Claude Desktop en la empresa: protección de datos y RGPD en la práctica

La pregunta más frecuente en las conversaciones de consultoría no es qué funciones tiene Claude Desktop, sino dónde acaban los datos. Una pregunta justa. Siempre la respondo con otra pregunta: ¿qué datos entran ahí realmente?

Los flujos de datos detrás de cada consulta

Las entradas salen del dispositivo por una conexión TLS hacia api.anthropic.com. La región estándar es Estados Unidos. Con AWS Bedrock se puede desviar la ruta a una región de la UE; para muchas empresas ese es el paso decisivo.

El modelo lee la entrada, genera la respuesta y después olvida el contexto de la sesión. Lo que queda depende del plan y de las funciones activadas, como las Knowledge Bases.

Anthropic guarda archivos de registro durante un tiempo limitado, sobre todo para prevenir abusos. En el plan Enterprise esa conservación se puede restringir aún más.

Las palancas que recomiendo

Elegir el plan y revisar la configuración de entrenamiento. Las cuentas Team y Enterprise (Commercial Terms) no entrenan en principio con sus entradas. En los planes de consumo Free, Pro y Max, el entrenamiento con las entradas está activo por defecto desde agosto de 2025 mientras usted no se oponga, y la conservación se amplía entonces hasta cinco años. Para el uso empresarial, elija por tanto Team o Enterprise, o desactive activamente el entrenamiento en los ajustes. (Estado: junio de 2026)

Aclarar la residencia de los datos. Quien procesa contenidos con datos personales debe evaluar AWS Bedrock en serio. Las regiones de la UE cubren la mayoría de los requisitos de cumplimiento.

Firmar un contrato de encargo de tratamiento. En cuanto se tratan datos personales, un DPA es obligatorio. Anthropic ofrece uno para los planes Team y Enterprise. Con Bedrock se añade el DPA de AWS.

Introducir una directriz de uso. Una regla breve y por escrito sobre qué datos pueden entrar en la aplicación y cuáles no. Sustituye diez discusiones por trimestre.

Qué significa el almacenamiento local

Los Skills, las Knowledge Bases y las cachés están en la ruta de configuración de la aplicación. Ahí deben formar parte del concepto de copias de seguridad, y del plan de borrado en cuanto alguien deja la empresa. Esto se pasa por alto con frecuencia.