IA local y privacidad: correr en tu equipo no significa que nada salga

Una de las grandes razones para usar IA local es la privacidad: el modelo corre en tu hardware y los datos no van a un proveedor externo. Pero «local» no es lo mismo que «desconectado». Un investigador revisó paquete por paquete qué envían a internet los programas de IA local más usados y varios agentes de programación. Lo que reporta es tranquilizador en lo central y revelador en los bordes.

Local, desconectado y privado no son lo mismo

• Local significa que el modelo se ejecuta en tu equipo.
• Desconectado significa que el programa no se comunica con internet.
• Privado significa que tus datos no llegan a quien no deben.

Un programa puede ser local y, aun así, conectarse a internet para buscar actualizaciones, descargar modelos o registrar uso. La pregunta útil no es «¿es local?», sino «¿qué sale del equipo, cuándo y hacia dónde?».

Qué reporta el investigador

El canal RepoChad publicó dos videos, «I Actually Spied on My "Local AI". Didn't Expect This!» y «I Tested 12 Local AI Coding Setups. Unexpected Results!», en que su autor captura todo el tráfico de red de un Mac mini mientras usa programas de IA local, alimentándolos con contraseñas y datos personales falsos para ver si salen del equipo. Nosotros revisamos solo las descripciones públicas de los videos, no sus transcripciones, y no reprodujimos las pruebas.

Programas para chatear con modelos locales

En el primer video revisó Ollama, LM Studio, Jan y llama.cpp. Según su descripción:

• El chat en sí no envió ningún paquete. Conversar con un modelo local no mandó el contenido a internet.
• Lo que rodea al chat sí se conecta. El investigador reporta comprobaciones periódicas de actualización (en la aplicación de escritorio de Ollama, cada hora y, según él, sin forma de desactivarlas; hay una solicitud abierta para agregar esa opción), y búsquedas y descargas de modelos que pasan por los servidores del propio programa en el caso de LM Studio.
• Modelos «en la nube» que se ven como locales. En Ollama, un modelo de nube usa el mismo comando y aparece en la misma lista que uno local, pero la consulta se procesa en los servidores de Ollama.
• Mensajes guardados en texto plano. Encontró consultas guardadas en archivos de registro sin cifrar, incluido uno que cualquier usuario del equipo podía leer.
• Mala configuración de red. Al configurar Ollama para escuchar en todas las interfaces de red, otro dispositivo de la misma red wifi pudo usar su cuenta de nube y ver su correo, sin contraseña.

Agentes de programación

En el segundo video conectó tres agentes de programación (OpenCode, Pi y Cline) a cuatro motores locales, en doce combinaciones. Pi es el mismo agente que analizamos en ¿Mejora un modelo cuando trabaja dentro de un agente?. Según su descripción:

• El motor no hizo diferencia; el agente sí. Cada agente hizo las mismas conexiones con los cuatro motores.
• Los tres se conectaron a internet por defecto. Con los ajustes que él lista, dos quedaron en cero conexiones; el tercero, Cline, mantuvo tres.
• Uno envió la consulta a su propia nube cuando la configuración local falló. La solicitud fue rechazada porque el investigador no tenía cuenta en ese servicio.
• No vio sus secretos falsos en ninguna de las solicitudes que pudo descifrar en las 18 pruebas bien configuradas. La telemetría de Cline evitó su proxy, así que no pudo ver su contenido, y él aclara que no afirma que incluya código ni consultas.
• La carpeta del proyecto importa. Reporta que la protección de OpenCode para archivos de secretos se pudo saltar con un comando simple, y recomienda no dejar secretos reales en la carpeta donde trabaja un agente.

Los límites que declara el propio autor

Las pruebas se hicieron en un Mac mini de 16 GB en octubre de 2026, con pruebas en reposo de minutos, no de días. El tráfico estaba cifrado: se puede saber con quién habla cada programa, cuándo y cuánto, pero lo que va dentro se deduce del código fuente de cada programa. Todos los datos eran falsos. De los agentes, solo probó las versiones de línea de comandos; las extensiones y aplicaciones de escritorio pueden comportarse distinto. No probó el respaldo en la nube de Cline con una cuenta activa.

Un matiz importante: varios de estos comportamientos tienen interruptor. El investigador lista ajustes para desactivar la nube de Ollama, las actualizaciones automáticas y la telemetría de los agentes. La documentación de Ollama confirma, por ejemplo, que la nube se puede desactivar y que por defecto el programa solo escucha en el propio equipo.

El riesgo más grande: dejar el servidor abierto

La exposición por mala configuración no es teórica. Según SentinelLABS y Censys, en 293 días de escaneo se observaron 175 108 servidores de Ollama distintos accesibles desde internet, en 130 países, con un núcleo persistente de unos 23 000. Ojo con la lectura: son servidores vistos a lo largo de todo ese período, no expuestos todos a la vez.

Un servidor abierto no solo regala capacidad de cómputo. La firma Cyera describió en mayo de 2026 una vulnerabilidad crítica en Ollama que, sin autenticación, podía filtrar consultas, instrucciones de sistema, historial y variables de entorno. Su recomendación: no exponer el puerto del servicio y poner autenticación delante.

El modelo mismo también puede ser un riesgo

Hay una segunda línea de investigación, todavía de laboratorio. Anthropic, con el Instituto de Seguridad de IA del Reino Unido y el Alan Turing Institute, mostró que unos 250 documentos maliciosos bastaron para instalar una puerta trasera en modelos de distintos tamaños; la que probaron hacía que el modelo escribiera texto sin sentido, no que robara datos. ProjectDiscovery mostró, en una prueba de concepto, un modelo modificado que, ante una frase disparadora y con acceso a herramientas, leía archivos de secretos de la carpeta de trabajo y los enviaba fuera.

La lección práctica es la misma que en los videos: un modelo por sí solo es un archivo de números; el riesgo aparece cuando un agente le da acceso a la terminal, a internet y a carpetas con secretos. Conviene descargar modelos de fuentes confiables y limitar lo que el agente puede tocar.

Qué revisar antes de usar IA local con datos de clientes

1. Inventario. Qué programas de IA, motores y agentes hay instalados, y en qué equipos.
2. Qué hablan con internet. Revisar actualizaciones automáticas, telemetría y modelos de nube, y desactivar lo que no haga falta. Un cortafuegos de salida permite ver qué se conecta.
3. Puertos abiertos. El servicio de IA debe escuchar solo en el propio equipo, o detrás de autenticación si debe usarse en red. Nunca abierto a internet.
4. Registros. Dónde quedan guardadas las consultas y quién puede leerlas.
5. Secretos fuera del alcance. Ninguna contraseña, clave ni archivo de credenciales en la carpeta donde trabaja un agente.
6. Modelos de origen confiable y programas actualizados.

Preguntas frecuentes

¿La IA local envía mis conversaciones a internet? Según las pruebas del investigador, chatear con un modelo local no envió el contenido. Lo que sí se conecta son funciones alrededor: actualizaciones, búsqueda de modelos, modelos de nube y telemetría.

¿Entonces la IA local no es privada? Puede serlo, pero no por defecto en todos los casos. Hay que revisar la configuración, y muchas de estas conexiones se pueden desactivar.

¿Un agente de programación puede filtrar mis secretos? El investigador no vio sus secretos falsos salir en las solicitudes que pudo descifrar, pero todos los agentes se conectaban por defecto y uno envió la consulta a su nube ante una falla de configuración. Lo prudente es no dejar secretos en la carpeta del proyecto.

¿Qué es lo más urgente de revisar? Que el servicio de IA no esté expuesto a internet ni a la red sin autenticación.

¿ITLab puede revisar esto? Sí. Podemos ayudarle a revisar qué programas usa, qué se conecta a internet y cómo está expuesto su servicio de IA.

Fuentes

• RepoChad, «I Actually Spied on My "Local AI". Didn't Expect This!» (YouTube, 25 de octubre de 2026).
• RepoChad, «I Tested 12 Local AI Coding Setups. Unexpected Results!» (YouTube, 27 de octubre de 2026).
• SentinelLABS: «Silent Brothers», servidores de Ollama expuestos
• Documentación de Ollama, preguntas frecuentes
• Cyera, «Bleeding Llama» (mayo de 2026).
• Anthropic, «A small number of samples can poison LLMs of any size» (octubre de 2025).
• ProjectDiscovery, «How abliterated models can get you pwned» (octubre de 2026).
• Ollama en GitHub: solicitud para desactivar la comprobación de actualizaciones

Contacto

Si su organización evalúa usar IA local con datos de clientes, ITLab puede ayudarle a revisar qué se conecta, qué queda expuesto y cómo configurarlo. Contáctenos.