OpenRouter anunció el 27 de octubre de 2026 que examinará las solicitudes de inferencia durante su procesamiento para detectar material de abuso sexual infantil, conocido por las siglas CSAM. El cambio incluye tráfico cubierto por su política de retención cero, o ZDR. Recuperamos aquí esa novedad por su impacto en las decisiones sobre datos de una integración.
La documentación lo presenta como una actualización prevista. No acredita que el despliegue completo haya terminado. El punto operativo es que el contenido señalado como posible CSAM podría conservarse para revisión humana, notificación y preservación aplicables, incluso en tráfico ZDR.
Qué permite la excepción
El anuncio describe comparación con huellas digitales de material ya identificado y posible revisión de material sospechoso nuevo. Una señal no determina por sí sola que el contenido sea CSAM.
OpenRouter aclara que esta excepción no permite guardar de forma general el contenido de inferencia ZDR para otros fines. Mantiene su compromiso de no utilizar entradas o salidas para entrenar modelos. El anuncio tampoco fija una duración universal de conservación para todo contenido señalado; no conviene inventar un plazo único.
La configuración ZDR filtra proveedores de inferencia
La guía permite exigir ZDR para toda la cuenta, mediante controles de política o por solicitud con provider.zdr en true. Este último ajuste se suma a las restricciones generales: no puede desactivar una exigencia ya establecida en la cuenta.
Ese filtro selecciona endpoints clasificados con política ZDR. No elimina la excepción anunciada por OpenRouter. Además, su definición admite la caché implícita de prompts en memoria. El control de enrutamiento tampoco cubre de forma general los complementos y herramientas externos que la aplicación active, sujetos a sus propias políticas.
Son aspectos distintos: dónde se envía una solicitud, qué puede conservar el intermediario y qué hace cada componente adicional. Una etiqueta en el selector de modelos no describe por sí sola toda la cadena.
No entrenar y no almacenar son compromisos diferentes
La política de privacidad afirma que OpenRouter no entrena con entradas y salidas. También explica que los proveedores de modelos pueden aplicar condiciones propias de uso y retención, según el servicio y los acuerdos correspondientes.
Hay otra distinción para aplicaciones que manejan documentos: los archivos subidos deliberadamente al almacenamiento persistente de Files API se mantienen hasta su borrado o el cierre de la cuenta, con las excepciones descritas en la política. Ese almacenamiento no debe confundirse con una solicitud de inferencia transitoria.
Un ejemplo de revisión de arquitectura
Ejemplo hipotético, no ejecutado: un asistente consulta documentación interna y exige endpoints ZDR. Esa configuración no demuestra que un archivo persistente se haya borrado, que una herramienta externa no guarde datos o que desaparezca la excepción para contenido señalado.
El equipo debería documentar por separado las capas de OpenRouter, proveedor y aplicación; contrastar sus requisitos internos con las excepciones y comprobar qué registran sus propios sistemas. Puede usar documentos sintéticos para verificar el recorrido funcional. Esa prueba no sería una auditoría de la retención real del proveedor.
El control de acceso sigue siendo otro requisito: nuestra guía de permisos de documentos en RAG explica por qué la autorización debe aplicarse antes de entregar contenido al modelo. Restringir lectores y limitar retención resuelven problemas complementarios.