Fuga de datos con IA: cómo se escapan desde tus sistemas

Una fuga de datos con IA no siempre empieza con un empleado que pega un expediente en ChatGPT. En muchas empresas mexicanas empieza en el código: el CRM que resume conversaciones, el bot que contesta correos o el asistente que busca en los contratos mandan a la API de un modelo el nombre, el RFC y la CURP de los clientes en cada llamada, y además los dejan registrados en tres o cuatro lugares por el camino.

Se frena con cuatro pasos que no requieren cambiar de proveedor: mandar sólo lo necesario, cambiar los datos personales por marcadores antes de que la petición salga, conservar la llave de la API en tu servidor y devolver los datos reales en la respuesta dentro de tu propia red.

Nonimo Gateway se instala en tus propios servidores. Ver planes y escribirnos.

Cinco puntos por donde salen los datos

ruta	qué sale	dónde se queda	cómo cerrarla
El prompt	el texto completo con nombres, RFC, CURP, montos	en el proveedor, según su contrato	marcadores antes de enviar
Las bitácoras	copias del prompt y de la respuesta	en tu servidor, tu gateway o tu herramienta de monitoreo	registrar conteos, no contenido
RAG	fragmentos de tus documentos que se agregan al prompt	en el índice y en cada llamada	marcar los fragmentos antes de mandarlos
Herramientas	los argumentos y los resultados de cada consulta	en el historial de la conversación	marcar también lo que regresa la herramienta
Conservación en el proveedor	lo que el proveedor guarda para revisión o soporte	fuera de tu control	elegir bien el plan y no mandar datos personales

La primera y la última son las que todos conocen. Las tres del medio son las que más se olvidan, porque no las ve nadie fuera del equipo técnico.

Las bitácoras que nadie revisa

Cada capa guarda su copia: la aplicación para depurar errores, el gateway para controlar costos, la herramienta de monitoreo para medir la calidad. Amazon, por ejemplo, reconoce en la página de sus filtros de datos sensibles de Bedrock Guardrails que el enmascarado no alcanza a las bitácoras de invocación: CloudWatch se queda con la petición sin tocar. Qué guarda cada tipo de gateway lo vemos en qué es un AI gateway.

RAG: tus documentos viajan por partes

En un sistema RAG, la aplicación busca en tus contratos o expedientes los párrafos relevantes y los agrega al prompt. Si el contrato dice el nombre del arrendatario y su domicilio, eso viaja al modelo en cada consulta que lo toque, aunque la pregunta del usuario no tenga ningún dato personal.

Llamadas a herramientas: lo que regresa también cuenta

Cuando el modelo pide consultar una herramienta, como buscar un cliente en la base de datos, tu aplicación ejecuta la consulta y le devuelve el resultado al modelo. Ese resultado suele traer la ficha completa. La misma página de Amazon advierte que, en las llamadas a herramientas, su filtro no evalúa ni los argumentos ni los resultados. Es una limitación documentada que conviene conocer, sea cual sea la herramienta que uses.

Ejemplo: el asistente de cobranza de una inmobiliaria

Una inmobiliaria de la Ciudad de México con 60 asesores conecta su CRM a la API de un modelo para redactar recordatorios de pago. El asesor escribe: recuérdale al inquilino del departamento 302 de la calle Amores que vence la renta. El modelo pide la herramienta buscar_inquilino y la aplicación le devuelve esto:

{
  "nombre": "Mauricio Arredondo Luján",
  "rfc": "AELM871344T52",
  "curp": "AELM871344HDFRJR09",
  "correo": "mauricio.arredondo@correo-ejemplo.mx",
  "adeudo": "18,500.00",
  "aval": "Silvia Luján Ortega"
}

Los datos son inventados y la fecha del RFC y de la CURP es imposible a propósito. Para redactar un recordatorio, el modelo sólo necesitaba el monto y un nombre para el saludo. Recibió el RFC, la CURP, el correo y el nombre de su aval, que nada tiene que ver con un recordatorio dirigido al inquilino. Y todo quedó en la bitácora del CRM, en la del gateway y en la herramienta de monitoreo.

Con un proxy de privacidad delante, el resultado de la herramienta sale así: [PERSONA_1], [RFC_1], [CURP_1], [CORREO_1], el monto y [PERSONA_2]. El modelo redacta el mismo recordatorio dirigido a [PERSONA_1], y el proxy pone el nombre real antes de que el texto llegue al asesor. Y conviene además que el desarrollador recorte la respuesta de la herramienta para que sólo devuelva nombre y monto: lo que no se manda no hay que esconderlo.

Qué dice la LFPDPPP cuando la fuga sale de tu código

La LFPDPPP vigente, publicada en el Diario Oficial de la Federación el 20 de marzo de 2025, no habla de inteligencia artificial, pero sí de todo lo que pasa en una integración:

• Proporcionalidad. El artículo 12 limita el tratamiento a lo necesario, adecuado y relevante. Mandarle al modelo el RFC para redactar un recordatorio no lo es.
• Seguridad. El artículo 18 pide medidas administrativas, técnicas y físicas contra el acceso o el uso no autorizado, considerando el riesgo y la sensibilidad de los datos.
• Vulneraciones. El artículo 19 obliga a informar de forma inmediata a los titulares cuando una vulneración afecte de forma significativa sus derechos patrimoniales o morales.
• Confidencialidad. El artículo 20 alcanza a todas las personas que intervienen en el tratamiento, incluidos los desarrolladores que leen las bitácoras.
• Multas. El artículo 58 incluye entre las infracciones vulnerar la seguridad de bases de datos, programas o equipos, y transferir datos fuera de los casos permitidos. El artículo 59 las sanciona con multas de 200 a 320,000 veces la Unidad de Medida y Actualización, que pueden subir hasta el doble con datos sensibles.

La autoridad que aplica estas sanciones ya no es el INAI: el artículo 2, fracción XV, nombra a la Secretaría Anticorrupción y Buen Gobierno. El marco completo está en la guía de la LFPDPPP y la inteligencia artificial, y si la fuga ya pasó, los pasos están en vulneración de seguridad con IA.

Cuatro pasos para frenar una fuga de datos con IA

1. Minimiza. Revisa qué campos manda cada integración y quita los que el modelo no usa. Las herramientas deben devolver lo indispensable, no la ficha completa.
2. Seudonimiza antes de la llamada. Cambia nombres, RFC, CURP, correos y domicilios por marcadores en tu red, antes de que la petición salga. Aplica al prompt, a los fragmentos de RAG y a los resultados de herramientas.
3. Conserva la llave. La llave de la API vive en un servidor tuyo, no en cada aplicación ni en la computadora de cada desarrollador. Así controlas por dónde sale todo.
4. Restaura en la respuesta. Los datos reales regresan al texto dentro de tu infraestructura, para que el usuario reciba un resultado completo sin que el proveedor los haya visto.

Y para las bitácoras: registra cuántos datos se cambiaron y de qué tipo, no el contenido. Qué datos conviene cambiar en cada tipo de texto está en qué datos ocultar antes de usar la IA, y qué hace cada proveedor con lo que recibe, en qué hace OpenAI con tus datos.

Si ya usas LiteLLM, comparamos sus guardrails de PII en esta guía, y hay un repaso general de software de redacción de PII, los dos en inglés. Si te preguntas si no sería más simple tener un modelo propio, lo vemos en IA privada o proxy de privacidad.

Nonimo Gateway

Nonimo Gateway hace los pasos dos, tres y cuatro en un solo punto. Es un proxy privado que se instala en tus propios servidores. Reemplaza los datos personales antes de que la petición llegue a la API del modelo y los devuelve en la respuesta.

Es compatible con la API de OpenAI: cambias el base_url y usas tu propia llave. Reconoce el RFC y la CURP y tiene un plugin para LiteLLM. Los planes y precios están en la página de Nonimo Gateway.

Antes de la siguiente integración

Haz el ejercicio con una sola llamada: imprime lo que tu aplicación manda al modelo, con el contexto de RAG y los resultados de herramientas incluidos, y cuenta cuántos datos personales lleva. Si el número no es cero, ahí está tu fuga. Mira los planes de Nonimo Gateway y escríbenos para probarlo con ese mismo tráfico.

Fuentes

Las de la ley, consultadas el 21 de octubre de 2026.

• Ley Federal de Protección de Datos Personales en Posesión de los Particulares, publicada en el DOF el 20 de marzo de 2025, última reforma DOF 14-11-2025. Texto vigente en la Cámara de Diputados. Artículo 2, fracción XV; artículos 12, 18, 19, 20, 58, 59 y 61.
• AWS, Bedrock Guardrails, filtros de información sensible. Consultada el 20 de octubre de 2026. Las bitácoras de invocación en CloudWatch conservan la petición original; las llamadas a herramientas no se evalúan.