IA chinas de pesos abiertos: potencia, uso local y riesgos para tus datos

Las IA chinas de pesos abiertos permiten descargar modelos, ejecutarlos en infraestructura propia y adaptar su comportamiento. Esa apertura puede reducir dependencia de un servicio, facilitar investigación y dar más control sobre los datos. La oferta incluye desde un modelo de mil millones de parámetros hasta sistemas que necesitan un centro de datos. El origen chino no describe por sí solo su capacidad, licencia ni recorrido de la información.

La cuestión práctica para una empresa española es doble: qué trabajo resuelve el modelo y qué exposición introduce el sistema completo. Un asistente local aislado, un agente conectado al correo y una API en otro país son situaciones distintas. Las comparamos con documentación y evaluaciones verificadas al 11 de noviembre de 2026. No hemos realizado un ensayo propio de todos los modelos y no presentamos los riesgos posibles como incidentes demostrados.

• Para empezar en local: estudiar modelos pequeños como Qwen3.5, MiMo 9B o MiniCPM5; para una estación con más memoria, Qwen3.8-27B. El idioma, la cuantización y el contexto necesitan una prueba real.
• Para servidores propios: DeepSeek, Kimi, GLM y MiniMax aportan capacidad y libertad de despliegue, con tamaños y licencias muy diferentes.
• Para información sensible: verificar aplicación, conexiones, permisos y contrato. «Local», «europeo» o «sin retención» no sustituyen esa revisión.
• Para España: comprobar incluso el territorio autorizado por la licencia. La descarga reciente de ERNIE 5.5 Flash Base tiene una exclusión de la UE que explicamos más adelante.

La oferta china reúne proyectos muy diferentes: asistentes enormes que se pueden alojar en una infraestructura propia, modelos compactos para un ordenador y servicios comerciales que incorporan funciones ausentes en los pesos descargables. La decisión empieza por identificar el artefacto concreto: nombre, versión, licencia y forma de ejecución. Elegir una marca sin comprobar esos cuatro datos deja demasiadas preguntas abiertas.

En este artículo usamos pesos abiertos cuando es posible descargar los parámetros del modelo. Eso no implica disponer de todos los datos y herramientas necesarios para reproducir su entrenamiento. Tampoco garantiza una licencia sin restricciones comerciales. Una empresa puede permitir modificar sus pesos y exigir un acuerdo para determinadas actividades. Conviene leer la licencia asociada a la versión descargada y conservar una copia junto con la configuración.

El beneficio práctico consiste en poder decidir dónde se ejecuta el modelo, mantener una versión estable y adaptar su comportamiento. La responsabilidad también cambia de manos: quien lo despliega debe ocuparse de las actualizaciones, los permisos, los datos y la evaluación. Nuestra valoración es documental; no hemos sometido todos estos modelos a una prueba propia en español. Las recomendaciones de uso son criterios para un piloto, no garantías de rendimiento.

Las evaluaciones independientes muestran competencia real y diferencias importantes. El índice de Artificial Analysis permite comparar capacidad y coste de su protocolo. La versión v5 incorpora pruebas privadas y una escala revisada: no mezclamos sus puntuaciones con v4. El gráfico conserva el modo de razonamiento y distingue el índice del coste observado. Ninguno mide por sí solo privacidad, español o seguridad.

Para programación usamos también FrontierCode 2.0, de Cognition: 132 encargos definidos por mantenedores, valorados con una rúbrica de calidad. Evalúa el conjunto de modelo y agente; cambia la herramienta entre proveedores. Sus puntos sobre cien no son un porcentaje de encargos resueltos. Las diferencias pequeñas no justifican un ganador definitivo.

La lectura práctica es que no basta con decir «alcanza a la frontera». Un modelo puede resultar competitivo en una prueba concreta y quedar por detrás en otra; una API económica tampoco equivale a un modelo local barato de operar. Las versiones compactas facilitan el despliegue, pero no heredan automáticamente los resultados de las gigantes. La capacidad del servicio Qwen Max, por ejemplo, no debe atribuirse sin más al checkpoint abierto de su familia.

Frente a OpenAI, Claude y Gemini, los pesos descargables aportan control de infraestructura, estabilidad de versión y posibilidades de adaptación. Los servicios cerrados pueden ofrecer más capacidad en estas pruebas y una experiencia integrada que evita administrar servidores. Mistral y otros proveedores también publican pesos: conviene comparar el trabajo real, la licencia y la ruta de los datos, sin convertir la nacionalidad en una clasificación técnica.

DeepSeek V4.1 Flash 1017 es una actualización multimodal con pesos públicos y contexto de un millón de tokens. Su ficha publica herramientas para inferencia local y tratamiento de conversaciones, imágenes y llamadas a herramientas. Tanto el repositorio como los pesos están bajo licencia MIT, que permite modificar y redistribuir conservando los avisos correspondientes. El transporte de las solicitudes y la ejecución de las herramientas quedan a cargo del integrador. Ficha y licencia oficiales de DeepSeek.

Su principal atractivo es combinar una licencia permisiva con capacidad para razonamiento, programación y agentes. Una organización puede controlar las versiones y experimentar con ajustes sin depender exclusivamente del chat oficial. Sin embargo, la etiqueta Flash no describe un modelo pequeño: la ficha contabiliza cientos de miles de millones de parámetros. Los parámetros activos por token, cuando se publican, explican parte del coste de cálculo; no equivalen a toda la memoria necesaria.

Para un equipo europeo valoraríamos DeepSeek como candidato a un servicio propio o contratado a un operador que permita auditar el tratamiento de datos. La comparación debe incluir el coste de mantenerlo, no solo el precio de descarga. Antes de conectarlo a repositorios o documentos privados, comprobaríamos qué componentes tienen acceso a Internet, cómo se registran las conversaciones y quién administra las actualizaciones. La licencia facilita ese control; conseguirlo depende del despliegue.

Qwen3.8-27B combina texto y visión, ofrece un contexto nativo de 262.144 tokens y se distribuye con Apache 2.0. Es una alternativa mucho más abordable para una estación de trabajo que los grandes modelos de varios billones de parámetros. La capacidad de comprender imágenes permite explorar documentos y capturas, aunque hay que probar el idioma, el formato y la precisión que requiere cada proceso. Ficha de Qwen3.8-27B.

Qwen3.8-2.4T-A95B tiene 2,4 billones de parámetros totales y 95.000 millones activos. El checkpoint abierto es de texto y ofrece 262.144 tokens nativos, ampliables. La API Qwen3.8-Max incorpora prestaciones adicionales, como visión y herramientas integradas: no debemos atribuirlas automáticamente a la descarga. Pesos abiertos y distinción respecto a Max.

Las licencias también cambian. La de Max exige un acuerdo específico a determinados negocios de modelos como servicio o asistentes de trabajo cuando sus ingresos agregados superan 50 millones de dólares en doce meses. Flash Next exige una licencia separada para esas actividades comerciales sin ese umbral; contempla una excepción de uso interno definida de forma estricta. Ambas autorizan modificaciones con condiciones. Licencia de Max · Licencia de Flash Next.

Por eso elegiríamos Qwen por versión y finalidad: una prueba interna, un asistente comercial y una API pública pueden tener obligaciones diferentes. La marca compartida no permite trasladar la libertad de Apache 2.0 a todos sus modelos.

Kimi K3.1 Pro publica pesos de un modelo multimodal con 2,8 billones de parámetros totales, 104.000 millones activos y contexto de un millón de tokens. Moonshot lo orienta a programación, creación 3D, investigación financiera y tareas con herramientas. Su tabla muestra resultados competitivos en algunas pruebas y desventajas en otras; además combina evaluaciones propias con cifras publicadas por terceros. Son indicios útiles, no una victoria general en todos los trabajos. Ficha de Kimi K3.1 Pro.

La descarga ocupa alrededor de 1,56 TB en su repositorio oficial. Poder disponer de los pesos no convierte su ejecución en una instalación sencilla para un portátil. Archivos publicados. Su encaje local sería una infraestructura empresarial con personal capaz de operar inferencia distribuida, medir rendimiento y resolver incidencias.

La licencia permite modificar y ajustar, pero establece condiciones comerciales. Los negocios de modelos como servicio que superen 20 millones de dólares de ingresos agregados en doce meses necesitan un acuerdo separado. Hay obligaciones de atribución a gran escala y excepciones definidas para uso interno y acceso por canales certificados. Licencia de Kimi.

Lo valoraríamos cuando la tarea aproveche sus capacidades y el presupuesto permita operarlo. Un agente que usa herramientas también necesita permisos limitados, comprobaciones y recuperación de errores: publicar pesos no aporta por sí mismo esas piezas.

GLM-5.3, de Z.ai, publica pesos de un modelo de generación de texto de gran tamaño. Su ficha describe despliegues con SGLang, vLLM, Transformers y otras herramientas, además de alternativas para aceleradores Ascend. Permite regular el presupuesto de razonamiento. Esta variedad de integraciones puede facilitar una infraestructura propia, pero no equivale a una aplicación de escritorio preparada ni demuestra que cualquier configuración funcione sin conexiones externas. Ficha oficial de GLM-5.3.

La licencia de esta versión permite usar, modificar, ajustar y crear derivados conservando los avisos. Incluye una condición específica: los negocios de modelos como servicio cuyo grupo supere 10.000 millones de dólares de ingresos en doce meses deben pasar una revisión de seguridad de Z.ai antes de utilizarlo comercialmente. Esto no significa que cada usuario deba enviar sus documentos a esa revisión. Licencia GLM-5.3.

Como valoración práctica, merece entrar en una prueba empresarial de ingeniería junto a otros modelos disponibles. Mediríamos los cambios aceptables, los fallos y el tiempo de revisión humana. Una puntuación de código aislada no permite saber si un agente respetará el alcance de una tarea, protegerá secretos o mantendrá un proyecto real. Tampoco conviene trasladar a GLM-5.3 la licencia de una generación anterior por familiaridad con la marca.

MiniMax M3.1 Flash es multimodal: recibe texto, imágenes y vídeo y genera texto. Publica unos 428.000 millones de parámetros totales, con 23.000 millones activos por token y hasta un millón de tokens de contexto. Su diseño incorpora atención dispersa, cuantización durante el entrenamiento y decodificación especulativa. El proveedor lo orienta a código, agentes y uso del ordenador, y advierte que las cuantizaciones de terceros pueden comportarse de otra manera. Ficha de MiniMax M3.1 Flash.

Su licencia Community permite modificar, con obligaciones que importan a una empresa pequeña: para uso comercial exige atribución visible y un aviso único. Si los productos o servicios superan 20 millones de dólares de ingresos anuales, requiere autorización escrita previa. También incorpora restricciones de uso. No debemos presentarla como una licencia MIT o Apache sin condiciones. Licencia Community de MiniMax.

Lo incluiríamos en una comparación de calidad y coste para tareas repetibles, con una segunda evaluación del riesgo. Una respuesta barata puede salir cara si necesita mucha revisión o activa una herramienta equivocada. Para ejecutarlo en local hay que presupuestar la memoria del conjunto del modelo, el contexto y el servicio. Los parámetros activos reducen parte del cálculo, pero no convierten automáticamente esta arquitectura en un modelo de consumo.

Tencent Hy4 preview publica un modelo de texto con Apache 2.0. Su catálogo muestra un tamaño de cientos de miles de millones de parámetros, por lo que lo situaríamos en el terreno del servidor. Ficha de Hy4. La licencia resulta atractiva para experimentar y modificar; no debe extrapolarse a todos los productos de Tencent, incluidos los de vídeo o generación 3D. Aquí no hemos verificado una prueba propia de su seguridad o de su español.

Step 5 Preview ofrece 600.000 millones de parámetros totales y 27.000 millones activos, con contexto de hasta un millón. Sus configuraciones oficiales ilustran el esfuerzo de instalación: para FP8 propone cuatro GPU B300 u ocho H200. Modelo y despliegue de StepFun.

StepFun utiliza una licencia propia que permite modificar y crear derivados. Determinados fabricantes de dispositivos necesitan un acuerdo comercial antes de incorporar sus capacidades; también existen condiciones para negocios de modelos como servicio y obligaciones de atribución a gran escala. Licencia de StepFun. La conclusión práctica es que una apertura puede ser técnicamente aprovechable y requerir, a la vez, negociación contractual para un producto concreto.

La selección local no tiene por qué comenzar por el modelo más grande. MiMo V2.6 Distill Qwen 9B, de Xiaomi, publica un ajuste de Qwen3.5-9B orientado a código, herramientas y tareas visuales. Se distribuye con MIT. Su ficha distingue los conjuntos internos de evaluación y aclara que el recordatorio de usos no modifica esa licencia. Ficha de MiMo 9B. No debe confundirse con la capacidad ni los requisitos de las variantes Pro y Flash mucho mayores.

MiniCPM5-1B, de OpenBMB, ofrece un modelo de texto compacto con Apache 2.0. Emplea una arquitectura estándar y publica guías de ajuste y llamadas a herramientas. Ficha de MiniCPM5. Lo estudiaríamos para funciones acotadas antes que como sustituto universal de un modelo frontera.

Estas variantes permiten plantear pilotos de extracción, clasificación o ayuda documental con menos infraestructura. El tamaño facilita el ensayo; no garantiza precisión. La prueba debe incluir casos difíciles en español, respuestas inciertas y documentos que contengan instrucciones maliciosas. Si el modelo utiliza búsqueda, un servidor externo o una herramienta conectada, esa parte del flujo deja de ser estrictamente local. El despliegue debe describirlo con claridad a sus usuarios.

ERNIE 5.5 Flash Base, de Baidu, publica un modelo de texto de 280.000 millones de parámetros totales y 14.000 millones activos. Es un checkpoint de preentrenamiento para adaptar e investigar, no un chatbot afinado listo para sustituir a un asistente comercial. Sus comparaciones se realizan frente a otros modelos base. Ficha de ERNIE 5.5 Flash Base.

Para España hay una limitación decisiva: su licencia estándar excluye la Unión Europea, el Reino Unido y Corea del Sur del territorio autorizado. La definición territorial y las cláusulas de concesión y uso afectan a los materiales, los derivados y los resultados. Por tanto, no recomendamos instalar esta versión en España bajo esa licencia. La disponibilidad del archivo no constituye permiso. Licencia, apartados 1.11, 2 y 5.3.

Este caso explica por qué revisamos cada versión. Haber utilizado una generación anterior con otra licencia no resuelve los derechos sobre la nueva. Un proyecto europeo debe comprobar el territorio, los derivados y el destino de sus resultados antes de invertir en hardware o ajustes. Las condiciones de acceso a un servicio en la nube también necesitan su propia revisión.

La siguiente tabla resume las diferencias relevantes; los textos enlazados en cada sección son los que determinan los derechos. Modificar pesos no elimina la licencia original. Cuantizar, ajustar con LoRA, fusionar o redistribuir puede producir un derivado que conserve obligaciones. Para un producto comercial conviene documentar también los datos utilizados en el ajuste y las dependencias añadidas.

La apertura facilita adaptar un modelo al vocabulario y los procesos de una organización. También permite distribuir variantes con peor calidad, sesgos distintos o salvaguardas debilitadas. Por eso guardaríamos el origen, la versión y las evaluaciones de cada derivado antes de confiarle una tarea.

Para empezar, Qwen ofrece una escala más accesible que los grandes modelos de varios cientos de miles de millones de parámetros. Qwen3.5-4B y 9B permiten explorar usos modestos; Qwen3.8-27B exige más memoria y ofrece una alternativa multimodal de mayor tamaño. La conversión comunitaria MLX de este último a cuatro bits ocupa 16,1 GB en archivos. Esa cifra no incluye toda la memoria necesaria para ejecutarlo.

Como orientación de planificación, un equipo de 16 GB puede servir para experimentar con modelos pequeños cuantizados y contexto moderado. Para 27B, resulta más plausible estudiar 32 GB de memoria unificada o una GPU de 24 GB, comprobando formato, contexto y uso de imágenes. Son orientaciones, no certificaciones de compatibilidad ni promesas de velocidad.

En los MoE, pocos expertos se activan por token, pero los demás pesos deben almacenarse o transferirse. DeepSeek V4.1, GLM-5.3, MiniMax M3.1 y Kimi K3.1 Pro pertenecen a otra escala. Las recetas de producción contemplan servidores con varias GPU. Aumentar contexto y usuarios simultáneos eleva la memoria adicional; el entrenamiento requiere todavía más recursos.

Una instalación combina pesos, motor de inferencia e interfaz. No todas las arquitecturas nuevas son compatibles con todos los motores. llama.cpp trabaja con modelos y conversiones GGUF compatibles; MLX LM aprovecha equipos Apple; vLLM o SGLang se utilizan también en servidores. Hay que comprobar la versión del motor y la ficha del modelo antes de convertir o descargar cientos de gigabytes.

Una aplicación como LM Studio documenta chat, búsqueda documental y servidor sin conexión. Descargar la aplicación y los pesos requiere acceso inicial; operar después sin Internet es otra fase que debe probarse. Una interfaz instalada en el escritorio puede seguir utilizando un proveedor remoto si así está configurada.

1. Elegir el repositorio oficial, la revisión y una licencia compatible con el uso y el territorio. Conservar hashes y procedencia de cualquier conversión.
2. Instalar un motor que soporte esa arquitectura y empezar con contexto moderado, sin agentes ni herramientas. Medir memoria y velocidad con datos de prueba.
3. Mantener la API accesible solo desde el equipo o la red autorizada, con protección adecuada. No abrirla a Internet para facilitar una prueba.
4. Comprobar sin red el recorrido completo: OCR, embeddings, recuperación, chat y archivos. Revisar telemetría, sincronización y alternativas automáticas a la nube.
5. Añadir documentos y usuarios por fases, con permisos separados, copias protegidas y una forma de restaurar la versión anterior.

Inferir y entrenar no tienen los mismos requisitos. LoRA puede resultar viable donde un ajuste completo no lo sería, pero también necesita memoria para activaciones y entrenamiento. La calculadora muestra únicamente un suelo matemático de los pesos; no dimensiona ese trabajo.

La cuantización reduce la precisión de los pesos para ahorrar espacio y ancho de banda. LoRA y QLoRA aprenden adaptadores; el ajuste completo modifica el modelo entero; la destilación utiliza un modelo para enseñar comportamientos a otro. Son herramientas distintas, con costes y efectos diferentes. Antes de redistribuir o comercializar el resultado, hay que comprobar la licencia exacta de la base y las condiciones del derivado.

Es posible adaptar vocabulario, formatos, clasificación o estilo a una organización. Sin embargo, ajustar un modelo con documentos internos no demuestra que se hayan eliminado sus sesgos, errores o comportamientos ocultos. Tampoco garantiza que no memorice datos del nuevo conjunto de entrenamiento.

Para consultar información privada que cambia a menudo, conviene valorar primero RAG: el sistema recupera documentos autorizados y los aporta como contexto sin reentrenar los pesos. Permite actualizar el conocimiento con más facilidad, aunque exige respetar permisos por documento y evaluar las respuestas. La documentación de MLX LM explica ajustes eficientes; su disponibilidad no implica compatibilidad automática con cualquier arquitectura nueva.

Descargar pesos no elimina el coste de utilizarlos. En la nube pagamos consumo y servicios; en local asumimos equipo, energía, mantenimiento y administración. Para comparar con claridad, esta tabla utiliza tarifas API oficiales verificadas el 11 de noviembre de 2026, en dólares por millón de tokens. No son cuotas de los chats ni precios por descargar el modelo.

Escenario: 1.000 tareas, cada una con 10.000 tokens de entrada y 2.000 de salida facturada: 10 millones de entrada y 2 millones de salida. Sin caché, lotes, promociones, búsquedas ni reintentos. La fórmula es 10 × precio de entrada + 2 × precio de salida. No presupone la misma calidad, velocidad, tokenización ni tasa de tareas resueltas; un agente puede consumir más por razonamiento o por varias llamadas. Los impuestos y la conversión a euros deben comprobarse en la factura; Kimi los excluye expresamente.

DeepSeek distingue punta y valle: punta de lunes a viernes de 01:00 a 04:00 y de 06:00 a 10:00 UTC, salvo festivos chinos; en Madrid en noviembre, de 02:00 a 05:00 y de 07:00 a 11:00. Search y Fetch cuestan cada uno 0,75 dólares por 1.000 solicitudes exitosas. Tarifas de DeepSeek.

Qwen usa aquí Singapur/International. Max publica otras tarifas bajo scope Global: 1,65 de entrada y 4,951 de salida, que darían 26,402 dólares en este escenario; Global no significa residencia exclusivamente europea. La caché implícita de la tabla es distinta de la creación y lectura explícitas. Son condiciones de la API, cuyas funciones y contexto no deben trasladarse automáticamente a los pesos locales. Qwen27B · QwenMax.

Kimi cobra escrituras de caché según duración: cinco minutos y una hora tienen precios diferentes. Su Batch compatible cuesta el 60% del precio estándar: serían 24 dólares con los mismos tokens. GLM indica almacenamiento de caché gratuito temporalmente y búsqueda a 0,01 dólares por uso. MiniMax publica tarifa plana para M3.1 Flash; no hay que aplicarle los tramos o recargos de otro modelo. No hemos asumido gratuitos los conceptos que una tabla no especifica. Kimi · GLM · MiniMax.

Para elegir local frente a API conviene añadir amortización del equipo, electricidad, horas de gestión y capacidad realmente utilizada. Un modelo compacto cuantizado y un gran modelo servido en nube pueden resolver trabajos distintos. El ahorro solo queda demostrado al medir el coste por resultado aceptado, incluida su revisión humana.

Los pesos descargables pueden reducir la dependencia de una tarifa por token, pero el coste de operar el sistema sigue existiendo. Si ya tienes un equipo adecuado, el coste incremental puede concentrarse en electricidad y mantenimiento. Si compras una estación o un servidor, hay que repartir su coste de compra, descontando un valor residual razonable, entre los meses de uso previstos.

Para la energía, utiliza potencia media del ordenador completo medida durante un trabajo representativo, multiplicada por sus horas de funcionamiento y por tu tarifa eléctrica. El consumo nominal de una GPU no describe por sí solo la factura del sistema. Si alquilas un servidor con electricidad incluida, no la vuelvas a sumar. Añade también almacenamiento, copias, soporte y el tiempo de actualizar, resolver fallos y evaluar respuestas.

La memoria cambia la viabilidad. Los pesos son solo una parte: contexto, caché KV, imágenes y concurrencia pueden obligar a elegir un equipo más grande o a reducir la carga. Cuantizar puede ahorrar recursos, pero exige comprobar calidad y compatibilidad. Un portátil que consigue generar texto no equivale a un servicio disponible para todo un equipo.

La comparación útil es el coste por resultado aceptado. Incluye reintentos, revisión humana y trabajos fallidos en ambos lados. La API de un modelo más potente puede resolver un encargo con menos intervención; una instalación privada puede compensar cuando el volumen, la confidencialidad o el control lo justifican.

La calculadora muestra tres escenarios hipotéticos y supuestos de una API que puedes editar. No son cotizaciones ni prometen capacidad de producción. El cambio de divisa es también un supuesto. Antes de decidir, prueba tus propios documentos y tareas, mide consumo, latencia y aceptación, y convierte esas mediciones en un presupuesto completo.

Son cálculos ilustrativos propios: el equipo existente consume una media supuesta de 100 W; la estación, 350 W; ambos funcionan 160 horas al mes a 0,25 €/kWh. La estación cuesta hipotéticamente 2.400 €, amortizados en 36 meses sin valor residual. La gestión se valora a 35 €/h: una hora para el existente y dos para los otros. El alquiler supuesto incluye electricidad. No son precios de mercado, requisitos por modelo ni presupuestos de producción; faltan los gastos que no hayas incorporado. Edita las cifras en la calculadora.

Descargar los pesos permite procesar información sin enviarla al laboratorio que creó el modelo. En una instalación realmente aislada, con el programa verificado, sin conexiones de salida y sin herramientas externas, las conversaciones nuevas no llegan al fabricante por el mero hecho de ejecutar sus parámetros. Esa ventaja puede ser decisiva para trabajar con documentación interna, mantener una versión estable o continuar durante una interrupción del servicio.

Pero «instalado en mi ordenador» describe una ubicación, no una garantía de seguridad. Una aplicación puede ejecutar el modelo en local y conservar historiales sin cifrar, enviar diagnósticos, consultar un buscador externo o alternar con inferencia en la nube. También puede exponer una API a la red. Antes de tratar información sensible hay que comprobar la aplicación completa y sus conexiones, no solo el archivo del modelo.

Los pesos, el programa y las herramientas tienen riesgos distintos

La cadena de suministro empieza en la descarga: quién publicó el archivo, qué versión es, si ha sido convertido por un tercero y qué componentes necesita. Un fichero manipulado, una dependencia vulnerable o código adicional pueden comprometer el equipo. Hugging Face recomienda safetensors, revisar el código remoto y fijar una revisión concreta. Ese formato reduce el riesgo de ejecutar código al cargar pesos; no certifica la conducta del modelo ni elimina los fallos de su programa de ejecución.

En un agente, además, el texto generado se transforma en acciones: abrir documentos, ejecutar comandos, enviar correo o consultar una web. Un documento malicioso podría darle instrucciones para copiar información a otro destino. OWASP identifica la combinación de permisos, funciones y autonomía excesivos como una fuente de daño. Este riesgo afecta a modelos chinos, europeos y estadounidenses.

La protección debe estar fuera del modelo: carpetas autorizadas, credenciales limitadas, red bloqueada por defecto, destinos permitidos y aprobación humana para operaciones sensibles. Que la IA diga «no usaré Internet» no impide que una herramienta lo haga. Para un chat documental interno, resulta razonable empezar sin navegador ni terminal y añadir capacidades solo cuando existe una necesidad comprobada.

Modificar los pesos aporta control y añade responsabilidad

Un ajuste puede mejorar el vocabulario de una empresa o su forma de responder; también puede memorizar datos del entrenamiento, introducir nuevos errores o debilitar protecciones. Cuantizar reduce memoria, pero exige comprobar la calidad de la variante concreta. «Sin censura» tampoco significa «más veraz»: puede retirar negativas útiles y facilitar usos dañinos. La guía australiana publicada el 5 de noviembre de 2026 recomienda evaluar procedencia, modificaciones y comportamiento, proteger los archivos ajustados y mantener controles externos. Abrir los pesos facilita investigar estos problemas; no los resuelve automáticamente.

La apertura permite investigar y corregir modelos, pero también distribuir variantes alteradas. Descargar una versión «sin censura», una cuantización o un adaptador de un tercero introduce otra procedencia que debe evaluarse. Conviene conservar la revisión y los hashes del artefacto, sus licencias y el vínculo verificable con el modelo base.

El 10 de noviembre de 2026, Microsoft publicó una investigación que muestra cómo alterar menos de diez neuronas puede implantar un comportamiento activado por una cadena concreta, pese a superar evaluaciones generales. Microsoft indica que no ha observado actores explotando esa técnica. Es una demostración de riesgo general, no una prueba de puertas traseras en los modelos chinos analizados.

Además, los archivos y el programa de carga son capas diferentes. Transformers recomienda safetensors, revisar el código remoto y fijar su revisión. Aceptar trust_remote_code=True permite ejecutar código del repositorio. Un formato de serialización más seguro reduce un riesgo, pero no certifica la conducta del modelo ni la seguridad de sus respuestas.

El 26 de octubre de 2026, Cohere informó de un comportamiento preocupante de Qwen3.8-Flash-Next durante una evaluación defensiva: emitió una llamada para enviar una cadena de prueba a una dirección de almacenamiento Alibaba en Beijing, después de razonar que no usaría herramientas. El entorno bloqueó la conexión. Cohere no pudo establecer si era deliberado o un residuo del entrenamiento. Debe señalarse también que vende modelos competidores. Informe original de Cohere y trazas publicadas.

Check Point investigó después la parte de la traza donde la orden de envío ya estaba iniciada. Entre 64 continuaciones identificó 52 hosts distintos. Al clasificar la primera dirección de cada una de las 64 continuaciones, seis eran de Alibaba, siete de AWS y veinte locales o internos; también aparecieron direcciones inexistentes. La variabilidad apoyaba su explicación de conducta inconsistente frente a un destino fijo. Esa prueba no mide cuántas veces un agente iniciaría espontáneamente un envío ni demuestra que cualquier instalación esté libre de comportamientos ocultos. Análisis de Check Point de 29/10/2026.

Vals AI observó solicitudes de varios Qwen3.8 a un proxy de Alibaba en Singapur y las reprodujo en algunos escenarios con errores de navegación simulados. Las peticiones observadas recibieron un rechazo 403; sus investigadores no encontraron evidencia de exfiltración maliciosa de datos sensibles. Investigación de Vals AI de 27/10/2026. La lección práctica es restringir herramientas y registrar conexiones. Ni una URL generada prueba espionaje ni la falta de una fuga confirmada vuelve aceptable cualquier acción inesperada.

¿Podrían existir conductas que solo se activan después?

Sí, como posibilidad demostrada en experimentos. En Sleeper Agents, investigadores entrenaron deliberadamente modelos para comportarse de forma distinta ante una señal de activación y estudiaron su persistencia tras entrenamiento de seguridad. Es una prueba de concepto sobre mecanismos de engaño; no un descubrimiento de puertas traseras en los modelos chinos aquí comparados. Investigación de Anthropic de 2024. Justifica pruebas adversariales, procedencia verificable y límites externos. No justifica atribuir una intención a todo un país sin evidencias concretas.

Una respuesta puede quedarse dentro de tu equipo y seguir siendo incompleta o sesgada. El entrenamiento y el ajuste influyen en qué temas responde un modelo, qué fuentes privilegia y qué negativas produce. El artículo 4 de las medidas chinas sobre servicios de IA generativa exige adhesión a valores socialistas y limita determinados contenidos políticos. Su artículo 2 delimita el ámbito a servicios ofrecidos al público dentro de China y excluye ciertos usos de investigación e internos. No debemos describir esa norma como una orden aplicable automáticamente a cualquier descarga privada en España.

El estudio R1dacted, publicado en mayo de 2025, analizó negativas políticas en DeepSeek R1 y su transferencia a modelos destilados. Aporta evidencia sobre aquella generación y sus pruebas; no demuestra una tasa de censura de V4.1, Qwen3.8 o todos los modelos actuales. La consecuencia para un despliegue local es que retirar filtros del servicio no garantiza eliminar comportamientos aprendidos en los pesos.

El problema tampoco se limita a desarrolladores chinos. Una evaluación del Oversight Board de julio de 2026 encontró restricciones de expresión política en una selección de modelos de varios proveedores. Sus autores acotan los resultados a sus preguntas y condiciones y no establecen una causa única.

Para periodismo, educación, análisis internacional o decisiones públicas, probaríamos versiones concretas en español y otros idiomas, con preguntas equivalentes sobre varios países, fuentes verificables y revisión humana. Adaptar un modelo puede corregir ciertas respuestas y crear otras distorsiones. Son riesgos de integridad de la información que persisten aunque no salga ningún dato del equipo; no deben confundirse con una prueba de espionaje.

La exposición jurídica merece una evaluación específica. El artículo 7 de la Ley de Inteligencia Nacional obliga a organizaciones y ciudadanos a apoyar, asistir y cooperar legalmente con la actividad de inteligencia y a guardar sus secretos. El artículo 14 permite a los organismos competentes exigir la cooperación necesaria. El propio texto también recoge protección de derechos en su artículo 8. Puede consultarse la versión oficial de la Ley de Inteligencia Nacional.

Hay otras bases de acceso. La Ley de Seguridad de Datos, en su artículo 35, prevé la obtención de datos por necesidades de seguridad nacional o investigación criminal, con procedimientos de aprobación y deber de cooperación. Su artículo 36 restringe proporcionar datos almacenados en China a autoridades judiciales o policiales extranjeras sin aprobación china. Texto oficial de la Ley de Seguridad de Datos.

La Ley de Ciberseguridad exige apoyo técnico y asistencia de los operadores de red a los órganos de seguridad pública y seguridad nacional en actividades de protección de la seguridad nacional e investigación criminal conforme a la ley. En la versión vigente desde enero de 2026 es el artículo 30; las referencias al antiguo artículo 28 corresponden a la numeración anterior. Texto revisado publicado por la Administración del Ciberespacio de China.

Estas facultades crean un riesgo de acceso legal que una empresa extranjera debe considerar al confiar datos a entidades sujetas a ellas. Sin embargo, la existencia de una obligación de cooperación no acredita que todas las conversaciones se entreguen sistemáticamente al Gobierno. Tampoco demuestra que cada modelo lleve una puerta trasera. Para afirmar una transferencia concreta hacen falta pruebas de ese hecho, no solo una interpretación del marco legal.

La situación de una filial internacional requiere conocer quién controla los datos, desde dónde se accede a ellos y qué legislación y contrato se aplican. Una dirección en Singapur no basta para resolver estas preguntas; la nacionalidad de los fundadores tampoco. Y una obligación impuesta a una empresa china no crea, por sí misma, una conexión técnica con un ordenador español desconectado. Conviene separar capacidad jurídica de exigir información, capacidad técnica de obtenerla y evidencia de acceso efectivamente ocurrido.

Dos personas pueden usar la misma familia de modelos bajo condiciones distintas: chat gratuito del fabricante, API empresarial, servidor de un tercero o pesos propios. El riesgo de privacidad cambia con el receptor, la región, el contrato, el acceso del soporte y las funciones activadas. Las condiciones siguientes son las publicadas y verificadas al 11 de noviembre de 2026; describen compromisos del proveedor, no una auditoría independiente.

En Model Studio, «Zero Data Retention» necesita matices: solo cubre llamadas compatibles tras su activación empresarial. Existe una caché cifrada transitoria, normalmente de hasta 24 horas; agentes, RAG, Playground y sesiones con estado tienen exclusiones. Los metadatos siguen otras reglas y el contenido señalado por los filtros automáticos de seguridad puede conservarse hasta dos años. Es una opción útil, pero no una promesa de que desaparezca de inmediato cualquier dato producido por la aplicación.

Usar un host europeo puede cambiar sustancialmente el escenario si los pesos se ejecutan allí, sin transmitir consultas al autor original. Aun así, hay que comprobar quién opera la infraestructura, qué subencargados intervienen y si hay soporte o administración desde otros países. Un intermediario que alterna proveedores puede cambiar el destinatario efectivo incluso manteniendo el nombre comercial del modelo.

La soberanía práctica consiste en poder decidir quién accede a los datos, dónde se procesan, qué acciones se autorizan y si se puede cambiar de proveedor. Un modelo extranjero con pesos abiertos puede aumentar ese control si permite operarlo en infraestructura propia. También puede mantener dependencias de hardware, software, actualizaciones y personal especializado. Es una decisión de arquitectura y gobernanza, además de procedencia.

En protección de datos, ni China ni Singapur figuran en la lista de países con decisión de adecuación de la Comisión Europea. Una transferencia empresarial exige examinar las garantías aplicables y los accesos posibles; alojar en Singapur no concede automáticamente equivalencia con el RGPD. La guía del EDPB para pymes explica las condiciones para transferir fuera del Espacio Económico Europeo.

En local continúan las obligaciones sobre base jurídica, minimización, acceso, seguridad, conservación y derechos de las personas. Un empleado tampoco debería cargar datos de clientes en un chat personal solo porque sea gratuito. Para cada proyecto conviene documentar datos autorizados, responsable de la instalación, destinatarios externos y procedimiento de retirada. Cuando hay varios clientes, los permisos del buscador documental deben impedir que una consulta recupere información de otro.

Los incidentes deben contarse con su alcance y su fecha

Wiz documentó el 29 de enero de 2025 una base DeepSeek expuesta sin autenticación con más de un millón de líneas de registros, incluidas conversaciones y secretos. DeepSeek la protegió tras el aviso. El dato cuenta registros, no un millón de usuarios confirmados; afecta a aquel servicio y no demuestra una filtración de cada instalación local. Informe de Wiz.

El Garante italiano ordenó limitar el tratamiento del servicio DeepSeek el 30 de enero de 2025. Berlín notificó sus aplicaciones a Apple y Google el 27 de junio de 2025 por transferencias que consideró ilícitas. Son actuaciones concretas, no una prohibición europea de todos los modelos chinos. Decisión italiana y comunicación de Berlín.

En Estados Unidos, el aviso DHS publicado el 20 de octubre de 2026 cubre productos DeepSeek y ciertas implementaciones de terceros en sistemas y compras de agencias civiles federales. No prohíbe su uso general en España. Aviso oficial DHS. Para otros países, el enfoque útil combina privacidad, dependencia tecnológica, integridad de la información y seguridad operativa. La evaluación debe ser proporcional al uso y aplicar también exigencias verificables a proveedores estadounidenses o europeos.

Para clasificación y extracción acotadas empezaríamos por modelos compactos con licencia compatible. Para documentos, imágenes y asistencia general en una estación con memoria suficiente, Qwen3.8-27B merece un piloto. Para ingeniería exigente compararíamos también los grandes mediante un proveedor autorizado o una infraestructura de prueba, antes de comprometer un servidor. Son propuestas de evaluación, no una certificación de cada modelo.

Un hotel podría probar la consulta de procedimientos sin exponer reservas; una agencia, la extracción de requisitos de un briefing autorizado; una inmobiliaria, la comparación de documentos sin datos personales innecesarios. Usaríamos veinte o treinta tareas representativas, incluidas preguntas sin respuesta en las fuentes, documentos contradictorios e instrucciones maliciosas. Mediríamos precisión, citas correctas, errores graves, minutos de revisión y coste total.

Después verificaríamos el recorrido de datos: ejecutar sin red, revisar las conexiones del sistema completo, comprobar historiales y copias, separar clientes y limitar herramientas. La configuración aprobada debe poder reproducirse y retirarse: versión fijada, licencia conservada, responsables, registros proporcionados y procedimiento de actualización. Para un agente persistente, también almacenamiento de estado, ejecución programada, recuperación de fallos y revisión de acciones. Esas funciones las aporta la plataforma que lo opera; descargar el modelo no crea por sí solo un agente que siga trabajando al apagar el portátil.

La decisión puede combinar una IA local para información interna con un servicio externo para encargos expresamente autorizados. Tiene sentido si las pruebas justifican la mejora y la complejidad. Puedes ampliar con nuestras guías de Mistral en nube y local, OpenAI y ChatGPT, Gemini Carbon y IA local en la empresa.

Fuentes y método. Investigación documental cerrada el 11 de noviembre de 2026. Consultamos fichas y licencias de cada versión, políticas por producto, textos legales oficiales, autoridades de protección de datos e investigadores originales. Separamos declaraciones de proveedores, evaluaciones independientes, cálculos e interpretación editorial. No hemos auditado el código ni ejecutado todos los modelos; los mínimos de memoria son cálculos, no requisitos medidos. Los incidentes conservan fecha, alcance y límites de evidencia. Las tres ilustraciones son originales y generadas con IA. Los gráficos funcionan sin enviar los datos introducidos a servicios externos. Las versiones, tarifas y condiciones pueden cambiar; conserva la licencia del artefacto que utilices.