Andy Yen, cofundador y CEO de Proton, sostiene que la inteligencia artificial y la privacidad pueden convivir, pero Lumo deja claro que no son sinónimos. Proton afirma que su asistente no conserva registros de conversaciones en sus servidores, cifra los chats guardados con un sistema de acceso cero y no utiliza las conversaciones para entrenar sus modelos. Sin embargo, la protección de los datos almacenados y las garantías sobre lo que ocurre mientras una GPU procesa una petición son capas distintas.
Ese matiz es el centro de la discusión. La privacidad de una IA no se decide con una única casilla de «sí» o «no»: depende de qué se conserva, quién puede descifrarlo, qué se usa para entrenar modelos, dónde se procesa la petición y qué permisos recibe el agente. Y hay una última frontera incómoda: ningún cifrado puede impedir que un agente con acceso excesivo a tu dispositivo o tus cuentas revele información por su cuenta.
La apuesta de Proton por una IA privada
Proton lanzó Lumo como asistente de IA centrado en la privacidad el 23 de julio de 2025. La compañía nació a partir del trabajo de científicos vinculados a CERN y convirtió la protección de los datos en el eje de productos como Proton Mail, Proton VPN, Proton Drive y Proton Pass. Andy Yen traslada ahora esa misma filosofía al terreno de la IA.
Su argumento es pragmático: la IA resulta demasiado útil como para rechazarla, así que la alternativa consiste en construir servicios que reduzcan la vigilancia y la retención de datos. En una presentación sobre privacidad y tecnología, Yen resumió esa posición al presentar la confianza como una ventaja estratégica europea. Pero una buena intención empresarial no sustituye a una arquitectura concreta. Aquí es donde conviene separar las piezas.
Qué dice Proton que hace Lumo con tus datos
Proton describe Lumo como un servicio que no guarda registros de las conversaciones en el servidor y que no utiliza las conversaciones ni las entradas de los usuarios para entrenar sus modelos. También afirma que los chats guardados utilizan cifrado de acceso cero: las claves necesarias para leerlos permanecen bajo control del usuario, de modo que Proton dice que no puede descifrarlos.
La compañía sitúa el procesamiento en sus centros de datos europeos y afirma que Lumo funciona con modelos de código abierto. La búsqueda web es opcional y los archivos subidos se analizan sin conservar un registro posterior, según la descripción del producto. Además, el modo fantasma permite que una conversación actual desaparezca al cerrarla para los usuarios que han iniciado sesión.
Son medidas relevantes, pero cada una responde a una pregunta diferente:
- Retención: ¿se guarda una copia de la conversación después de usarla?
- Almacenamiento: si decides conservar el chat, ¿quién puede leerlo?
- Entrenamiento: ¿se incorporan tus mensajes a la mejora de los modelos?
- Procesamiento: ¿qué ocurre con el texto mientras el modelo genera una respuesta?
- Permisos: ¿puede un agente consultar tus archivos, correo o cuentas y actuar con esa información?
La capa crítica: los datos durante la inferencia
La inferencia es el momento en que el modelo procesa tu petición para generar una respuesta. Es distinta de guardar un chat después de responder. Puedes tener una política de no retención y, aun así, necesitar proteger adecuadamente el texto durante su paso por los sistemas de cálculo.
En una entrevista publicada el 18 de agosto de 2026, Yen explicó que la infraestructura de Lumo para una protección criptográfica más fuerte estaba construida en gran medida, pero que faltaba la interfaz con las GPU. Esa afirmación describe el estado mencionado durante aquella entrevista; no permite presentarlo como el estado actual ni como una capa ya terminada.
La diferencia importa porque cifrado de acceso cero para chats guardados no significa automáticamente cifrado de extremo a extremo durante cada fase de la generación. Lo primero protege el contenido almacenado según el diseño publicado por Proton. Lo segundo exige proteger también el contenido mientras los aceleradores procesan la petición. Son problemas relacionados, pero no idénticos.
En una presentación pública, Yen enumeró principios como la ausencia de registros, el no entrenamiento con conversaciones y el cifrado de los canales. Aun así, se trata de la posición y el diseño que Proton comunica sobre Lumo. La arquitectura descrita no debe interpretarse como una garantía independiente de que cada etapa del procesamiento resulte inaccesible para el proveedor.
Qué capa de privacidad estás evaluando realmente
| Capa de privacidad | Qué afirma Proton sobre Lumo | Qué significa para ti | Consecuencia práctica |
| Retención de conversaciones | Proton afirma que Lumo no conserva registros de conversaciones en sus servidores | La política se refiere a lo que ocurre después de procesar una conversación | Sigue siendo importante revisar qué funciones activas y qué datos envías |
| Chats guardados | Los chats guardados usan cifrado de acceso cero | Proton dice que no puede leer esas conversaciones almacenadas | Guardar un chat no equivale a proteger de la misma forma una petición en pleno procesamiento |
| Entrenamiento de modelos | Proton afirma que no utiliza las conversaciones ni las entradas para entrenar sus modelos | Tus mensajes no deberían incorporarse al entrenamiento según la política descrita | La promesa afecta al uso posterior de los datos, no resuelve por sí sola el procesamiento |
| Inferencia en GPU | Yen dijo que faltaba la interfaz para una protección criptográfica más fuerte durante la entrevista | El dato disponible no permite tratar esa capa como completada hoy | No confundas privacidad de almacenamiento con protección criptográfica de toda la inferencia |
| Permisos de agentes | Yen advierte que un agente con acceso amplio al dispositivo o a una cuenta puede divulgar información | El riesgo puede aparecer después del cifrado, cuando el agente ya puede leer o actuar | Limita los permisos y no entregues credenciales o secretos innecesarios |
El límite que ningún cifrado puede resolver
Andy Yen plantea un ejemplo sencillo: si das a un agente acceso libre a Proton Mail en tu dispositivo y ese agente publica el contenido en otro lugar, el cifrado de Proton ya no puede protegerte. El problema no está en descifrar un servidor, sino en haber autorizado a un programa a leer y utilizar la información.
Esta distinción será cada vez más importante a medida que los asistentes pasen de responder preguntas a ejecutar tareas. Un chatbot que recibe un texto aislado tiene un alcance limitado. Un agente conectado al correo, al almacenamiento y a varias cuentas opera dentro de un perímetro mucho más delicado. La privacidad depende entonces tanto de la criptografía como de los permisos, las herramientas disponibles y la capacidad de revocar el acceso.
La regla es poco glamourosa, pero funciona: si un agente no necesita un dato o un permiso para completar una tarea, no se lo des. La inteligencia artificial no convierte una autorización amplia en una autorización segura.
Cloud, IA local y la frontera de confianza
La IA local puede reducir la exposición ante proveedores externos porque el texto se procesa en el propio equipo. Andy Yen considera que la mejora del hardware y la disponibilidad de modelos más pequeños harán más viable este enfoque. Para trabajos especialmente sensibles, evitar que el contenido salga del dispositivo reduce una frontera de confianza importante.
Pero «local» no significa automáticamente «privado». La protección sigue dependiendo de la seguridad del ordenador o el móvil, la presencia de malware, la configuración de red, la procedencia de los modelos y las aplicaciones conectadas al sistema. Un agente local con permisos excesivos puede cometer el mismo error conceptual que uno alojado en la nube: acceder a más información de la necesaria y compartirla después.
Por eso la elección práctica no es simplemente nube contra dispositivo. Es una escala de exposición:
- Contenido público o poco sensible: una IA en la nube puede ser suficiente si aceptas sus condiciones de uso.
- Información personal o de trabajo: reduce el contexto, elimina identificadores y elige servicios con políticas explícitas de retención y entrenamiento.
- Secretos, credenciales y claves: no los pegues en una conversación ni los dejes disponibles para un agente por comodidad.
- Material especialmente delicado: considera modelos locales y separa las credenciales de las herramientas que puedan actuar automáticamente.
La comunidad técnica suele desconfiar de las promesas absolutas de cualquier proveedor externo y considera la IA local la opción más fuerte para los datos sensibles. La idea útil no es creer a ciegas en un servicio distinto, sino entender que enviar información fuera del dispositivo siempre crea una frontera de confianza.
Por qué la privacidad no entiende de partidos
Yen también sostiene que la demanda de privacidad atraviesa las divisiones políticas. En su explicación, Proton observó aumentos de interés durante administraciones de Donald Trump y Joe Biden. Más allá de la lectura política concreta, la idea tecnológica es sencilla: una persona no puede saber qué normas, gobiernos o decisiones empresariales afectarán a sus datos en el futuro.
Esa incertidumbre explica el atractivo de proteger la información antes de que cambie el contexto. También explica por qué la privacidad no debería reducirse al argumento de «no tengo nada que ocultar». Lo que hoy parece irrelevante puede adquirir otro significado cuando cambian las circunstancias, las reglas o quién controla una plataforma.
Qué debería sacar en claro el usuario
Sí: la IA privada es posible en principio. Pero no basta con que un servicio diga que no guarda chats. Conviene revisar, por separado, su política de retención, el uso de las conversaciones para entrenar modelos, la protección de los chats almacenados, el tratamiento durante la inferencia y los permisos que reciben sus agentes.
Lumo ofrece una propuesta más cuidadosa que la imagen genérica de un chatbot que acumula conversaciones para mejorar su producto. Proton afirma que no conserva registros de conversaciones en servidores, que no usa las entradas para entrenar modelos y que protege los chats guardados con cifrado de acceso cero. La propia explicación de Yen sobre la interfaz con las GPU demuestra, sin embargo, por qué esas promesas no deben comprimirse en una única etiqueta de «privado».
Para el lector, la conclusión es práctica: minimiza lo que envías, separa credenciales, limita los permisos y trata cada promesa de privacidad como una capa concreta. La IA puede ser útil sin convertirse en un agujero de datos, pero la seguridad no termina cuando pulsas «enviar».
