📻 Versión en audio: si prefieres escuchar en vez de leer, el resumen del artículo está justo aquí arriba.
Era la pregunta más inofensiva del mundo: «¿estaré pagando mucho por internet?». Sin adjetivos, sin datos sensibles, sin pedirle a nada que busque nada. El problema apareció cuando quien la respondía era Gemini con el Gmail conectado: el sistema fue a revisar el correo por tu cuenta, de fondo, y en algunas corridas escupió el nombre completo, el número de cuenta y hasta las cabeceras del comprobante. Lo conté así porque en 2023 la historia era otra.
La promesa que duró tres años
Cuando Google lanzó las extensiones de Workspace para Gemini, la garantía estaba escrita: el contenido personal de Gmail, Docs y Drive «no era visto por revisores humanos». Esa frase vive en el blog de IA responsable de Google, fechada. El 16 de octubre de este año, la misma página recibió una edición silenciosa y la documentación de ayuda se actualizó en la misma dirección: el correo y los archivos conectados ahora pueden enrutar a pipelines de revisión humana. La advertencia es de ellos: los revisores «pueden ver exactamente el correo o el archivo», y si tienes información confidencial, «no conectes tus apps». El candado no lo cerraron; el cerrajero te lo cobra aparte.
Lo que muestra la prueba
La reproducción es pública y se puede repetir: haces una pregunta casual sobre algo que vive en tu Drive o tu correo, sin @ ni pedido de búsqueda, y le pides a Gemini que imprima el bloque que su herramienta de retrieval inyectó en el contexto. Como el tool-calling de estos modelos es probabilístico, un intento no comprueba nada — hay que repetirlo en conversaciones limpias. Haciéndolo aparecen cuatro escenarios:
- Cero retrieval: el modelo no llama a Connected Apps y responde con lo que ya sabe.
- Resumen de metadatos: «Gmail muestra una cuenta de $122 el 4 de septiembre», a veces con el nombre completo incluido.
- Extracto sin censurar: dos a cuatro frases textuales del correo, con número de cuenta, confirmación y fecha.
- Ingesta completa: el documento o correo entero, cabeceras incluidas, dentro del contexto de la sesión.
¿Y los scrubbers automáticos que deberían anonimizar? Google usa regex y reconocimiento de entidades para enmascarar datos personales, pero su propia documentación de deidentificación reconoce que no alcanzan con texto narrativo: números de confirmación, fechas de transacción, combinaciones de nombre, ciudad y evento. O sea, exactamente lo que habita en un correo cualquiera.
Mi lectura
Esto no es un bug, es un cambio de contrato publicado sin anuncio en el blog del anuncio original, lo cual es casi poético. Y ocurre mientras millones conectaron la casilla al chat por comodidad, creyendo que la línea machine-to-machine seguía cerrada. Yo llevo años tocando VPS y crons, y en esa pega aprendí una regla que vale aquí sin modificación: si un sistema puede leer algo, asume que tarde o temprano alguien lo va a leer. Da lo mismo si la intención es buena y si el revisor firma un NDA — lo que se define es el flujo, no la intención.
Tres cosas concretas si te toca decidir hoy: revisa qué apps conectadas tiene tu cuenta en la configuración de Gemini; no enchufes el correo de la pega a servicios de consumo por el ahorro de dos minutos; y trata cada chat como una sala donde caben más personas de las que se ven. Lo barato de estos servicios, como siempre, está financiado con algo que no ves en el ticket.
Fuente de inspiración: Google Gemini routes personal Drive files and emails to human annotators
