Directrices de Apple App Store sobre Uso Compartido de Datos de IA: Qué Declarar

En algún momento de los últimos dieciocho meses, tu equipo probablemente añadió una función de IA a una app que ya estaba en producción. Tal vez fue un chatbot, un resumidor o una capa de recomendaciones construida sobre el modelo de otra empresa. Se lanzó, las notas de la versión salieron, y nadie ha vuelto a abrir las declaraciones de privacidad desde entonces.

Las directrices de Apple App Store sobre uso compartido de datos de IA exigen que toda app divulgue claramente cuándo los datos personales llegan a un sistema de IA de terceros. Esa directriz, la 5.1.2(i), se revisó en noviembre de 2025, y los usuarios deben dar permiso explícito antes de que esos datos se muevan. Google añadió una obligación equivalente para Android en julio de 2026.

Confirmar qué comparte tu app es una cuestión de pruebas de cumplimiento de App Store, no legal. Esto es lo que cambió, a quién afecta y cómo verificar tu app frente a ello.

Esto te aplica si tu app ya estaba lanzada antes de que llegara la función de IA. Un chatbot añadido a un flujo de soporte, un resumidor en una herramienta de documentos, una capa de recomendaciones entrenada por una firma externa, todo cuenta. Puede que tu equipo haya construido la integración, o que un contratista añadiera un kit de desarrollo de software (SDK) de un proveedor el trimestre pasado. De cualquier forma, la verdadera prueba es si los datos personales salen del dispositivo y llegan a un modelo que tu empresa no posee.

Qué Exigen las Directrices de Apple App Store sobre Datos de IA

La directriz 5.1.2(i) se lee sin ambigüedad. Los desarrolladores deben divulgar dónde se compartirán los datos personales con terceros, incluida la IA de terceros, y obtener permiso explícito antes de hacerlo. Esa frase crea dos obligaciones separadas.

• Divulgación. Decirle al usuario, dentro de la propia app, que su entrada o actividad va a un sistema de IA externo.
• Consentimiento. Obtener un sí afirmativo antes de que esos datos salgan, no enterrar el hecho en una política de privacidad que nadie lee.

Una sola línea en tus términos de servicio no satisface esta regla. Apple quiere un aviso contextual que el usuario vea en el momento en que sus datos se moverían, y la directriz entró en vigor de inmediato.

¿Necesito declarar la IA en mi app a Apple? Sí. Si los datos personales llegan a un sistema de IA de terceros, las directrices de App Store de Apple sobre IA exigen una divulgación clara dentro de la app. Los usuarios también deben dar un consentimiento explícito antes de que esos datos se muevan, no simplemente ver una actualización silenciosa de tu página de políticas.

Qué Cuenta como IA de Terceros

Aquí es donde la mayoría de los equipos calculan mal su exposición. La regla se aplica siempre que el contenido del usuario sale de tu app y llega a un modelo que tú mismo no operas. Eso incluye un asistente de chat, un resumidor de documentos, una herramienta de transcripción, un generador de imágenes y un bot de triaje de soporte. Un motor de recomendaciones entrenado por un proveedor también cuenta. También cubre la IA que se esconde detrás de un SDK que tu equipo integró en lugar de construir. Muchos líderes de ingeniería pueden describir qué hace el propio código de su app con los datos del usuario. Sin embargo, muy pocos pueden decir lo mismo de la librería del proveedor tres capas más abajo. Si una función llama a un modelo que tu empresa no posee, la directriz 5.1.2(i) se aplica, por pequeña que parezca.

¿Qué cuenta como IA de terceros según las directrices de Apple? Cualquier modelo o servicio ajeno a tu organización que reciba datos del usuario desde tu app cuenta. Eso incluye un chatbot con el que tus usuarios interactúan directamente, y una pequeña API de clasificación enterrada en un SDK de terceros que añadiste para una sola función.

La Obligación que Más Equipos Pasan por Alto: Clasificación por Edad

Las reglas de uso compartido de datos de IA no son el único papeleo que Apple quiere actualizado. Desde el 24 de julio de 2025, Apple ha recordado a los desarrolladores que tengan en cuenta los asistentes de IA y la funcionalidad de chatbot al determinar la clasificación de contenido de una app. Esa capacidad puede cambiar con qué frecuencia aparece material sensible a un usuario. Esta es una declaración separada de la divulgación de privacidad, presentada en otra parte de App Store Connect. Se vincula al cuestionario de clasificación por edad que Apple exigió a todos los desarrolladores responder antes del 31 de enero de 2026. Un chatbot de soporte que puede hablar de cualquier tema se comporta de forma distinta a un bot de preguntas frecuentes con guion fijo. Apple espera que esa diferencia se refleje en tus respuestas. Android tiene su propia versión de esto, explicada en nuestra guía de verificación de edad de Google Play, que cubre lo que implica la ola de leyes estatales para tus apps.

¿Un chatbot de IA cambia la clasificación por edad de mi app? Puede hacerlo. Apple pide a los desarrolladores que evalúen cómo los asistentes de IA y las funciones de chatbot afectan la probabilidad de que aparezca contenido sensible en la app. Esa comprobación es independiente de la divulgación de uso compartido de datos, y es fácil pasarla por alto si nadie vuelve a abrir el cuestionario de clasificación tras el lanzamiento.

Tres Lugares Donde la Divulgación se Rompe en Silencio

Ninguna de estas brechas requiere mala intención. Aparecen porque la función avanzó más rápido que el papeleo a su alrededor.

• La etiqueta de privacidad es anterior a la función. Era precisa el día en que alguien la presentó, a menudo antes de que existiera la integración de IA, y nadie la ha tocado desde entonces.
• El consentimiento vive en los términos de servicio, no en el momento del uso compartido. El usuario tiene que aprobar la transferencia mientras ocurre, no mediante un documento que aceptó una vez al registrarse. Una casilla marcada hace dieciocho meses no satisface un requisito contextual.
• El proveedor cambió y nadie lo volvió a verificar. Los cambios de modelo, los nuevos subprocesadores y los términos de retención revisados alteran la respuesta aunque tu equipo no haya lanzado código nuevo. Nuestro análisis de riesgos ocultos en agentes de IA encontró el mismo patrón. Los fallos se concentran en la capa de integración que envuelve a un modelo, no en su propio razonamiento.

Qué Exige Ahora Google

Apple añadió una regla, pero Google incorporó la IA a un formulario que ya presentas. El 15 de julio de 2026, Google aclaró que la política de datos de usuario ya existente de Play se aplica a las integraciones de IA de terceros. Los desarrolladores siguen siendo responsables del uso limitado, la divulgación y el consentimiento, incluso cuando una empresa aparte proporciona la IA. El proveedor solo puede usar esos datos para el propósito que declaraste. No puede entrenar sus propios modelos ni orientar anuncios con ellos a menos que recojas un consentimiento aparte.

Tu declaración de Seguridad de los Datos ahora tiene que nombrar a cualquier proveedor de IA que reciba contenido del usuario y explicar por qué. También tiene que coincidir con lo que ocurre en tiempo de ejecución, incluidos los períodos de retención y si la eliminación funciona al solicitarla. La mayoría de los equipos rellenaron ese formulario una vez, en el lanzamiento, y nunca lo revisaron tras añadir un nuevo proveedor de IA o cambiar de modelo. El fallo se ve distinto en cada plataforma. iOS falla por una divulgación faltante. Android falla por una declaración que quedó obsoleta en silencio.

Para el panorama más completo de dónde divergen las dos tiendas, consulta nuestro desglose de directrices de Apple App Store frente a la política de Google Play. Si tu app funciona en Android, las pruebas de cumplimiento de Google Play verifican si el formulario de Seguridad de los Datos todavía coincide con el comportamiento real.

Por Qué Nadie Puede Darte una Cifra para Esto

Ninguna de las dos tiendas te multa por una infracción de uso compartido de datos de IA. En su lugar, rechazan el envío, lo que significa que el coste llega en forma de tiempo perdido. Nadie puede darte una cifra por adelantado para eso, porque depende demasiado de tu propia configuración. Los reguladores de privacidad, por separado, son una cuestión distinta, fuera de lo que cubre este artículo.

Lo que sí es predecible es la secuencia. Un ingeniero rastrea qué envía la función de IA. Producto diseña un aviso de consentimiento, legal aprueba el texto, y el cambio necesita otro envío. Cada paso espera al anterior.

Tres cosas determinan cuánto tardará esto para ti:

• Si alguien que sigue en el equipo puede explicar qué envía la integración de IA, o si alguien tiene que hacer ingeniería inversa primero.
• Cuántas funciones y proveedores de IA están en juego, ya que cada uno necesita su propio momento de divulgación y consentimiento.
• Si una fecha de lanzamiento, una campaña o un compromiso con un cliente ya está atado al envío que no puedes publicar.

Un equipo con una sola función de IA y el ingeniero original todavía en plantilla podría terminar en días. Cuatro funciones, añadidas por tres contratistas que ya se fueron, es un orden de magnitud distinto. Ese es el rango honesto. Cualquiera que te dé una sola cifra para esto no ha mirado tu app.

La aplicación de estas reglas no es teórica. En 2025, Google impidió que más de 255.000 apps obtuvieran acceso excesivo a datos sensibles de usuarios y prohibió más de 80.000 cuentas de desarrollador. Nuestra guía de motivos de rechazo en App Store repasa con qué frecuencia aparecen problemas de privacidad y datos en las propias estadísticas de revisión de Apple.

¿Listo para descubrir dónde divergen tus declaraciones y el comportamiento real de tu app antes de que lo hagan Apple o Google? Habla con nuestro equipo de pruebas de cumplimiento sobre una revisión previa al envío.

Cómo Verificar en Lugar de Suponer

Leer la política te dice qué se requiere. Sin embargo, no puede mostrarte qué está haciendo tu app, y esa brecha es un problema de pruebas, no un ejercicio de documentación. Cerrarla no tiene nada que ver con revisión legal ni con reescribir una política de privacidad. Observas cómo se ejecuta la app, y luego comparas ese comportamiento con lo que ya declaraste. Tres comprobaciones hacen la mayor parte del trabajo.

• Observa qué datos salen realmente del dispositivo mientras se ejecuta la función de IA, y compara ese tráfico con lo que declara tu etiqueta de privacidad.
• Comprueba el momento en que se solicita el consentimiento, no solo el documento donde vive, para confirmar que el aviso aparece antes de que los datos se muevan, no después.
• Trata cada cambio de proveedor de IA o actualización de modelo como un disparador para volver a revisar las divulgaciones, ya que tu postura de cumplimiento cambia incluso sin código nuevo.

Esa primera comprobación implica dirigir el tráfico de la app a través de una herramienta de interceptación como Charles Proxy. Luego observas cada solicitud que hace la función de IA en tiempo real. Un desajuste aparece rápido. Un resumidor podría también hacer ping a un endpoint de analítica. Otro chatbot podría reenviar todo el historial de la conversación cuando tu etiqueta solo menciona el mensaje actual.

Nuestros servicios de pruebas de IA se encargan de este tipo de verificación. La mayoría de los proveedores de QA se detienen en web y móvil, así que un flujo de datos de IA queda completamente fuera de su cobertura. Rastreamos qué envía un chatbot, un resumidor o una función de recomendación a su modelo subyacente. El resultado es una lista clara de lo que sale de la app, puesta junto a tu etiqueta de privacidad para comparar. Descubres qué divulgación necesita actualizarse y cuál ya es correcta. Si la función todavía está en desarrollo, nuestra lista de verificación de pruebas de LLM cubre el trabajo de validación previo al lanzamiento que viene antes del cumplimiento.

Cuándo Puedes Manejar Esto Internamente

No todos los equipos necesitan ayuda externa para esto. Si tu app hace una sola llamada a un solo proveedor de IA, una tarde de inspección de tráfico responderá la pregunta. Eso vale especialmente cuando el ingeniero que escribió la integración todavía trabaja allí. Trae a un socio de QA cuando el panorama sea más turbio. Piensa en varias funciones añadidas por distintas personas, o un SDK de terceros que nadie en plantilla ha leído. Una fecha límite que no puedes permitirte fallar dos veces también cuenta.

La mayoría de los equipos no cumplen las directrices de Apple App Store sobre uso compartido de datos de IA no por negligencia sino por cuestión de tiempos. La función se lanzó, las reglas cambiaron después, y nadie volvió sobre sus pasos. Ponte en contacto con nuestro equipo antes de que Apple o Google fuercen la pregunta.

Preguntas Frecuentes