Claude y los datos de tu empresa: qué revisar antes de implementarlo

En casi todas las empresas, la implementación de un asistente de IA se detiene en la misma reunión: alguien de protección de datos o de seguridad pregunta qué pasa con la información y nadie tiene la respuesta completa. Esta guía reúne lo que hay que revisar, con lo que dicen las fuentes oficiales a 13 de octubre de 2026. No sustituye el análisis de tu asesoría jurídica; le ahorra horas de búsqueda.

La pregunta de siempre: ¿entrena con nuestros datos?

Depende del plan, y aquí está la confusión más frecuente. En agosto de 2025 Anthropic cambió los términos de sus planes individuales (Free, Pro y Max): desde entonces cada persona elige si sus conversaciones se usan para entrenar, y si acepta, la retención sube a cinco años. Ese cambio no afecta a los servicios bajo los términos comerciales:

• Claude Team y Enterprise: el contenido no se usa para entrenar por defecto.
• API, también cuando se usa a través de Amazon Bedrock o Google Cloud: los datos no se usan para entrenar sin permiso expreso.
• Claude dentro de Microsoft Copilot: se aplica la protección de datos empresarial de Microsoft, que excluye el entrenamiento de modelos fundacionales con prompts, respuestas y datos de Microsoft Graph.

La consecuencia práctica: si tu gente usa cuentas personales de Claude para trabajar, sí puede haber datos de la empresa en un plan donde se entrena. Darles un plan comercial es, también, una medida de protección de datos.

Retención: cuánto tiempo se guarda

• API: los datos se borran del sistema a los 30 días. Se puede pedir Zero Data Retention al equipo comercial, que cubre las llamadas a la API pero no la interfaz de Team o Enterprise. Ojo: los modelos más avanzados, como Fable, exigen 30 días de retención y no entran en ese régimen salvo autorización expresa.
• Team y Enterprise: las conversaciones se guardan para que la persona tenga su historial. Una conversación borrada sale del sistema en 30 días.
• Retención personalizada: solo en Enterprise, con un mínimo de 30 días.
• Contenido señalado por las políticas de uso: hasta dos años.

El contrato de encargo y las transferencias

Para los servicios comerciales, Anthropic ofrece un Data Processing Addendum (DPA) vigente desde febrero de 2025. Para clientes de la UE el proveedor es Anthropic Ireland, y el DPA incorpora las cláusulas contractuales tipo de la Comisión Europea de 2021, que son la garantía para transferir datos fuera de la UE. La lista de subencargados es pública y hay 15 días para oponerse a uno nuevo.

Dónde se procesan los datos es la otra mitad del análisis. La API directa y el plan Enterprise procesan de forma global o en Estados Unidos; no hay opción de procesamiento en la UE. Si tu análisis la exige, las vías son Amazon Bedrock (con un perfil de inferencia europeo que incluye la región de España) o Google Cloud (multirregión europea). En Microsoft Copilot, los modelos de Anthropic están fuera del EU Data Boundary de Microsoft.

En certificaciones, Anthropic declara SOC 2 Tipo II, ISO 27001:2022 e ISO/IEC 42001:2023, la norma de sistemas de gestión de IA. Puedes pedir los informes desde su Trust Center.

España y la UE: RGPD

• Base jurídica y finalidad de los tratamientos que vayan a hacerse con Claude, y su inclusión en el registro de actividades.
• Contrato de encargo firmado: el DPA de Anthropic o, si usas Bedrock, Google Cloud o Copilot, el del proveedor de nube correspondiente.
• Evaluación de impacto. La lista orientativa de la AEPD pide una EIPD cuando el tratamiento reúne dos o más criterios de riesgo, y el uso de nuevas tecnologías es uno. Si Claude va a intervenir en selección de personal, evaluación de trabajadores o datos de salud, hazla.
• Información a la plantilla sobre el uso de la herramienta y los datos que trata.

La AEPD ha publicado material útil para esta fase: su propia política de uso de IA generativa (noviembre de 2025), que sirve de modelo; el decálogo "Cuidado con lo que le confIAs" para empleados (enero de 2026); y una guía sobre IA agéntica (febrero de 2026), relevante si vas a conectar Claude a sistemas internos.

El Reglamento de IA: qué aplica ya

El Reglamento Europeo de IA distingue entre quien desarrolla un sistema y quien lo usa. Una empresa que da Claude a sus empleados es responsable del despliegue, y para un uso de oficina sus obligaciones son pocas pero ya están en vigor:

• Alfabetización en IA (artículo 4), desde febrero de 2025. La reforma del Digital Omnibus, en vigor desde julio de 2026, la dejó como obligación de "apoyar" la formación, sin exigir un nivel concreto. Según la Comisión, no hace falta certificado: bastan registros internos de la formación impartida.
• Prácticas prohibidas (artículo 5): comprobar que ningún uso entra en ellas.
• Transparencia (artículo 50), desde agosto de 2026: si pones Claude de cara a clientes, deben saber que hablan con una IA.

El uso de oficina no es de alto riesgo. Sí lo serían, por ejemplo, la selección de personal o la evaluación del desempeño; para esos sistemas, el Digital Omnibus aplazó las obligaciones al 2 de diciembre de 2027. En España, el proyecto de ley orgánica sobre el buen uso y la gobernanza de la IA, aprobado por el Consejo de Ministros en mayo de 2026, sigue en tramitación en el Congreso.

Latinoamérica

• Colombia. La Ley 1581 de 2012 se aplica con la Circular Externa 002 de 2024 de la SIC sobre IA: el tratamiento debe ser idóneo, necesario, razonable y proporcional, con responsabilidad demostrada (identificar, medir, monitorear y controlar riesgos). Para transferir datos al extranjero, la SIC admite desde enero de 2026 las cláusulas modelo de la Red Iberoamericana de Protección de Datos. No hay ley de IA vigente; el proyecto de 2026 está en primer debate.
• México. La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares está en vigor desde marzo de 2025, con exigencias de consentimiento libre, específico e informado. Las funciones del INAI pasaron a la Secretaría Anticorrupción y Buen Gobierno.
• Chile. La Ley 21.719, con su nueva agencia de protección de datos, entra en vigor el 1 de diciembre de 2026. Hay un proyecto para aplazarla un año que seguía en trámite en octubre: planifica con la fecha de 2026.
• Perú. El reglamento de la Ley 31814 de IA está vigente desde enero de 2026, con obligaciones para el sector privado que entran por calendario.

La lista de comprobación

1. Plan comercial elegido (no cuentas personales para trabajar).
2. DPA firmado con el proveedor que corresponda.
3. Lugar de procesamiento decidido y documentado.
4. Registro de actividades actualizado.
5. EIPD hecha o análisis documentado de por qué no hace falta.
6. Retención configurada según la política de la empresa.
7. SSO y gestión de accesos por grupos.
8. Política de uso publicada: qué datos no se introducen nunca.
9. Formación impartida y registrada antes de dar acceso.
10. Responsable de revisar incidencias y de actualizar este análisis cuando cambie el proveedor.

Con esta lista cerrada, el piloto puede empezar. La plantilla de política de uso de esta sección cubre el punto 8.