IA en el dispositivo y privacidad en el internet de las cosas

Qué hace realmente la IA en el dispositivo (y qué no)

Tu timbre inteligente ya lleva una red neuronal. Puede que tu semáforo también. La promesa es sencilla: tus datos se quedan en local. La realidad es más complicada —y más interesante— de lo que dice la caja. No son sólo chips tradicionales ejecutando inferencia: muchos usan hardware especializado, como los procesadores neuromórficos diseñados para computación de bajo consumo en el borde.

Inferencia en el dispositivo significa que el cálculo del modelo ocurre en tu aparato y no en un servidor remoto. La cámara del timbre ve una cara, la pasa por una red neuronal alojada en su chip y devuelve «persona detectada». Esa parte es real. Los datos —el flujo de píxeles en bruto— no se suben a los servidores de Apple o de Google sólo para reconocer una cara. En ese sentido estricto, la afirmación de privacidad es cierta.

Pero «los datos nunca salen del dispositivo» es una abreviatura que mete al menos cuatro cosas distintas en una sola frase. Confunde la capa de inferencia con todo el sistema que la rodea. Desenredemos qué se queda de verdad en local y qué se mueve:

Tipo de dato	¿Se queda en local?	Adónde va en realidad
Entrada bruta del sensor (imágenes, audio)	Normalmente sí	La procesa el modelo local y después suele descartarse
Salida de la inferencia (etiquetas, eventos)	No	Registros, paneles en la nube, servidores de actualización de firmware
Parámetros del modelo	No	Los envía el fabricante y se actualizan por aire
Metadatos de inferencia (latencia, confianza, marcas de tiempo)	No	Servicios de analítica, canalizaciones de aprendizaje federado
Patrones agregados (quién, cuándo, con qué frecuencia)	No	Intermediarios de datos, redes publicitarias

Los datos brutos del sensor puede que se queden en el aparato. Pero todo lo que viene después —las decisiones, los registros, los patrones— puede salir, y a menudo sale. Ahí es donde la historia de la privacidad se pone interesante.

Dónde se sostiene de verdad la historia de la privacidad

Seamos justos. La inferencia en el dispositivo resuelve un problema real de privacidad que el procesamiento en la nube no resuelve: la exposición intermedia.

Cuando el reconocimiento facial de Apple se ejecuta en tu iPhone y no en los servidores de Apple, la imagen en bruto nunca se transmite. Ningún intermediario ve tu salón, tu familia ni el hecho de que estás en casa a las dos de la madrugada. Eso es genuinamente distinto de la IA en la nube, donde cada píxel viaja por la red. Ninguna agencia de inteligencia se queda con tu cara. Ningún intermediario de datos puede comprar el plano de tu casa. Quien escuche la red no puede reconstruir tu entorno visual a partir de los paquetes.

Si lo único que te preocupa es si el vídeo de tu cámara acaba en un servidor comercial, la inferencia en el dispositivo gana. Punto. Y para ciertos usos —detección de objetos en tiempo real en una casa inteligente, imagen médica en un aparato portátil, control de calidad en una fábrica— esa es justo la pregunta que importa. Los datos brutos quedan contenidos.

También hay aquí un logro técnico real que conviene reconocer. Ejecutar redes neuronales con sentido en el chip de un altavoz inteligente de 2 vatios es más difícil de lo que parece. Proyectos como Inicio Assistant han demostrado que se puede construir una casa inteligente respetuosa con la privacidad donde la inferencia se queda en local, los modelos son de código abierto y nada llama a casa sin permiso explícito. Para quien esté interesado en ejecutar IA en local, estos principios importan más que el hardware concreto. Eso no es marketing. Eso es ingeniería.

El aprendizaje federado (entrenar modelos de forma colaborativa en los dispositivos sin subir datos brutos) es otra victoria de privacidad genuina, al menos en teoría. En lugar de enviar tus patrones de uso a un servidor central, entrenas un modelo pequeño en local y devuelves sólo las actualizaciones del modelo. El teclado Gboard de Google lo usa para predecir la siguiente palabra. La secuencia concreta de pulsaciones nunca sale de tu teléfono. La investigación sobre aprendizaje federado y TinyML muestra que la técnica es sólida, aunque sigue siendo vulnerable a ataques de inferencia. Eso es una técnica de privacidad real, no sólo una estética de privacidad.

Dónde se rompe la historia de la privacidad

Pero aquí es donde la cosa se enturbia. La arquitectura es sólida. El sistema que la rodea no.

Primero, los propios modelos son una caja negra. No sabes de dónde salió la red neuronal de tu timbre, quién la entrenó, qué datos vio, ni si de verdad hace lo que dice la etiqueta. Quienes fabrican los chips y las plataformas en la nube controlan la cadena de suministro. No existe una auditoría estandarizada para la deriva del modelo, esa degradación o cambio lento del comportamiento con el tiempo. El modelo de voz de tu asistente puede haberse entrenado con datos de 2021, pero compras el aparato en 2025. El desajuste es silencioso y nadie lo comunica.

Las actualizaciones de modelo por aire (parches de firmware remotos) significan que el fabricante puede cambiar lo que hace tu aparato sin preguntarte. Técnicamente, el modelo nuevo sigue ejecutándose en local. En la práctica, acabas de aceptar una actualización de software opaca en tu infraestructura de vigilancia y nunca sabrás qué cambió. La documentación de Edge Impulse sobre despliegue de modelos señala que la capacidad de actualizar por aire es una función, no una salvaguarda. La promesa de privacidad era «los datos se quedan en local», no «tú controlas qué cómputo ocurre en local».

Luego está el cambio de conducta. La gente se comporta de otra forma cuando cree que algo es privado. Apple anunció el procesamiento en el dispositivo para sus etiquetas de privacidad de aplicaciones. Quienes desarrollan empezaron a revelar menos sobre qué datos recogen de verdad. La gente se sintió más cómoda con el seguimiento de conducta porque «ocurría en local». La investigación sobre privacidad en el hogar inteligente y efectos de conducta documenta este fenómeno: la apariencia de control reduce el riesgo percibido aunque el riesgo real no cambie. Eso no es un fallo técnico. Es un efecto de teatro de seguridad. La pregunta no es si la IA en el dispositivo es mejor que la IA en la nube para la privacidad. Es si sentirse privado y serlo son lo mismo.

Y el sistema alrededor del aparato está integrado a fondo en ecosistemas comerciales. Puede que los datos de tu casa inteligente no salgan del timbre como vídeo, pero salen del ecosistema como informe de conducta: estás en casa a las seis de la tarde los jueves, recibes paquetes los martes por la mañana, tu puerta se abre doce veces al día. Los intermediarios de datos compran ese registro de inferencias. Las redes publicitarias lo usan para perfilarte. Tu aseguradora pide estadísticas agregadas de tu casa inteligente para ajustar tu perfil de riesgo. Los píxeles en bruto se quedaron en local. Las inferencias sobre ti, no.

También está el problema de la cadena de suministro. La mayoría de los modelos de TinyML (aprendizaje automático en dispositivos empotrados) vienen preentrenados. No los inspeccionas. No los reentrenas. No tienes visibilidad sobre si codifican los sesgos de quien los construyó, datos de entrenamiento caducados o funciones no declaradas. Inicio Assistant es la excepción que confirma la regla: ofrece modelos de código abierto y te deja ejecutar tu propia inferencia. Entender esto requiere entrar más a fondo en la infraestructura de IA y la gobernanza de modelos. La mayoría de los fabricantes de dispositivos conectados no lo hace.

Promesa de privacidad	Realidad arquitectónica	Realidad del sistema
«Los datos brutos se quedan en local»	Las entradas de la inferencia no se suben	Las inferencias, los registros y los datos derivados sí
«Sin procesamiento en la nube»	La inferencia ocurre en el dispositivo	Las actualizaciones por aire cambian qué hace esa inferencia, sin avisar
«Tus datos son privados»	Se evita la exposición intermedia	Los intermediarios de datos compran salidas de inferencia y perfiles de conducta
«Privacidad desde el diseño»	La arquitectura técnica es sólida	El ecosistema de negocio está diseñado para monetizar los derivados de la inferencia

Qué determina de verdad si esto funciona

¿Qué separa entonces a un sistema genuinamente respetuoso con la privacidad de otro que usa la IA en el dispositivo como coartada?

Empieza por la visibilidad. ¿Puedes ver qué modelo se está ejecutando? ¿Puedes inspeccionarlo, reentrenarlo o sustituirlo? Si la respuesta es no, dependes de la promesa de privacidad del fabricante y no de la arquitectura de privacidad del aparato. Inicio Assistant publica sus modelos. Apple no. Esa es la diferencia. Para quien quiera implantar este nivel de transparencia, nuestras guías avanzadas de IA local muestran cómo se ve la visibilidad completa.

Después pregunta por la privacidad diferencial. Es un marco matemático que permite añadir ruido estadístico controlado a los datos, de modo que emerjan los patrones agregados sin revelar detalles individuales. Si un fabricante dice que usa privacidad diferencial (un presupuesto de privacidad, expresado normalmente como épsilon, que acota cuánto pueden influir los datos de una sola persona en el agregado), pídele el valor de épsilon. La publicación NIST SP 800-226 da orientación detallada sobre cómo implementar privacidad diferencial. Un épsilon más alto significa más ruido y más privacidad; uno más bajo, datos más útiles y menos privacidad. La mayoría de fabricantes no publica el épsilon. Ahí tienes tu respuesta.

Comprueba quién controla el proceso de actualización del modelo. ¿Es automático? ¿Es reversible? ¿Puedes auditar qué cambió? Si las actualizaciones de firmware ocurren en silencio y no puedes revertirlas, has aceptado un modelo de gobernanza en el que el fabricante controla tu capa de inferencia y tú no vigilas nada.

Fíjate en el ecosistema de intermediarios de datos alrededor de tu aparato. Los sistemas de seguridad doméstica comparten de forma rutinaria datos de movimiento con aseguradoras y fuerzas de seguridad. Las pulseras de actividad venden patrones de conducta a aseguradoras de salud. Los altavoces inteligentes envían metadatos acústicos (no el audio, sino los patrones de cuándo el aparato oyó algo) a redes publicitarias. La inferencia en el dispositivo no evita esto. Sólo desplaza dónde está el punto de decisión sobre privacidad: de «qué se sube» a «qué pasa con las inferencias una vez generadas». Y en ese punto estás confiando en la gobernanza de datos del fabricante, no en la arquitectura del aparato.

Esta es la verdad incómoda: la IA en el dispositivo potencia la privacidad, no la garantiza. Elimina una clase de riesgo (la exposición de datos brutos en tránsito). No elimina los riesgos que de verdad dominan la privacidad del internet de las cosas en la práctica: modelos sin auditar, deriva silenciosa, presupuestos de privacidad sin especificar, actualizaciones por aire que no controlas e incentivos comerciales para vender los derivados de tus inferencias. La buena noticia: entender esta distinción es el primer paso hacia mejores prácticas de gobernanza de modelos.

La próxima vez que un aparato diga «procesado en local», pregunta: en local ¿y luego qué?