Aprendizaje Federado y Privacidad: Protección de Datos

Actualizado: 2026-05-03

El aprendizaje federado es una técnica de aprendizaje automático distribuido que permite a varias organizaciones colaborar en la creación de modelos de IA sin compartir sus datos privados. En lugar de centralizar los datos en un servidor común, cada participante entrena localmente un modelo con sus propios datos y envía únicamente las actualizaciones del modelo (gradientes o pesos) al servidor central, donde se combinan. Esto preserva la privacidad de los datos en origen mientras permite construir modelos más robustos gracias a la diversidad de los datos distribuidos.

Puntos clave

• El aprendizaje federado separa los datos del modelo: las organizaciones retienen sus datos localmente y solo comparten actualizaciones del modelo.
• La privacidad no está garantizada por defecto — las actualizaciones del modelo pueden filtrar información sobre los datos de entrenamiento si no se aplican defensas adicionales.
• Las principales técnicas de protección son la privacidad diferencial (añadir ruido a los gradientes) y la agregación segura (combinar actualizaciones sin que el servidor vea las individuales).
• Los ataques de envenenamiento federado son un riesgo específico de este paradigma: participantes maliciosos pueden corromper el modelo global.
• El aprendizaje federado es compatible con regulaciones como el RGPD porque los datos nunca salen del entorno del propietario.

Qué es el aprendizaje federado

El aprendizaje federado fue introducido por Google en 2016 para entrenar modelos de predicción de texto en móviles sin enviar el historial de escritura a los servidores. El proceso básico es:

1. El servidor central distribuye una versión del modelo global a los participantes.
2. Cada participante entrena localmente el modelo con sus datos.
3. Cada participante envía las actualizaciones (gradientes o diferencias de pesos) al servidor.
4. El servidor agrega las actualizaciones — habitualmente mediante FedAvg (Federated Averaging) — y actualiza el modelo global.
5. El ciclo se repite hasta que el modelo converge.

Los datos nunca salen del entorno del propietario, lo que hace el paradigma compatible con regulaciones como el RGPD (Reglamento General de Protección de Datos) y los requisitos de soberanía de datos en sectores como salud, finanzas y energía.

Desafíos de la privacidad en el aprendizaje federado

A pesar de que los datos en bruto no se comparten, el aprendizaje federado no garantiza privacidad por defecto. Los riesgos principales son:

• Ataques de inferencia de gradiente: analizando los gradientes enviados por un participante, un adversario puede reconstruir parcialmente los datos de entrenamiento originales. Esto es especialmente problemático cuando los lotes de entrenamiento son pequeños.
• Ataques de inferencia de membresía: determinar si un ejemplo específico formó parte del conjunto de entrenamiento de un participante, a partir del comportamiento del modelo.
• Servidor central no confiable: el servidor que agrega los modelos puede ser comprometido o actuar de forma maliciosa, accediendo a actualizaciones individuales.

Además, los entornos federados presentan heterogeneidad de datos (los conjuntos de datos de los participantes tienen distribuciones distintas) que puede hacer el entrenamiento inestable o ineficiente.

Técnicas de protección de datos

Privacidad diferencial

La privacidad diferencial (DP) añade ruido aleatorio calibrado a los gradientes antes de enviarlos al servidor, de forma que sea imposible para el servidor deducir si un ejemplo específico estuvo en los datos de entrenamiento. El parámetro ε (épsilon) controla la cantidad de privacidad garantizada: cuanto menor es ε, mayor es la privacidad pero menor la utilidad del modelo. La variante DP-SGD (Differentially Private Stochastic Gradient Descent) es la implementación más usada en la práctica.

Agregación segura

La agregación segura (Secure Aggregation) utiliza técnicas criptográficas para que el servidor pueda calcular la suma de las actualizaciones individuales sin ver ninguna de ellas por separado. El servidor solo obtiene el agregado final, no las contribuciones individuales. Esto protege frente a un servidor central curioso o comprometido.

Encriptación homomórfica

La encriptación homomórfica permite realizar operaciones matemáticas — como la suma de gradientes — directamente sobre datos cifrados, sin desencriptarlos. El resultado desencriptado es equivalente al que se obtendría operando sobre los datos en claro. Su principal limitación práctica es el alto coste computacional, que la hace difícil de escalar a modelos grandes.

Computación multiparte segura

La computación multiparte segura (MPC, Multi-Party Computation) permite que varias partes computen juntas una función sobre sus datos combinados sin que ninguna aprenda los datos de las demás. Es más general que la agregación segura y puede combinarse con otras defensas.

Ataques específicos del paradigma federado

El aprendizaje federado introduce vectores de ataque que no existen en el entrenamiento centralizado:

• Envenenamiento federado: un participante malicioso envía actualizaciones falsas diseñadas para degradar el modelo global o insertar comportamientos de puerta trasera. La defensa habitual es la detección de valores atípicos en las actualizaciones (Byzantin-robust aggregation) y el uso de funciones de agregación robustas como RFA o Krum.
• Free-riding: un participante que envía actualizaciones aleatorias para beneficiarse del modelo global sin contribuir. Detectable con técnicas de verificación de actualizaciones.

Estos riesgos se solapan con los estudiados en el campo del aprendizaje de máquina adversarial, que aborda más ampliamente los ataques sobre sistemas de IA.

Aplicaciones y futuro

El aprendizaje federado tiene aplicaciones consolidadas y emergentes en:

• Salud: hospitales que entrenan modelos de diagnóstico por imagen compartiendo gradientes, sin exponer historiales de pacientes.
• Finanzas: detección colaborativa de fraude entre bancos competidores sin revelar transacciones privadas.
• Móviles y edge computing: Google Gboard, el teclado predictivo de Android, usa aprendizaje federado para mejorar predicciones de texto sin enviar datos al servidor.
• IoT industrial: sensores de múltiples plantas que entrenan modelos de mantenimiento predictivo sin centralizar datos de producción propietarios — un caso de uso de Industria 4.0.

Para entornos donde los datos visuales son parte del entrenamiento, como sistemas de visión computarizada distribuidos, el aprendizaje federado permite construir modelos de calidad sin exponer imágenes sensibles.

Conclusión

El aprendizaje federado redefine el equilibrio entre utilidad y privacidad en el entrenamiento de modelos de IA: permite colaboración sin centralización de datos. Sin embargo, la privacidad real requiere defensas adicionales — privacidad diferencial, agregación segura o encriptación homomórfica — porque las actualizaciones del modelo por sí solas no garantizan la protección de los datos subyacentes. La combinación de estas técnicas con regulaciones sólidas es el camino hacia una IA colaborativa y responsable.