Google anunció el 2 de octubre una renovación del sistema con el que entrena modelos a partir de datos distribuidos entre dispositivos. Según la compañía, Gboard ya utiliza esta infraestructura para predecir la próxima palabra en inglés y japonés. La propuesta desplaza cálculos hacia servidores protegidos e incorpora mecanismos para que terceros examinen cómo se resguarda la información.
El cambio modifica una arquitectura que la empresa presentó públicamente en abril de 2017. En aquella explicación, cada teléfono descargaba un modelo, lo ajustaba con información local y enviaba una actualización resumida para combinarla con las de otros equipos. Los datos de entrenamiento permanecían en el dispositivo. Ese esquema buscaba aprovechar la experiencia de numerosos usuarios sin reunir todos los ejemplos en una base central y exigía coordinar teléfonos con capacidades y conexiones muy diferentes.
La documentación del proyecto Confidential Federated Compute describe otro mecanismo: los datos enviados quedan cifrados y vinculados a una política que establece qué operaciones pueden aplicarse. Un administrador de claves solo habilita su lectura a componentes que acrediten que ejecutan el código autorizado. Esos componentes funcionan dentro de entornos de ejecución confiables, conocidos como TEE. El objetivo declarado es mantener una cadena de comprobaciones entre el dispositivo que aporta la información y los servidores que después la procesan.
La novedad anunciada también incluye un registro público de las políticas de acceso. De acuerdo con Google, observadores externos pueden identificar allí los programas habilitados para trabajar con los datos. La empresa sostiene que el operador recibe métricas y resultados anonimizados, mientras los ejemplos de entrenamiento se descifran dentro de los entornos protegidos.
El artículo técnico aporta una prueba realizada con un subconjunto de usuarios de Gboard, con 3,5 millones de dispositivos por cada grupo experimental. Los autores informan que el nuevo modelo en inglés se entrenó en tres semanas, frente a dos meses del anterior. La variante de mejor desempeño utilizó aproximadamente un tercio del presupuesto de privacidad comparado, una medida técnica del análisis. La velocidad de escritura y la frecuencia de modificación de sugerencias mantuvieron resultados equivalentes en las métricas evaluadas.
En otra comparación, correspondiente a un modelo en japonés, el equipo reunió 17,8 millones de aportes durante unos seis días y luego los incorporó al entrenamiento. La referencia anterior había aprovechado 8,5 millones de dispositivos a lo largo de 38 días. Son resultados de configuraciones específicas estudiadas por los propios desarrolladores. El documento fue presentado en arXiv el 25 de septiembre y revisado el 30; esas fechas son anteriores al anuncio público de octubre.
El repositorio abierto permite revisar componentes y contiene instrucciones para producir los archivos ejecutables a partir del código fuente. Explica que una compilación reproducible ayuda a comprobar que el programa examinado corresponde al que se ejecuta. Esa posibilidad de inspección es relevante para evaluar las promesas técnicas, aunque la documentación por sí sola no constituye una auditoría independiente del servicio. El proyecto, además, aclara que su código no se ofrece como un producto con soporte oficial de Google.
La protección mediante TEE tampoco elimina todas las vías posibles de filtración. Un trabajo previo citado por los investigadores, SNPeek, examina los llamados canales laterales: información que puede inferirse al observar cómo opera un sistema, aun sin leer directamente sus datos protegidos. Ese estudio describe herramientas para detectar y reducir filtraciones en máquinas virtuales confidenciales. Fue revisado en diciembre de 2025 y aporta contexto sobre los límites de esta tecnología; no documenta un ataque contra el nuevo sistema de Gboard.
Google plantea como próximos pasos ampliar el uso de esta infraestructura y explorar modelos de mayor tamaño. También reconoce que futuras mejoras del hardware y de las defensas frente a canales laterales serán necesarias para profundizar las garantías de privacidad.
