La regla del air gap
Algunas redes no tienen internet. No por política — por diseño.
Un SCIF (Sensitive Compartmented Information Facility) es una sala blindada Faraday. Ninguna señal inalámbrica entra ni sale. El ITAR (International Traffic in Arms Regulations) prohíbe enviar contenido técnico controlado a partes no autorizadas. Los proveedores cloud no tienen autorización ITAR. Para estas organizaciones, "SaaS en la nube" no es un riesgo a gestionar — es una imposibilidad.
Para estos entornos, las herramientas cloud sencillamente no funcionan.
Una herramienta que requiere conexión de red activa no puede desplegarse aquí. Una herramienta que verifica la licencia en un servidor remoto queda descartada de entrada. Una herramienta que envía archivos a una API cloud para detección no puede funcionar dentro de un SCIF. No son casos extremos. Son restricciones diarias para los equipos de defensa.
El caso ITAR
Una científica de datos en una empresa de defensa procesa registros de personal bajo ITAR. Debe eliminar nombres e identificadores antes de compartir los archivos. Su red está en air gap.
No hay solución cloud. El único camino es una herramienta que corra en el dispositivo local. Debe almacenar sus modelos localmente. Debe producir salida anonimizada sin ninguna llamada externa.
anonym.plus, nuestro producto hermano construido exactamente para este caso, hace esto: una licencia única, modelos de detección integrados en el dispositivo, ninguna llamada de red en ningún momento. La propia aplicación Desktop de anonym.legal no encaja en un air-gap real — mantiene los archivos locales, pero la detección de PII sigue llamando a los servidores de anonym.legal, así que necesita una conexión activa que este SCIF no tiene.
Por qué importa la reversibilidad
Las operaciones clasificadas frecuentemente necesitan pseudonimización reversible. Los equipos reemplazan nombres reales con códigos. Los registros siguen siendo útiles. Las identidades reales quedan protegidas.
El RGPD Artículo 4(5) define la pseudonimización como una medida formal de protección de datos. Reduce el riesgo. Los registros pseudonimizados tienen menos obligaciones legales — si el token de búsqueda se almacena separado del conjunto de datos.
La investigación IAPP (2024) encontró que solo el 23 % de las herramientas admiten verdadera reversibilidad. La mayoría hacen reemplazo permanente o enmascaramiento simple. Una vez que un registro es sobreescrito, se pierde.
Algunos equipos gubernamentales dividen el trabajo por compartimentos. Un equipo recibe los archivos pseudonimizados y hace el análisis. Un segundo equipo tiene el token y reidentifica registros solo cuando la ley lo exige. Este diseño dividido es el único enfoque seguro para flujos de trabajo clasificados en equipo.
El modelo de conocimiento cero va un paso más allá. El token se crea en el dispositivo cliente. Nunca se transmite. Aunque el proveedor sea citado a declarar, no puede entregarlo. Nunca lo tuvo. Esto satisface los requisitos de custodia del token en muchos entornos clasificados.
Separación de tokens según el CEPD
Las directrices CEPD 05/2022 exigen que el token de pseudonimización se conserve por separado. No debe estar con la misma parte que posee los registros pseudonimizados. O debe estar protegido por controles que impidan a esa parte leer registros y token al mismo tiempo.
Tres propiedades juntas satisfacen esta regla:
- Token creado en el dispositivo cliente — nunca transmitido
- Todo el procesamiento es local — nada sale del sitio en air gap
- Salida y token exportados por separado — dos archivos, dos rutas
Este diseño cumple la regla del CEPD y la restricción de air gap al mismo tiempo.
Para una visión completa, nuestra descripción de seguridad muestra cómo el procesamiento local elimina la cadena de terceros. Nuestra guía de cumplimiento cubre las reglas de transferencia del RGPD. Consulte nuestras FAQ para ayuda de despliegue.
Para instalaciones con una conexión controlada pero no completamente air-gapped — donde se permite una única conexión de confianza — la aplicación Desktop de anonym.legal también funciona localmente, pero la detección de PII se ejecuta en los servidores de anonym.legal: la aplicación no incluye modelos de detección y necesita conexión a internet. Soporta Windows, macOS y Linux. Su lista de permitidos limita esa conexión únicamente a anonym.legal; ningún dato va a ningún otro sitio.
Actualizado para 2026
Fuentes
- Directrices CEPD 05/2022: Pseudonimización y separación de tokens — VERIFIED-EXTERNAL
- IAPP 2024: Reversibilidad de herramientas de anonimización — FLAGGED
- LocalAI Master: IA en air gap para entornos sensibles — VERIFIED-EXTERNAL