La ciudadanía te confió sus datos. Las herramientas de IA están a un solo clic de pegar.
En ministerios, organismos, ayuntamientos y entidades públicas, el personal ya usa IA para redactar cartas, resumir expedientes y traducir documentos. El riesgo es lo que pega en ella: fichas de ciudadanos, números de identidad, expedientes, documentos confidenciales. Tracehold revisa lo que se envía a herramientas de IA y, según tu política, observa, avisa, redacta o bloquea. Si no encuentra nada sensible, el mensaje pasa.
Tracehold lo detecta antes de que salga del navegador:
La extensión revisa el prompt y los archivos adjuntos antes de que se envíen.
Metadatos del evento (tipo de dato, gravedad, destino, acción) más una muestra enmascarada del valor. Guardar el contenido está desactivado por defecto.
Se ejecutan en la extensión de navegador, que reconoce más de 300 dominios de herramientas de IA.
Creada y alojada en la UE. La página de Seguridad explica qué recibe la consola y dónde se ejecuta.
La IA en la sombra no respeta las fronteras entre departamentos
La IA generativa no llegó a través de un proceso de compra pública, sino a través del navegador, en cada mesa, en cada organismo, todos a la vez. Útil, rápida y a un solo pegado de enviar datos de la ciudadanía a un servicio fuera de tu control. La intención casi siempre es inocente. La exposición no lo es.
Datos de ciudadanos y expedientes
Un trabajador social pega un expediente completo de un ciudadano (nombre, DNI/NIE, dirección, prestaciones o notas de salud) en una herramienta de IA para redactar una respuesta. Un funcionario resume el expediente de un solicitante. En ambos casos, datos personales que salen del control público.
Documentos confidenciales
El personal introduce memorandos internos, anteproyectos de ley, expedientes de contratación e informes restringidos en herramientas de IA para «resumir esto» o «mejorar la redacción». Información sensible de políticas y datos personales van directos a un mensaje.
Dispersión entre organismos
Decenas de departamentos, agencias y entidades locales adoptan la IA a su propio ritmo y sin una visión centralizada, así que nadie puede responder a la pregunta básica: ¿quién envía qué a qué herramienta de IA?
Construido para reconocer los datos que un organismo público no puede permitirse perder
Con más de 1.600 reglas que se ejecutan en la extensión de navegador, Tracehold reconoce datos con una forma reconocible, como números de identidad, IBAN, números de tarjeta y credenciales.
Datos de ciudadanos y personales
Números de identidad de varios países (el PPS de Irlanda, el NIR de Francia, el BSN neerlandés, el DNI/NIE español), IBAN y números de tarjeta, validados con su dígito de control. Los nombres sueltos no son un hallazgo, y los términos de salud solo se marcan si hay un identificador personal cerca. El texto libre requiere el clasificador LLM opcional (plan Governance, beta).
Documentos confidenciales
Documentos con marcas como STRICTLY CONFIDENTIAL, TOP SECRET o DO NOT DISTRIBUTE, o con tus propias palabras clave. Un «CONFIDENCIAL» o «SECRETO» suelto no es una marca que el motor reconozca, y el motor no lee un memorando para decidir que es confidencial.
Credenciales y claves
Claves de API, tokens de acceso, contraseñas, claves privadas y cadenas de conexión ocultas en código o configuraciones pegadas, detectadas antes de que lleguen a un asistente de IA y pasen a ser de otro.
Lo detecta en origen
La detección se ejecuta en el navegador, antes de que el mensaje se envíe a una herramienta de IA: texto escrito o pegado, y archivos adjuntos o subidos, incluido el texto que se lee de las imágenes con OCR en el navegador. La consola recibe metadatos del evento más una muestra enmascarada del valor; guardar el contenido está desactivado por defecto. La extensión de navegador no necesita proxy.
Avisar, redactar o bloquear, según tu política
Los casos de bajo riesgo reciben un aviso claro. La parte sensible puede eliminarse para que el resto continúe. Los pegados de alto riesgo se bloquean directamente, con un mensaje que explica el motivo, para que el personal aprenda, no solo se detenga.
Cubre todo el puesto de trabajo
Más allá de la extensión de navegador, el agente de Windows cubre unidades USB, impresión y capturas de pantalla de documentos de Office protegidos, y el agente de Linux cubre herramientas de IA de terminal como Claude Code y Codex, de modo que la protección sigue al trabajo, no solo a una pestaña.
Palabras clave que tú decides vigilar
Añade tus propias palabras clave (nombres de organismos y departamentos, nombres en clave de proyectos confidenciales, cargos designados, contratistas clave) y Tracehold las marca cuando aparecen en un mensaje o en un archivo adjunto, además de las reglas incorporadas.
Creada y alojada en la UE, con una explicación clara de lo que nos llega
Para un organismo público, dónde vive la herramienta importa tanto como lo que hace. Tracehold se crea y se aloja en la UE, y los datos de cada organización están aislados con Row-Level Security. En la extensión de navegador, por defecto el texto del mensaje no se envía a la consola.
Construido y alojado en la UE
Tracehold se crea y se aloja en la UE. La página de subencargados indica quién trata datos por nosotros.
Solo funciones opcionales
En la extensión de navegador, el texto del mensaje solo se envía a un servidor si tu organización activa el clasificador LLM opcional (plan Governance, beta; texto en tránsito, sin almacenarse) o la captura de contenido de los hallazgos.
Qué recibe la consola
Metadatos del evento (tipo de dato, gravedad, destino, acción) más una muestra enmascarada del valor. Guardar el contenido está desactivado por defecto.
Creada y alojada en la UE
Los datos de cada organización están aislados con Row-Level Security. En un despliegue gestionado, la consola recibe metadatos del evento más una muestra enmascarada del valor, no la ficha del ciudadano.
El uso descontrolado de IA afecta a todos los marcos normativos a los que responde un organismo público
Los organismos públicos están sujetos a algunas de las obligaciones más estrictas de Europa. Un mismo pegado puede infringir más de una normativa a la vez, y en España, el Esquema Nacional de Seguridad eleva aún más el listón.
GDPR
Pegar los datos personales de un ciudadano en una herramienta de IA pública puede constituir una transferencia ilícita a un tercero. Revisarlo antes del envío ayuda a que ese dato no salga del control público.
NIS2
Las administraciones públicas entran en el ámbito de una gestión y rendición de cuentas más estrictas del ciber-riesgo. Demostrar control sobre cómo salen los datos hacia herramientas de IA, respaldado por un rastro de auditoría, forma parte de demostrar que gestionas ese riesgo.
ENS (España)
El Esquema Nacional de Seguridad no es uno de los seis marcos que asigna el producto y no forma parte de la puntuación de cumplimiento. Hay un informe básico heredado disponible solo por la API, que hace referencia a algunas de sus medidas; no es una evaluación ni una certificación.
Ley de IA de la UE
A medida que los servicios públicos adoptan la IA, necesitas saber dónde y cómo se usa, y gobernarla. Governance asigna los hallazgos a 8 controles, como el art. 26 (sistemas de IA en uso por quien los despliega), el art. 12 (conservación de registros) y el art. 14 (supervisión humana).
Un mapeo de cumplimiento que puedes presentar a dirección y a los auditores
En el plan Governance, Tracehold asigna los hallazgos a 39 controles de seis marcos (RGPD, la Ley de IA de la UE, DORA, NIS2, ISO 27001 y SOC 2) y exporta un informe de cada uno, en PDF o CSV. Apoya tus auditorías; no es asesoramiento legal ni una certificación.
Riesgo, no teatro
El mapeo refleja lo que tu personal está haciendo realmente con la IA hoy: qué se detecta, con qué frecuencia, con qué gravedad, y no una lista de comprobación puntual desactualizada a la hora de comer.
Evidencia bajo demanda
Cada hallazgo se guarda como un registro de su tipo, gravedad, destino y acción, con una muestra enmascarada del valor y no el texto completo, para que puedas demostrar a un auditor cómo se controla el uso de la IA sin exponer los datos de fondo.
Apoyo para tus auditorías, no una certificación
La asignación es un criterio de producto sobre qué detecciones evidencian qué obligación. Apoya tus auditorías; no es asesoramiento legal ni una certificación. Revísala con tu equipo de cumplimiento.
De «creemos que estamos bien» a «aquí tienes el panorama»
La mayoría de los organismos públicos no pueden responder a una pregunta sencilla de dirección: ¿cuántos datos de la ciudadanía están yendo a la IA ahora mismo, en todos nuestros organismos? El mapeo de cumplimiento la responde y muestra la tendencia a medida que tus controles hacen efecto.
Los informes de RGPD, Ley de IA de la UE, DORA, NIS2, ISO 27001 y SOC 2 vienen con el plan Governance, en PDF o CSV. Descubre el cumplimiento en profundidad →
Sin proxy, sin cirugía de red.
Un organismo público no puede incorporar un nuevo proxy en línea en su red a la ligera. La extensión de navegador no necesita proxy ni cambios de red, y la distribuyes con la gestión de dispositivos que ya usas.
Distribuido a través de tu MDM
La consola genera los archivos de política gestionada (.reg, .ps1, .json) y el MSI, y hay una guía de Microsoft Intune. Los paquetes y la política salen de la consola; tu MDM o GPO hace el despliegue.
Empieza solo con observación
Observa e informa sin bloquear a nadie. Ves qué se habría detectado y dónde está tu exposición real en todos los organismos antes de activar avisos, redacción o bloqueo.
Se integra en tu ecosistema
Inicio de sesión con OIDC o LDAP/AD. Los hallazgos de la extensión de navegador van a tu SIEM por HTTPS (Splunk HEC o CEF) y las alertas van a Slack, Microsoft Teams o una URL de webhook propia.
Empieza gratis, escala hacia el gobierno del dato
Empieza con la extensión gratuita y añade visibilidad gestionada e informes de cumplimiento cuando estés preparado.
Free
La extensión de navegador gratuita no necesita cuenta y es para una persona. No tiene consola ni políticas.
Ver qué incluyeInsight
Visibilidad gestionada sobre la exposición a la IA en todos tus organismos: la consola, políticas para bloquear, avisar o redactar, y escaneo de archivos.
Ver InsightGovernance
Todo lo de Insight, más informes de cumplimiento asignados a seis marcos, espacios multi-tenant y el motor de detección por LLM (beta).
Habla con nuestro equipoLo que preguntan primero los compradores del sector público
¿Llegan los datos de la ciudadanía a Tracehold?
¿Necesitamos un proxy o cambios de red?
¿Crea Tracehold un nuevo riesgo de soberanía?
¿Cómo ayuda con el RGPD, NIS2 y la Ley de IA de la UE?
¿Cubre Tracehold el Esquema Nacional de Seguridad?
¿Puede cubrir muchos organismos y departamentos a la vez?
¿Tiene Tracehold alguna certificación?
¿Qué plan necesitamos?
Descubre lo que tu organización ya está enviando a la IA
Inicia un piloto solo de observación y obtén una imagen clara y honesta de dónde se están filtrando los datos de la ciudadanía y los documentos confidenciales hacia herramientas de IA, en todos tus organismos, sin ninguna interrupción para tu personal.