7 min de tiempo de lectura<\/p>\n
Cada solicitud a un servicio de inteligencia artificial en la nube es una transferencia de datos a un proveedor externo. Con modelos de c\u00f3digo abierto como Gemma 4 de Google, es posible ejecutar la inteligencia artificial por primera vez en calidad de producci\u00f3n completa On-Premise. Para los equipos de seguridad, esto cambia la evaluaci\u00f3n de riesgos fundamentalmente: no hay fuga de datos, no hay dependencia de proveedores externos, no hay zona gris de cumplimiento.<\/strong><\/p>\n Cuando un empleado resume un borrador de contrato con ChatGPT, clasifica una solicitud de soporte a trav\u00e9s de un servicio de inteligencia artificial en la nube o analiza un documento interno, siempre sucede lo mismo: los datos abandonan la empresa. Se transfieren a servidores que generalmente se encuentran en EE. UU., en proveedores como OpenAI, Google o Anthropic.<\/p>\n Las alternativas chinas, como DeepSeek, agudizan el problema: aqu\u00ed, los datos llegan a una jurisdicci\u00f3n cuyos est\u00e1ndares de privacidad son dif\u00edciles de verificar para las empresas europeas.<\/p>\n Para los equipos de seguridad de la informaci\u00f3n, esto no es una preocupaci\u00f3n te\u00f3rica. Los riesgos concretos son:<\/p>\n P\u00e9rdida de confidencialidad:<\/strong> La propiedad intelectual, los datos de los clientes, los documentos de estrategia interna y los secretos comerciales se hacen accesibles a un proveedor externo, independientemente de lo que se especifique en su pol\u00edtica de privacidad. El control sobre el procesamiento de datos reside en el proveedor, no en la empresa.<\/p>\n Riesgo de cumplimiento:<\/strong> La transferencia de datos personales a pa\u00edses terceros requiere, seg\u00fan la RGPD, medidas de protecci\u00f3n adicionales (cl\u00e1usulas contractuales est\u00e1ndar, Evaluaciones de Impacto de la Transferencia). Muchas empresas utilizan la inteligencia artificial en la nube sin implementar formalmente estas medidas.<\/p>\n Riesgo de la cadena de suministro:<\/strong> Cada conexi\u00f3n de API a un servicio de inteligencia artificial en la nube es un \u00e1rea de ataque adicional. Las claves de API pueden ser comprometidas, el proveedor puede ser v\u00edctima de una violaci\u00f3n de la seguridad, o la disponibilidad de la API puede fallar. Para las empresas sujetas a NIS2, cada una de estas dependencias es un punto que debe documentarse, evaluarse y supervisarse.<\/p>\n Los modelos de c\u00f3digo abierto ya exist\u00edan. Lo que cambia con Gemma 4 es que los modelos son lo suficientemente peque\u00f1os para hardware est\u00e1ndar y lo suficientemente buenos para casos de uso productivos que anteriormente solo eran posibles a trav\u00e9s de API en la nube.<\/p>\n El modelo denso de 31B ocupa el tercer lugar en la clasificaci\u00f3n de texto de Arena AI (ELO 1452), detr\u00e1s de modelos que requieren mucho m\u00e1s poder de c\u00e1lculo. Admite llamadas a funciones, salida de JSON estructurado y procesa hasta 256.000 tokens de contexto. Las variantes m\u00e1s peque\u00f1as (E2B, E4B) se ejecutan en tel\u00e9fonos inteligentes y dispositivos IoT.<\/p>\n Todos los cuatro tama\u00f1os de modelo est\u00e1n bajo la licencia Apache-2.0. Esto significa: no hay restricciones para el uso comercial, no hay tarifas de licencia, no hay obligaci\u00f3n de informar a Google. El modelo se puede descargar, transferir a un entorno sin conexi\u00f3n y ejecutarlo all\u00ed sin l\u00edmites.<\/p>\n Para la evaluaci\u00f3n de riesgos, hay tres aspectos decisivos:<\/p>\n Soberan\u00eda de datos:<\/strong> En la inferencia local, los datos no abandonan el ordenador. No hay llamada a API, no hay comunicaci\u00f3n de red, no hay almacenamiento intermedio en servidores ajenos. Esto no es solo un argumento de privacidad, elimina una clase completa de vectores de ataque (hombre en el medio, compromiso de API, violaci\u00f3n de un proveedor externo).<\/p>\n \u00c1rea de ataque reducida:<\/strong> Las API de inteligencia artificial en la nube requieren autenticaci\u00f3n por clave de API, comunicaci\u00f3n regular a trav\u00e9s de Internet y confianza en las medidas de seguridad del proveedor. La inteligencia artificial local no necesita nada de eso. En entornos aislados, se puede ejecutar un modelo local que no tiene acceso a la red.<\/p>\n \n \u00abGemma 4 se publica bajo la licencia Apache-2.0 comercialmente permisiva. \u00dasalo.\u00bb Simplificaci\u00f3n del cumplimiento:<\/strong> Todo el complejo de la transferencia a un pa\u00eds tercero seg\u00fan el art\u00edculo 44-49 de la RGPD desaparece con el procesamiento local. No hay Evaluaci\u00f3n de Impacto de la Transferencia, no hay cl\u00e1usulas contractuales est\u00e1ndar, no hay Acuerdo de Procesamiento de Datos con un proveedor de EE. UU. Para los responsables de la RGPD, esto es un alivio masivo.<\/p>\n NIS2 obliga a las empresas afectadas a evaluar los riesgos de su cadena de suministro completa, incluidos los servicios digitales. Cada proveedor de inteligencia artificial en la nube es un eslab\u00f3n en esta cadena. Cada dependencia de API debe documentarse, el riesgo de fallo debe evaluarse y deben definirse medidas alternativas.<\/p>\n La inteligencia artificial local simplifica significativamente esta evaluaci\u00f3n: no hay riesgo de cadena de suministro para este componente espec\u00edfico. La disponibilidad est\u00e1 completamente en manos del propio equipo de TI. Un fallo en OpenAI o Google no afecta a la propia infraestructura de inteligencia artificial.<\/p>\n Esto no significa que la inteligencia artificial local no tenga sus propios riesgos. El hardware debe mantenerse, los modelos deben actualizarse y el acceso debe controlarse. Pero estos riesgos son internamente controlables y, por lo tanto, m\u00e1s f\u00e1ciles de representar en la documentaci\u00f3n de NIS2 que las dependencias externas.<\/p>\n La inteligencia artificial local no es una soluci\u00f3n para todos los problemas. Tres limitaciones que los equipos de seguridad deben conocer:<\/p>\n Seguridad del modelo:<\/strong> Un modelo local puede alucinar, proporcionar salidas sesgadas o ser manipulado al igual que un modelo en la nube. La responsabilidad de la validaci\u00f3n de la salida recae en el operador, sin la capa de seguridad que los proveedores de la nube suelen anteponer.<\/p>\n Gesti\u00f3n de actualizaciones:<\/strong> Los servicios de inteligencia artificial en la nube se actualizan centralmente. Con los modelos locales, la gesti\u00f3n de actualizaciones recae en el propio equipo. Los parches de seguridad para los marcos de inferencia (Ollama, vLLM) deben aplicarse oportunamente.<\/p>\n Control de acceso:<\/strong> Un modelo que se ejecuta localmente es solo tan seguro como la infraestructura en la que se ejecuta. Quien opera un servidor de inteligencia artificial local necesita control de acceso, registro y supervisi\u00f3n, las mismas medidas que se aplican a cualquier servicio interno.<\/p>\n La combinaci\u00f3n de calidad de producci\u00f3n, licencia Apache-2.0 y funcionamiento local hace que los modelos como Gemma 4 sean una opci\u00f3n seria para las empresas que desean utilizar la inteligencia artificial sin comprometer sus requisitos de seguridad.<\/p>\n Tres pasos concretos:<\/p>\n 1. Auditor\u00eda del uso actual de la inteligencia artificial:<\/strong> \u00bfD\u00f3nde se utilizan actualmente las API de inteligencia artificial en la nube? \u00bfQu\u00e9 datos se transfieren? \u00bfSe han implementado formalmente las medidas de privacidad (Acuerdo de Procesamiento de Datos, Evaluaci\u00f3n de Impacto de la Transferencia)?<\/p>\n 2. Piloto con Gemma 4 On-Premise:<\/strong> Identificar un caso de uso concreto (clasificaci\u00f3n de documentos, triage de correo electr\u00f3nico, revisi\u00f3n de c\u00f3digo) y probar el modelo en hardware propio. Comparar la calidad y el rendimiento con el servicio en la nube.<\/p>\n 3. Definir una arquitectura h\u00edbrida:<\/strong> Para qu\u00e9 tareas es suficiente la inteligencia artificial local. \u00bfD\u00f3nde sigue siendo necesaria la inteligencia artificial en la nube? Tomar la decisi\u00f3n de enrutamiento seg\u00fan la sensibilidad de los datos: datos confidenciales localmente, datos no cr\u00edticos opcionalmente a trav\u00e9s de API en la nube.<\/p>\n Cada pregunta est\u00e1 bloqueada. Un toque desbloquea la respuesta.<\/p>\n La conformidad con la RGPD se refiere a la eliminaci\u00f3n de la transferencia a un pa\u00eds tercero (art\u00edculo 44-49 de la RGPD). Las dem\u00e1s obligaciones de la RGPD (limitaci\u00f3n de prop\u00f3sito, minimizaci\u00f3n de datos, derechos de los afectados, registro de actividades de procesamiento) siguen aplic\u00e1ndose, independientemente de si el procesamiento se realiza localmente o en la nube. La inteligencia artificial local simplifica el cumplimiento, pero no lo reemplaza.<\/p>\n<\/details>\n El modelo en s\u00ed es un archivo est\u00e1tico (pesos y configuraci\u00f3n). No puede ser \u00abpirateado\u00bb en el sentido cl\u00e1sico. Los escenarios de ataque afectan la infraestructura que lo rodea: inyecci\u00f3n de comandos (entradas manipuladas que cambian el comportamiento del modelo), acceso al servidor en el que se ejecuta el modelo o manipulaci\u00f3n de los archivos del modelo. Las medidas de protecci\u00f3n son las mismas que para cualquier servicio interno: control de acceso, validaci\u00f3n de entrada, verificaci\u00f3n de integridad.<\/p>\n<\/details>\n Depende del prop\u00f3sito de uso, no del lugar de funcionamiento. Si el sistema de inteligencia artificial cae en un \u00e1rea de aplicaci\u00f3n que la Ley de Inteligencia Artificial considera de alto riesgo (recursos humanos, concesi\u00f3n de cr\u00e9ditos, infraestructura cr\u00edtica), las obligaciones de documentaci\u00f3n y gesti\u00f3n de riesgos se aplican, independientemente de si el modelo se ejecuta localmente o en la nube. La ventaja de la inteligencia artificial local: tiene control total sobre la documentaci\u00f3n, el registro y el comportamiento del modelo.<\/p>\n<\/details>\n Para el modelo de 31B: una GPU con al menos 24 GB de VRAM (Nvidia RTX 4090 o similar) y 64 GB de RAM del sistema. Para el funcionamiento aislado: el modelo se descarga una vez en un ordenador con acceso a Internet, se copia en un USB o en una red y se instala en el ordenador de destino sin conexi\u00f3n a Internet. El funcionamiento en curso no requiere acceso a la red.<\/p>\n<\/details>\n Para tareas est\u00e1ndar (clasificaci\u00f3n, resumen, extracci\u00f3n de datos, traducci\u00f3n), la calidad de Gemma 4 de 31B es comparable con los servicios en la nube actuales. En an\u00e1lisis complejos y aplicaciones muy creativas, los modelos de vanguardia de los proveedores de la nube todav\u00eda tienen ventaja. Para tareas espec\u00edficas de seguridad (an\u00e1lisis de registros, generaci\u00f3n de reglas, verificaci\u00f3n de documentos), los primeros usuarios informan de resultados pr\u00e1cticos.<\/p>\n<\/details>\n Fuente de la imagen de t\u00edtulo: Pexels<\/p>\n","protected":false},"excerpt":{"rendered":"Con Gemma 4, se puede ejecutar la IA por primera vez en calidad lista para producci\u00f3n completamente On-Premise. \u00bfQu\u00e9 significa esto para los equipos de Security.","protected":false},"author":55,"featured_media":10774,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_yoast_wpseo_focuskw":"IA on-premise proteccion datos","_yoast_wpseo_title":"Inteligencia artificial local como estrategia de seguridad: qu\u00e9 significa Gemma","_yoast_wpseo_metadesc":"IA on-premise con Gemma 4: sin fuga de datos, conforme al RGPD, compatible con NIS2. Evaluacion de seguridad y recomendaciones.","_yoast_wpseo_meta-robots-noindex":"","_yoast_wpseo_meta-robots-nofollow":"","_yoast_wpseo_meta-robots-adv":"","_yoast_wpseo_canonical":"","_yoast_wpseo_opengraph-title":"","_yoast_wpseo_opengraph-description":"","_yoast_wpseo_opengraph-image":"","_yoast_wpseo_opengraph-image-id":0,"_yoast_wpseo_twitter-title":"","_yoast_wpseo_twitter-description":"","_yoast_wpseo_twitter-image":"","_yoast_wpseo_twitter-image-id":0,"_evm_slot_owner":"","evm_cvss":0,"evm_risk":0,"evm_casefile":"","evm_primary_cve":"","evm_external_preview_token":"","evm_external_preview_expires":"","_evm_translation_lang":"","featured_post":0,"featured_post_sortierung":0,"_wp_old_slug":[],"footnotes":""},"categories":[261],"tags":[],"class_list":["post-10776","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-strategie-governance-es"],"evm_reading_time_minutes":11,"wpml_language":"es","wpml_translation_of":10775,"_links":{"self":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/10776","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/users\/55"}],"replies":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/comments?post=10776"}],"version-history":[{"count":3,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/10776\/revisions"}],"predecessor-version":[{"id":19272,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/posts\/10776\/revisions\/19272"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media\/10774"}],"wp:attachment":[{"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/media?parent=10776"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/categories?post=10776"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.securitytoday.de\/es\/wp-json\/wp\/v2\/tags?post=10776"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}Lo m\u00e1s importante en resumen<\/h2>\n
\n
El riesgo de la inteligencia artificial en la nube: cada solicitud es una transferencia de datos<\/h2>\n
Gemma 4: lo que la inteligencia artificial local puede hacer ahora<\/h2>\n
Evaluaci\u00f3n de seguridad: lo que la inteligencia artificial On-Premise hace mejor<\/h2>\n
\n – Google, anuncio de Gemma-4 (abril de 2026)<\/cite>\n<\/p><\/blockquote>\nRelevancia para empresas sujetas a NIS2<\/h2>\n
Qu\u00e9 no resuelve la inteligencia artificial On-Premise<\/h2>\n
Recomendaci\u00f3n de acci\u00f3n para los equipos de seguridad<\/h2>\n
Preguntas frecuentes<\/h2>\n
\u00bfEs la inteligencia artificial local autom\u00e1ticamente conforme con la RGPD?<\/strong><\/summary>\n
\u00bfPuede ser pirateado un modelo de inteligencia artificial local?<\/strong><\/summary>\n
\u00bfDebo hacer una evaluaci\u00f3n de riesgos de inteligencia artificial seg\u00fan la Ley de Inteligencia Artificial de la UE, a pesar de todo?<\/strong><\/summary>\n
\u00bfQu\u00e9 hardware necesita un equipo de seguridad para la inteligencia artificial local?<\/strong><\/summary>\n
\u00bfC\u00f3mo se compara la calidad de la respuesta con los servicios en la nube como ChatGPT?<\/strong><\/summary>\n