Ingeniería de privacidad y datos sintéticos

La mayoría de las organizaciones creen que han resuelto su problema de privacidad en la IA porque ejecutaron un script de enmascaramiento o reemplazaron nombres con tokens. Nuestro enfoque consiste en diseñar sistemas de privacidad que produzcan garantías matemáticas, no afirmaciones de políticas — cada declaración de privacidad está diseñada para llevar un épsilon declarado, un modelo de amenazas definido y un riesgo residual cuantificado — la misma disciplina de integridad arquitectónica demostrable frente a la mera afirmación que detallamos en nuestra investigación sobre la integridad arquitectónica en los sistemas de IA.

Por qué «Lo anonimizamos» no es una garantía de privacidad

Ejecutar un script de enmascaramiento o reemplazar nombres con tokens no resuelve el problema de privacidad en la IA. El EDPB rechazó de plano este planteamiento en el Dictamen 28/2024: los modelos de IA no son intrínsecamente anónimos. Se requiere una evaluación caso por caso, y los reguladores ahora esperan privacidad diferencial, pruebas de ataques de extracción y auditorías internas de privacidad como medidas concretas de anonimización.

Mientras tanto, los ataques de reidentificación siguen avanzando. Los investigadores han demostrado que el 87 % de la población de EE. UU. es identificable de forma única a partir únicamente del código postal, la fecha de nacimiento y el sexo. Los datos sintéticos generados sin garantías formales de privacidad todavía pueden filtrar información mediante la inferencia de patrones, y la trazabilidad a través de canalizaciones sintéticas de múltiples etapas es, según la investigación actual, «actualmente imposible» de verificar por completo.

Nuestro criterio es que un conjunto de datos sintéticos se considera seguro para compartir únicamente cuando el método puede producir los resultados de las pruebas de inferencia de pertenencia, el análisis de distancia al vecino más cercano y el presupuesto formal de privacidad diferencial bajo el cual se generó.

Privacidad diferencial diseñada para llegar a producción

La teoría detrás de la privacidad diferencial se comprende bien; el reto de ingeniería consiste en hacer que funcione sin destruir la utilidad de los datos. DP-SGD añade ruido calibrado durante el entrenamiento del modelo de modo que ningún registro de entrenamiento individual pueda influir materialmente en la salida. El coste de privacidad se rastrea mediante un presupuesto formal: cada consulta, cada época de entrenamiento y cada análisis posterior consume épsilon. Cuando el presupuesto se agota, no hay más consultas.

Nuestro método implementa la PD usando Opacus (PyTorch) o TensorFlow Privacy según su pila tecnológica existente. El trabajo real no es la integración de bibliotecas, sino la calibración de épsilon. Como el valor correcto es específico de cada conjunto de datos, cada proyecto ejecuta experimentos de calibración sobre sus datos reales para encontrar el rango de épsilon en el que tanto la protección de la privacidad como el rendimiento del modelo cumplen sus requisitos. Puntos de referencia de despliegues reales:

• El Censo de EE. UU. usó un épsilon de 19,61 para las estadísticas de redistribución de distritos.
• LinkedIn opera con un épsilon de 14,4 en ventanas de tres meses.
• MOSTLY AI: sus pruebas comparativas muestran que los datos sintéticos alcanzan un 96,2 % de precisión posterior con épsilon 2,51 frente al 98,1 % sin PD, una compensación de precisión de aproximadamente el 2 % que la mayoría de los casos de uso en producción puede absorber.

Asignación del presupuesto de privacidad entre equipos

Para las organizaciones que ejecutan varios equipos sobre conjuntos de datos sensibles compartidos, la asignación del presupuesto de privacidad se convierte en un problema de diseño organizativo. El contador PLD (distribución de pérdida de privacidad) de Google produce límites de composición 5 veces más ajustados que el contador PRV de Microsoft y 200 veces más ajustados que los enfoques más antiguos de Privacy Buckets. Una composición más ajustada significa que sus equipos pueden ejecutar más análisis dentro del mismo presupuesto de privacidad. Nuestro enfoque despliega una contabilidad basada en PLD con asignaciones de presupuesto por equipo, alertas automáticas de agotamiento y registros de auditoría diseñados para rastrear exactamente qué análisis consumieron qué porciones del presupuesto.

Generación de datos sintéticos con privacidad medida

Los datos sintéticos no son intrínsecamente privados. Una GAN entrenada con registros de pacientes sin restricciones de PD memorizará y reproducirá registros reales, especialmente en el caso de valores atípicos y condiciones raras. El reto SaTML MIDST de 2025 confirmó que los ataques de inferencia de pertenencia contra modelos de difusión tabulares siguen siendo eficaces, con una detección basada en modelos sombra que identifica de forma fiable a los miembros del conjunto de entrenamiento.

Nuestro enfoque genera datos sintéticos usando la técnica que se ajusta a la forma de sus datos y a sus requisitos de privacidad. TabDDPM (basado en difusión) supera de forma consistente a las GAN tanto en utilidad para ML como en fidelidad de distribución en las pruebas comparativas recientes. CTGAN del ecosistema SDV maneja bien los datos tabulares mixtos categóricos-continuos, pero tiene dificultades con las correlaciones complejas entre columnas y es propenso al colapso de modo en clases desbalanceadas. Para datos sanitarios y financieros, donde la fidelidad estadística importa más, solemos recurrir a TabDDPM o a generadores de redes bayesianas como PrivBayes, entrenados bajo restricciones de PD para que el propio generador no pueda memorizar registros individuales.

Evaluación de la calidad en tres dimensiones

• Fidelidad: ¿reproducen los datos sintéticos las propiedades estadísticas de los datos reales: distribuciones, correlaciones, relaciones condicionales?
• Utilidad: ¿rinden los modelos entrenados con datos sintéticos de forma comparable a los modelos entrenados con datos reales?
• Privacidad: ¿puede un adversario determinar si el registro de un individuo específico estaba en el conjunto de entrenamiento?

Nuestra evaluación ejecuta DOMIAS (inferencia de pertenencia basada en densidad) y análisis de distancia al vecino más cercano como estándar. Los profesionales constatan de forma consistente que los modelos entrenados con datos sintéticos generados correctamente alcanzan el 85–95 % del rendimiento con datos reales, y la diferencia se reduce aún más cuando los datos sintéticos complementan un pequeño conjunto semilla real en lugar de reemplazar por completo a los datos reales.

Dónde fallan los datos sintéticos y qué usar en su lugar

Los datos sintéticos no son una solución universal. Si su caso de uso requiere preservar el comportamiento exacto de la cola de la distribución —fenotipos de enfermedades raras, patrones de transacciones inusuales para la detección de fraude—, los generadores sintéticos suavizarán precisamente la señal que necesita. Si su conjunto de datos real es pequeño (menos de unos pocos miles de registros), el generador no tiene suficiente señal para aprender una estructura significativa, y la salida sintética se convierte en ruido con un formato plausible.

Colaboración entre organizaciones: aprendizaje federado

Cuando los datos brutos no pueden salir de su origen, el aprendizaje federado es la alternativa, pero sus propiedades de privacidad son más débiles de lo que comúnmente se promociona. Los ataques de inversión de gradiente (Geminio, MMGIA) pueden reconstruir imágenes de entrenamiento a partir de gradientes compartidos. En un estudio de imágenes de retina, el 92 % de los participantes eran identificables a partir de reconstrucciones de gradiente incluso con una PD moderada aplicada. La agregación segura combinada con ruido de PD por actualización es la defensa mínima viable, no un complemento opcional.

Privacidad en el momento de la inferencia: computación confidencial

Para proteger las consultas de los usuarios frente al proveedor del modelo, la computación confidencial mediante TEE es actualmente la única vía viable en producción. Las GPU NVIDIA Hopper y Blackwell ahora admiten la ejecución confidencial, manteniendo cifrados tanto los pesos del modelo como los datos del usuario durante la inferencia. FHE está avanzando —las implementaciones aceleradas por GPU muestran aceleraciones de 200 veces frente a las referencias de CPU—, pero la latencia y la sobrecarga computacional aún la limitan a casos de uso estrechos.

Navegar el panorama regulatorio sin conjeturas

El panorama regulatorio de la IA que preserva la privacidad está cambiando rápidamente, y las respuestas seguras de hace dos años ya no se sostienen. El Dictamen 28/2024 del EDPB exige que las organizaciones demuestren que los modelos de IA no pueden filtrar datos personales mediante ataques de extracción, y no que simplemente afirmen que los datos de entrenamiento se eliminaron —el mismo giro hacia la responsabilidad algorítmica demostrable que examinamos en nuestro whitepaper sobre la responsabilidad en la era post-RealPage. Los requisitos para sistemas de alto riesgo de la Ley de IA de la UE entran en vigor en agosto de 2026, añadiendo obligaciones de gobernanza de datos (Artículo 10) además de las restricciones existentes del RGPD.

El propuesto Digital Omnibus codificaría la identificabilidad específica por entidad, lo que significa que los datos que son personales para la organización que los posee podrían no serlo para un receptor posterior. Esto podría remodelar la forma en que se clasifican las transferencias de datos sintéticos, pero la orientación no es definitiva.

HIPAA: Puerto Seguro frente a Determinación por Experto

Para las organizaciones reguladas por la HIPAA, la elección entre la desidentificación por Puerto Seguro y por Determinación por Experto afecta directamente a la calidad de los datos de entrenamiento de IA. El Puerto Seguro elimina 18 tipos de identificadores y, a menudo, suprime demasiada señal para el ML. La Determinación por Experto preserva una estructura más útil, pero requiere que un experto cualificado certifique que el riesgo de reidentificación es «muy pequeño». Un proyecto se dimensiona para construir la canalización técnica y producir el análisis estadístico que exige la Determinación por Experto.

La AB 2013 de California y el mapeo regulatorio

La AB 2013 de California (vigente desde el 1 de enero de 2026) ahora exige la divulgación del uso de datos sintéticos en el entrenamiento de IA. Nuestro método mapea sus garantías técnicas de privacidad con los requisitos regulatorios aplicables y documenta las condiciones específicas bajo las cuales sus salidas con privacidad diferencial o sus conjuntos de datos sintéticos quedan fuera del ámbito de los datos personales, con advertencias honestas sobre dónde la orientación regulatoria sigue sin resolverse.