Privacidad en línea – Parte 2: quién usa tus datos y qué puede inferir de ti

En la Parte 1 vimos qué es tu huella digital y por qué privacidad y seguridad no son lo mismo. Ahora toca la parte incómoda: quién usa esa huella y, sobre todo, qué puede deducir con ella.

Antes de entrar en detalle, la idea que atraviesa todo este artículo: tu privacidad no se pierde solo cuando alguien obtiene un dato sensible. También se pierde cuando alguien combina suficientes datos que por separado parecían inofensivos, hasta llegar a una conclusión que tú nunca decidiste revelar.

El negocio de tus datos: quién es un data broker y qué hace con tu información

Legalmente, un data broker es “una empresa que recopila y vende información personal de un consumidor con quien no tiene relación directa” (CPPA). La clave está ahí: no es una empresa con la que hablas o a la que le diste tus datos a propósito, sino una que los obtuvo de terceros.

Y vender no es el único modelo de negocio. También hay intercambio de información entre empresas, publicidad segmentada, y algo llamado identity resolution: cruzar fragmentos de datos de distintas fuentes para confirmar que el usuario del sitio A, el comprador de la tienda B y el perfil de la red social C son la misma persona. El registro público de data brokers de California incluye categorías como geolocalización precisa, historial de navegación, información de salud e identificaciones (CPPA, Registro de Data Brokers) — y ahí está el punto real: en muchos casos, el producto no es tu información en bruto, sino la capacidad de inferir algo sobre ti a partir de ella.

Eso no significa que cada una de estas empresas tenga ya un archivo abierto con tu nombre. Pero sí es razonable asumir que alguna de ellas recopiló, compró o combinó información asociada contigo en algún momento, aunque nunca hayas interactuado con ella directamente.

California sigue siendo el caso regulatorio más concreto: DROP, la plataforma que permite a un residente enviar una única solicitud de eliminación a todos los data brokers registrados en el estado, ya está operativa. Desde el 1 de agosto de 2026, los brokers deben acceder a la plataforma al menos cada 45 días para procesar las solicitudes pendientes (CPPA) — ese plazo describe con qué frecuencia el broker debe revisar la plataforma, no cuánto tarda tu solicitud individual.

Si no resides en California ni en un estado con un mecanismo equivalente, no tienes ese botón único, pero el ejercicio sigue siendo válido: revisa los permisos de las apps que usas y la sección de privacidad o publicidad personalizada de las plataformas grandes. La mayoría ya ofrece alguna forma de ver o limitar qué comparten con terceros.

Cuando tus datos se convierten en un ataque

El reporte Verizon DBIR 2026 encontró que el elemento humano estuvo presente en el 62% de las brechas, frente al 60% del año anterior (Verizon DBIR 2026). La ingeniería social como patrón de ataque representó el 16% de las brechas, y el pretexting — hacerse pasar por alguien de confianza con un pretexto creíble — llegó al 6% como vector inicial.

Ahí es donde tu huella digital deja de ser un tema abstracto. Un atacante que sabe tu fecha de nacimiento, el nombre de tu mascota (clásica pregunta de seguridad) y dónde trabajas — todo público, todo compartido “sin querer” en algún momento — tiene material de sobra para escribir un mensaje que no suena genérico, sino personal y creíble.

Y ya no llega solo por correo. El mismo reporte encontró que, en simulaciones, los vectores centrados en el teléfono — llamadas de voz y mensajes de texto — tuvieron una tasa de éxito 40% superior a los ataques por email. Vale la pena tenerlo presente con llamadas de “soporte técnico”, SMS de supuestas entregas o mensajes de recuperación de cuenta que llegan por WhatsApp: el canal cambió, pero el material que usa el atacante sigue siendo tu información pública.

La IA cambia la ecuación

Antes, tus datos solían estar repartidos en compartimentos separados: una empresa tenía tu nombre, teléfono y compras; otra tu correo e intereses de navegación; otra tu ubicación y dispositivo. Cruzar todo eso a mano era caro y lento.

Un estudio de investigadores de ETH Zúrich mostró que un modelo de lenguaje puede inferir atributos personales — ubicación, ingresos, género, entre otros — a partir de texto aparentemente anónimo, con hasta 85% de precisión en el primer intento y 95% considerando las tres opciones más probables, a una fracción del costo y tiempo que le tomaría a una persona (arXiv 2310.07298). El mismo estudio encontró que anonimizar el texto no es defensa suficiente frente a este tipo de inferencia.

Vale la pena separar dos cosas que se confunden fácil: un dato observado es lo que publicaste literalmente — “subió una foto desde Barranquilla”. Un dato inferido es la conclusión que un sistema saca a partir de eso y de otras piezas dispersas — “probablemente vive en Barranquilla”, “probablemente trabaja en tecnología”, “probablemente va a estar de viaje esa semana”. Nunca escribiste esas frases en ningún lado, pero alguien —o algo— las dedujo por ti.

Y quiero ser preciso con esto: no es que “la IA haga inferencias por su cuenta”, como si tuviera intención propia. Siempre hay una persona, empresa o sistema que provee los datos, define el contexto y usa el modelo con un propósito concreto. El riesgo no es el modelo en abstracto — es lo fácil y barato que se volvió automatizar esa correlación a gran escala.

Qué hacer con todo esto

No se trata de desaparecer de internet, sino de tratar tu información con la misma cautela con la que tratarías la contraseña del banco:

1. Aplica primero los fundamentos de la Parte 1: gestor de contraseñas, MFA y actualizaciones siguen siendo la base con más impacto.
2. Revisa periódicamente qué apps de terceros tienen acceso OAuth a tu cuenta de Google, Microsoft o redes sociales, y revoca las que ya no uses — incluidas las cuentas que dejaste de usar hace años pero nunca cerraste.
3. No limites la revisión de permisos a ubicación y contactos: micrófono, fotos y Bluetooth también valen la pena revisarlos de vez en cuando.
4. Usa el mecanismo de opt-out o eliminación de datos cuando la plataforma o tu jurisdicción lo ofrezca, aunque el proceso sea tedioso.
5. Las respuestas a preguntas de seguridad ("¿nombre de tu primera mascota?") no tienen que ser verdaderas — pueden ser una respuesta inventada que guardes en tu gestor de contraseñas como si fuera otra clave más. Es el mismo principio que ya vimos al hablar de gestores de contraseñas: un dato falso que solo tú puedes recuperar no le sirve a nadie más.

La privacidad no sustituye a la seguridad, ni al revés. Un gestor de contraseñas evita que una clave filtrada se reutilice en diez sitios; no evita que una foto pública revele dónde estás. Nada de esto elimina el riesgo por completo — no existe privacidad perfecta en un mundo conectado — pero cada dato que decides no exponer, o cada permiso que revocas, es una pieza menos para quien intente construir un perfil tuyo: un data broker, un atacante, o un sistema que solo está haciendo bien su trabajo de correlacionar información.