AISeal en Android: datos aislados e inferencia pendiente

Google presentó AISeal el 7 de octubre de 2026 en su anuncio técnico sobre la protección de datos personales destinados a la IA en Android. El almacenamiento cifrado e indexado de ese contexto en una máquina virtual protegida está en despliegue. La inferencia de modelos y la ejecución de agentes dentro de ese entorno forman parte de una etapa posterior.

AISeal es una arquitectura de aislamiento basada en Android Virtualization Framework (AVF) y el hipervisor protected Kernel Virtual Machine (pKVM). Su función inmediata es separar del Android principal el lugar donde se conserva contexto sensible; aún no describe un asistente que procese de principio a fin esos datos dentro del enclave. Esa diferencia importa porque guardar información bajo protección y calcular una respuesta con ella implican recorridos distintos por el dispositivo.

La frontera entre Android y la máquina virtual protegida

AVF permite ejecutar una máquina virtual protegida junto al sistema operativo anfitrión, mientras pKVM mantiene la separación entre ambos entornos. La documentación de AVF explica que, incluso si el Android anfitrión queda comprometido, este no tiene acceso a la memoria de una máquina virtual protegida. AISeal utiliza esa frontera para alojar el contexto que necesitan futuras funciones de IA sin dejarlo expuesto en la memoria del sistema principal.

La protección se suma al aislamiento que Android ya aplica entre aplicaciones. Una aplicación puede conservar sus propios datos bajo las reglas habituales del sistema, pero un asistente personalizado podría necesitar relacionar información procedente de varios lugares. AISeal plantea que el contexto reunido para esa tarea resida en un entorno separado por hardware. La garantía depende de que los datos y las cargas sensibles se coloquen efectivamente dentro de la máquina virtual protegida.

El diseño también prevé que distintos servicios compartan ese entorno. Compartir la máquina virtual no equivale a concederles acceso indiscriminado al contexto: la arquitectura contempla controles internos para regular cómo una base de datos, un modelo y un agente interactuarían entre sí. Esa organización permite entender el enclave como una frontera frente al sistema anfitrión y, a la vez, como un espacio donde cada componente necesita permisos propios.

El despliegue comienza con el contexto personal

El hito que está llegando a Android se concentra en almacenar e indexar contexto personal en un espacio local cifrado. La implementación de referencia emplea AppSearch para organizarlo, aunque la arquitectura admite otras bases de datos, incluidas las de los fabricantes de dispositivos. Indexar significa preparar la información para localizar elementos pertinentes cuando una función autorizada los necesite; por sí solo, ese trabajo no supone ejecutar un modelo de IA dentro del enclave.

Correos, mensajes, citas del calendario e interacciones entre aplicaciones ilustran el tipo de información que podría alimentar una experiencia personalizada. Son categorías de contexto mencionadas para explicar la necesidad de protección, no una afirmación de que AISeal ya recopile todos esos datos en cualquier teléfono. Reunir información de varias aplicaciones puede hacer más útil una respuesta, pero también concentra datos sensibles: de ahí que el lugar donde se guardan sea el primer problema que aborda el despliegue.

La base protegida ocupa así el comienzo del recorrido. Los datos entran en el entorno aislado y quedan disponibles para consultas sujetas a sus controles de acceso. El siguiente paso previsto es que el procesamiento también ocurra allí, de modo que una función de IA pueda utilizar el contexto sin trasladar los datos originales a la memoria del Android anfitrión. El almacenamiento en despliegue y ese procesamiento previsto tienen estados de disponibilidad diferentes.

Modelos y agentes completarán el recorrido más adelante

La arquitectura contempla futuras integraciones con AICore para ejecutar modelos fundacionales en el dispositivo dentro de la máquina virtual protegida. También prevé agentes capaces de combinar la consulta al contexto privado con la inferencia local. Llevar ambos componentes al enclave permitiría que los datos necesarios para elaborar una respuesta permanezcan en el entorno aislado durante el cálculo, en vez de proteger solo su almacenamiento.

El ejemplo descrito para ese diseño es un asistente que consulta las citas guardadas, resume la agenda dentro de la máquina virtual y devuelve al sistema principal únicamente la respuesta prevista. Los controles de salida tendrían que separar ese resultado del contexto original utilizado para producirlo. Es una descripción del funcionamiento buscado para el conjunto, no una función de inferencia que el anuncio sitúe ya en despliegue.

Esta distinción afecta también a lo que puede concluir un usuario sobre una función de IA concreta. Que el dispositivo incorpore AISeal o soporte máquinas virtuales protegidas no demuestra que todos sus modelos se ejecuten dentro de ellas. Para alcanzar el recorrido completo hacen falta la integración del modelo, el acceso controlado a la base protegida y reglas sobre la información que vuelve al Android principal.

La NPU y la nube amplían la hoja de ruta

Otro trabajo previsto es asignar directamente a la máquina virtual protegida la unidad de procesamiento neuronal, o NPU, integrada en el chip. Esa conexión daría a los modelos dentro del enclave una vía privada hacia el acelerador del dispositivo. La cobertura de NeoTeo también recoge el soporte anunciado por MediaTek para Dimensity 9600 Pro y el futuro soporte de los chips Qualcomm Snapdragon mediante AVF; esos anuncios sobre procesadores no identifican móviles concretos con todas las funciones de AISeal disponibles.

La extensión a una nube confidencial de los fabricantes figura igualmente entre los planes. El diseño propone inferencia híbrida con cifrado de extremo a extremo entre la máquina virtual protegida del teléfono y servidores preparados para ese fin. Su incorporación exigiría coordinar la protección local con el servicio remoto y controlar qué información cruza esa conexión. El próximo avance decisivo para el usuario será la llegada de modelos y agentes al enclave: entonces podrá evaluarse el recorrido completo de una respuesta, desde la consulta del contexto hasta su salida al sistema principal.