Tu filtro de spam no lee tu correo. Cuenta los indicios.

Google bloquea casi 15 mil millones de mensajes no deseados al día, y lo hace sin nada que reconocerías como lectura. Ningún modelo está ahí murmurando las palabras del recordatorio de tu dentista. Esa imagen mental — un fisgón digital encorvado sobre tu bandeja de entrada, absorbiendo tus secretos — es el miedo que la mayoría lleva, y está apuntando al blanco equivocado.

Esto es lo que realmente está sucediendo. Cuando el correo golpea un filtro, el sistema no comienza con tu prosa. Comienza con el sobre. ¿Quién envió esto, y ¿realmente tiene permiso el servidor emisor para usar ese dominio? Eso es SPF, DKIM y DMARC — tres comprobaciones que confirman si "billing@yourbank.com" vino de la infraestructura de tu banco o de un servidor alquilado en el sótano de alguien. Un estafador puede copiar un logo perfectamente y aún así fallar DKIM, y ese único desajuste criptográfico le dice al filtro más que cualquier frase del cuerpo jamás podría.

Luego vienen las señales más baratas. Reputación del remitente: ¿ha estado este dominio enviando millones de mensajes idénticos? Análisis de enlaces: ¿el botón "haz clic aquí" apunta a algún lugar que el texto visible no admite? Edad de la URL, cadenas de redirección, tipos de adjuntos. La mayoría de un veredicto de spam se resuelve antes de que el modelo piense mucho en el lenguaje en absoluto.

Cuando el lenguaje sí entra, no es comprensión — es matemática. Los filtros antiguos usaban clasificadores bayesianos, el enfoque que Paul Graham popularizó en su ensayo de 2002 "A Plan for Spam", que puntuaba mensajes según la probabilidad de que ciertas palabras aparecieran en correo basura versus correo real. La palabra "Viagra" llevaba un número. Los sistemas modernos van más allá con modelos basados en transformadores que convierten texto en embeddings — largas listas de números que capturan significado sin almacenar el significado como palabras. Para el clasificador, tu correo no es una historia. Es un punto en un espacio de alta dimensión, y la pregunta es si ese punto está cerca del clúster etiquetado como "phishing".

Esa distinción importa, porque "la IA ve mis palabras" y "la IA convierte mis palabras en un vector y lo compara con un patrón de fraude" no son el mismo evento de privacidad. Uno suena como escucha clandestina. El otro es más cercano a un detector de metales: reacciona a una firma, no a una confesión.

Así que la pregunta real no es si un modelo toca tu texto. Por supuesto que lo hace — ese es el trabajo. La pregunta es doble, y es donde realmente deberías dirigir tu sospecha. Primero: retención. ¿Se almacena el contenido, y por cuánto tiempo? La política de API de OpenAI, por ejemplo, establece que no utiliza datos de API empresarial para entrenar sus modelos y los retiene durante una ventana limitada antes de su eliminación. Anthropic publica términos comerciales similares. Esas políticas son lo que vale la pena leer, no garantías sobre lo "privado" que se ve un logo.

Segundo: dónde ocurre la inferencia. Un filtro ejecutando clasificación dentro de los propios muros de tu proveedor es un perfil de riesgo diferente al de texto siendo enviado a un modelo de terceros que nunca has oído hablar. "En el dispositivo o en el inquilino" versus "enviado a otro lugar" es la bifurcación de privacidad que decide quién podría, en teoría, alguna vez ver cualquier cosa.

Esto también es por qué el pánico de "escanea todo" contraproducente. Los sistemas que escanean todo son los que te protegen — los clasificadores bloqueando la factura falsa y la página de inicio de sesión similar. El escaneo peligroso es el silencioso: el píxel de seguimiento en un boletín que envía un ping a un servidor en el momento en que lo abres, registrando tu IP y la hora en que lo leíste. Ese es un fisgón genuino, y no es el filtro de spam.

Preocúpate por la retención. Preocúpate por el destino. El modelo leyendo tus palabras en busca de pistas es lo de menos.

@@END@@