Fuga de datos con IA: cómo se escapan por tus apps

Cuando se habla de fuga de datos con IA, casi siempre se piensa en un empleado que pega en ChatGPT el expediente de un cliente. Ese riesgo existe, pero en una empresa que ya armó sus propias aplicaciones sobre la API de un modelo hay otro, más silencioso: el código que manda a la IA, miles de veces por día, más datos de los que la tarea necesita. Nadie pega nada. La fuga está en cómo se armó la llamada.

Nonimo Gateway se instala en tus propios servidores. Ver planes y contactarnos.

Esta guía es para quien desarrolla o mantiene esas aplicaciones en un estudio, una clínica o una pyme argentina. Repasa por dónde se escapan los datos personales en una llamada a la API, qué tiene que ver con la Ley 25.326 y cómo frenarlo: minimizar, seudonimizar antes de la llamada, quedarte con la llave y reponer los datos en la respuesta.

Por dónde se escapa la fuga de datos con IA

Una llamada a un modelo parece un solo envío. En la práctica, los datos de una persona terminan en cinco lugares distintos.

Lugar	Qué pasa	Por qué es fuga
El prompt	El código arma el pedido con el registro entero del cliente	Viajan datos que el modelo no necesitaba
Los registros	La app, el gateway o la herramienta de observabilidad guardan prompt y respuesta	Una base nueva con datos personales, a veces en otro servicio
El RAG	La búsqueda trae fragmentos de documentos internos al prompt	Entran datos de terceros que nadie eligió mandar
Las herramientas	El modelo llama a una función que devuelve una ficha completa	El resultado de la función vuelve al proveedor dentro del contexto
El proveedor	Conserva pedidos y respuestas según sus términos y el tipo de cuenta	El dato queda fuera de tu control por un plazo que no fijás vos

El prompt que arma el código

Es el caso más común. Para que el modelo redacte un mail de cobranza, la app le pasa el objeto cliente completo, con DNI, CUIT, domicilio, teléfono y deuda, porque era lo más cómodo de programar. El modelo necesitaba el monto y la fecha.

Los registros

Los logs de depuración guardan el prompt entero. Si además hay un gateway o una herramienta de observabilidad, puede haber dos o tres copias más, cada una con sus accesos y su plazo de conservación. Qué implica eso cuando el gateway es de un tercero lo vemos en qué es un AI gateway.

El RAG

En un sistema con búsqueda sobre documentos internos, el fragmento que se suma al prompt lo decide un algoritmo, no una persona. Si los documentos indexados tienen contratos, recibos de sueldo o informes con nombres, esos nombres viajan en cada consulta que los toque.

Las llamadas a herramientas

Cuando el modelo puede llamar a funciones, como buscar un cliente en el CRM, lo que la función devuelve entra al contexto y vuelve a la API en el siguiente turno. Una función que devuelve la ficha completa en lugar de los dos campos necesarios es una fuga programada.

La retención en el proveedor

Cada proveedor conserva pedidos y respuestas según sus términos, que cambian según el tipo de cuenta y el producto. Leelos antes de mandar tráfico real. Y aunque el plazo sea corto, mientras dure el dato está en servidores que, en general, no están en un país que la AAIP considere adecuado.

Qué dice la Ley 25.326 de una fuga de datos con IA

La Ley 25.326 no habla de modelos de lenguaje, pero sus reglas se aplican a cada uno de esos cinco lugares:

• Artículo 4. Los datos tienen que ser adecuados, pertinentes y no excesivos en relación con la finalidad, y destruirse cuando dejan de ser necesarios. Mandar la ficha entera para redactar un mail no pasa esa vara, y conservar logs de prompts sin plazo tampoco.
• Artículo 9. El responsable tiene que adoptar medidas técnicas y organizativas que eviten la consulta o el tratamiento no autorizado y permitan detectar desviaciones de información.
• Artículo 10. Todos los que intervienen en el tratamiento tienen deber de secreto, también el equipo que lee los logs.
• Artículo 12. Transferir datos a países sin protección adecuada está prohibido, salvo excepciones. Estados Unidos no está en la lista de la AAIP.

La guía de la AAIP para una IA responsable pone la minimización, el cifrado, la seudonimización y un protocolo de gestión de incidentes entre las medidas de seguridad a considerar, y remite a la Resolución 47/2018, que ordena la respuesta a incidentes en detección, evaluación, contención y respuesta. Y el protocolo que modifica el Convenio 108 del Consejo de Europa, aprobado en Argentina por la Ley 27.699, prevé notificar a la autoridad las filtraciones que puedan afectar gravemente los derechos de las personas.

Si una fuga ya pasó, los pasos para evaluarla y decidir a quién avisar están en incidente de seguridad con datos personales.

Un ejemplo: el asistente de recursos humanos

Una pyme de logística de Avellaneda, con ochenta empleados, armó un asistente para que el área de personal conteste consultas sobre liquidaciones. Los datos son inventados. Esto es lo que el código mandaba a la API en cada consulta:

{
  "empleado": "Gustavo Iriarte",
  "cuil": "20-00000000-0",
  "dni": "00.000.000",
  "domicilio": "Mitre 0000, Avellaneda",
  "cbu": "0000000000000000000000",
  "obra_social": "OSXXX, plan 000",
  "licencia_medica": "lumbalgia, 10 días",
  "consulta": "¿Por qué cobré menos este mes?"
}

Para contestar la consulta, el modelo necesitaba saber que hubo una licencia de diez días y cómo se liquida. No necesitaba el CUIL, el DNI, el domicilio, el CBU ni el diagnóstico, que además es un dato sensible. Todo eso salía en cada consulta, quedaba en el log de la app y, por los términos de la cuenta, en el proveedor durante un tiempo.

Con las medidas de la sección siguiente, el mismo pedido sale así, con marcadores ilustrativos:

{
  "empleado": "[PERSONA_1]",
  "licencia": "10 días, con certificado",
  "consulta": "¿Por qué cobré menos este mes?"
}

La respuesta vuelve con el nombre repuesto y el empleado recibe la misma explicación. Más sobre IA y legajos en IA para recursos humanos.

Cómo frenar la fuga, en cuatro pasos

1. Minimizá. Antes de tocar la infraestructura, revisá qué arma el código. Cada campo que se manda tiene que estar ahí porque la tarea lo necesita. Es el paso más barato y el que más reduce.
2. Seudonimizá antes de la llamada. Lo que queda de datos personales, como el nombre que el modelo tiene que usar en la respuesta, se reemplaza por un marcador antes de salir de tu red. Qué datos conviene tapar siempre lo listamos en qué datos no compartir con la IA.
3. Quedate con la llave. La tabla que dice qué marcador corresponde a qué persona vive en tu servidor y no viaja nunca. Si sale, la seudonimización no sirve.
4. Reponé en la respuesta. El modelo contesta con marcadores; tu lado los cambia por los valores reales antes de mostrar el resultado. Si la respuesta llega en streaming, el reemplazo tiene que ir acompañando el flujo.

A eso sumale dos hábitos: registros que guarden conteos y metadatos en lugar del texto, y plazos cortos de conservación para lo que sí se guarde. La diferencia entre seudonimizar y disociar, que pesa a la hora de leer el artículo 11, está en anonimización y disociación de datos. Y si lo que te preguntás es si conviene directamente un modelo propio, lo vemos en IA privada o proxy de privacidad.

Nonimo Gateway hace los pasos 2, 3 y 4

Nonimo Gateway es un proxy de privacidad que se instala en tus propios servidores. Reemplaza los datos personales antes de que el pedido llegue a la API, guarda la equivalencia de tu lado y repone los valores reales en la respuesta. Es compatible con la API de OpenAI: cambiás el base_url y usás tu propia clave de OpenAI. Se integra como plugin si ya usás LiteLLM. Probalo con textos reales de tu operación: lo que no reemplace, lo resolvés en el paso 1.

El paso 1, minimizar, sigue siendo tuyo, y ninguna herramienta lo reemplaza.

Los planes y precios están en la página de Nonimo Gateway.

Si estás comparando opciones, tenés guardrails de PII en LiteLLM, alternativas a Portkey y el panorama de software de redacción de PII, en inglés.

En resumen

La fuga de datos con IA en tus propias apps no la produce una persona distraída sino una llamada mal armada, repetida miles de veces. Se escapa por el prompt, los registros, el RAG, las herramientas y la retención del proveedor. Se frena mandando sólo lo necesario, reemplazando los datos antes de que salgan, guardando la llave en tu servidor y reponiendo en la respuesta.

Si querés probar Nonimo Gateway en tus servidores, mirá los planes y escribinos.

Fuentes

Consultadas el 21 de octubre de 2026.

• Ley 25.326 de Protección de los Datos Personales. Texto actualizado en InfoLEG. Artículos 4 (calidad de los datos), 9 (seguridad), 10 (confidencialidad), 11 (cesión y disociación) y 12 (transferencia internacional).
• Resolución AAIP 47/2018. Texto en argentina.gob.ar. Medidas de seguridad recomendadas, con su apartado de incidentes de seguridad.
• AAIP, Guía para entidades públicas y privadas en materia de Transparencia y Protección de Datos Personales para una Inteligencia Artificial responsable, versión final. PDF oficial. Minimización, cifrado, seudonimización y protocolo de gestión de incidentes.
• AAIP, Transferencias internacionales de datos personales. Página oficial. Países con protección adecuada.
• Ley 27.699, aprobación del protocolo modificatorio del Convenio 108 (Convenio 108+). Texto en argentina.gob.ar. Artículo 9 del protocolo, que reemplaza el artículo 7 del convenio: notificación de filtraciones.