Datos de clientes en Claude, Gemini y Copilot: qué revisar

Claude, Gemini y Copilot se parecen por fuera: una caja de texto y una respuesta. Por dentro, lo que ocurre con lo que escribes depende del producto, del tipo de cuenta y del contrato. Antes de dejar que el equipo use cualquiera de las tres con datos de clientes, hay cinco cosas que revisar, y una regla: lo que vale es lo que pone la documentación del proveedor, no lo que recuerda un compañero.

Todo lo que se cuenta de cada proveedor en este artículo está tomado de su documentación pública, consultada el 15 de octubre de 2026. Estas condiciones cambian con frecuencia: antes de decidir, vuelve a leer la página que enlazamos.

Las cinco cosas que revisar

1. El tipo de cuenta. Personal (gratuita o de pago) o de empresa, con administrador. Es la diferencia que más cambia el resto.
2. El contrato de tratamiento de datos. Con datos personales, el RGPD pide que el proveedor actúe como encargado del tratamiento con un contrato (art. 28). Si no hay contrato disponible para ese plan, la herramienta no es para datos de clientes.
3. El uso de tus datos para entrenar modelos. Si el proveedor usa lo que envías para mejorar sus modelos, si se puede desactivar y si eso depende del plan.
4. La retención y la revisión humana. Cuánto tiempo se conserva lo que escribes y si alguien puede leerlo para revisar la calidad o la seguridad.
5. Dónde se tratan los datos. Si salen de la Unión Europea, hay que valorarlo y tenerlo en cuenta en el contrato.

Claude (Anthropic)

Según la documentación de Anthropic, los productos comerciales, como Claude for Work y la API, no usan por defecto las entradas y las salidas para entrenar los modelos, salvo que la organización decida participar en algún programa que lo permita. Para las cuentas de consumo (Free, Pro y Max), Anthropic actualizó sus condiciones y pide a cada persona que elija si permite el uso de sus conversaciones para mejorar los modelos; en su anuncio indica que, si se permite, la conservación pasa a cinco años, y que, si no, se mantiene el plazo de 30 días. Fuentes: la página de privacidad de Anthropic sobre entrenamiento y su anuncio de las condiciones de consumo.

Qué significa para ti: una cuenta personal de Claude de uno de tus empleados no tiene detrás un contrato de tu empresa, aunque la persona haya desactivado el entrenamiento.

Gemini (Google)

En la cuenta personal, Google explica en su ayuda que, aunque desactives la actividad de Gemini Apps, sigue usando los chats para responderte y para proteger a Google y a los usuarios, incluyendo con ayuda de revisores humanos, y que las conversaciones revisadas por personas se conservan hasta tres años y no se borran al borrar la actividad. Fuente: la página de privacidad de Gemini Apps.

Gemini dentro de Google Workspace tiene condiciones propias, que Google recoge en otra página: cómo Gemini en las aplicaciones de Workspace trata tus datos. No des por hecho que le aplican las mismas reglas que a la cuenta personal ni al revés: léela, y comprueba qué versión usa tu equipo.

Copilot (Microsoft)

Microsoft documenta una «protección de datos empresariales» para Copilot. Según Microsoft Learn, con esa protección los prompts, las respuestas y los datos a los que Copilot accede a través de Microsoft Graph no se usan para entrenar los modelos fundacionales; además, los prompts y las respuestas se registran y se conservan, y quedan disponibles para auditoría, eDiscovery y las herramientas de Microsoft Purview. Las búsquedas que Copilot lanza en la web con Bing se tratan aparte, con sus propias condiciones. Fuentes: protección de datos empresariales en Copilot y las preguntas frecuentes de Copilot.

Qué significa para ti: que esa protección aplique depende de cómo entra la persona y de cómo tiene configurada la organización su cuenta. Un empleado que usa Copilot con una cuenta personal no está bajo el contrato de tu empresa.

Qué hacer con esta información

• Con datos personales de clientes, usa cuentas de empresa con contrato de tratamiento. Es la forma práctica de dar un marco a ese tratamiento, que es lo que prevé el RGPD cuando el proveedor trata esos datos.
• Con cuentas personales o sin contrato, no pegues datos de personas. Si hay que usar la herramienta, sustituye antes los datos por marcas o anonimízalos. Un aviso en el momento ayuda a no olvidarlo: Acta Guarda detecta DNI, cuentas bancarias, teléfonos y correos en el navegador y deja cambiarlos por marcas. Reduce el riesgo, no lo elimina: no revisa archivos ni funciona en el móvil.
• Anota la decisión. Cada herramienta, con su tipo de cuenta y lo que has comprobado, va al inventario. Es lo que luego puedes enseñar a un cliente que te mande un cuestionario: cuestionario de IA de proveedores.
• Forma al equipo. Una regla que se entiende («datos de clientes solo en la cuenta de empresa») pesa más que veinte condiciones leídas.

Para la diferencia entre cuentas con más detalle, lee cuenta personal o de empresa para usar IA. Y para ver en qué punto está tu empresa, el diagnóstico gratuito te orienta en unos minutos.

Este artículo es orientativo y no es asesoramiento jurídico. Las condiciones de cada proveedor son las que figuran en su documentación y pueden cambiar.