Tu monitor ya es un proveedor de software, y no te ha pedido permiso
Compras comprueba si un aparato sirve para su función el día que lo adquiere. Nunca hace la única pregunta que importa después: quién puede cambiar lo que hace ese aparato una vez es tuyo, y qué responsabilidades te puede endosar por el camino.
Todo proceso de compras tiene un control que nunca ejecuta. Certifica que un aparato sirve para su función el día que se abre la caja, firma la evaluación de riesgo y archiva el papel contra el activo. Lo que nunca queda registrado es quién sostiene el bolígrafo después: quién puede instalar código, reescribir las condiciones de uso y cambiar lo que ese hardware te hace el trimestre que viene. La orden de compra trata la adquisición como el final de la negociación. Para cualquier aparato con ruta de actualización de firmware, la negociación apenas ha empezado.
Coge el objeto más pasivo del escritorio. Según reportajes independientes, Windows Update instaló en silencio un instalador de la aplicación LG Monitor tras conectar una pantalla LG, a través del canal de metadatos del dispositivo y no de ninguna tienda ni aviso de aprobación. Nadie pulsó «aceptar» porque a nadie se le preguntó. El conjunto de permisos que normalmente dispararía una revisión, acceso a todos los recursos del sistema más red, lo concedió la propia fontanería del sistema operativo mientras la política de endpoint miraba para otro lado. Una pantalla se comportó como un proveedor de software con vía de instalación activa en la máquina, y ninguna fase del proceso de compra vigilaba eso.
¿Quién puede cambiar lo que hace este aparato una vez es tuyo?
Los indicios son públicos, y leen menos como cronología que como costumbre asentada. FlatpanelsHD documentó que LG colocó publicidad en los salvapantallas de sus televisores, primero en los modelos de 2024 y después, mediante una actualización posterior, en generaciones OLED anteriores que salieron a la venta antes de que existiera ese negocio publicitario. Tom's Hardware informó de que un asistente de Microsoft apareció en televisores webOS tras una actualización, algo que LG calificó de acceso directo del navegador y no de aplicación integrada, prometiendo que se podría eliminar en una futura versión. Si retrocedemos más de una década, la conducta ya estaba ahí: en 2013, la captura de red de un usuario descubrió que los televisores LG seguían transmitiendo datos de visionado con la opción de recogida desactivada, además de enviar los nombres de los archivos de vídeo guardados en memorias USB conectadas; LG respondió que lo investigaría. Un aparato que evaluaste como pantalla se convierte, por firmware, en un aparato que hace publicidad y te vigila. Nada de eso existía cuando firmaste la orden de compra, y tu evaluación de riesgo nunca llevó fecha de caducidad.
¿Puede un proveedor convertir tu sala de reuniones en un pasivo?
La maquinaria comercial detrás de esto no tiene nada de sutil. Los fabricantes llevan tiempo usando el propio equipo como canal de distribución; el anuncio de McAfee describe un acuerdo de 2021 para preinstalar una prueba de seguridad en los PC de LG. Empaquetar software con el hardware no es noticia; lo que ha cambiado es el contrato que ahora envuelve ese software.
Lee las condiciones vigentes. Las condiciones de servicio de LG establecen que, cuando un producto con capacidad de voz pueda grabar a terceros, es el usuario quien debe obtener su consentimiento y avisar a convivientes e invitados conforme a la legislación de privacidad e interceptación de comunicaciones aplicable. En un salón, esa cláusula es puro teatro: casi nadie la lee y casi nunca se invoca. Traslada el mismo aparato a una sala de reuniones y deja de ser teatro. Tu organización ha aceptado en silencio cargar con el deber de consentimiento de todas las personas cuya voz capta el dispositivo. Si un proveedor puede en realidad trasladarte así una obligación legal es una pregunta abierta, no un hecho asentado (en España, exactamente el tipo de exposición que despertaría el interés de la AEPD), y esa incertidumbre es el riesgo en sí: has aceptado una cláusula cuya validez nadie ha puesto a prueba, sobre un aparato que nunca clasificaste como riesgo de tratamiento de datos.
El instinto es rechazar las actualizaciones. Ese instinto está diseñado para no funcionar. Los proveedores empaquetan los parches de seguridad junto con los cambios de condiciones, así que rechazar el nuevo acuerdo significa renunciar también a las correcciones. Privacidad y parches al día se hacen mutuamente excluyentes a propósito. No puedes mantener la máquina segura y conservar el contrato que firmaste en origen, y pocas políticas de compras contemplan esa disyuntiva.
¿Actuarán los reguladores antes de que esto te alcance?
No esperes que la vigilancia regulatoria vaya a tu ritmo. El acuerdo del fiscal general de Texas con LG sobre reconocimiento automático de contenido, tras un acuerdo similar con Samsung y con causas descritas como abiertas contra otros fabricantes, muestra el patrón, aunque sea un regulador estadounidense: la actuación de protección al consumidor llega años después de que la práctica esté asentada, y el remedio habitual es más transparencia, no el cese de la práctica. En el terreno europeo, con la AEPD y la AESIA vigilando este tipo de casos, la lógica de fondo no cambia: un remedio que llega años después no hace nada por la exposición que cargas hoy, y cuando llegue solo confirmará que estuviste expuesto todo este tiempo.
Así que la solución no es endurecer la revisión en el momento de la compra, porque la compra es el control equivocado. Trata cada aparato conectado a la red como una relación con un proveedor que tiene un canal de cambio activo. Empieza por inventariar qué hardware puede instalar software o aceptar condiciones nuevas por su cuenta, monitores y pantallas de sala incluidos, no solo los activos que tu CMDB ya marca como ordenadores. Cierra la vía del sistema operativo mediante política, no confiando en que cada usuario rechace la instalación: Microsoft documenta un ajuste de directiva de grupo, Prevent automatic download of applications associated with device metadata, y aplicarlo de forma centralizada gana siempre a esperar que cada persona diga que no. Después añade la columna que ningún inventario de activos guarda: qué está el fabricante contractualmente autorizado a hacerte el año que viene, no qué hacía el aparato el día que salió de la caja. Esa ausencia es precisamente lo que mantiene el riesgo invisible.
La lección se generaliza más allá de una marca. Cualquier aparato con ruta de actualización de firmware es un proveedor con derecho permanente a instalar código y reescribir el contrato, y el periférico pasivo y aburrido es hoy el punto de entrada más blando precisamente porque tus controles dan por hecho que es inerte. Ayudamos a nuestros clientes a incorporar ese canal de cambio activo en cómo compran y gobiernan la tecnología, dentro de nuestro trabajo de estrategia técnica, y a pensar en dónde debe y no debe operar el software autónomo dentro de la red. La pregunta que importa no es si te puedes fiar del monitor, sino quién sostiene el bolígrafo después de que hayas pagado.
Preguntas frecuentes
¿Puede un monitor instalar de verdad software en un PC de empresa sin autorización?
Según reportajes independientes, un monitor LG desencadenó la instalación de una aplicación de LG a través del canal de metadatos de dispositivo de Windows Update tras conectar la pantalla, sin ningún paso de aprobación aparte; por eso los periféricos conectados a la red deben entrar en tu inventario de software instalable.
¿Nos protege rechazar las actualizaciones de firmware o controladores?
No de forma fiable. Los proveedores suelen empaquetar los parches de seguridad junto con cambios de condiciones, así que rechazar el nuevo acuerdo puede significar también renunciar a las correcciones, obligando a elegir entre mantenerse parcheado y conservar el contrato original.
¿Son ilegales estas prácticas según la normativa de protección de datos o de interceptación de comunicaciones?
Es una pregunta abierta, no un hecho asentado. Las condiciones que hacen responsable al comprador del consentimiento de terceros generan una exposición discutible, y los reguladores de protección al consumidor, incluidas autoridades europeas como la AEPD, han empezado a litigar sobre la recogida de datos de los fabricantes de hardware, pero los resultados y la validez legal todavía están por confirmar.
Relacionado
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- Ya no se ve la cámara: la política de gafas inteligentes que su empresa necesita reescribir
- El marketing del apocalipsis de la IA se vuelve en su contra: así se ha construido su propia jaula
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.