Las cuentas de IA sin correo suenan privadas. Para un equipo: sin aviso de incidentes, sin recuperación, sin offboarding y menos anonimato del prometido.
Una cuenta de IA sin correo se vende como privacidad. A una empresa le quita la dirección para un aviso de incidente, la recuperación de la cuenta y la manera de retirarle el acceso a quien se va. Además esconde menos de lo que la oferta da a entender. Drael es el ejemplo más claro que conocemos, y no pondríamos a un equipo a trabajar sobre él.
Datos recogidos el 9 y el 10 de noviembre de 2026 en la página de privacidad de Drael, su documentación de cuenta y su página de inicio, y en los precios de NotHoly. No creamos una cuenta en Drael.
La página de privacidad de Drael la describe así: "An account is a name you choose, a code, and a key derived from your name and password that only exists to recover the code." Una cuenta es un nombre que eliges, un código y una clave derivada de tu nombre y tu contraseña que solo existe para recuperar el código. La página de inicio lo convierte en una de sus tres cifras destacadas, ningún dato personal, y en una promesa: "No email is asked, so there is nothing here to leak or to sell." (no se pide correo, así que no hay nada que filtrar ni que vender).
Toda la recuperación cabe en una frase de los términos: "if you lose both, your history cannot be recovered by anyone, us included." Si pierdes las dos cosas, nadie puede recuperar tu historial, tampoco Drael. No hay enlace de restablecimiento porque no hay adónde enviarlo.
Que no haya correo no quiere decir que nadie vea nada. La misma página de privacidad enumera quién ve qué.
| Quién | Qué ve, en palabras de Drael |
|---|---|
| El CDN que está delante del sitio | "sees your address and the traffic passing through it" |
| El procesador de tarjetas | Recibe tu dirección de red "for its own fraud checks" |
| El proveedor de pagos | "sees the payment and whatever you give it to pay" |
| El servidor de Drael, durante el uso | "holds your key in memory, because the model has to read the conversation" |
| El monitoreo de Drael | Ruta, tiempos, errores "and the account's internal id" |
| El servicio de consulta de filtraciones | "the identifier you asked about" |
| Los sitios que le pides descargar | "a request from our server" |
La afirmación sobre el cifrado trae su propio límite: "it protects what is stored, not a conversation while it is happening." Protege lo almacenado y no una conversación en curso. Así que la cuenta no tiene correo, y aun así el operador maneja tus prompts en claro mientras trabajas, existe un rastro de pago y el libro contable sobrevive al borrado "because accounting records have to be kept", porque los registros contables hay que conservarlos.
El intercambio, además, va en un solo sentido. Drael no sabe nada de ti y tú no sabes nada de Drael: sus términos no nombran empresa, dirección ni ley aplicable. Pensamos que un cliente anónimo que le compra a un vendedor anónimo ha cedido más de lo que ganó.
Todo lo que un equipo de seguridad hace con una cuenta de proveedor da por supuesta una identidad detrás.
| Necesidad | Con una cuenta sin correo en Drael |
|---|---|
| Aviso de incidente o de brecha | No hay dirección a la que enviarlo |
| Recuperación tras perder una credencial | Ninguna; si pierdes el código y la contraseña, el historial desaparece |
| Offboarding de un contratista | Sin organización ni roles en la documentación pública; la persona se queda con la cuenta |
| Prueba de quién ejecutó qué | Un alias que eligió el usuario |
| Facturación a una empresa | Una referencia de pago; el vendedor no tiene nombre |
| Escalar un equipo | Cuatro respuestas a la vez por cuenta; la documentación sugiere "separate accounts" |
El NIST SP 800-115 espera que los datos de una prueba se recojan, se almacenen y se destruyan según reglas documentadas que firman la dirección y quien lidera la prueba. Una cuenta que pertenece a quien tenga un código no cabe dentro de reglas así.
Las cuentas de IA sin gestionar son el problema que los equipos de seguridad intentan eliminar. El Verizon 2026 DBIR informa de que el 45% de los empleados usa IA de forma habitual en dispositivos corporativos y de que el 67% de los usuarios en dispositivos corporativos lo hace con cuentas no corporativas. El informe de 2026 de Netskope cuenta 223 violaciones de política de datos en GenAI por organización al mes, con el código fuente como el tipo de dato más frecuente, un 42%.
Una cuenta sin correo solo puede ser una cuenta personal. Una empresa no puede reclamarla, monitorearla ni cerrarla. En la Stack Overflow Developer Survey 2026, el 13,0% de los encuestados (n=13.857) cita la privacidad o la seguridad como motivo para evitar la IA, y una herramienta que saca a la organización de la cuenta no responde a esa preocupación.
Pregunta quién recibe el aviso de brecha. Pregunta cómo se revoca el acceso cuando alguien se va. Pregunta a qué persona jurídica le estás pagando. Pregunta qué pasa con el trabajo si una persona pierde una contraseña. En Drael, las respuestas que dan las páginas públicas son: nadie, no se revoca, no se sabe y se pierde.
NotHoly exige un correo, y no prometemos anonimato. A cambio, la consola tiene organizaciones, roles, espacios de trabajo, claves con límites y un registro de auditoría, y los términos nombran a la empresa con la que tratas. El contenido de la API no se graba, solo los metadatos; el historial del chat se guarda salvo que elijas un chat efímero. Un equipo puede dar de baja a un miembro y conservar el trabajo.
Si tu requisito es que el proveedor no conozca tu correo, NotHoly no lo cumple.
Una cuenta sin correo encaja con una persona que quiere seguir siendo desconocida para el vendedor y no carga con nada de lo que dependa otra gente. No encaja con ningún equipo: no hay dirección para un aviso de incidente, no hay recuperación y no hay forma de dar de baja a quien se va. NotHoly exige un correo y no promete anonimato; a cambio, un equipo tiene organizaciones, roles, claves con límite y un registro de auditoría, y puede quitar a un miembro y conservar el trabajo.
Sí. Drael abre una cuenta con un nombre, una contraseña y un código, y permite tres sesiones gratuitas por dirección cada 24 horas.
No. En Drael, el CDN ve tu dirección, el proveedor de pagos ve el pago y el servidor tiene tu clave en memoria mientras lo usas.
Los términos dicen que el historial "cannot be recovered by anyone, us included": nadie puede recuperarlo, ni ellos.
Puede pagarla. No puede administrarla, recibir avisos en ella ni quitársela a un empleado.
No. El correo es obligatorio.
"Sin correo" es un eslogan dirigido a una persona que quiere seguir siendo desconocida para el vendedor. Lo consigue a medias, y elimina todos los controles que necesita un equipo. En Drael viene acompañado de un vendedor tan anónimo como el comprador. Para trabajar con un cliente, elige la cuenta que puedas administrar: por qué un profesional no lleva engagements a Drael tiene la lista de comprobación completa, y los precios de NotHoly empiezan en US$ 5.
Seguridad y gobernanza de IA
Términos de servicio de Drael, cláusula por cláusula: operador sin nombre, sin ley aplicable, pagas la defensa del operador y reembolsos solo en crédito.
Seguridad y gobernanza de IA
La inyección de prompt hace que un texto de entrada a un LLM actúe como instrucción. Ataques directos e indirectos y defensas en capas.
Seguridad y gobernanza de IA
Cuatro riesgos de los asistentes de IA en seguridad, un método para controlarlos y un laboratorio que contrasta un resumen de CVE con NVD y KEV.
