Confidential AI

La IA confidencial consiste en ejecutar el entrenamiento y la inferencia de aprendizaje automático dentro de entornos de ejecución confiables (TEE) basados en hardware, de modo que los datos, los prompts y los pesos del modelo sigan protegidos incluso frente al proveedor de la nube, los administradores del sistema y el sistema operativo anfitrión. Desde hace tiempo, el cifrado protege los datos en reposo en el disco y en tránsito por las redes. La IA confidencial cierra la brecha restante: los datos en uso, que los sistemas convencionales descifran en la memoria de la CPU y la GPU mientras el modelo los procesa. Aplica la computación confidencial, un ámbito que el Consorcio de Computación Confidencial de la Linux Foundation promueve desde 2019, a las cargas de trabajo de IA.

Cómo funciona la IA confidencial#

Tres mecanismos de hardware hacen posible esta garantía:

• Ejecución aislada: Tecnologías de CPU como Intel TDX y AMD SEV-SNP ejecutan una máquina virtual completa en memoria cifrada con claves que el hipervisor nunca ve, mientras que Intel SGX aísla enclaves más pequeños dentro de una aplicación. NVIDIA añadió un modo de computación confidencial a sus GPU para centros de datos a partir de la generación Hopper, que cifra los datos que se transfieren entre la CPU y la GPU e impide que el anfitrión lea la memoria de la GPU.
• Atestación remota: Antes de recibir secretos, el TEE genera un informe firmado, respaldado por claves integradas en el chip, que enumera el hardware, el firmware y el software exactos que ejecuta. El propietario de los datos o un servicio de gestión de claves compara ese informe con los valores esperados.
• Liberación de claves con atestación: Las claves de descifrado de conjuntos de datos o pesos de modelos solo se entregan a entornos que superan la atestación, de modo que los activos protegidos solo se puedan leer dentro de la carga de trabajo verificada.

El coste de rendimiento se concentra en el movimiento de datos. Cifrar la memoria y las transferencias de CPU a GPU añade sobrecarga, mientras que los cálculos dentro de la GPU se ejecutan a velocidad máxima. Por eso, los trabajos que exigen mucho cálculo, como la inferencia de modelos de lenguaje grandes, solo experimentan aumentos moderados de la latencia de inferencia.

De qué protege#

El modelo de amenazas contempla una capa de infraestructura comprometida o curiosa: un empleado malicioso del proveedor de computación en la nube, un hipervisor pirateado u otro cliente del mismo servidor físico. La protección funciona en ambas direcciones. Los propietarios de los datos pueden enviar registros sensibles a un modelo que no controlan, y los propietarios de los modelos pueden desplegar pesos patentados en el centro de datos de un socio o en un entorno periférico sin exponerlos allí. Como la atestación permite al cliente verificar quién puede leer sus datos, la computación confidencial también es una pieza fundamental de las ofertas de IA soberana que se ejecutan en hardware de propiedad extranjera.

La IA confidencial protege el entorno de ejecución y se complementa con controles que cubren el resto del flujo de trabajo. Los resultados del modelo aún pueden revelar datos de entrenamiento mediante ataques de inferencia de pertenencia, cuyo alcance limita el entrenamiento con privacidad diferencial; además, el código de la aplicación dentro del enclave sigue necesitando prácticas estándar de seguridad de datos, como el control de acceso y la aplicación de parches.

Técnicas de privacidad relacionadas#

• Aprendizaje federado mantiene los datos sin procesar en el dispositivo o servidor de cada participante y solo comparte las actualizaciones del modelo. Ejecutar el servidor de agregación en un TEE añade protección para esas actualizaciones.
• Cifrado homomórfico realiza cálculos directamente sobre datos cifrados sin ningún hardware confiable, pero sigue siendo varios órdenes de magnitud más lento que los TEE para el aprendizaje profundo, por lo que se reserva para modelos pequeños y operaciones sencillas.
• IA en el borde evita el problema al procesar los datos en el dispositivo que los ha capturado, una opción viable siempre que el modelo sea lo bastante pequeño para ejecutarse allí.

Usos de la IA confidencial#

Los asistentes de nube privada son las implementaciones más visibles. Private Cloud Compute de Apple, presentado en 2024, gestiona las solicitudes de Apple Intelligence demasiado grandes para el dispositivo en servidores con Apple silicon que no conservan datos de usuario después de una solicitud, no conceden acceso privilegiado al personal y publican sus imágenes de software para que investigadores independientes puedan verificar qué se ejecuta. Private AI Compute de Google, anunciado en noviembre de 2025, aplica el mismo diseño a los modelos Gemini en sus propias TPU; los dispositivos comprueban la atestación antes de enviar datos.

La colaboración sanitaria es otra aplicación. Los hospitales que no pueden compartir historiales de pacientes pueden permitir que un desarrollador externo valide o entrene un modelo de análisis de imágenes médicas con sus datos dentro de un TEE. El hospital nunca ve los pesos del modelo y el desarrollador nunca ve los escáneres de los pacientes; los proveedores de la nube ofrecen este patrón mediante servicios de IA confidencial en Azure y otras plataformas.

Los sistemas de visión también procesan datos personales: las cámaras de tiendas, clínicas y lugares de trabajo captan rostros y otra información sujeta a las leyes de privacidad de datos. Como las máquinas virtuales confidenciales ejecutan aplicaciones sin modificar, un modelo Ultralytics YOLO26 exportado a ONNX o TensorRT se despliega en ellas igual que en cualquier servidor con GPU, y cada fotograma permanece cifrado frente al operador de la nube mientras se analiza.