El 30 de julio Google amplió Gemini Spark a más de 160 países. El Espacio Económico Europeo no está en la lista, ni el Reino Unido, ni Suiza. Si diriges sistemas en una organización española, la tentación es archivar la noticia en la carpeta de «ya veremos». El agente no necesita estar disponible en Vigo para tocar tus datos. Le basta con una sesión abierta en el navegador de alguien que trabaje contigo.
Qué ejecuta Spark cuando nadie mira
Spark no es el chat de Gemini con otro nombre. Es un agente que corre en infraestructura de Google sobre tres primitivas: tareas (el objetivo), schedules (disparadores por tiempo o por evento) y skills (instrucciones reutilizables que Google guarda como ficheros SKILL.md). Puede mantener hasta 15 tareas en ejecución simultánea y opera contra Gmail, Calendar, Drive, Docs, Sheets, Slides, Keep y Tasks, además de conectores de terceros como Dropbox, Canva, Instacart, OpenTable o Zillow.
La pieza que cambia el modelo de amenaza es Chrome auto browse. Con permiso del usuario, Spark conduce el navegador local. La documentación de Google lo dice sin rodeos: el agente tiene acceso a los mismos sitios que el usuario, incluidos aquellos con sesión iniciada, y puede usar credenciales guardadas en Password Manager para autenticarse. Cuando no usa el navegador local, usa uno remoto que conserva cookies de autenticación entre sesiones «para tu comodidad».
Y un requisito que casi nadie ha leído: Spark exige cuenta personal de Google. No funciona con cuentas de trabajo ni de centro educativo. El agente que puede leer tu CRM a través del navegador está gobernado por una cuenta que tu consola de administración no ve.
Una identidad no humana que tu IdP no registra
Esto no es un service account. No hay client_id, no hay scopes que revocar desde tu panel, no hay token que caducar. Spark toma prestada la sesión de la persona. En tu SIEM, las acciones aparecen como acciones del empleado, desde el navegador del empleado, con el agente de usuario del empleado.
El ENS exige identificación singular y trazabilidad de quién hizo qué. Google Cloud y Workspace están certificados en ENS Categoría Alta, pero el alcance de una certificación es el servicio certificado. Un agente de consumo que actúa con la sesión de un usuario desde una cuenta personal está fuera de ese alcance, y quien tiene que demostrarlo ante el auditor no es Google.
Lo que Google documenta, en su propia página de soporte
Nada de lo que sigue es análisis de terceros. Sale del centro de ayuda de Gemini y del blog de seguridad de Chrome.
| Comportamiento documentado | Consecuencia operativa | Control real disponible |
|---|---|---|
| Auto browse accede a todo sitio con sesión iniciada en el Chrome local | Cualquier SaaS corporativo abierto en ese perfil queda al alcance del agente | Separación de perfiles, política de Chrome Enterprise |
| El navegador remoto guarda cookies de autenticación entre sesiones | Material de sesión persistente en infraestructura de terceros | Borrado manual desde ajustes de Spark |
| Google Tasks admite acciones masivas sin confirmación del usuario | Escritura sin human-in-the-loop en al menos un servicio | Revisión posterior en Google Tasks |
| Un schedule que se dispara con el usuario offline puede no ser detenible | Ventana de ejecución sin supervisión, de duración indeterminada | Pausar schedules; apagar Spark |
| La inyección indirecta de prompts es la amenaza principal reconocida | Contenido de una web, un correo o un .md puede redirigir al agente | Defensa por capas del proveedor |
Sobre ese último punto conviene ser justo: Google ha invertido en arquitectura, no en marketing. Un User Alignment Critic aislado del contenido no confiable veta acciones desalineadas, los Agent Origin Sets limitan los orígenes de lectura y escritura por tarea, y el programa de recompensas paga hasta 20.000 dólares por demostrar una ruptura de esos límites. El propio equipo de Chrome cierra su artículo reconociendo que la seguridad de agentes web sigue siendo un dominio emergente. Traducido a lenguaje de guardia: hay mitigación, no hay garantía.
El perímetro que sí controlas hoy
Tu organización no puede impedir que Google lance un producto. Sí puede decidir qué toca ese producto. Cinco medidas con criterio medible, ordenadas por coste de implantación:
- Separación de perfiles de navegador. Perfil corporativo gestionado para SaaS de negocio, perfil personal para lo demás. Criterio: cero sesiones de SaaS corporativo en perfiles no gestionados. Coste: política de Chrome Enterprise y una semana de fricción con los usuarios.
- Inventario de identidades no humanas. Toda automatización que actúe sobre datos de la organización, con dueño, alcance y fecha de revisión. Criterio: ninguna acción en el log sin identidad atribuible distinta de la persona.
- Política de agentes escrita. Qué categorías de dato pueden pasar por un agente de consumo y cuáles no. Criterio: la política existe, está firmada y define excepciones; no basta con prohibir por correo.
- Detección de escritura anómala en SaaS. Alertas por volumen y por horario en Drive, correo y CRM. Criterio: una acción masiva fuera de horario genera alerta en menos de 15 minutos.
- Alternativa interna usable. Si no ofreces automatización, el empleado la trae de casa. Criterio: existe un camino aprobado para las tres tareas repetitivas que más tiempo consumen en cada equipo.
La quinta es la que más gente se salta y la única que cambia el comportamiento.
La ausencia europea es una posición en la cola
Google no ha publicado el motivo de la exclusión del EEE. Aquí va una tesis, no un hecho: la combinación de RGPD, Reglamento de IA y DMA convierte a un agente que actúa con credenciales del usuario en un producto caro de defender jurídicamente, y Google prefiere madurarlo en mercados menos exigentes. El precedente apoya la lectura. Australia, Canadá, India y Japón estaban en la lista de exclusión en junio y salieron de ella entre julio y agosto. Europa no está vetada. Está esperando turno.
Quien lea eso como un respiro habrá entendido lo contrario de lo que dice el calendario. El tiempo que da la exclusión geográfica se gasta escribiendo la política y midiendo la exposición, o no se gasta en nada.
El Imperativo Estratégico
La pregunta que un CISO debería poder responder mañana no es si Gemini Spark es seguro. Es esta: si un agente de consumo condujera hoy el navegador de un empleado con sesión abierta en tu CRM, ¿lo verías en el log, y cuánto tardarías en verlo? La mayoría de las organizaciones no tiene esa respuesta, porque su inventario de identidades cubre personas y service accounts, y los agentes no son ninguna de las dos cosas.
En Pumpún hacemos ese trabajo como auditoría de exposición: mapa de perfiles de navegador, inventario de identidades no humanas, revisión de permisos OAuth vivos en tu Workspace o Microsoft 365, e informe con la superficie real y el orden en que conviene cerrarla. Dos semanas, evidencias, sin sustituir a tu equipo. Lo que salga de ahí sirve igual para el ENS que para la conversación con dirección.