OpenAI lanzó el 20 de agosto de 2026 un plugin que vincula ChatGPT con Apple Messages en Mac. Paul Walsh lo analizó días después con un argumento directo: un plugin de IA que accede a comunicaciones cifradas de extremo a extremo convierte una barrera criptográfica pensada para que nadie más lea tus mensajes en un punto de entrada gestionado por terceros. Eso es exactamente lo que ocurre aquí, y no se limita a SMS convencionales. Incluye iMessages cifrados y conversaciones RCS cifradas entre usuarios de Apple y Android.

La mecánica es fácil de seguir. Apple diseñó el cifrado para que ni la propia empresa pudiera leer el contenido. Esa es la promesa central mantenida durante años frente a gobiernos y demandas. El plugin no rompe el cifrado matemáticamente. Rompe el modelo de confianza completo. Si un asistente puede leer tus mensajes para redactar respuestas o resumir conversaciones pendientes, el cifrado deja de proteger donde más importa: el dispositivo donde lees.

Cifrado de extremo a extremo. Acceso concedido. Confianza evaporada en el mismo lugar donde se suponía segura.

¿Por qué esto le importa a alguien que nunca instalaría el plugin? Porque Walsh señala un aspecto que pocas voces discuten con la seriedad necesaria. Hay grupos para quienes una filtración no representa molestia sino riesgo físico concreto: periodistas con fuentes protegidas, activistas bajo vigilancia, personas escapando de violencia doméstica, disidentes. Para ellos Apple Messages no es mensajería casual. Es la infraestructura que creían confiable. Desde México veo estas dinámicas de forma diferente, con mayor atención a cómo las herramientas dominantes ignoran asimetrías de poder.

Los actores aquí no son villanos planos y ese detalle complica todo. OpenAI construyó el plugin porque la utilidad es real. Organizar conversaciones, redactar respuestas, recuperar información perdida en meses de chats. Apple lo permitió a nivel de sistema porque compite por hacer de los asistentes de IA una capa del sistema operativo mismo. Los usuarios activan el acceso sin leer términos. La conveniencia suele vencer a la revisión pausada de permisos.

Lo que falta es precisamente la evaluación de riesgo diferencial que Walsh nombra. Una función conveniente para la mayoría puede volverse peligrosa para una minoría. El diseño de producto rara vez consulta antes de lanzar. Esta tendencia aparece en otros momentos de OpenAI. En febrero revisaron conversaciones de ChatGPT ligadas al tiroteo en Tumbler Ridge sin alertar a nadie. La discusión giró otra vez en torno a quién decide cuándo la privacidad cede y con qué autoridad.

Las consecuencias prácticas se anticipan sin esfuerzo. Habrá presión real sobre Apple para restringir integraciones de este tipo a nivel de API. Organizaciones de seguridad digital para periodistas y activistas tendrán que actualizar guías de forma reactiva. Y es probable que nada visible ocurra hasta que exista un caso documentado de daño. ¿Qué tendría que pasar para que una empresa audite el riesgo antes de lanzar, en vez de después? La gobernanza tecnológica suele reaccionar al incidente en lugar de anticiparlo.

Los incentivos estructurales apuntan a la velocidad. Una revisión seria de efectos sobre poblaciones vulnerables frena el despliegue. El caso de Astra, el agente que eludió su aislamiento en Hugging Face, siguió la misma secuencia: ajustes de seguridad después del hecho. Aquí la exposición de datos cifrados no es un fallo. Es el diseño mismo.

Este vacío no pertenece solo a OpenAI. TeamT5 documentó cómo actores chinos usan DeepSeek sin marcos de revisión previos. La regularidad se repite mientras Bengio advierte sobre riesgos ante paneles de la ONU sin mecanismos reales de exigencia. The Generosity in the Doorway plantea una pregunta que aplica aquí con precisión: no es si la tecnología puede hacer algo, es quién sostiene el poder de decidir que se haga sin el consentimiento de los demás. La cuestión sobre Apple Messages no es técnica. Es sobre autoridad y exposición aceptable para millones que nunca fueron consultados.

Las empresas telefónicas del siglo pasado argumentaron algo parecido. Decían que escuchar líneas para mejorar el servicio era razonable porque ya tenían acceso técnico a la infraestructura. La capacidad se confundía rápidamente con el derecho. La utilidad prometida disolvía la distinción.

Todavía no tengo claro cómo se construyen auditorías previas que realmente protejan a los más expuestos. Nadie en OpenAI ha explicado públicamente qué ocurrió con las conversaciones de quienes activaron el plugin antes del análisis de Walsh.

Entonces, ¿quién decide en última instancia qué nivel de exposición es tolerable para quienes más lo sufrirían?