Un estudio español midió qué datos de las conversaciones con nueve asistentes de IA llegan a empresas de publicidad y rastreo

Un equipo de IMDEA Networks Institute, de Madrid, analizó nueve asistentes de inteligencia artificial y encontró que todos contactan al menos a un servicio de publicidad o rastreo de terceros. El estudio, titulado «Prompt like a Butterfly, Sting like a Tracker: A Privacy Analysis of Web and Mobile Conversational AI Agents», firmado por nueve autores, mide el tráfico de red de esos servicios. No mide qué hace cada empresa con los datos ni evalúa si cumple la ley.

Qué midió el estudio

Los investigadores analizaron en mayo de 2026, desde España, las versiones web de ChatGPT, Claude, Grok, DeepSeek, Perplexity, Gemini, Microsoft Copilot, Mistral y Meta AI, y las aplicaciones de Android de ocho de ellos (no pudieron extraer el tráfico de la app de Gemini). Usaron consultas sobre salud que imitaban a un usuario real y variaron la elección de cookies (ignorar el aviso, rechazar las no esenciales o aceptar todas), el tipo de cuenta (invitado, gratuita o paga) y si la conversación se compartía.

Resultados

• Se detectaron 124 dominios de terceros, pertenecientes a 44 organizaciones; 34 de ellas son servicios de publicidad y rastreo.
• En 6 de las 9 versiones web y en 3 de las 8 apps, terceros recibieron elementos de las conversaciones: direcciones (URL), títulos generados automáticamente, mensajes o capturas de pantalla, en muchos casos junto con identificadores persistentes del usuario.
• El 77,3% de las transmisiones de identificadores web a terceros ocurrió solo después de aceptar las cookies no esenciales. Aun rechazándolas, el 80,8% de los servicios de terceros siguió activo.
• En las páginas de conversaciones compartidas de Grok, TikTok recibió capturas de pantalla de la conversación, y Meta y TikTok recibieron el último mensaje del usuario.

Límites que señalan los autores

Que haya un tercero presente no implica por sí mismo que reciba datos con fines publicitarios: definir el propósito del tratamiento exige un análisis legal y contractual que queda fuera del estudio. Las mediciones se hicieron desde un único lugar y con perfiles de usuario fijos, no incluyen cuentas empresariales o gubernamentales, y los autores las describen como un piso, medido en un momento determinado.

Fuentes: estudio de IMDEA Networks (PDF) y Genbeta.