Robot en casa: datos, seguridad y cómo protegerte (2026)

Un robot en casa ve, oye y recuerda más que una cámara de vigilancia: tiene cámaras, un LiDAR que reconstruye el plano de las habitaciones, micrófonos para las órdenes de voz y, en los modelos con 4G, un GPS. Estos datos pasan por la app del fabricante y a menudo por sus servidores. Entre 2025 y 2026 los investigadores han documentado en algunos robots Unitree el envío de telemetría hacia servidores en China y fallos que permiten tomar el control por Bluetooth; el 28/07/2026 la FCC estadounidense bloqueó las nuevas autorizaciones para los robots humanoides y cuadrúpedos chinos, mientras que en Europa no hay una medida equivalente. No hace falta renunciar al robot: hacen falta una red Wi-Fi separada, el Bluetooth apagado tras la configuración, las actualizaciones instaladas y atención a lo que se graba. Aquí están los hechos, con las fechas, y las contramedidas.

Qué registra un robot: cámaras, LiDAR, micrófonos, mapas de la casa, posición GPS/4G

Los sensores declarados por los fabricantes, del catálogo de Robolero (verificado el 18/09/2026):

El LiDAR no hace fotos, pero construye un mapa tridimensional de la casa: paredes, muebles, puertas. Unido a la cámara, es un plano detallado de dónde vives. Con el 4G y el GPS, Go2 Pro y Go2 X son alcanzables y localizables también fuera de tu Wi-Fi.

Adónde van los datos: app, nube del fabricante, servidores en el extranjero (el caso de la telemetría de Unitree)

Todos los robots de la tabla se configuran desde una app con cuenta; a partir de ahí el recorrido de los datos depende del fabricante, y no siempre está declarado.

El caso mejor documentado es el del Unitree G1. En el informe «Cybersecurity AI: Humanoid Robots as Attack Vectors» (septiembre de 2025), Víctor Mayoral-Vilches (Alias Robotics), Andreas Makris y Kevin Finisterre analizaron el tráfico de un G1 y encontraron conexiones MQTT persistentes hacia los servidores 43.175.228.18:17883 y 43.175.229.18:17883, con flujos de 1,03 y 0,39 Mbps (ZME Science, 27/09/2025): audio, vídeo, datos de los sensores, coordenadas GPS, batería y articulaciones, aproximadamente cada cinco minutos, sin avisar al usuario (Interesting Engineering, 01/10/2025). Las conexiones van cifradas; los investigadores leyeron el contenido antes del cifrado (RoboticsBiz, 11/08/2026).

Unitree lo rebate: dice que no recoge datos privados ni sensibles sin autorización, y ninguna auditoría independiente ha zanjado la cuestión (Humanoid.guide, 05/09/2026). El punto, tal como lo plantean los investigadores, no es el espionaje sino el consentimiento: quien tiene el robot en casa, ¿sabe qué sale y adónde va?

Para los demás fabricantes el panorama está menos documentado. La política de privacidad de KEYi (Loona), actualizada el 05/02/2023, no indica dónde se conservan los datos ni si las peticiones de voz pasan por terceros: n.d. Xiaomi vende el CyberDog 2 solo en China, con app y asistencia chinas.

Los fallos conocidos: UniPwn (septiembre de 2025), las CVE de 2026 y el estado de los parches a 18/09/2026

UniPwn cambió la conversación. Los robots Unitree reciben las credenciales del Wi-Fi por Bluetooth Low Energy durante la configuración; la interfaz no filtra lo que recibe y todas las unidades comparten la misma clave de cifrado, ya publicada en línea. Basta cifrar la palabra «unitree» con esa clave para hacerse pasar por usuario autorizado e inyectar órdenes con privilegios de root. Un robot comprometido puede buscar otros Unitree dentro del alcance del Bluetooth e infectarlos por sí solo (Interesting Engineering, 01/10/2025; Archyde, 26/09/2025).

Las dos CVE de 2026, halladas por Olivier Laflamme en el G1 EDU, pasan una por Bluetooth y la otra por un puente de red sin autenticar con una clave AES estática. Esta vez Unitree respondió: validó los avisos, pagó 5.000 $ de recompensa el 06/08/2026, corrigió un fallo en la API de la nube y publicó el firmware 1.5.5.0 el 01/09/2026 (Boschko, 27/08/2026). La CVE-2026-8153 no afecta a los robots domésticos, pero muestra el problema del sector: los límites de seguridad de un robot son software, y el software se puede reescribir (RoboticsBiz, 11/08/2026).

Qué han hecho las autoridades: la decisión de la FCC en EE. UU. (julio de 2026) y qué rige en la UE (Reglamento de IA, RGPD)

Estados Unidos. El 28/07/2026 la FCC incluyó en la «Covered List» los robots humanoides y cuadrúpedos chinos y los inversores conectados, citando a Unitree y UBTech: los nuevos modelos no pueden obtener la autorización para importación, venta y comercialización. No es retroactivo: los robots ya en uso siguen en uso, con sus fallos (Tech Times, 28/07/2026).

Unión Europea. Ninguna medida específica (Humanoid.guide, 05/09/2026). Rigen las normas generales, leídas en EUR-Lex el 18/09/2026:

• Reglamento de IA, Reglamento (UE) 2024/1689: se aplica desde el 02/08/2026 (art. 113). El art. 50 exige que quien interactúa con un sistema de IA sea informado de ello, salvo que resulte evidente. Un robot que habla con ChatGPT entra en el supuesto.
• Reglamento de Ciberresiliencia, Reglamento (UE) 2024/2847: desde el 11/09/2026 los fabricantes deben notificar las vulnerabilidades explotadas activamente, con un primer aviso en 24 horas (art. 14); el resto se aplica desde el 11/12/2027 (art. 71).
• Reglamento de Máquinas (UE) 2023/1230: se aplica desde el 14/01/2027 (art. 54).
• RGPD: para el uso en casa con fines exclusivamente personales no se aplica (FAQ 12 del Garante italiano de protección de datos); se aplica a quien fabrica el robot y trata sus datos en sus propios servidores, estén donde estén.

Robots con ChatGPT y teleoperación: quién escucha (Loona) y quién mira (NEO)

Loona (KEYi, 499 $ en la tienda de EE. UU., 549 € en la tienda italiana) tiene cuatro micrófonos, una cámara 720p y conversa mediante ChatGPT, que funciona en la nube: la voz sale de casa por fuerza. KEYi escribe que «la mayor parte posible del procesamiento de datos la hace directamente Loona» (keyirobot.com, 18/09/2026), pero no dice dónde están los servidores ni quién recibe las peticiones de voz. Un robot que reconoce caras y permanece a la escucha para oír su nombre es un micrófono siempre encendido en el salón.

NEO (1X Technologies, 20.000 $ o 499 $ al mes, entregas en EE. UU. desde 2026) es el humanoide doméstico que dobla la colada. Funciona en parte con teleoperación: 1X la llama «Scheduled Expert Mode», un experto de la empresa «puede supervisar en remoto sus acciones en horarios programados» (1x.tech/neo, 18/09/2026). The Wall Street Journal, al probarlo, contó que un operador humano puede mirar dentro de casa a través de los ojos del robot; el consejero delegado dijo que la empresa necesita los datos de los usuarios para mejorarlo (Euronews, 30/10/2025). Agenda Digitale (03/08/2026) resume el riesgo: teleoperadores y archivos empresariales sacan «datos, imágenes, sonidos, hábitos y emociones» de la habitación más privada que tenemos.

Cómo protegerte: red Wi-Fi separada, Bluetooth apagado tras la configuración, actualizaciones, cuenta, qué no grabar

Las contramedidas recomendadas por los investigadores de UniPwn (Archyde, 26/09/2025; Interesting Engineering, 01/10/2025), más el sentido común de quien compra de segunda mano.

1. Red Wi-Fi separada. Red de invitados o VLAN, aislada de ordenadores, NAS y cámaras: si el robot se ve comprometido, se queda encerrado ahí.
2. Bluetooth apagado tras la configuración. UniPwn entra por el Bluetooth. Hecha la primera conexión, apágalo desde la app; si el modelo no lo permite, mantenlo alejado de los lugares concurridos (alcance del ataque de unos 30 m).
3. Actualizaciones. Instala los firmware en cuanto salgan: en el G1 EDU la 1.5.5.0 cierra las CVE de 2026. En un robot de segunda mano pregunta la versión instalada (mira la guía de segunda mano).
4. Cuenta. Un robot de segunda mano llega con la cuenta del anterior propietario desvinculada delante de ti; si no, él ve lo que ve el robot. Contraseña única para la app.
5. Nube y telemetría. Go2 Air y Pro caminan y responden a las órdenes también sin conexión: deja el robot sin internet cuando no haga falta. En el router puedes bloquear las conexiones salientes hacia direcciones que no reconozcas.
6. Qué no grabar. No apuntes cámaras y LiDAR hacia rellanos, patios, jardines de los vecinos o la calle: el Garante italiano prohíbe grabarlos (ver más abajo). En casa, mantén el robot fuera de las habitaciones donde no querrías una cámara.
7. Niños e invitados. Los micrófonos graban también a quien no ha aceptado nada: díselo a quien entre, y apaga el robot cuando no haga falta.

Qué dice la ley en Italia: remisión a la guía legal y a las FAQ del Garante sobre videovigilancia doméstica

Tener y usar un perro robot en Italia y en la UE es legal: lo explicamos en la guía legal. Para las grabaciones rigen las FAQ del Garante italiano sobre videovigilancia (garanteprivacy.it, leídas el 18/09/2026):

• FAQ 12: el uso de cámaras «en la propia vivienda con fines exclusivamente personales de control y seguridad» queda fuera del ámbito del RGPD. Los empleados domésticos y trabajadores deben ser informados de todos modos.
• FAQ 10: el ángulo de grabación «debe limitarse en todo caso a los espacios de propiedad exclusiva», excluyendo las zonas comunes (patios, rellanos, escaleras, garajes) y las zonas de terceros; «está prohibido asimismo grabar zonas públicas o de paso público».

Las FAQ no hablan de audio: para los micrófonos vale la regla prudente de no grabar a los demás sin decirlo. Para trabajo, eventos o vídeos que se van a publicar la exención doméstica decae y vuelve el RGPD completo.

ℹ️ Este artículo tiene fines informativos y no es un asesoramiento jurídico ni una auditoría de seguridad. Los fallos y las actualizaciones cambian: las fechas son las de las fuentes consultadas el 18/09/2026.

Preguntas frecuentes

¿Se puede hackear un perro robot Unitree? Sí, está documentado: UniPwn (septiembre de 2025) da acceso root vía Bluetooth a Go2, B2, G1 y H1, y dos CVE de 2026 afectan al G1 EDU. Para estas existe el firmware 1.5.5.0; para UniPwn, a 18/09/2026, ningún parche está documentado por terceros. Red separada y Bluetooth apagado reducen mucho el riesgo.

¿El robot envía mis datos a China? Para el Unitree G1 los investigadores midieron conexiones hacia dos servidores chinos con audio, vídeo, sensores y GPS aproximadamente cada cinco minutos (septiembre de 2025); Unitree niega recoger datos sensibles sin autorización. Para los demás fabricantes la política de privacidad a menudo no lo dice: n.d.

¿Puedo comprar un robot Unitree en Europa después de la prohibición de la FCC? Sí. La decisión del 28/07/2026 rige en Estados Unidos y afecta a las nuevas autorizaciones, no a los robots ya vendidos. En Europa no hay una prohibición equivalente; rigen el Reglamento de IA, el Reglamento de Ciberresiliencia, el marcado CE y el RGPD.

¿Un robot con cámara en casa viola la privacidad? No, si graba solo tus espacios con fines personales (FAQ 12 del Garante italiano). Se convierte en un problema si encuadra rellanos, patios, propiedades de los vecinos o la calle (FAQ 10), o si publicas vídeos con personas reconocibles.

¿Qué compruebo en un robot de segunda mano en cuanto a seguridad? Versión del firmware, cuenta desvinculada del anterior propietario, Bluetooth desactivable, ninguna modificación no documentada del sistema. En un Go1 de segunda mano, verifica que la puerta trasera CloudSail (CVE-2025-2894) no esté activa.

¿Quieres saber cuánto vale tu robot, con el firmware actualizado y la cuenta limpia? Haz la valoración gratuita de Robolero: modelo, año, horas y estado de la batería, y tienes la estimación en un minuto. Si luego quieres venderlo, el mercado de Robolero está abierto a particulares y distribuidores.

Fuentes

• Interesting Engineering, «Security flaw in Unitree humanoids», 01/10/2025: https://interestingengineering.com/innovation/security-flaw-unitree-humanoids-china (consultado el 18/09/2026)
• ZME Science, informe de Alias Robotics sobre el G1 (direcciones y flujos de telemetría), 27/09/2025: https://www.zmescience.com/science/news-science/cybersecurity-experts-say-these-humanoid-robots-secretly-send-data-to-china-and-let-hackers-take-over-your-network/ (18/09/2026)
• Archyde, «Unitree Robot Hack: Risks, Security & What to Do Now», 26/09/2025: https://www.archyde.com/unitree-robot-hack-risks-security-what-to-do-now/ (18/09/2026)
• RoboticsBiz, «What CVE-2026-8153 and UniPwn reveal about robot safety», 11/08/2026: https://roboticsbiz.com/robot-cybersecurity-vulnerabilities-what-cve-2026-8153-and-unipwn-reveal-about-robot-safety/ (18/09/2026)
• Tech Times, decisión de la FCC del 28/07/2026: https://www.techtimes.com/articles/321890/20260728/fcc-bans-chinese-humanoid-robots-power-inverters-linked-confirmed-backdoors.htm (18/09/2026)
• Humanoid.guide, «Unitree exhibits G1 at IFA amid unresolved security questions», 05/09/2026: https://humanoid.guide/unitree-exhibits-g1-at-ifa-amid-unresolved-security-questions/ (18/09/2026)
• Boschko, «UniBLEed» (CVE-2026-76639 y CVE-2026-76640, cronología y firmware 1.5.5.0), 27/08/2026: https://boschko.ca/g1-ble-rce/ (18/09/2026)
• MITRE CVE: CVE-2025-2894 (28/03/2025, CVSS 6,6), CVE-2026-8153 (08/05/2026, CVSS 9,8), CVE-2026-76639 (CVSS 8,8) y CVE-2026-76640 (CVSS 7,5), ambas del 27/08/2026: https://cveawg.mitre.org/api/cve/CVE-2026-76639 (18/09/2026)
• Agenda Digitale, «Robot in casa: chi vede e ascolta davvero quello che facciamo?», 03/08/2026: https://www.agendadigitale.eu/sicurezza/privacy/robot-in-casa-chi-vede-e-ascolta-davvero-quello-che-facciamo/ (18/09/2026)
• Garante per la protezione dei dati personali (Italia), FAQ sobre videovigilancia (FAQ 10 y 12): https://www.garanteprivacy.it/faq/videosorveglianza (18/09/2026)
• Euronews, «This humanoid robot does your cleaning, but a human may peek into your home», 30/10/2025: https://www.euronews.com/next/2025/10/30/sci-fi-meets-chores-this-humanoid-robot-does-your-cleaning-but-human-may-peek-into-your-ho (18/09/2026)
• 1X, página de NEO («Scheduled Expert Mode», depósito de 200 $): https://www.1x.tech/neo (18/09/2026)
• KEYi, ficha de Loona (sensores, 499 $) y política de privacidad del 05/02/2023: https://keyirobot.com/en-us/products/petbot (18/09/2026)
• EUR-Lex, Reglamento (UE) 2024/1689 (Reglamento de IA), art. 50 y 113: https://eur-lex.europa.eu/eli/reg/2024/1689/oj (18/09/2026)
• EUR-Lex, Reglamento (UE) 2024/2847 (Reglamento de Ciberresiliencia), art. 14 y 71: https://eur-lex.europa.eu/eli/reg/2024/2847/oj (18/09/2026)
• EUR-Lex, Reglamento (UE) 2023/1230 (máquinas), art. 54: https://eur-lex.europa.eu/eli/reg/2023/1230/oj (18/09/2026)
• Catálogo de Robolero, `public/models.js` (sensores, precios, estados), verificado el 18/09/2026.