Claude o ChatGPT en la empresa: ¿qué tal su seguridad para un comité de dirección?

01La respuesta en claro

«Claude o ChatGPT» es una pregunta mal planteada para un comité de dirección. Ambas herramientas las ofrecen proveedores que comercializan varios niveles de oferta. El nivel de oferta cambia el riesgo más que el nombre de la herramienta.

En el punto que los directivos temen en primer lugar, la reutilización de sus datos para entrenar los modelos, los dos proveedores publican la misma regla de principio para sus ofertas profesionales.

• Anthropic. Por defecto, el proveedor no utiliza las entradas ni las salidas de sus productos comerciales (Claude for Work, la API de Anthropic, Claude Gov) para entrenar sus modelos. Los datos solo se usan para el entrenamiento si el cliente lo consiente de forma explícita, por ejemplo al señalar una respuesta con el botón del pulgar o al unirse al Development Partner Program.
• OpenAI. Por defecto, el proveedor no utiliza los datos de ChatGPT Enterprise, Business y Edu, de sus otras ofertas empresariales ni de la plataforma API, ni entradas ni salidas, para entrenar o mejorar sus modelos. Los datos de la organización siguen siendo confidenciales y le pertenecen. La mejora de los modelos solo se hace con adhesión explícita, a través del panel de la API.

Para las cuentas personales, el régimen es distinto. La página oficial de Anthropic lo precisa para sus ofertas de consumo (Free, Pro, Max). La garantía que describe OpenAI se refiere a sus ofertas profesionales y a su plataforma API. Una cuenta personal no se beneficia, por tanto, de forma automática de estos compromisos. Hay que leer las condiciones que le son propias.

02Por qué es un asunto de comité de dirección

Elegir un modelo de IA es decidir adónde va la información de la empresa. La cuestión llega, por tanto, al comité de dirección, por cinco razones.

• Confidencialidad. Estrategia, cifras, expedientes de clientes, negociaciones en curso. Todo lo que se introduce en una herramienta de IA sale del perímetro habitual de la empresa. Hay que saber quién puede acceder a ello.
• No entrenamiento. ¿Pueden los datos introducidos servir para entrenar el modelo? Es la pregunta que se hace primero, pero no basta. Para las ofertas profesionales, la respuesta por defecto es no en los dos proveedores.
• Alojamiento y transferencias. ¿Dónde se tratan los datos y por qué entidad? Un tratamiento fuera de la Unión Europea constituye una transferencia, que debe estar amparada por una garantía.
• RGPD. Los datos personales introducidos en la herramienta, de clientes, empleados o candidatos, entran en el ámbito del reglamento.
• Alucinaciones. Un modelo puede producir una respuesta falsa, presentada con aplomo. La protección de los datos no cambia nada. Es un riesgo de decisión, no un riesgo de fuga.

Estos asuntos comprometen la responsabilidad de la empresa, no la del proveedor por sí solo. El RGPD se aplica en cuanto un sistema de IA trata datos personales (nombre, correo electrónico, dirección IP, imagen, voz), y la empresa sigue siendo la responsable del tratamiento. Elegir un proveedor reconocido no traspasa esa responsabilidad.

Por último, hay un asunto de organización. Los compromisos de la oferta empresarial solo protegen a las personas que la utilizan de verdad. Un empleado que pega un documento en su cuenta personal sale del marco contractual de la empresa. Es el shadow AI, y no se resuelve con la elección de la herramienta.

03Los cinco criterios que examinar

Esta es una rejilla corta, aplicable a Claude, a ChatGPT o a cualquier otra herramienta. No clasifica las herramientas. Permite comprobar que una herramienta concreta, en una oferta concreta, cumple las exigencias de la empresa.

Trate estos criterios en este orden. Los tres primeros son cuestiones de contrato y de configuración. Los dos últimos son cuestiones de organización, y son las que fallan con más frecuencia en la práctica.

04Lo que el compromiso de no entrenamiento no resuelve

El no entrenamiento es un compromiso del proveedor sobre un uso concreto de los datos. Solo responde a una parte de la cuestión de la confidencialidad.

• No dice si usted tiene derecho a introducir esos datos. Un dato personal introducido sin base jurídica sigue siendo un problema ante el RGPD, sea cual sea la herramienta.
• No dice dónde se tratan los datos, ni bajo qué garantía de transferencia.
• No dice nada sobre la exactitud de las respuestas. Una herramienta puede no retener nada de sus datos y aun así equivocarse.
• No sustituye una regla interna. Si los colaboradores usan cuentas personales, los compromisos de la oferta empresarial no les alcanzan.

05Los errores frecuentes

• Comparar ofertas de niveles distintos. Oponer la oferta profesional de un proveedor a la cuenta gratuita del otro falsea la comparación en ambos sentidos.
• Confundir no entrenamiento y cumplimiento. El primero es un compromiso del proveedor. El segundo es una obligación de la empresa.
• Elegir por reputación o por una clasificación de rendimiento. El rendimiento de un modelo en una tarea no dice nada de su marco contractual ni del control de sus datos.
• Leer las condiciones una vez y no volver a leerlas. Las ofertas y sus condiciones evolucionan. Una revisión periódica de las páginas oficiales de los proveedores forma parte del marco de uso.
• Prohibir sin proponer una alternativa. Cuando falta la herramienta validada, los usos pasan por cuentas personales, fuera del marco de la empresa.

06Qué hace WYP, y qué no hace

WYP.agency es una consultora de estrategia para directivos, comités de dirección y consejos de administración. WYP no vende herramientas de IA y se mantiene independiente de los proveedores. Esa independencia permite comparar Claude, ChatGPT y las demás sin interés comercial.

El método consiste en cruzar varios modelos de IA, entre ellos Claude, ChatGPT, Gemini, Perplexity, Mistral y Grok. Se comparan las respuestas, se contrastan, se detectan los puntos ciegos y las contradicciones. Después una persona revisa y firma. Cuando dos modelos divergen en un punto, la divergencia señala dónde hay que verificar. Eso es lo que hace fiable una decisión, más que la confianza depositada en una sola herramienta.

En Le Cadrage IA, tarifa fija de alcance cerrado de 2 900 € sin IVA entregada en 10 días laborables, WYP audita los usos reales, redacta una política de IA, valida una herramienta y lo presenta todo al comité de dirección. La comparación entre ofertas de proveedores es un elemento del expediente, no su objeto.

WYP no emite dictámenes jurídicos y no sustituye ni a su delegado de protección de datos ni a su asesor. WYP no revende licencias ni suscripciones. La verificación contractual final queda de su lado.

07Por dónde empezar

• Haga un inventario de las herramientas y cuentas que se usan realmente en la empresa, oficiales o no.
• Para cada una, identifique la oferta: profesional, API o personal. Ahí se decide el régimen de los datos.
• Relea las páginas oficiales de cada proveedor, el Privacy Center de Anthropic y la página Business data privacy de OpenAI. Anote lo que se aplica por defecto y lo que se aplica con adhesión.
• Redacte las reglas: qué datos, qué cuentas, quién revisa las salidas.
• Designe a la persona que revisa y firma.

Para situar rápidamente a su organización, empiece por el diagnóstico de madurez en IA, gratuito. Los términos de esta página, shadow AI, alucinación, disciplina de uso, se definen en el glosario de IA. Si desea un marco escrito y una herramienta validada para su comité, la oferta Le Cadrage IA responde a ello.