Conectar un asistente de IA a tu almacenamiento en la nube son hoy dos clics. ChatGPT, Claude, Gemini y Copilot lo ofrecen. La pregunta que viene después es simple: ¿qué puede ver realmente?
La respuesta es más concreta, y más manejable, de lo que sugieren los titulares. También es distinta de la pregunta de si tu proveedor entrena IA con tus archivos. Esa página trata de la empresa que guarda tus archivos. Esta trata del asistente al que le abres la puerta a propósito, y de las tres cosas que cambian cuando lo haces.
La versión corta
Conectar un asistente hace tres cosas, y solo la primera es evidente.
- El asistente puede leer lo que tu cuenta puede leer. Todos los conectores importantes replican tus permisos existentes. No obtiene más acceso del que tú tienes; obtiene todo el acceso que tú tienes, salvo que lo limites.
- Lo que lee sale de tu proveedor de almacenamiento. El contenido de los archivos viaja a la empresa que opera el asistente y queda en tu historial de conversación allí. No es una fuga: es el mecanismo. Pero es una segunda copia en una segunda empresa.
- Un documento puede llevar instrucciones dentro. Este es el riesgo genuinamente nuevo, y el que ha producido vulnerabilidades reales, con nombre y ya parcheadas. Un archivo que tú no escribiste, en una carpeta que el asistente puede leer, puede contener texto dirigido al asistente y no a ti.
Nada de esto exige una lectura apocalíptica de la IA. Son hechos ordinarios de control de acceso.
Qué dice cada asistente
| Asistente | Qué lee el conector | ¿Entrena con datos del conector? | Dónde acaba el contenido |
|---|---|---|---|
| ChatGPT (Google Drive, Dropbox, SharePoint, Box) | Lo que la cuenta conectada puede ver. Algunas configuraciones de espacio de trabajo indexan contenido por adelantado. | No, para datos tomados directamente de apps de Google conectadas — con excepciones nombradas (feedback, copiar y pegar, contenido en una respuesta). | OpenAI, dentro de tu conversación. La Memoria puede retener detalles derivados aparte. |
| Claude (Gmail, Drive, Calendar, MCP) | Lo que la cuenta conectada puede ver; solo texto, recuperado por petición. | No, con datos de conectores de Gmail/Drive/Calendar. Copiar y pegar en planes de consumo es la excepción declarada. | Servidores de Anthropic, junto al chat. Borrar el chat borra esos datos. |
| Google Gemini en Workspace | Contenido de Workspace al que tu cuenta accede. | Google dice que el contenido de Workspace no se usa para entrenar sus modelos sin permiso; Gemini de consumo es otra cosa. | Google — que ya tenía los archivos. |
| Microsoft 365 Copilot | Contenido del tenant vía Microsoft Graph al que tu cuenta accede. | Microsoft dice que los datos del tenant accedidos por Graph no se usan para entrenar sus modelos fundacionales. | Microsoft — que ya tenía los archivos. |
| MCP de ShieldFive | Solo las carpetas que elijas, durante la ventana que elijas. Se descifra en tu propio ordenador. | ShieldFive no: solo guardamos texto cifrado y nunca las claves. El proveedor del asistente sí ve lo que este lee. | Tu máquina, y después el proveedor del asistente para lo que lea. |
Dos de esas filas merecen una pausa. Con Gemini en Workspace y Copilot en Microsoft 365, el asistente lo opera la empresa que ya guarda tus archivos y ya tiene tus claves. Conectarlo añade comodidad, no un lector nuevo. Con ChatGPT o Claude leyendo tu Google Drive, estás presentando una segunda empresa a archivos que la primera ya podía ver.
Las pruebas
ChatGPT
La documentación de OpenAI es explícita en que las apps conectadas replican los permisos existentes: ChatGPT puede acceder «solo a contenido disponible para la cuenta que conectas», y los permisos de app «no conceden acceso nuevo» — cambiarlos «solo cambia cuándo ChatGPT pregunta antes de usar el acceso que la app ya tiene» (Connected apps in ChatGPT, Google app data controls FAQ).
Sobre entrenamiento, el FAQ específico de Google afirma: «No entrenamos nuestros modelos generalizados con datos procedentes directamente de apps de Google conectadas ni con derivaciones de esos datos», con tres excepciones listadas — una conversación enviada como feedback, datos que tú copias, pegas o subes, y datos incluidos en la respuesta de ChatGPT. Añade que esto se mantiene «incluso si» la opción «Mejorar el modelo para todos» está activada.
Dos detalles reciben menos atención de la que merecen:
- La Memoria es un canal aparte. Si la Memoria está activada, la información de apps conectadas «puede ayudar a personalizar ChatGPT». Y desconectar no es borrar: «desconectar una app no borra automáticamente los chats existentes ni los recuerdos guardados».
- La indexación no siempre es bajo demanda. Una conexión ordinaria «no crea automáticamente un índice personal sincronizado», pero las configuraciones gestionadas por administrador sí pueden indexar contenido de Drive por adelantado.
Claude
La página de conectores de Google Workspace de Anthropic (actualizada el 2026-08-18) afirma que Claude «solo puede acceder a los datos de Gmail, Calendar y Drive de la cuenta de Google que has conectado», que accede «solo cuando haces explícitamente una pregunta o pides una acción que requiere esa información», y que «replica tus permisos existentes: no puedes acceder a información a la que no tengas ya acceso». Los datos recuperados «se conservan junto a su chat, de modo que puedes borrarlos borrando el chat» (Use Google Workspace connectors).
Sobre entrenamiento: «No entrenamos nuestros modelos con tus datos de conectores de Gmail, Drive o Calendar». La excepción declarada son los planes de consumo en los que has aceptado el entrenamiento y copias y pegas tú mismo contenido del conector en la conversación.
Fíjate también en lo que el conector puede hacer, no solo leer: enviar, responder y reenviar correo; compartir, mover y enviar a la papelera archivos de Drive. Por defecto cada una pide aprobación, pero en planes Team y Enterprise un propietario puede permitir que se ejecuten sin preguntar.
Gemini y Copilot
Son las mismas empresas que cubrimos en nuestra comparativa de entrenamiento de IA, y el análisis de allí se aplica igual: ambas tienen tus claves, ambas dicen que el contenido organizativo no se usa para entrenar sus modelos fundacionales, y en ambos casos la protección es una política, no la arquitectura. Activar el asistente no entrega tus archivos a nadie que no pudiera leerlos ya.
El riesgo que sí es nuevo: instrucciones escondidas en documentos
Todo lo anterior da por hecho que el asistente hace lo que le pediste. El fallo propio de los conectores es la inyección indirecta de prompts: texto colocado dentro de un documento, un correo o un nombre de archivo, escrito para el asistente y no para ti, que el asistente lee como una instrucción mientras atiende tu petición perfectamente normal.
No es teórico. Dos casos documentados:
- EchoLeak (CVE-2025-32711, CVSS 9.3), divulgado por Aim Security en junio de 2025: un único correo manipulado podía hacer que Microsoft 365 Copilot extrajera contenido interno y lo enviara al servidor de un atacante, sin un solo clic de la víctima. El análisis lo describe como el primer exploit real de inyección de prompts sin clic en un sistema LLM en producción (análisis en arXiv). Microsoft lo parcheó en servidor y afirmó que no se había explotado.
- AgentFlayer, presentado en Black Hat en agosto de 2025 por investigadores de Zenity: un documento «envenenado» colocado en el Google Drive de la víctima llevaba instrucciones ocultas — texto blanco, invisible al leer — que hacían que el conector de ChatGPT filtrara secretos codificándolos en la URL de una imagen (Zenity Labs). Los investigadores señalaron que la técnica no es específica de Drive.
Ambos fueron parcheados. Lo relevante es el patrón: un conector convierte cada archivo al alcance del asistente en entrada potencial, incluidos los que otras personas han dejado ahí. Las carpetas compartidas, los adjuntos y cualquier cosa guardada automáticamente desde internet son la superficie de exposición, y las defensas tradicionales no sirven: la carga es lenguaje natural, así que no hay nada que un antivirus o un escáner de archivos pueda detectar.
La mitigación práctica es poco vistosa y eficaz: reduce el alcance. A un asistente apuntado a una sola carpeta de proyecto no lo puede inyectar un documento de una carpeta que no ve.
Qué hacer en la práctica
Una lista de diez minutos que hace más que cualquier cantidad de lectura sobre riesgos de la IA:
- Limita la conexión a carpetas, no a todo. Casi ningún disgusto aquí es un ataque; es un asistente leyendo algo que habías olvidado que estaba en la misma cuenta.
- Decide sobre la Memoria por separado. Los datos del conector y la Memoria son ajustes distintos con duraciones distintas. Desconectar uno no limpia el otro.
- Mira si hay acciones activadas, no solo lectura. «Leer mi Drive» y «mandar archivos a la papelera» son permisos distintos. En planes de equipo, comprueba si se han desactivado las confirmaciones para todo el mundo.
- Trata las carpetas compartidas como entrada no confiable. Si otros pueden dejar archivos donde lee tu asistente, esa es la superficie de inyección.
- Borra la conversación al terminar. En Claude eso elimina los datos recuperados, según su documentación. En ChatGPT, recuerda que desconectar por sí solo no basta.
- Guarda los archivos que ningún asistente debería leer en un sitio donde el asistente no esté conectado.
Ese último punto es el único arquitectónico en lugar de procedimental, y es la razón por la que esta página existe en la web de un proveedor de almacenamiento.
Dónde encaja ShieldFive
ShieldFive cifra los archivos en tu dispositivo antes de subirlos, así que guardamos texto cifrado. Eso tiene una consecuencia concreta aquí: no podemos conectar un asistente a tus archivos desde nuestro lado, porque solo guardamos texto cifrado y nunca las claves. No hay un índice en servidor al que apuntar un modelo.
Lo que sí publicamos es un servidor MCP que corre en tu propio ordenador. Descifra ahí, y es deliberadamente estrecho:
- Eliges bóveda completa o carpetas concretas, hasta 50, y si se incluye la carpeta Media.
- Eliges solo lectura o lectura y organización (renombrar, mover, enviar a la papelera — como mucho 50 elementos por petición, todo reversible).
- Eliges una caducidad, de una hora a 90 días.
- Cada acción queda en un registro de actividad que puedes leer, y nunca se borra nada: lo enviado a la papelera va a una carpeta Bin de esa conexión.
- Revocar corta el acceso en la siguiente petición del asistente.
Y la parte que ponemos en la interfaz del producto y no en el marketing: el proveedor del asistente ve lo que este lee, igual que con cualquier otro conector, y revocar no recupera lo ya leído. Eso no es una limitación de ShieldFive; es lo que significa conectar un asistente, en cualquier sitio. Lo que cambia es cuán pequeña puede ser la porción que expones, durante cuánto tiempo, y si la empresa de almacenamiento es un tercero con una copia.
Lee la explicación de seguridad antes de decidir si este modelo de confianza te encaja, y limita una primera conexión a una sola carpeta en lugar de a toda la bóveda.
Preguntas frecuentes
¿Puede ChatGPT leer mi Google Drive?
Solo si lo conectas, y entonces solo los archivos a los que ya accede la cuenta de Google que conectaste. OpenAI afirma que los permisos de app no conceden acceso nuevo y que ChatGPT accede «solo a contenido disponible para la cuenta que conectas». Lo que lee se envía a OpenAI como parte de tu conversación.
¿Conectar un asistente significa que mis archivos se usan para entrenar?
No directamente, según OpenAI y Anthropic. OpenAI dice que no entrena sus modelos generalizados con datos de apps de Google conectadas, con excepciones para envíos de feedback, datos que pegas tú y contenido que aparece en una respuesta. Anthropic dice que no entrena con datos de conectores de Gmail, Drive o Calendar, con una excepción de copiar y pegar en planes de consumo con el entrenamiento activado. Ambas son políticas, no límites arquitectónicos.
¿Puede un asistente de IA borrar mis archivos?
Algunos conectores lo permiten. El conector de Google Drive de Claude puede compartir, mover y enviar archivos a la papelera, y pide aprobación por defecto — pero en planes Team y Enterprise un propietario puede permitir que esas acciones se ejecuten sin preguntar. Revisa qué acciones están activadas, no solo qué se puede leer.
¿Qué es la inyección indirecta de prompts?
Instrucciones escondidas dentro de un documento, un correo o un nombre de archivo, dirigidas al asistente de IA y no a ti. Cuando el asistente lee ese archivo como parte de una petición normal, puede seguirlas. EchoLeak (Microsoft 365 Copilot, junio de 2025) y AgentFlayer (conectores de ChatGPT, agosto de 2025) son ejemplos documentados y parcheados en los que se usó para exfiltrar datos sin un clic de la víctima.
¿Cómo impido que un asistente de IA lea una carpeta concreta?
Limita el alcance al crear la conexión, en lugar de revocar después. La mayoría de conectores conceden acceso a nivel de cuenta, así que la forma fiable de dejar una carpeta fuera de alcance es tenerla en una cuenta o un servicio al que el asistente no esté conectado.
¿ShieldFive deja que los asistentes de IA lean mis archivos?
Solo las carpetas que elijas explícitamente, durante la ventana de tiempo que elijas, mediante un servidor MCP que corre en tu ordenador y descifra ahí. ShieldFive solo maneja texto cifrado. El proveedor del asistente sí ve lo que el asistente lee, y revocar el acceso no retira lo ya leído.
Esta página refleja la documentación pública de cada proveedor a fecha 2026-09-21 y se actualizará conforme cambien los términos. Las funciones de los conectores y las políticas de uso de datos se mueven rápido; antes de fiarte de cualquier línea, consulta la documentación vigente del proveedor en los enlaces.