Por Diego Fierro Rodríguez
I. La expectativa de confidencialidad que la tecnología desmiente
El 13 de mayo de 2026, una residente de San Diego presentó ante el Tribunal de Distrito Sur de California una demanda colectiva contra OpenAI que, de prosperar, obligará a repensar los cimientos sobre los que se ha edificado la industria de la inteligencia artificial conversacional. El caso, registrado como Couture v. OpenAI Global, LLC, sostiene que ChatGPT incrustó en su sitio web dos herramientas de tecnología publicitaria —Meta Pixel y Google Analytics— y que esas herramientas transmitieron a Meta y a Google, en tiempo real y sin consentimiento, los títulos de las consultas, los identificadores de cuenta y los correos electrónicos de los usuarios del chatbot. La acusación no alega un espionaje deliberado ni una conspiración corporativa, sino algo más prosaico y, por ello, jurídicamente más inquietante: que la conversación más íntima de un usuario con una inteligencia artificial fue procesada con la misma infraestructura con la que cualquier tienda en línea rastrea la compra de unas zapatillas.
Conviene la cautela. Son alegaciones, no hechos probados. OpenAI no ha sido declarada responsable de nada y todavía no ha presentado su contestación. Pero el flanco que abre la demanda trasciende el caso concreto y apunta al núcleo mismo del diseño de los sistemas de inteligencia artificial que millones de personas utilizan a diario como si fueran un espacio privado. Porque quien escribe a ChatGPT no siente que está rellenando un formulario web, sino que está dialogando con un confidente. Le cuenta lo que no le cuenta a nadie: un divorcio, una deuda, un diagnóstico, una pelea por la tenencia de un hijo. Y si la demanda tiene razón, ese confidente compartía los temas de la conversación, el identificador del usuario y su correo electrónico con dos de las mayores plataformas publicitarias del planeta.
II. La mecánica de la transmisión y el espejismo del cuaderno digital
La demanda describe la mecánica con una precisión que merece ser reproducida en sus propios términos. Cuando un usuario formulaba una consulta, ChatGPT generaba automáticamente un título para esa conversación —por ejemplo, «Ganador del Super Bowl 2005»— y ese título se convertía en un dato que viajaba a Meta junto con las cookies que ataban ese movimiento a una cuenta de Facebook concreta. Del lado de Google, la acusación apunta a correos electrónicos tratados mediante funciones de hash, capturados en el momento en que el usuario iniciaba sesión. El resultado es que el tema de la consulta dejaba de ser anónimo y se adhería a una identidad.
Este mecanismo no es excepcional. Es la plomería estándar de la web comercial. Millones de sitios lo utilizan para medir audiencias, segmentar anuncios y optimizar campañas. Lo excepcional es el contexto en que se empleaba. Una cosa es que un usuario sepa que una tienda de zapatillas registra qué productos ha mirado, y otra muy distinta es que quien cree estar confiando sus pensamientos más reservados a un asistente virtual descubra que los títulos de sus consultas —que a menudo contienen el núcleo de lo que quería preguntar— han sido entregados a terceros sin que mediara aviso ni consentimiento. La expectativa de privacidad no se define solo por lo que el sitio declara en sus condiciones de uso, sino por la naturaleza de la interacción que el propio sitio ha diseñado para inducirla. Y ChatGPT fue diseñado para conversar, no para vender.
III. El marco normativo y la cuantía de la reclamación
La demanda invoca tres cuerpos normativos: la ley federal de privacidad de comunicaciones electrónicas, dos secciones de la ley de privacidad de California y la Constitución de ese estado. La combinación es potente, porque la norma californiana ha sido históricamente más protectora que la federal, y su inclusión permite a los demandantes sortear algunas de las limitaciones que la jurisprudencia federal ha impuesto a la tutela de la privacidad en el entorno digital.
Por cada violación, la demanda reclama daños que, según la norma aplicable, oscilan entre los 5.000 y los 10.000 dólares. Multiplicada esa cantidad por una clase que se estima en millones de usuarios —ChatGPT superó hace tiempo los cien millones de usuarios semanales—, la suma alcanza cifras que se miden en miles de millones. La sola existencia de una reclamación de esta magnitud tiene un efecto disciplinario sobre el conjunto de la industria, que observa el caso con la atención de quien sabe que una sentencia estimatoria podría alterar el modelo de negocio de la inteligencia artificial conversacional.
Debe tenerse presente que Meta y Google no han sido demandados. La acción se dirige exclusivamente contra OpenAI, bajo la premisa de que quien construye la casa responde por la cañería que eligió instalar. La decisión de los demandantes de no incluir a los receptores de los datos responde probablemente a una estrategia procesal cuidadosamente calibrada: concentrar la responsabilidad en quien diseñó el sistema y evitar la dispersión de la defensa en múltiples frentes. Pero la ausencia de las plataformas publicitarias en el banquillo de los demandados no significa que su papel sea irrelevante. Si la demanda prospera, la pregunta inevitable será por qué Meta y Google aceptaron recibir datos de consultas de inteligencia artificial sin verificar que el emisor contaba con el consentimiento de los usuarios, y esa pregunta podría generar una segunda oleada de litigios.
IV. La responsabilidad por el diseño y la apariencia de privacidad
El núcleo de la demanda no es una violación de la seguridad de los datos, sino una violación de la confianza del usuario. OpenAI no sufrió un ciberataque, ni un acceso no autorizado, ni una filtración por parte de un empleado desleal. Fue la propia arquitectura del sitio, deliberadamente diseñada para incluir rastreadores publicitarios, la que canalizó la información hacia terceros. La ilicitud, de existir, no estaría en un fallo del sistema, sino en su configuración originaria.
Esta distinción es jurídicamente relevante porque desplaza el debate desde la seguridad de los datos hacia la lealtad en el tratamiento. Las leyes de privacidad modernas, y muy en particular el Reglamento General de Protección de Datos europeo —que no se aplica directamente a este caso, pero que influye en el estándar global—, exigen que el tratamiento de datos personales sea leal, transparente y limitado a la finalidad para la que fueron recogidos. Incorporar rastreadores publicitarios en una herramienta que se presenta como un asistente personal es, cuando menos, difícilmente compatible con esos principios. Y aunque la legislación estadounidense carece de una norma federal de protección de datos de alcance general, las leyes estatales como la californiana están colmando ese vacío con estándares cada vez más exigentes.
Hay que reseñar que OpenAI siempre ha podido alegar que los datos recogidos eran anónimos o agregados, y que los títulos de las consultas no contenían información personal. Pero la demanda sostiene precisamente lo contrario: que los identificadores de usuario y los correos electrónicos asociaban inequívocamente cada consulta a una persona concreta. Si esa afirmación se acredita en el proceso, la defensa de la anonimización se desmoronará, porque un dato vinculado a una identidad deja de ser anónimo por el mero hecho de que el vínculo exista.
V. El patrón que se repite y la vulnerabilidad estructural
El caso de San Diego no es un episodio aislado. El 31 de marzo de 2026, una demanda casi idéntica fue presentada contra Perplexity en el Distrito Norte de California. La acusación era la misma: rastreadores ocultos que transmitían las conversaciones de los usuarios a plataformas publicitarias. Dos demandas en dos meses, contra dos empresas distintas, por el mismo mecanismo, dibujan un patrón que trasciende la anécdota y revela una vulnerabilidad estructural de la industria de la inteligencia artificial conversacional.
Lo que estas demandas ponen de manifiesto es que la carrera por la inteligencia artificial se ha librado en el terreno de la potencia de los modelos, de la capacidad de razonamiento, de la reducción de las alucinaciones, pero no en el terreno de la privacidad. Las empresas han vendido un producto nuevo —un asistente, un confidente, una herramienta a la que se le confía lo personal— montado sobre la infraestructura vieja de la web comercial. Y esa infraestructura tiene una sola lógica: convertir el comportamiento en perfil, y el perfil en publicidad.
La consecuencia jurídica de esta disonancia es que los usuarios han estado operando bajo una creencia falsa sobre la naturaleza de la herramienta que utilizaban. El derecho de la privacidad, desde la célebre sentencia Katz v. United States del Tribunal Supremo estadounidense, protege las expectativas razonables de intimidad. Si millones de personas creían razonablemente que sus conversaciones con ChatGPT eran privadas —y si la propia OpenAI cultivó esa creencia mediante el diseño de la interfaz, el tono de las respuestas y la presentación del producto—, la inclusión de rastreadores publicitarios que desmentían esa privacidad constituye, como mínimo, un quebranto de la buena fe contractual y, en el peor de los casos, una violación de las leyes de privacidad.
VI. La próxima disputa no es por la inteligencia, sino por la confianza
La demanda de San Diego tiene pocas probabilidades de resolverse rápidamente. OpenAI la contestará, el tribunal deberá pronunciarse sobre la certificación de la clase, las partes se enzarzarán en una discovery que probablemente revelará más detalles sobre el funcionamiento interno del sistema, y el litigio se prolongará durante años. Pero su mera interposición ya ha producido un efecto que trasciende el caso concreto: ha obligado a la industria a preguntarse si el modelo de negocio que ha adoptado es compatible con las expectativas de privacidad que ha creado.
La verdadera disputa de la inteligencia artificial en los próximos años no será técnica, sino jurídica y ética. No se tratará de qué modelo es más inteligente, sino de qué hace cada modelo con los datos que recibe. La inteligencia artificial conversacional ha prometido ser un espacio de intimidad, un asistente que escucha sin juzgar y que recuerda sin divulgar. Si esa promesa se revela falsa, el daño no será solo legal, sino reputacional, y las empresas que no hayan sabido blindar la privacidad de sus usuarios se enfrentarán a una pérdida de confianza que ninguna campaña de marketing podrá reparar. La plomería, a diferencia del eslogan, deja registro. Y el registro, cuando llega a los tribunales, habla más alto que todas las notas de prensa juntas.