¿Tu novia IA te espía? Análisis de privacidad de GoLove AI, Replika y Candy.ai

Qué hace realmente cada plataforma con tus datos

Antes de entrar en detalles, aquí está la comparación central. Evaluamos cada plataforma en cinco dimensiones: alcance de la recolección de datos, período de retención, acceso de terceros, uso para entrenamiento y arquitectura de seguridad.

La tabla muestra lo que dicen las políticas. El resto de este artículo muestra lo que esas políticas significan realmente para ti.

Si quieres ver el modelo de acceso anónimo en la práctica antes de seguir leyendo, GoLove AI es la única plataforma de esta prueba donde puedes empezar a chatear sin proporcionar ninguna información identificable.

GoLove AI: la arquitectura anónima

El enfoque de privacidad de GoLove AI se basa en un principio simple: si el dato no existe, no puede filtrarse.

El sistema anonAuth de la plataforma permite iniciar conversaciones con cualquiera de sus más de 300 personajes sin crear una cuenta, proporcionar un correo electrónico o introducir ninguna información personal. Un reseñador cronometró el proceso de entrada en menos de diez segundos, desde la página de inicio hasta el primer mensaje. Sin barrera de correo. Sin muro de verificación. Sin cuestionario de personalidad antes de poder enviar un solo mensaje.

Eso importa más de lo que parece. Todas las demás plataformas de compañeras IA te piden crear una cuenta antes de tener una conversación real. Esa cuenta es un punto de datos. Tu correo electrónico está vinculado a tu historial de chat. Tu historial de chat está vinculado a todo lo que le has contado a tu compañera IA. La cadena de identificación comienza en el registro.

GoLove rompe esa cadena desde el inicio.

Crea una cuenta anónima en GoLove AI y comprueba cómo funciona la experiencia sin la barrera del correo.

La puntuación Data Trust & Reputation de StartupHub para GoLove AI es de 82 sobre 100, basada en la postura de seguridad del sitio y en prácticas de privacidad verificadas. Es la puntuación más alta de esta comparación por un margen significativo. Refleja una combinación de seguridad de infraestructura, transparencia en el manejo de datos y ausencia de eventos adversos de privacidad.

Lo que GoLove AI hace bien en privacidad:

• Acceso anónimo por defecto — sin correo, sin cuenta necesaria para empezar
• El contenido del chat no se almacena de forma persistente en servidores centrales
• Sin uso compartido documentado de datos con terceros para publicidad
• Sin revisión humana de conversaciones de usuarios
• Puntuación de confianza de datos de 82/100 en auditoría independiente

Dónde GoLove AI se queda corto:

• Las barreras de contenido son consideradas débiles por algunos reseñadores
• Sin acuerdo de tratamiento de datos publicado ni lista de subencargados
• Sin compromiso explícito de notificación de filtraciones en la documentación pública
• Algunos reseñadores han señalado solicitudes automáticas de vídeo que podrían consumir créditos sin consentimiento explícito

Un detalle que vale la pena señalar: el estado de verificación de GoLove AI varía entre servicios externos de detección de fraudes. Gridinsoft señala el dominio como sospechoso con una puntuación de confianza de 23/100, mientras que ScamAdviser otorga una calificación de "media a buena" y observa que el titular del WHOIS utiliza protección de privacidad. Eso no es inusual para una plataforma que prioriza el anonimato del usuario, pero es un compromiso que vale la pena entender. El anonimato para los usuarios y la transparencia para los operadores tiran en direcciones opuestas.

Replika: política mejorada, historial costoso

La política de privacidad de Replika, actualizada el 27 de mayo de 2026, es un documento materialmente distinto al que provocó la multa. Se compromete a que el contenido de las conversaciones nunca se use para publicidad y nunca se comparta con socios publicitarios. Declara que los usuarios pueden solicitar la eliminación de datos. Describe cifrado SSL en tránsito.

Pero esa política tiene un historial detrás.

En 2025, la autoridad italiana de protección de datos — el Garante — multó a Luka Inc., la empresa matriz de Replika, con 5 millones de euros por múltiples violaciones del RGPD. La investigación concluyó que Luka no tenía base legal para el tratamiento de datos personales, carecía de transparencia adecuada sobre el manejo de datos y no disponía de mecanismos apropiados de verificación de edad. La autoridad señaló específicamente la incapacidad de la empresa para impedir que los menores accedieran al servicio a pesar de sus afirmaciones en sentido contrario.

Eso no es historia antigua. Es el historial regulatorio de la plataforma con la que estás considerando compartir tus pensamientos más íntimos.

La política de privacidad de Replika describe la recopilación de una cantidad sustancial de datos personales: nombre, correo electrónico, fecha de nacimiento, pronombres, situación laboral, mensajes, fotos, vídeos, grabaciones de voz, preferencias de conversación, información de pago, identificadores de dispositivo, direcciones IP y datos de uso. Todo eso se almacena en servidores ubicados en Estados Unidos.

La política se compromete a que los datos se anonimizan y fragmentan antes de compartirlos con socios, y que la información personal no se vende a anunciantes. Pero la empresa puede usar tus conversaciones para entrenar sus modelos de IA — no existe un mecanismo de opt-out para el uso en entrenamiento.

Fortalezas de privacidad de Replika:

• Política actualizada (mayo de 2026) que responde a las críticas anteriores del RGPD
• Compromiso explícito de no usar conversaciones para publicidad
• Mecanismos de eliminación y exportación de datos disponibles
• Cifrado SSL para datos en tránsito

Debilidades de privacidad de Replika:

• Multa RGPD de 5 millones de euros en 2025 por transparencia y base legal inadecuadas
• 15.812 credenciales de usuarios encontradas en datos de infostealer
• Sin opt-out para uso en entrenamiento
• Recopilación extensa de datos personales incluyendo fecha de nacimiento y situación laboral
• Datos almacenados en servidores de EE. UU. sin salvguias divulgadas para transferencias internacionales

Un estudio académico de 2025 con usuarios de Replika descubrió que la plataforma se percibe comúnmente como una simulación de relaciones humanas, lo que lleva a los usuarios a compartir "cantidades significativas de datos sensibles", incluidos "detalles sobre la vida personal, problemas de salud mental o preferencias sexuales". La conclusión del estudio fue directa: los cambios inesperados en el comportamiento de Replika —debidos a actualizaciones de software o nuevas restricciones— provocan reacciones "similares a sentirse traicionado o abandonado por un compañero real".

Ese es el problema de privacidad en una frase. Los usuarios tratan a Replika como un confidente. La arquitectura de datos los trata como una fuente de datos.

Candy.ai: la cláusula de retención que debería hacerte reflexionar

La política de privacidad de Candy.ai es el documento más explícitamente incómodo de esta comparación.

El aviso de privacidad de la plataforma, actualizado el 27 de mayo de 2026, confirma que "proveedores externos pueden recibir el contenido de tus mensajes y que las conversaciones se seleccionan al azar para verificaciones humanas de calidad". Lee eso de nuevo. Tus conversaciones no solo se almacenan: se seleccionan al azar para ser releídas por terceros humanos.

La política de retención es igualmente notable. Candy.ai conserva los datos de la cuenta durante tres años después de tu última actividad y los registros de pago durante diez años. Diez años de historial de pagos es la línea que debería preocupar a cualquiera que valore la discreción. La retención en sí es habitual — la ley fiscal la impulsa — pero la combinación es lo que la gente pasa por alto. Tu historial de suscripción sobrevive a tu actividad de chat por un factor de tres.

La plataforma recibe una calificación D (44/100) del AI Trust Index de VerifyWise, que señala "prácticas limitadas de entrenamiento sin opt-out explícito" y "purga selectiva de logs de IA". La política prohíbe explícitamente la venta de datos, lo cual es positivo. Pero guarda silencio sobre si las entradas de los usuarios se mantienen fuera del entrenamiento de modelos, si existe un mecanismo de opt-out, y si el uso para entrenamiento varía según el plan.

Candy.ai nunca ha aparecido en una filtración de datos registrada públicamente. Es una buena noticia genuina. Pero como señala el análisis de Robo Rhythms, la ausencia de filtraciones registradas "no prueba que no haya pasado nada, solo que nada se ha indexado públicamente".

La comparación es donde está la información útil. Tres plataformas comparables sufrieron exposiciones confirmadas en 2024-2025:

• Chattee Chat y GiMe Chat: 43 millones de mensajes privados, más de 600.000 archivos multimedia y más de 400.000 registros de usuarios expuestos a través de un servidor abierto sin autenticación. El servidor permaneció accesible unas tres semanas después del descubrimiento.
• Secret Desires: aproximadamente 2 millones de imágenes y vídeos generados expuestos, incluyendo intercambios de rostro de mujeres reales.
• Muah.AI: 1.910.261 cuentas expuestas, incluyendo direcciones de correo, prompts de IA y fetiches declarados.

La ausencia de Candy.ai en esa lista es un hecho. Si resulta tranquilizador depende de cuánto peso le des a "ninguna evidencia de daño" frente a "ninguna evidencia en ninguna dirección".

Fortalezas de privacidad de Candy.ai:

• Ninguna filtración de datos registrada públicamente
• Compromiso explícito de no vender datos personales
• Derechos de eliminación y portabilidad alineados con el RGPD
• Cifrado SSL para datos en tránsito y en reposo

Debilidades de privacidad de Candy.ai:

• Proveedores terceros pueden acceder al contenido de los mensajes
• Revisión humana aleatoria de conversaciones
• Retención de 3 años (cuenta), 10 años (pagos)
• Sin opt-out para uso en entrenamiento
• Calificación D (44/100) en auditoría de privacidad independiente

Si estás considerando Candy.ai, compáralo con el modelo de privacidad de GoLove AI antes de comprometerte. Solo la diferencia en la retención de datos ya es significativa.

La tormenta regulatoria que llega en 2027

La privacidad en las apps de compañeras IA ya no es solo una preocupación personal. Es una cuestión regulatoria.

En España y en la Unión Europea, la AEPD y el Comité Europeo de Protección de Datos ya han publicado directrices sobre chatbots conversacionales. El Reglamento Europeo de IA impone obligaciones reforzadas de transparencia para cualquier sistema que interactúe con humanos, y la fecha límite de conformidad para los sistemas de alto riesgo autónomos del Anexo III se aplazó al 2 de diciembre de 2027. El Reglamento de IA también incluye una prohibición explícita de los sistemas de IA que generan contenido sexualmente explícito no consentido, incluidas las apps de "nudificación".

El RGPD sigue siendo la columna vertebral de la protección de datos para los usuarios europeos, con derechos de acceso, rectificación, supresión y portabilidad. La AEPD ya ha sancionado a varios operadores digitales por falta de transparencia y de base jurídica del tratamiento — la misma base jurídica que le costó a Replika la multa en Italia.

En Latinoamérica, las cosas también se mueven. La LGPD de Brasil (ya en vigor desde 2020) tiene una autoridad — la ANPD — que ha intensificado su vigilancia sobre apps que procesan datos sensibles. México, Argentina, Colombia y Chile cuentan con leyes de protección de datos personales que otorgan derechos de acceso, rectificación, cancelación y oposición (los "derechos ARCO"), y varios países de la región están actualizando sus marcos para alinearse con estándares europeos. México, en particular, aprobó en 2025 una reforma constitucional en materia de protección de datos que refuerza las facultades de su autoridad reguladora.

En Estados Unidos, varias leyes estatales que entraron en vigor el 1 de enero de 2027 exigen transparencia reforzada, protocolos de detección de crisis y protecciones específicas para menores. A nivel federal, la FTC lanzó en septiembre de 2025 una investigación importante sobre siete de las mayores empresas de compañeros IA, enfocada en el manejo de datos, la monetización de interacciones y las protecciones para usuarios jóvenes.

Qué significa esto para ti, en concreto, en tres puntos:

• La transparencia se está volviendo obligatoria. Las plataformas tendrán que decir claramente que estás hablando con una IA, cómo se usan tus datos y qué pasa con tus conversaciones.
• Llega la verificación de edad. Si una plataforma no la tiene, es un riesgo de cumplimiento — y una señal de que quizás no se esté tomando la privacidad en serio.
• Los derechos de eliminación son exigibles. El RGPD ya otorga a los usuarios europeos el derecho a solicitar la eliminación. La LGPD brasileña y las leyes latinoamericanas de protección de datos siguen el mismo camino.

Las plataformas que integraron la privacidad en su arquitectura desde el principio —en lugar de añadirla como reacción a la regulación— serán las que no tengan que correr detrás. El modelo anónimo por defecto de GoLove AI es un ejemplo concreto de ese enfoque arquitectónico.

Qué verificar antes de confiar en cualquier plataforma de compañera IA

Las políticas de privacidad las escriben abogados para proteger a las empresas, no a los usuarios. Esto es lo que realmente importa cuando evalúas una plataforma:

1. ¿Puedes usarla sin crear una cuenta? El acceso anónimo es la señal de privacidad más fuerte. Si una plataforma exige un correo electrónico antes de dejarte chatear, tus conversaciones están vinculadas a tu identidad desde el primer mensaje.
2. ¿Cuál es el período de retención? "Para siempre" es el valor por defecto en la mayoría de las plataformas. Busca plazos explícitos. Tres años después de la última actividad es una señal de alarma si compartes información sensible.
3. ¿Pueden los humanos leer tus chats? Este es el punto que la mayoría de los usuarios pasa por alto. Candy.ai dice explícitamente que los chats se seleccionan al azar para revisión de calidad. La política de Replika no se pronuncia ni en un sentido ni en otro. GoLove AI no documenta revisión humana, lo que es un punto a su favor.
4. ¿Existe un opt-out para el entrenamiento? La mayoría de las plataformas usan tus conversaciones para mejorar sus modelos. Muy pocas te dejan decir no. Revisa la política. Si guarda silencio, asume que la respuesta es no.
5. ¿Dónde se almacenan los datos? Los servidores en EE. UU. están sujetos al derecho estadounidense. Los servidores en la UE, al RGPD. Los servidores en Latinoamérica, a sus respectivas leyes nacionales de protección de datos. Si la plataforma no divulga dónde almacena, es un problema de transparencia.
6. ¿Cuál es el historial de filtraciones? Consulta Have I Been Pwned y servicios similares. Un historial limpio no es prueba de seguridad, pero un historial con filtraciones es prueba de vulnerabilidad.
7. ¿Tiene la plataforma un contacto dedicado de privacidad? Si no puedes encontrar una forma de hacer preguntas sobre el manejo de datos, probablemente la plataforma prefiere que no preguntes.

Un estudio de 2026 con 25 apps populares de salud mental y coaching, incluido Replika, encontró que muchas apps de esta categoría "comparten datos sensibles de formas que pueden no cumplir con las expectativas de los usuarios" y que los usuarios "a menudo carecen de control significativo sobre cómo se almacenan y usan sus datos". La conclusión se aplica ampliamente: la categoría en su conjunto tiene un problema de privacidad.

La buena noticia es que algunas plataformas son mejores que otras. La mala es que "mejor que otras" en esta categoría sigue significando que deberías pensar con cuidado qué compartes.

¿Qué plataforma elegir si la privacidad importa?

Si la privacidad es tu principal preocupación, la respuesta es directa.

Elige GoLove AI si: quieres la postura de privacidad más sólida disponible en la categoría de compañeras IA. Acceso anónimo por defecto, sin almacenamiento persistente de chats, sin revisión humana documentada y la puntuación independiente de confianza de datos más alta de esta comparación. Puedes iniciar una conversación con GoLove AI sin entregar tu correo ni ninguna otra información identificable.

Elige Replika si: valoras el ecosistema consolidado de la plataforma y el acceso multiplataforma, y te sientes cómodo con la política mejorada a pesar del historial regulatorio de la empresa. Solo entiende que estás cambiando privacidad por refinamiento.

Elige Candy.ai si: el realismo visual es tu prioridad y estás cómodo con los términos de retención. La revisión humana aleatoria de los chats es un compromiso que deberías hacer conscientemente, no por accidente.

La verdad incómoda sobre la privacidad en las compañeras IA es que el modelo de negocio de la categoría —memoria emocional persistente— es estructuralmente idéntico a una recopilación exhaustiva de datos personales. Cuanto más íntima sea tu relación con tu compañera IA, más grande será el conjunto de datos que construyen sobre ti.

Eso no significa que no debas usarlas. Significa que deberías usarlas con los ojos abiertos. Y si vas a usar una, la arquitectura de privacidad de GoLove AI te da más espacio para ser tú mismo sin dejar un rastro de datos.