interfaz de consulta ejecutable desde el navegador estaba abierta.
3. Conversaciones compartidas en el buscador, verano de 2025. En la función de compartir, una casilla hacía la conversación localizable. Era una acción deliberada del usuario en dos pasos — pero mucha gente no entendió la consecuencia. En los buscadores aparecieron currículums reescritos y preguntas personales. La función se retiró en cuestión de horas tras hacerse pública.
(Cuántas conversaciones llegaron a indexarse no lo dice ninguna fuente, y eso no se puede cuantificar.)
Y el otro lado: «corre en nuestra casa, luego es seguro»
Este es el dato más contradictorio del artículo.
Un rastreo de enero de 2026 — 293 días de escaneo, 7,23 millones de observaciones — identificó 175.108 servidores de modelos locales únicos y accesibles públicamente en 130 países. De ellos, más del 48 % anunciaba capacidad de llamada a herramientas.
La valoración de los investigadores: la capacidad de llamada a herramientas cambia de raíz el modelo de amenazas, y la consideran el riesgo más grave del ecosistema.
Una medición anterior, de septiembre de 2025 y con otro método, encontró 1.139 instancias sin autenticación, de las cuales 214 servían modelos de forma activa.
Las dos cifras no miden lo mismo: otra herramienta, otro periodo, otra definición («sin autenticación y vulnerable» frente a «host único observado»). Pero la dirección es la misma.
La conclusión: ejecutar en local no es por sí solo una medida de protección de datos. Estos servidores solo son accesibles desde el propio equipo por defecto — un único ajuste los abre a internet, sin autenticación. Y ese ajuste lo toca precisamente quien «quiere llegar también desde el otro equipo». De la ejecución local da una panorámica el post ejecutores de IA local , herramienta por herramienta.
Los tres modelos, comparados
| Aspecto | API compartida (con ZDR) | Nube dedicada | Ejecución local |
|---|---|---|---|
| Quién ve el dato | el proveedor, para vigilar abusos — limitado por el ZDR | el proveedor de nube, en tu tenant | nadie — si está bien configurado |
| Contrato de encargado del tratamiento | sí | sí, forma parte del contrato de nube | no la hay, porque no hay tercero |
| Cadena de subencargados | sí, con derecho de oposición | sí | no la hay |
| Residencia de datos | limitada | depende de la región | control total |
| Revisión humana | posible sobre datos marcados | limitada, registrada | no la hay |
| El riesgo real típico | shadow AI: lo usan desde una cuenta de consumo | el tipo de despliegue equivocado | puerto abierto, sin autenticación |
| Quién responde del fallo | tú | tú | tú |
La última fila es lo importante: en los tres modelos el responsable del tratamiento eres tú. El proveedor es el encargado. La responsabilidad no se traspasa por elegir la nube, y no desaparece por ejecutar en local.
El marco jurídico de la UE
Según el reglamento de protección de datos, el encargado actúa siguiendo las instrucciones del responsable, y su relación tiene que estar regulada por un contrato escrito. Los grandes proveedores se posicionan todos como encargados en el uso empresarial; el contrato de uno de ellos lo dice expresamente.
Una pregunta abierta que conviene conocer: si el proveedor almacena datos y hace que una persona los revise para su propio fin de vigilancia de abusos, ¿no es más bien responsable del tratamiento en esa operación? Ninguna autoridad ha resuelto esta pregunta con carácter general hasta ahora. Es una hipótesis, no una afirmación.
El dictamen de diciembre de 2024 del comité europeo de protección de datos dice dos cosas que afectan directamente a una empresa de la UE:
1. El modelo no es necesariamente anónimo. Según el dictamen, los modelos entrenados con datos personales «no en todos los casos pueden considerarse anónimos». Para la anonimidad, tanto la probabilidad de extracción como la de recuperación mediante consultas tienen que ser insignificantes.
2. Y esto es lo más importante: la responsabilidad también te alcanza. El dictamen dedica un escenario aparte al caso en que otra organización despliega un modelo cuyos datos de entrenamiento se obtuvieron de forma ilícita. En ese caso quien lo despliega también tiene que hacer una evaluación de rendición de cuentas sobre si el desarrollo implicó un tratamiento ilícito.
En cristiano: no basta con decir «de eso se encarga el proveedor».
A eso se suma la regla general de rendición de cuentas: el cumplimiento hay que poder demostrarlo, y la evaluación de la base jurídica hay que documentarla al iniciar el tratamiento.
La lista de comprobación
1. MIRA A QUÉ ENDPOINTS SE APLICA EL ZDR
No a todos. La subida de archivos y el vector
store suelen quedar fuera: con eso haces RAG.
2. PIDE LA RESIDENCIA DE DATOS POR ESCRITO
Una cosa es dónde SE EJECUTA el modelo y otra
dónde SE ALMACENA el dato. No son lo mismo.
3. LEE LAS EXCEPCIONES
Clasificador de seguridad, cumplimiento legal,
filtro de menores: viven JUNTO AL ZDR.
4. CONTRATO DE ENCARGADO Y LISTA DE SUBENCARGADOS
Quién accede en la cadena y con cuánta
antelación te avisan de un subencargado nuevo.
5. SI EJECUTAS EN LOCAL: MIRA EL PUERTO
Es el único paso que afecta a 175 mil
servidores. Cinco segundos.
6. PROHÍBE LAS CUENTAS DE CONSUMO PARA TRABAJAR
El mayor riesgo real de la API compartida no es
el proveedor, sino la shadow AI.
7. DOCUMENTA LA BASE JURÍDICA ANTES DE ARRANCAR
La rendición de cuentas no se improvisa después.
8. LO QUE NO QUIERES QUE SE FILTRE, NO LO METAS
Ni en la nube ni en un sistema local. Es la
única medida que funciona en todos los casos.
El quinto punto es el que peor proporción guarda con el tiempo que cuesta: cinco segundos, y es justo el fallo que se da a escala de cientos de miles.
Malentendidos habituales
- «Tenemos ZDR, así que no guardan nada.» El ZDR vale endpoint por endpoint y no alcanza a la subida de archivos ni al vector store, que es justo con lo que montas RAG.
- «La ejecución local es privada.» Un rastreo de 293 días encontró 175 mil servidores de modelos locales accesibles públicamente, casi la mitad con capacidad de llamada a herramientas.
- «Con un proveedor europeo el dato se queda en la UE.» En una gran plataforma no hay espacio de trabajo en la UE en septiembre de 2026, y el aviso dice que el dato se almacena en Estados Unidos.
- «Si el proveedor cumple, nosotros cumplimos.» Según el dictamen de la UE, quien despliega tiene que hacer su propia evaluación de rendición de cuentas.
- «La filtración es cuestión de mala fe.» El mayor caso documentado fue un fallo de una biblioteca de código abierto.
- «El mayor riesgo es el proveedor.» En la práctica suele ser la shadow AI: los compañeros suben el material de la empresa desde sus cuentas de consumo.
Lo que conviene llevarse
La «IA privada» no es una categoría de producto, sino tres decisiones separadas: dónde se ejecuta el modelo, dónde se almacena el dato y quién accede a lo largo de la cadena. Las tres son preguntas distintas, y para las tres hay que pedir respuesta por escrito.
Dos concreciones que se caen de casi todos los planes: el zero data retention no alcanza a la subida de archivos ni al vector store, y según el derecho de la UE quien despliega también responde de que los datos de entrenamiento del modelo fueran lícitos.
Y la comprobación más barata si ejecutas en local: mira a qué se enlaza tu servidor. Cinco segundos — y es justo el fallo que está presente en internet a escala de cientos de miles. De los riesgos de los agents que corren en tu propio equipo habla el post agentes personales autoalojados , y de la amortización de la ejecución local, el post por qué ejecutar IA en local , con las cuentas.