X

Las conversaciones con Grok no están cifradas de extremo a extremo y se guardan en una forma que la empresa puede leer.

Las preguntas frecuentes de SpaceXAI dicen que un número limitado de personal autorizado puede revisar las conversaciones con Grok (para mejorar los modelos, investigar usos indebidos y cumplir obligaciones legales).

El chat cifrado de X (XChat) guarda las claves privadas de los usuarios en los servidores de X, cifradas con un PIN de cuatro dígitos, y los investigadores de seguridad y los criptógrafos desaconsejan fiarse de él hasta que se audite de forma independiente.

X es una red social financiada con publicidad, y su propietaria, SpaceXAI, además entrena y gestiona la IA Grok con las publicaciones públicas y los datos de interacción de los usuarios de X.

La edición de imágenes de Grok se usó de forma generalizada para crear imágenes sexualizadas de personas reales, incluidas mujeres y, en algunos casos, menores, a partir de sus fotos, lo que dio lugar a investigaciones de la Comisión Europea y de Ofcom, en el Reino Unido.

A mediados de enero de 2026, X dijo que había impedido que Grok, en X, editara imágenes de personas reales para ponerles ropa reveladora, y que había bloqueado geográficamente esa generación donde es ilegal. Según la prensa, la app y el sitio web independientes de Grok no estaban incluidos al principio. Ambas investigaciones seguían abiertas en la última comprobación.

Forbes descubrió que más de 370.000 conversaciones de Grok compartidas con el botón «compartir» habían sido indexadas por Google y otros buscadores; a los usuarios no se les avisó con claridad de que compartirlas las hacía públicamente localizables.

Un fallo de la API de Twitter, corregido en enero de 2022, permitió a unos atacantes vincular direcciones de correo y números de teléfono a cuentas; Twitter confirmó que de ese modo se recopilaron datos de 5,4 millones de cuentas. En enero de 2023 se publicó en internet una lista con las direcciones de correo de más de 200 millones de usuarios, que unos investigadores relacionaron con el mismo fallo, aunque Twitter dijo que no encontró indicios de que los datos procedieran de la explotación de sus sistemas.

La Data Protection Commission de Irlanda abrió en diciembre de 2022 una investigación sobre los conjuntos de datos de 5,4 millones de usuarios.

Twitter corrigió el fallo de la API en enero de 2022, pero los datos extraídos ya se habían recopilado.

Twitter aceptó pagar una sanción civil de 150 millones de dólares para cerrar las acusaciones de la FTC y del Departamento de Justicia de que usó los números de teléfono y las direcciones de correo que la gente había dado para la seguridad de su cuenta con el fin de dirigirle anuncios.

Según la FTC, la práctica duró de 2013 a 2019 y afectó a más de 140 millones de usuarios. El acuerdo fue una orden aprobada por un tribunal y presentada por el Departamento de Justicia en nombre de la FTC; Twitter no admitió irregularidades.

X recoge tus publicaciones, tus mensajes directos (incluido su contenido en el caso de los no cifrados), tus interacciones y datos del dispositivo; SpaceXAI recoge tus peticiones a Grok, los archivos que subes y la información de tu cuenta, y usa las publicaciones públicas y los datos de interacción de X. Las dos empresas pueden compartir datos entre sí como entidades vinculadas.

Grok ofrece un modo de chat privado cuyas conversaciones no se usan para entrenamiento y se borran en 30 días, y un ajuste «Improve the model» para negarse al entrenamiento.

En 2024, X activó por defecto un ajuste que le permitía usar las publicaciones públicas de la gente para entrenar a Grok. La Data Protection Commission de Irlanda llevó a X ante el Tribunal Superior, y X aceptó dejar de tratar para el entrenamiento de Grok las publicaciones de usuarios de la UE/EEE recogidas entre el 7 de mayo y el 1 de agosto de 2024; el regulador abrió en abril de 2025 una investigación formal sobre esta práctica al amparo del RGPD.

Puedes descargar un archivo de tus datos de X y desactivar tu cuenta.

X publica informes de transparencia, que incluyen las solicitudes gubernamentales, aunque los interrumpió después de 2022 antes de publicar un informe global en 2024.

Como empresa estadounidense, a X se la puede obligar, según la ley de EE. UU., incluida la CLOUD Act, a entregar los datos que tiene, estén donde estén almacenados.