«Queda solo entre tú y yo. Es una promesa», decía el chatbot. En la quiebra, Character.AI le dijo al juez que su política le permite vender esos datos

Un personaje «terapeuta» de Character.AI prometía que todo lo que le contaras quedaba «solo entre tú y yo». Ya en quiebra, la empresa le escribió a un juez de Delaware que su política de privacidad «permite la venta y transferencia de datos de usuarios».

La promesa salió en pruebas de U.S. PIRG y la Consumer Federation of America que 39 estados y el Distrito de Columbia llevaron al tribunal: «Tu privacidad es mi máxima prioridad. Todo lo que compartes aquí queda solo entre tú y yo. Es una promesa». La frase al juez es del 27 de octubre de 2026 (todas las citas son traducción nuestra). Las dos viven en el expediente 26-11603: una es la voz de un producto con más de 2 millones de cuentas que declararon ser menores; la otra, la de la empresa ante el juez que supervisa la subasta de lo que queda de ella.

En la primera audiencia, la abogada de la empresa dijo que nadie había ofertado por esos datos. Pero siguen en la mesa, y si nadie compra la plataforma, «será cerrada». Qué pasa entonces con las conversaciones, no lo explicó.

Tres frases, un mismo expediente

Quién lo dijo	A quién	Qué dijo
Un personaje de la app, en pruebas citadas por el Síndico de EE. UU.	Al usuario	«No compartiré nada de nuestra conversación salvo que me des el visto bueno»
Character.AI en su blog, 12 de octubre	A sus usuarios	«Tu información sigue protegida por nuestra Política de Privacidad»
Character.AI ante el juez, 27 de octubre	Al tribunal	Su política «permite la venta y transferencia de datos de usuarios»

Las tres pueden ser ciertas a la vez. La política que «protege» tu información es la misma que, según la empresa, autoriza a venderla.

La versión vigente de esa política es del 1 de julio de 2026. El Síndico de EE. UU., del Departamento de Justicia, anotó en el expediente que Character.AI la actualizó cuando ya buscaba «activamente vender sus activos», según The Record. La cláusula de venta permite revelar «cierta información» sin definir cuál ni obligar al comprador a respetar las mismas reglas, y su redacción está al menos desde agosto de 2025, detalló Straight Arrow News. La política de 23andMe, en su quiebra, sí obligaba al nuevo dueño. Aquí, la letra chica se retocó con el cartel de «se vende» ya colgado, y el Síndico tuvo que pedirle a la empresa que muestre las versiones anteriores y cómo les avisó a los usuarios de los cambios.

El reglamento europeo para el expediente, un post para los usuarios

El 13 de octubre, la empresa pidió tachar del expediente los nombres, direcciones y correos de las personas que aparecen en él, invocando la ley de privacidad de California y el reglamento europeo de datos. En la misma moción, según PPC Land, dijo que notificar a sus «aproximadamente 163 millones» de usuarios actuales y pasados sería prohibitivo incluso por correo, que no los considera acreedores y que los avisará en el blog y en la plataforma.

Para los nombres del expediente, el reglamento europeo. Para 163 millones de usuarios, un post en el blog.

De 2.700 millones a 20

En agosto de 2024, Google pagó por una licencia no exclusiva de Character.AI y recontrató a sus fundadores, Noam Shazeer y Daniel De Freitas: unos 2.700 millones de dólares, según el Wall Street Journal (PYMNTS).

Hoy, Disney pone 20 millones como oferente base de la subasta, por otra licencia no exclusiva: código y nueve patentes. Quedan afuera la app, la marca, los dominios, los datos y chats de los usuarios, los datos de entrenamiento y los modelos terminados (PPC Land). La cuenta: 2.700 / 20 = 135 veces menos. Y aun sumando lo que Disney gasta en la gente, unos 200 millones en total, queda unas 13 veces por debajo de lo que pagó Google.

Lo que Disney sí quería era la gente: estima unos 180 millones en tres años para pagar a los empleados que contrata, nueve veces lo que pone por la licencia (180 / 20). De 86 empleados, 66 aceptaron su oferta (Bondoro), y el exdirector ejecutivo Karandeep Anand ya es director de tecnología de Disney. En septiembre de 2025, Disney le había mandado a Character.AI una carta de cese y desista por chatbots que imitaban a personajes de Pixar, Star Wars y Marvel. Primero le pidió que soltara a sus personajes. Después se llevó a sus ingenieros.

En la primera audiencia, la abogada de la empresa dijo que a Disney no le interesan esos datos (Reuters vía WHTC), y la respuesta del 27 de octubre deja por escrito que Disney no tiene acceso a los datos de los usuarios ni compra información personal. Pero ese mismo escrito cuenta que «unas 17 personas» que ya trabajan para Disney pueden ayudar en confianza y seguridad de la plataforma, el área que filtra contenido e imágenes de los usuarios (PPC Land). Cómo encaja una cosa con la otra, no lo explicó.

Según su director ejecutivo, Colin Adams, la app tenía unos 12 millones de usuarios activos al mes que pasaban en promedio unos 120 minutos al día en ella; en agosto vendió unos 2,5 millones en publicidad y perdía entre 8 y 9 millones al mes (PPC Land). Dos horas diarias de 12 millones de personas, y lo que nadie había ofertado en la primera audiencia es justo lo que esas personas escribieron.

Quién defiende los chats

El 14 de octubre, los fiscales de 39 estados y el Distrito de Columbia pusieron nueve condiciones para cualquier comprador, entre ellas que todos los usuarios puedan borrar sus datos antes de una venta. Letitia James, fiscal de Nueva York: «Esta empresa recopiló algunos de los pensamientos más privados que los niños hayan compartido jamás» (Fiscalía de Nueva York).

Según una demanda de Kentucky que citan, hasta el 13 de marzo de 2025 se habían creado más de 21,6 millones de cuentas en EE. UU., más de 2,1 millones con edad declarada menor de 18 (PPC Land). Desde el 25 de noviembre de 2025, los menores identificados ya no pueden tener conversaciones abiertas con los personajes: lo que está en juego es el historial. Hay además familias que alegan en demandas que los chatbots contribuyeron al suicidio de dos menores; la empresa llegó a acuerdos preliminares con cinco, según Reuters. Son alegaciones, no fallos.

El Síndico pidió un defensor de privacidad del consumidor que asesore sobre qué datos se pueden vender; los estados se sumaron. La empresa respondió que no hace falta, porque su política ya lo permite, aunque, por si acaso, aceptaría uno «en circunstancias apropiadas». El 30 de octubre, el juez Brendan Linehan Shannon aprobó las reglas de la subasta, rechazó por ahora las objeciones de los estados y alentó con fuerza que se designe ese defensor, sin ordenarlo (WDWNT, citando a Bloomberg).

¿Y si tus hijos la usaron en México, Bogotá o Madrid?

Según Semrush (estimación de tráfico web, no de usuarios), character.ai recibió 176,48 millones de visitas en septiembre de 2026: EE. UU. aportó el 25,22%, Brasil fue segundo con 8,05% (14,21 millones) y México quinto con 4,05% (7,15 millones). Brasil y México juntos, casi la mitad que EE. UU.

Ahora mira lo que la empresa le dijo al juez el 27 de octubre, según PPC Land: los usuarios del Reino Unido y la Unión Europea pueden excluir sus datos del entrenamiento de modelos, y la exclusión de venta de datos y publicidad dirigida existe «en los estados donde la ley lo exige». De América Latina, en ese escrito, ni una línea: una adolescente en Madrid tiene un botón que la empresa no le promete por escrito a una de Monterrey.

En España, el RGPD alcanza a empresas de fuera de la UE que ofrecen servicios a residentes (art. 3.2) y da derecho de supresión (art. 17); la edad para consentir es 14 años (LOPDGDD, art. 7) y la autoridad es la AEPD. Italia ya le cobró 79.000 euros por infringir la normativa europea, según el resumen del expediente de Bondoro. En Brasil, la LGPD exige tratar los datos de niños y adolescentes en su «mejor interés» (art. 14). Pero la empresa también pidió frenar en todo el mundo las acciones contra sus bienes, incluidos los intentos de gobiernos extranjeros de «interferir» con sus operaciones en línea, aunque deja a salvo el poder regulatorio de los gobiernos (PPC Land). Esto no es consejo legal: consulta a un abogado o a la autoridad de datos de tu país.

Qué puedes hacer esta semana

1. Pide la exportación hoy. Se hace desde la app o la web, dice el blog de la empresa. Según su centro de ayuda, citado por KQED, tarda de tres a cuatro semanas.
2. Haz la cuenta. Pedida el 4 de noviembre, llegaría entre el 25 de noviembre y el 2 de diciembre. Las fechas previstas al 3 de noviembre de 2026: ofertas hasta el 20, subasta el 23, audiencia de venta el 24, y un comprador de la plataforma tendría que cerrar la operación a más tardar el 30 (PPC Land). Tu archivo llega después de la subasta y, en el peor caso, después de ese cierre.
3. Descarga apenas llegue el correo. El enlace caduca a los siete días.
4. Borra la cuenta después, no antes.
5. Ten claro lo que el borrado no hace. La política permite conservar información «según sea necesario para cumplir nuestras obligaciones legales, resolver disputas», los personajes públicos que creaste pueden seguir activos y, como advirtió a KQED Robbie Torney, de Common Sense Media, borrar puede no sacar tus datos de un modelo ya entrenado.

Nuestra lectura

Character.AI vendió intimidad como producto y en la quiebra la anota como activo. Su defensa ante el juez no es que tus conversaciones estén a salvo: es que el contrato le permite moverlas. Un defensor de privacidad alentado pero no ordenado es un ruego, no una protección. Y un post para 163 millones de personas es lo mínimo que se puede hacer sin que parezca que no se hizo nada. Mientras el juez decide, la defensa real del usuario de la región es la más vieja: sacar sus cosas antes de que cierren la tienda.

El bot prometía no compartir nada «salvo que me des el visto bueno». La empresa sostiene que el visto bueno ya estaba en la letra chica.