Su Mac y su PC con Windows llevan un diario de todo lo que hace: cómo leerlo y cómo apagarlo

Su ordenador lleva un diario sobre usted, y no es el historial del navegador. macOS anota qué aplicación tenía delante y durante cuánto tiempo, al segundo, cuándo se encendió y apagó la pantalla, qué sitios abrió Safari y qué notificaciones recibió; en macOS 26 lo hace en dos sitios, una base de datos llamada knowledgeC y 118 flujos "Biome" que cubren el portapapeles, el Wi-Fi, la ubicación y las peticiones a Siri. Windows registra cada programa que abrió desde el menú Inicio con un contador y una marca de tiempo, los últimos ocho arranques de cada ejecutable, un mes de tráfico de red por aplicación y, en los PC Copilot+, capturas de pantalla cada pocos segundos. Nada de eso sale de la máquina por defecto, lo que tranquiliza tanto como inquieta, porque quien consigue la máquina consigue el diario. A continuación, qué se guarda, un script por sistema para leer su propia copia y qué se puede apagar.

Qué recuerda un Mac y cómo leerlo

La comunidad forense de Apple documenta knowledgeC.db desde 2018, cuando la investigadora Sarah Edwards la describió como la mejor fuente de "patrón de vida" en un Mac. Es el almacén que hay detrás de Tiempo de uso y de las sugerencias de Siri. Cada fila de su tabla ZOBJECT es un evento con un nombre de flujo, un inicio y un fin: /app/usage es la aplicación en primer plano y durante cuánto tiempo, /display/isBacklit la pantalla que se enciende o se apaga, /app/webUsage y /safari/history la navegación, /notification/usage lo que le avisó. En nuestro Mac de prueba con macOS 26.6, la base contenía 757 eventos que se remontaban a cuatro semanas en el uso de aplicaciones y a cinco meses en algunos flujos. Mostraba 113 horas en Chrome, 5,7 en Terminal, 2,4 en Telegram y una cronología completa de cuándo estuvo encendida la pantalla, hasta una sesión de tres minutos a las 21:25 de un viernes. Desde macOS Catalina, Apple ha trasladado la mayor parte a Biome, un framework que Howard Oakley describió en 2022 como la maquinaria de las sugerencias: ~/Library/Biome/streams tiene una carpeta por flujo, y los nombres de los flujos son la lista de lo que se vigila: App.InFocus, App.WebUsage, Pasteboard.Change, Device.Wireless.WiFi, Location.MicroLocationVisit, Notification.Usage, Media.NowPlaying, Siri.Query, ProactiveHarvesting.Safari.PageView, ProactiveHarvesting.Mail, ProactiveHarvesting.Messages, ProactiveHarvesting.Notes, ScreenTime.AppUsage, TextUnderstanding.Deletions.Document. Los archivos de Biome usan un formato binario llamado SEGB; las herramientas forenses lo leen, el usuario corriente no, pero su presencia y tamaño se comprueban fácilmente.

El script de abajo copia la base a una carpeta temporal (macOS bloquea el archivo activo) e imprime el resumen. Dé antes a Terminal Acceso total al disco (Ajustes del Sistema, Privacidad y seguridad, Acceso total al disco) y retírelo después si no lo necesita: ese permiso es lo que permite a cualquier aplicación leer el diario.

#!/bin/bash
# What this Mac remembers about you. Read-only.
T=$(mktemp -d)
cp ~/Library/Application\ Support/Knowledge/knowledgeC.db* "$T"/ 2>/dev/null || { echo "No access: give Terminal Full Disk Access first"; exit 1; }
DB="$T/knowledgeC.db"
echo "== Time in focus per app, last 7 days (hours)"
sqlite3 -column "$DB" "SELECT ROUND(SUM(ZENDDATE-ZSTARTDATE)/3600.0,1) AS hours, ZVALUESTRING AS app FROM ZOBJECT WHERE ZSTREAMNAME='/app/usage' AND ZSTARTDATE > strftime('%s','now','-7 days')-978307200 GROUP BY app ORDER BY hours DESC LIMIT 15;"
echo "== Screen on/off, last 15 events (local time)"
sqlite3 -column "$DB" "SELECT datetime(ZSTARTDATE+978307200,'unixepoch','localtime') AS at, CASE ZVALUEINTEGER WHEN 1 THEN 'on' ELSE 'off' END AS screen, ROUND((ZENDDATE-ZSTARTDATE)/60.0) AS minutes FROM ZOBJECT WHERE ZSTREAMNAME='/display/isBacklit' ORDER BY ZSTARTDATE DESC LIMIT 15;"
echo "== Every stream in the database: records and oldest entry"
sqlite3 -column "$DB" "SELECT ZSTREAMNAME AS stream, COUNT(*) AS records, datetime(MIN(ZSTARTDATE)+978307200,'unixepoch') AS oldest FROM ZOBJECT GROUP BY 1 ORDER BY 2 DESC;"
echo "== Biome streams that hold data"
for d in ~/Library/Biome/streams/restricted/*/local; do n=$(ls "$d" 2>/dev/null | grep -c '^[0-9]'); [ "$n" -gt 0 ] && echo "$(basename "$(dirname "$d")"): $n file(s), $(du -sh "$d" | cut -f1)"; done
rm -rf "$T"

Cómo reducirlo en un Mac

Apple no ofrece ningún interruptor que diga "dejar de registrar". Lo que existe son las funciones que alimentan esos registros, y cada una se puede apagar. Tiempo de uso es la evidente: Ajustes del Sistema, Tiempo de uso, desactívelo si no lo usa y dejará de construir su propia base de uso. Las sugerencias de Siri son la fuente mayor: Ajustes del Sistema, Apple Intelligence y Siri, "Sugerencias de Siri y privacidad", y ahí, para cada aplicación, desactive "Aprender de esta aplicación" y "Mostrar sugerencias de Siri en la aplicación"; es el ajuste que el propio texto de Apple describe como "permitir que Siri aprenda de cómo usas esta aplicación". Los almacenes knowledgeC y Biome siguen existiendo para los fines del sistema, así que el segundo paso es borrarlos cuando quiera empezar limpio: en Terminal ejecute rm ~/Library/Application\ Support/Knowledge/knowledgeC.db* y rm -r ~/Library/Biome/streams/*, y reinicie; macOS vuelve a crear almacenes vacíos. El tercer paso importa más que los dos primeros. Abra Ajustes del Sistema, Privacidad y seguridad, Acceso total al disco y lea la lista: cada aplicación que aparece puede leer el diario y todo lo demás de su carpeta personal. Mantenga FileVault activado, haga que la pantalla se bloquee a los pocos minutos y dé a los invitados su propia cuenta; los registros son por usuario, y un Mac bloqueado y cifrado no se los entrega a nadie.

Qué recuerda Windows y cómo leerlo

Windows reparte el diario en varios lugares, cada uno documentado por los peritos forenses porque cada uno sobrevive a lo que el usuario considera borrar. UserAssist, una clave de registro en HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist, registra cada programa iniciado desde el menú Inicio o el Explorador con un contador de arranques, un contador de foco y la hora del último inicio; los nombres se guardan en ROT13, un desplazamiento de letras que no oculta nada a quien lo conoce. Prefetch, en C:\Windows\Prefetch, guarda un archivo por ejecutable con sus últimos ocho arranques, hasta 1.024 programas. SRUM, el System Resource Usage Monitor en C:\Windows\System32\sru\SRUDB.dat, es el registro tras el "Historial de aplicaciones" del Administrador de tareas: alrededor de un mes de bytes enviados y recibidos y energía consumida, por aplicación, mire usted o no. El Historial de actividades, en ActivitiesCache.db dentro de su perfil local, guarda las aplicaciones, archivos y sitios que abrió; Microsoft eliminó la opción de subirlo en enero de 2024, pero la copia local sigue ahí. Y en los PC Copilot+, Recall toma "una captura de la pantalla activa cada pocos segundos y cuando cambia el contenido de la ventana activa", indexa el texto y las imágenes y los guarda localmente tras Windows Hello. Es opcional y viene eliminado por defecto en equipos administrados, y se puede filtrar por aplicación y por sitio; sigue siendo una película con búsqueda de todo lo que miró.

# What this PC remembers about you. Read-only. Run PowerShell as administrator for Prefetch and Recall.
function Rot13([string]$s){ -join ($s.ToCharArray() | ForEach-Object { $c=[int]$_; if($c -ge 65 -and $c -le 90){[char]((($c-65+13)%26)+65)} elseif($c -ge 97 -and $c -le 122){[char]((($c-97+13)%26)+97)} else {[char]$c} }) }
Write-Host "== UserAssist: programs started from Start or Explorer (runs, last run)"
Get-ChildItem 'HKCU:\Software\Microsoft\Windows\CurrentVersion\Explorer\UserAssist' | ForEach-Object {
  $count = Join-Path $_.PSPath 'Count'
  if (Test-Path $count) {
    (Get-ItemProperty $count).PSObject.Properties | Where-Object { $_.Name -notlike 'PS*' -and $_.Value -is [byte[]] -and $_.Value.Length -ge 68 } | ForEach-Object {
      $b = $_.Value; $runs = [BitConverter]::ToInt32($b, 4); $ft = [BitConverter]::ToInt64($b, 60)
      if ($runs -gt 0 -and $ft -gt 0) { [pscustomobject]@{ Runs=$runs; LastRun=[DateTime]::FromFileTime($ft); Program=(Rot13 $_.Name) } }
    }
  }
} | Sort-Object LastRun -Descending | Select-Object -First 25 | Format-Table -AutoSize
Write-Host "== Prefetch: last 20 programs Windows saw start"
Get-ChildItem C:\Windows\Prefetch -Filter *.pf -ErrorAction SilentlyContinue | Sort-Object LastWriteTime -Descending | Select-Object -First 20 Name, LastWriteTime | Format-Table -AutoSize
Write-Host "== Activity history and SRUM databases"
Get-ChildItem "$env:LOCALAPPDATA\ConnectedDevicesPlatform" -Recurse -Filter ActivitiesCache.db -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime | Format-Table -AutoSize
Get-Item C:\Windows\System32\sru\SRUDB.dat -ErrorAction SilentlyContinue | Select-Object FullName, Length, LastWriteTime | Format-Table -AutoSize
Write-Host "== Recall (Copilot+ PCs only)"
Get-WindowsOptionalFeature -Online -FeatureName Recall -ErrorAction SilentlyContinue | Select-Object FeatureName, State

Cómo reducirlo en Windows, y la parte que no es técnica

Cuatro ajustes cubren la mayor parte. Configuración, Privacidad y seguridad, General: desactive "Permitir que Windows mejore los resultados de Inicio y de búsqueda mediante el seguimiento de los inicios de aplicaciones"; eso detiene las nuevas entradas de UserAssist, y las antiguas se quedan hasta que borre las claves Count bajo UserAssist en el Editor del Registro. Configuración, Privacidad y seguridad, Historial de actividades: desactive "Almacenar mi historial de actividades en este dispositivo" y pulse "Borrar historial". En un PC Copilot+, Configuración, Privacidad y seguridad, Recall e instantáneas: desactive el guardado de instantáneas y bórrelas, o quite la función por completo en "Activar o desactivar las características de Windows", lo que según Microsoft borra todas las instantáneas guardadas. Prefetch y SRUM no tienen interruptor: Prefetch se puede desactivar en el registro a costa de arranques más lentos, y SRUM lo reconstruye el Servicio de directivas de diagnóstico en cuanto se elimina su archivo. Como en el Mac, la defensa que aguanta es BitLocker o el cifrado del dispositivo con un inicio de sesión fuerte y una pantalla que se bloquea, más una cuenta estándar separada para cualquier otra persona que use la máquina.

De todo esto se desprenden dos cosas para quien valora su privacidad. La primera: "solo local" es una promesa sobre la nube, no sobre usted. Apple y Microsoft tienen razón en que estos almacenes no salen del dispositivo, y aun así son el registro más completo de su día que existe en cualquier parte. La segunda: el mismo permiso que le deja leerlos deja leerlos a cualquier herramienta, y por eso dar a un asistente de IA Acceso total al disco o derechos de administrador para que "analice sus hábitos", como sugieren los prompts virales, significa enviar cuatro semanas de su vida al modelo que responda. Lea el diario usted mismo; con los scripts de arriba basta.