Un reportaje publicado el 28 de septiembre de 2026 atribuyó a un estudio de IMDEA Networks y la Universidad Carlos III de Madrid transferencias de datos directos de conversación desde seis de nueve versiones web de asistentes de IA y tres aplicaciones móviles. DeepSeek, Microsoft Copilot y Meta AI aparecieron en otro grupo: transmitieron información del dispositivo y metadatos del chat. El estudio habría sido aceptado en PETS, según el mismo reportaje.
Las pruebas descritas incluyeron consultas relacionadas con la salud, documentos con resultados de pruebas médicas y distintos ajustes de privacidad. Los resultados se refieren a las versiones y aplicaciones examinadas; no convierten cada tipo de dato reportado en una característica común a todos los servicios.
Qué asistentes y datos aparecen en los resultados
Los resultados atribuidos al estudio separan tres grupos según la superficie examinada y el tipo de información transmitida:
| Grupo examinado | Asistentes mencionados | Datos reportados |
| Seis de nueve versiones web | ChatGPT, Gemini, Claude, Grok, Perplexity y Mistral | Datos directos de conversación enviados mediante rastreadores publicitarios |
| Tres aplicaciones móviles | ChatGPT, Claude y Perplexity | Datos directos de conversación enviados mediante rastreadores |
| Otros tres asistentes | DeepSeek, Microsoft Copilot y Meta AI | Información del dispositivo y metadatos del chat |
Los metadatos describen información asociada a una conversación —por ejemplo, su título—, mientras que los datos directos pueden incluir el contenido de preguntas o documentos. Entre las categorías mencionadas en las pruebas figuran títulos de chats, preguntas, documentos subidos, capturas de pantalla y, en algunos casos, enlaces a conversaciones compartidas.
Que un rastreador reciba datos o un enlace y que un anuncio se elija a partir de una conversación son hechos distintos. Los resultados descritos se centran en las transmisiones y, en algunos casos, en accesos automáticos a enlaces compartidos.
Grok y los enlaces compartidos
En las pruebas de la versión web de Grok, las URL de conversaciones se enviaron automáticamente a siete redes externas de publicidad y analítica. Entre los ejemplos mencionados figuran Meta, TikTok, Google Ads y Twitter Analytics. Las solicitudes podían incluir también cookies e identificadores de usuario.
Para los chats compartidos de Grok, se reportó que la última pregunta del usuario llegaba a Meta y TikTok, y que TikTok recibía una captura de pantalla de la conversación. En pruebas posteriores se registraron hasta 70 accesos automáticos a conversaciones de Grok desde 14 países. La cifra describe los accesos observados en esas pruebas.
Qué efecto tuvieron los ajustes de privacidad
En las pruebas descritas, hasta el 80,8 % de los rastreadores de terceros seguía activo al rechazar cookies o usar el modo incógnito. Ese máximo se refiere a los rastreadores observados bajo esas medidas, no a una tasa general para cada asistente.
Un análisis web anterior de IMDEA Networks y el proyecto LeakyLM, publicado en mayo de 2026, examinó ChatGPT, Claude, Grok y Perplexity. Describió el envío a rastreadores de URL o títulos de conversaciones y de identificadores asociados en algunos casos. Rechazar cookies no esenciales bloqueó algunos flujos observados en Claude y Grok, mientras que otros persistieron.
Ese análisis anterior se limitó a cuatro asistentes web. Sus resultados no son el mismo estudio que el trabajo posterior, que amplió el grupo a nueve asistentes y añadió aplicaciones móviles.
Respuestas de las empresas y situación regulatoria
Google sostuvo que Gemini no incluye anuncios y describió Google Analytics como una herramienta técnica para supervisar el rendimiento, detectar interrupciones y mantener la fiabilidad. OpenAI explicó que utiliza herramientas de analítica para entender el tráfico de ChatGPT, diagnosticar errores y supervisar el rendimiento; también negó que esos datos se usaran para publicidad o se compartieran o vendieran a anunciantes. Microsoft afirmó que, tras revisar las alegaciones, no había detectado una infracción de la legislación aplicable ni de su declaración de privacidad.
El reportaje publicado el 28 de septiembre también indicó que la Agencia Española de Protección de Datos remitió el asunto al Comité Europeo de Protección de Datos para que examinara posibles implicaciones en la normativa europea.
