Durante 2023 y 2024 muchas empresas reaccionaron a ChatGPT de la misma forma: una circular prohibiendo pegar datos internos. Luego llegó la realidad. La gente siguió usándolo porque le ahorra trabajo, solo que desde el móvil o desde una cuenta personal, y la empresa dejó de ver qué salía por la puerta.
La respuesta que se ha ido imponiendo es dar una alternativa mejor: un asistente interno que conozca los documentos de la casa, que no envíe nada a un tercero y que deje rastro de quién consulta qué. Eso es, en esencia, lo que el mercado llama Private AI, IA privada, Private GPT o GPT privado. Bajo esas etiquetas se vende de todo, así que conviene aclarar qué es cada cosa antes de hablar de servidores.
Inteligencia artificial privada es un término de arquitectura. Describe un sistema de IA generativa en el que el modelo, los datos y los registros viven en un entorno que tú controlas: tu centro de datos, tu cloud privado o un servidor dedicado. El tráfico no sale hacia la API de un fabricante de modelos.
GPT privado es la aplicación más común de esa idea. El nombre se ha quedado por costumbre, aunque casi nunca hay un modelo de OpenAI detrás: suele ser un modelo abierto servido en GPU propias o dedicadas, con una interfaz de chat y un sistema que busca en la documentación interna antes de responder.
Tres confusiones aparecen en cada conversación sobre el tema:
Es la pregunta que más ahorra en una compra. Cuando un proveedor te ofrezca Private AI, pregunta en qué nivel de esta tabla está, porque la etiqueta se aplica a casi todos.
| Nivel | Qué es | Dónde corre el modelo | Quién puede llegar a ver los datos | Para qué datos |
|---|---|---|---|---|
| 0. Cuenta personal | Chat de consumo con la cuenta del empleado | Proveedor | El proveedor, según plan y ajustes. La empresa no ve nada | Ninguno de la empresa |
| 1. Suscripción empresarial | Licencias con contrato, SSO y sin entrenamiento | Proveedor | El proveedor, bajo contrato | Internos de riesgo bajo |
| 2. Modelo gestionado en tu cuenta | API de un hiperescalar en tu región | Hiperescalar | El hiperescalar. Puede haber revisión por abuso | Internos, con evaluación de riesgos |
| 3. Modelo abierto en GPU de nube pública | Tú lo operas en una máquina alquilada | Hiperescalar | Tú y, en teoría, el operador de la nube | Internos y confidenciales, según jurisdicción |
| 4. Cloud privado o bare metal dedicado | Modelo abierto en hardware exclusivo en un centro de datos | Servidor dedicado | Tú. El proveedor aloja y actúa como encargado | Confidenciales, personales y regulados |
| 5. On-premise | Lo mismo, en tus instalaciones | Tu CPD | Tú | Confidenciales y regulados |
| 6. Aislado (air-gapped) | Sin conexión a internet. Modelos y parches entran por medio controlado | Tu CPD | Tú | Clasificados, defensa, infraestructuras críticas |
Los niveles 1 y 2 han mejorado mucho y merecen una lectura justa. La documentación de Microsoft dice que los prompts de sus modelos alojados no están disponibles para OpenAI ni se usan para entrenar, y la de AWS explica que los proveedores de modelos no tienen acceso a los prompts ni a las respuestas en Bedrock. Para muchos usos internos es suficiente.
La letra pequeña existe, eso sí. En Azure, un despliegue Global puede procesar el prompt en cualquier geografía donde esté el modelo, y el sistema de monitorización de abusos puede seleccionar muestras para revisión, también humana, salvo que te aprueben una excepción. Y si la matriz del proveedor es estadounidense, entra en juego lo que contamos sobre soberanía del dato y CLOUD Act: la región europea resuelve dónde está el dato, no bajo qué ley está quien lo custodia.
Una IA privada en sentido estricto empieza en el nivel 4. El 3 es defendible para muchos casos, pero depende de la evaluación de riesgos de cada empresa.
La IA en la sombra ya está dentro. El informe de 2026 de Netskope da una de cal y otra de arena: los usuarios de aplicaciones de IA personales han bajado del 78 % al 47 % en un año, y las cuentas gestionadas por la empresa han subido del 25 % al 62 %. Pero los incidentes por enviar datos sensibles a estas herramientas se han duplicado, hasta una media de 223 al mes, y en el cuartil más expuesto llegan a 2.100.
Y empieza a salir en las brechas. El informe de IBM de 2026 sitúa el coste medio de una brecha en 4,99 millones de dólares (unos 4,43 millones de euros). Según los resúmenes publicados del informe, los incidentes ligados a la shadow AI han pasado del 20 % al 43 % y cuestan de media 5,39 millones de dólares. El dato que más nos interesa es otro: el 92 % de las brechas relacionadas con IA no tenía controles de acceso adecuados. Ahí está el verdadero problema, y lo veremos enseguida.
El coste por token es difícil de presupuestar. Un chat consume poco, pero un agente encadena decenas de llamadas por tarea, con contextos largos, y la factura deja de ser previsible. Una GPU dedicada cuesta lo mismo a las tres de la tarde que a las tres de la mañana.
Los modelos abiertos ya sirven. Hace dos años, elegir un modelo propio suponía aceptar una calidad claramente inferior. Hoy, para resumir, extraer, clasificar y responder sobre documentos internos, un modelo abierto de tamaño medio da resultados perfectamente útiles. Para el razonamiento más complejo, los modelos cerrados siguen por delante, y conviene no engañarse con eso.
Independencia. Si el modelo es tuyo, no te lo retiran con tres meses de aviso, no te cambian el comportamiento de un día para otro y no te suben el precio. Puedes conservar la misma versión mientras la necesites validada.
Casi todos siguen el mismo esquema, y se llama RAG (Retrieval-Augmented Generation, generación aumentada por recuperación). El modelo no se entrena con tus documentos, algo que suele sorprender. Lo que ocurre es que, en cada pregunta, el sistema busca los fragmentos relevantes y se los pasa al modelo junto con la consulta, para que responda a partir de ellos y cite de dónde los ha sacado.
Por eso un cambio en un documento se refleja en cuanto se reindexa, sin reentrenar nada, y por eso el trabajo de verdad está en las piezas que rodean al modelo:
| Pieza | Para qué sirve | Opciones abiertas (versión a 4-nov-2026) | Ojo con |
|---|---|---|---|
| Servidor de inferencia | Ejecuta el modelo para muchos usuarios | vLLM (Apache 2.0), SGLang v0.5.23 (Apache 2.0) | Ollama v0.40 y llama.cpp v0.9 están pensados para pocas conversaciones a la vez |
| Interfaz | Chat, proyectos, historial, permisos | Open WebUI v0.13, LibreChat (MIT), AnythingLLM v1.19 (MIT) | Open WebUI tiene licencia propia: por encima de 50 usuarios no se puede quitar su marca sin permiso |
| Plataforma RAG y flujos | Construir asistentes y agentes | RAGFlow (Apache 2.0), Dify 1.19, Onyx v5, n8n 2.46 | Dify y n8n no son código abierto puro. Lee su licencia antes de revender o incrustar |
| Conversión de documentos | PDF, Office, imágenes, tablas y OCR | Docling (MIT) | La calidad del RAG depende más de esto que del modelo |
| Embeddings y reordenado | Convertir texto en vectores y afinar resultados | BGE-M3 (MIT), multilingüe | Cambiar de modelo de embeddings obliga a reindexar todo |
| Índice vectorial | Buscar por significado | pgvector, Qdrant v1.20, Milvus v3.0 | Si ya tienes PostgreSQL, pgvector suele bastar al principio |
| Pasarela de modelos | API única, cuotas, enrutado y registro | LiteLLM v1.108 | Es la pieza con más credenciales del sistema. Fíjate en lo que le pasó, unas líneas más abajo |
| Observabilidad | Trazas, coste y calidad de respuestas | Langfuse v4 | Las trazas guardan los prompts: tienen la misma sensibilidad que los documentos |
También hay plataformas comerciales que lo traen todo integrado y se instalan en tu entorno. Tienen sentido si no quieres un equipo dedicado a mantener ocho proyectos que se actualizan cada semana. Al compararlas, pide lo mismo que a un montaje propio: en qué nivel de la tabla anterior funcionan, cómo aplican los permisos y cómo sales si dejas de pagar.
Aquí se ganan o se pierden estos proyectos, y es lo que menos aparece en los folletos. Una IA privada protege los datos frente al exterior. Dentro de la empresa puede ser peor que lo que había.
Piensa en una carpeta de nóminas en un servidor de ficheros con permisos a medio configurar. Hoy nadie la encuentra porque nadie sabe que está ahí. Si indexas ese servidor con una cuenta de servicio que lo lee todo, cualquiera puede preguntar «¿cuánto cobra el director financiero?» y recibir la respuesta con su cita. La seguridad por oscuridad de muchas empresas desaparece el día que conectas el buscador.
OWASP lo recoge en su lista de riesgos de aplicaciones con LLM como LLM08: debilidades de vectores y embeddings. Describe la fuga entre grupos que comparten una misma base vectorial, y recomienda almacenes que respeten los permisos y particiones lógicas y físicas. Traducido a decisiones:
Hay otros tres riesgos que no desaparecen por tener el servidor en casa:
La inyección indirecta de prompts. Si el asistente lee correos, páginas web o documentos de fuera, un texto oculto en ellos puede darle instrucciones. No es teórico: EchoLeak (CVE-2025-32711, CVSS 9,3) permitía sacar datos del contexto de Microsoft 365 Copilot con un simple correo, sin que la víctima hiciera clic. Microsoft lo corrigió en servidor y dijo no tener constancia de abuso real. En un sistema privado el vector es el mismo, y se vuelve más serio si el agente puede ejecutar acciones. La AEPD lo trata en sus orientaciones sobre IA agéntica, junto con otro punto incómodo: la falta de compartimentación de la memoria del agente entre usuarios.
La exposición por descuido. SentinelLABS y Censys localizaron en enero unos 175.000 servidores Ollama accesibles desde internet en 130 países. Ollama escucha por defecto solo en 127.0.0.1: fueron sus administradores quienes lo abrieron, y casi la mitad anunciaba capacidad de invocar herramientas. Un servidor de inferencia nunca debe verse fuera de la red interna, y detrás de una pasarela con autenticación se duerme mejor.
La cadena de suministro. El 24 de marzo se publicaron en PyPI dos versiones maliciosas de LiteLLM, la 1.82.7 y la 1.82.8, con código para robar credenciales. Este proyecto se usa a menudo como pasarela de modelos, así que es de los peores sitios donde sufrir algo así. La lección vale para toda la pila: fija versiones, usa réplicas internas de paquetes e imágenes, verifica sumas y evita que los servidores tengan salida libre a internet. Un sistema sin salida es mucho más difícil de vaciar.
Para un asistente interno no hace falta el modelo más grande. Hace falta uno que cite bien, que funcione en español y que quepa con margen en tu GPU. La lista de la que partiríamos hoy, con licencias comprobadas en sus fichas:
| Modelo | Licencia | Por qué mirarlo |
|---|---|---|
| Qwen3.8-27B | Apache 2.0 | El equilibrio más cómodo para un departamento: poca memoria de caché por usuario |
| Gemma 4 (12B, 26B y 31B) | Apache 2.0 | Tamaños medios, buena opción si la GPU va justa |
| gpt-oss-120b y 20b | Apache 2.0 | El de 120b pide unos 80 GB de memoria |
| Mistral Small 4 (119B) | Apache 2.0 | Fabricante europeo. Atención a Mistral Large 4, con licencia propia |
| ALIA y Salamandra (BSC) | Apache 2.0 | Entrenados desde cero en Europa, con refuerzo de castellano, catalán, gallego y euskera. Por detrás en capacidades, útiles donde pese ese origen |
Dos advertencias. «Modelo abierto» no quiere decir «código abierto»: casi siempre significa pesos descargables, sin los datos de entrenamiento, y no todas las licencias son iguales. Y en este mercado una tabla como esta caduca en meses, así que diseña para cambiar de modelo sin tocar el resto: si todo habla con una API compatible con OpenAI, sustituirlo es cuestión de configuración y de repetir tus pruebas. Para el detalle de cada uno, tienes la comparativa de modelos y memoria.
Las recomendaciones genéricas que circulan hablan de 8 a 12 núcleos, entre 32 y 128 GB de RAM, 1 TB de NVMe y una GPU de 24 GB como mínimo. Valen como suelo, pero no te dicen a cuánta gente das servicio. La memoria de la GPU es lo que manda, así que hemos hecho la cuenta con los datos de nuestra guía de LLM en local: Qwen3.8-27B ocupa unos 16 GB en 4 bits y cada petición en curso con 32.000 tokens de contexto reserva unos 2 GiB de caché KV. Reservamos un 15 % libre y, salvo en el piloto, 4 GB para embeddings y reordenado.
| Memoria de GPU | Ejemplo | Peticiones simultáneas | Plantilla orientativa con uso de chat | Para qué |
|---|---|---|---|---|
| 24 GB | GPU de entrada | ~2 | Piloto de 10 a 20 personas | Probar, con embeddings en CPU |
| 48 GB | NVIDIA L40S | ~10 | Unas 150-200 | Departamento o empresa mediana |
| 80 GB | NVIDIA H100 | ~24 | Unas 400 | Más usuarios, o un modelo de 120B |
| 141 GB | NVIDIA H200 | ~50 | Unas 800 | Modelos grandes o varios a la vez |
¿De dónde sale la plantilla? De esta cuenta, que deberías repetir con tus cifras: 200 personas, 20 consultas al día cada una y 30 segundos por respuesta son 120.000 segundos de generación al día. Repartidos en una jornada de ocho horas (28.800 segundos), dan una media de 4 peticiones simultáneas. Si multiplicas por tres para cubrir los picos de la mañana, salen 12, algo por encima de lo que da una GPU de 48 GB: de ahí el rango de 150 a 200 personas. Son estimaciones nuestras para orientarse, no una medición: la velocidad por usuario baja al subir la concurrencia, y hay que comprobarla con una prueba de carga.
Tres cosas cambian esa tabla por completo:
Tampoco olvides lo que rodea a la GPU: el almacenamiento rápido para el índice, la red, y las copias de seguridad del índice, las conversaciones y la configuración. Los documentos originales ya tendrán las suyas. Lo demás también hay que reconstruirlo si algo falla.
| Opción | Cuándo encaja | Lo que te llevas | Lo que asumes |
|---|---|---|---|
| Máquina en la oficina | Piloto corto | Rapidez y coste bajo | Sin redundancia, y una GPU potente no vive bien en un despacho |
| Servidor GPU dedicado o bare metal | Lo habitual para un primer servicio real | Hardware exclusivo, sin comprar GPU ni preparar una sala | Elegir bien el proveedor y su jurisdicción |
| Cloud privado con GPU | Ya tienes tus cargas ahí | Las aplicaciones y los datos en la misma red, misma operación | Encajar el paso de GPU a las máquinas virtuales |
| Housing | Quieres ser dueño del hardware | Control total en un CPD profesional, con energía y refrigeración | Compra, garantías y sustitución corren de tu cuenta |
| On-premise en tu CPD | Tienes sala adecuada o la normativa lo pide | El máximo control físico | Potencia y calor: una H200 llega a 700 W y muchas salas no están preparadas |
| Aislado | Defensa, información clasificada | No hay canal de salida | Actualizar modelos y parches se convierte en un procedimiento |
Lo que más se subestima es la cercanía a los datos. Si los documentos y las bases de datos están en tu cloud privado, poner allí también el asistente evita sacar información por la red y simplifica las reglas. Las comparativas de precio por hora rara vez lo cuentan, y ya lo tratamos al comparar bare metal con GPU frente al hiperescalar.
Una cuenta honesta incluye que, muchas veces, la API sale más barata. Mismo ejemplo de 200 personas y 20 consultas diarias, con 6.000 tokens por consulta (el RAG mete bastante contexto) y 21 días laborables:
200 × 20 × 6.000 × 21 = 504 millones de tokens al mes.
| Precio combinado (hipótesis) | Coste mensual por API |
|---|---|
| 3 $ por millón de tokens | Unos 1.340 € (1.512 $) |
| 10 $ por millón de tokens | Unos 4.470 € (5.040 $) |
| 10 $ por millón, con agentes que multiplican el consumo por 10 | Unos 44.700 € (50.400 $) |
Conversión a 1,1267 dólares por euro, tipo de referencia del BCE del 4 de noviembre de 2026. Los precios son supuestos para la cuenta: pon el de tu modelo y tu reparto de entrada y salida.
Como referencia del otro lado, una GPU grande alquilada por horas y encendida todo el mes, a 5 €/hora, ya supera los 3.600 € solo de máquina, según vimos en la guía de LLM en local. A eso hay que sumar la parte que no sale en ninguna oferta: alguien tiene que operar el sistema. Actualizar modelos, vigilar los conectores, revisar la calidad de las respuestas y atender incidencias es una dedicación real, propia o contratada a un servicio gestionado.
La conclusión es menos cómoda que la de la mayoría de folletos. Con una plantilla pequeña, uso solo de chat y datos sin especial sensibilidad, una IA privada no se paga con el ahorro en tokens. Se paga en estos casos:
Y no hace falta elegir un solo camino. Lo más sensato para muchas empresas es una arquitectura híbrida: la pasarela enruta según la clasificación del dato, lo sensible va al modelo privado y lo que no lo es puede ir a un modelo externo más potente. Así el servidor se dimensiona para lo que de verdad lo necesita.
¿IA privada o API? Hacemos la cuenta con tus datos
Dinos cuántas personas lo usarían y con qué datos. Te respondemos con el nivel de privacidad que te encaja, la GPU que haría falta y cómo queda frente a la API.
Ayuda mucho que el dato no viaje a un tercero, pero cumplir sigue siendo trabajo tuyo.
RGPD. Eliminas una transferencia y simplificas la cadena de encargados, pero el proveedor que aloja tu servidor sigue siendo encargado de tratamiento y necesitas contrato. Sigues necesitando base jurídica, minimización, plazos de conservación de prompts y registros y, según el caso, una evaluación de impacto. Hay dos detalles que se escapan a menudo. El primero: los derechos de supresión y rectificación llegan hasta el índice, las copias y las trazas. El segundo: si ajustas un modelo con datos personales, el EDPB advierte en su Opinión 28/2024 de que un modelo entrenado con esos datos no puede considerarse anónimo sin más. La AEPD recuerda además que los elementos de un sistema agéntico pueden estar en local, fuera o repartidos entre ambos: el caso mixto es tan posible como los extremos, y es el que hay que documentar.
ENS. Si das servicio a una administración pública, el asistente forma parte del sistema y entra en su alcance. Eso incluye identidad, registro de actividad y gestión de cambios, y también al proveedor de infraestructura, que debe estar a la altura de la categoría exigida. Lo desarrollamos en ENS, RGPD y NIS2 en 2026.
AI Act. El reglamento se aplica por lo que hace el sistema, no por dónde corre. El Reglamento (UE) 2026/1744, el llamado Ómnibus digital sobre IA, ha movido parte del calendario: los sistemas de alto riesgo del Anexo III pasan al 2 de diciembre de 2027 y los integrados en productos al 2 de agosto de 2028. Un chatbot interno de documentación no suele ser de alto riesgo. Usar el mismo sistema para filtrar currículos o valorar solvencia, sí. Lo demás conviene tenerlo presente:
Y lo que no resuelve ninguna arquitectura: las alucinaciones. Un modelo privado se equivoca igual que uno público, solo que ahora la herramienta interna tiene aspecto oficial. Exige citas a la fuente, enseña a la plantilla a comprobarlas y deja fuera de la automatización lo que tenga efectos sobre personas.
Encaja bien en estos casos:
No lo montaríamos en estos otros:
Si quieres contrastar qué nivel te encaja, cuánta GPU necesitas o dónde te conviene alojarla, cuéntanos tu caso y te ayudamos a hacer las cuentas con tus datos.
Es un sistema de inteligencia artificial generativa que funciona en infraestructura bajo tu control, como un centro de datos propio, un cloud privado o un servidor dedicado. Prompts, documentos y respuestas no pasan por el servicio de un tercero. El término se usa también de forma comercial para productos que solo ofrecen garantías por contrato, así que conviene preguntar dónde se ejecuta realmente el modelo.
Es un asistente tipo ChatGPT que corre en tu propia infraestructura sobre un modelo abierto y responde con los documentos de la empresa mediante RAG. No es lo mismo que un «GPT personalizado» creado dentro de ChatGPT, que sigue funcionando en los servidores del proveedor. PrivateGPT, en una sola palabra, es además el nombre de un proyecto de código abierto concreto.
Hacen falta un servidor de inferencia con GPU, un modelo abierto, una interfaz con inicio de sesión corporativo, un proceso de ingesta de documentos, un índice vectorial que guarde los permisos y una pasarela con registro. Lo razonable es empezar con un piloto de un solo caso de uso, un repositorio limpio y un juego de preguntas de prueba, y pasarlo a producción cuando se conozca el uso real.
Normalmente no. La mayoría usa RAG: el sistema busca los fragmentos relevantes en cada consulta y se los pasa al modelo como contexto. Los documentos no alteran el modelo, y por eso basta reindexar para que un cambio se refleje. El ajuste fino es otra técnica, se usa bastante menos y, si emplea datos personales, tiene implicaciones en el RGPD.
Con un modelo de unos 27.000 millones de parámetros, una GPU de 24 GB sirve para un piloto, una de 48 GB atiende unas 10 peticiones simultáneas (unos 150-200 empleados con uso de chat) y 80 GB o más permiten crecer o usar modelos mayores. Son cifras orientativas. Los agentes y los contextos largos las reducen mucho, y conviene validarlas con una prueba de carga.
Depende del volumen. Con 200 personas haciendo 20 consultas al día se consumen unos 504 millones de tokens al mes, entre 1.340 y 4.470 € por API con precios de ejemplo. Una GPU dedicada más la operación puede costar más que eso, así que con uso ligero la API suele ganar. La IA privada compensa con datos que no pueden salir, consumo alto y sostenido o agentes.
No. Evita enviar datos a un tercero y simplifica la cadena de encargados, pero sigues necesitando base jurídica, minimización, plazos de conservación, control de acceso y, según el caso, evaluación de impacto. Los derechos de supresión también afectan al índice vectorial, a las copias y a los registros de conversaciones.
Sí. El reglamento se aplica según el uso del sistema, no según dónde esté alojado. Un asistente interno de documentación no suele ser de alto riesgo, pero usarlo para seleccionar personal o valorar solvencia sí lo sería, con obligaciones aplazadas al 2 de diciembre de 2027. La transparencia y la alfabetización en IA ya se aplican.
Sí, es lo que se llama despliegue aislado o air-gapped. Modelos, interfaz y base vectorial funcionan sin conexión externa, porque nada necesita llamar fuera para responder. El precio es operativo: modelos, parches y dependencias tienen que entrar por un procedimiento controlado, y nadie te avisa solo de que hay una actualización de seguridad.
Netflix lleva años afinando el aislamiento de contenedores y acaba de reconocer su límite: un cgroup no puede repartir la caché ni el bus de memoria. Su salida ha sido dar VM propia a unas pocas cargas. Qué se le escapa al kernel, cuánto cuesta dedicar un nodo, cómo saber si te pasa a ti y qué cambia cuando la infraestructura es tuya.
Hasta ahora, cuando Cloud DNS reenviaba consultas a un resolver de tu centro de datos o de otra nube, llegaban desde 35.199.192.0/19, un rango de Google que había que enrutar y abrir en el cortafuegos. Los nuevos Outbound Endpoints, en Preview, hacen que salgan de una subred privada que eliges tú. Qué cambia, qué no, cómo se compara con AWS y Azure y qué hay que tocar en el otro extremo.
WPL7 convierte un servidor Ubuntu en un hosting de WordPress con un contenedor por sitio, copias, correo firmado con DKIM, escáner de malware, gestión masiva de plugins y un servidor MCP para la IA. Es gratuito, AGPL y no depende de ninguna nube ajena, pero lleva un mes en beta. Lo hemos leído a fondo y lo comparamos con los demás paneles autoalojados.