Implantar Claude en la empresa: las cinco decisiones antes del primer euro

Por Ralf Schmidt | 7 de agosto de 2026 | Tech Corner

Desde el 2 de agosto de 2026, el Reglamento europeo de IA se aplica en gran parte: las obligaciones de transparencia del art. 50 son aplicables y la Agencia Federal de Redes asume la vigilancia del mercado de la IA en Alemania. Al mismo tiempo, el Digital Omnibus ha aplazado más de un año las estrictas obligaciones de alto riesgo. Quien decida hoy, como director general, responsable de TI o delegado de protección de datos, sobre la implantación de un asistente de IA debe saber distinguir ambas cosas.

Claude es el sistema de asistencia de IA del proveedor estadounidense Anthropic y, en muchas empresas, la herramienta que ahora está en debate. Sin embargo, las cinco decisiones siguientes son en gran medida independientes de la herramienta: quien implante Microsoft Copilot o Google Gemini se enfrenta a las mismas preguntas. Las cinco se toman en las primeras seis semanas, mucho antes de que TI empiece a construir. Y cuando una implantación se atasca más tarde, casi siempre puede atribuirse a una de estas cinco decisiones tomada demasiado tarde o nunca.

1. Las tarifas de consumo quedan descartadas — y ya están dentro de la casa

Claude Free, Pro y Max no incluyen contrato de encargo de tratamiento y las entradas pueden utilizarse para mejorar el modelo. Con ello falta la base para dos tipos de datos distintos: en datos personales falta la base contractual exigida por el art. 28 del RGPD. En secretos empresariales sin datos personales —cálculos, estrategias de oferta, código fuente— no es una cuestión de RGPD, sino de protección del secreto y de sus contratos con clientes. Ambos llevan al mismo resultado: no utilizable en la empresa.

La parte incómoda viene antes. Asuma que ya está ocurriendo en su empresa. No por mala intención, sino porque alguien de ventas ha notado que los borradores de oferta salen más rápido. Este uso no oficial con cuentas privadas —«IA en la sombra»— es el punto de partida real, no un terreno virgen.

Por eso el primer paso concreto no es una licitación, sino un inventario del uso real más una instrucción interna que prohíba las cuentas privadas de IA para datos de la empresa.

El orden importa: una prohibición sin alternativa disponible genera más IA en la sombra, no menos. La prohibición y el entorno oficial deben coincidir en el tiempo.

2. La vía de acceso determina qué compromisos puede asumir

Una tarifa comercial es obligatoria. Cuál, depende de la necesidad de protección.

Zero Data Retention (ZDR) significa que las entradas y salidas no se almacenan en el proveedor — el requisito para poder tratar contenidos sensibles.

El punto que se pierde con frecuencia en las conversaciones comerciales: Anthropic promociona la residencia regional de datos para Europa. Pero se entrega a través de los proveedores de nube, no del contrato directo con Anthropic. Ni claude.ai ni la API de Anthropic ofrecen residencia de datos en la UE; allí el tratamiento se realiza en infraestructura estadounidense.

Por tanto, quien quiera garantizar al comité de empresa, a un cliente o a una autoridad de control el tratamiento en la UE necesita la vía de AWS Bedrock (entre otros Fráncfort, Irlanda, París) o Google Vertex AI con endpoints europeos. Es una decisión de arquitectura, no una cláusula contractual — y tiene coste: la conocida interfaz de claude.ai no está disponible allí, hace falta una interfaz de chat propia.

Para las empresas que ya trabajan con Microsoft 365 existe una tercera vía. Los modelos de Anthropic están disponibles como modelo seleccionable en Copilot Chat, en el agente Researcher, en Copilot Studio y en los agentes de Office; en Microsoft Foundry ya están disponibles de forma general. Los empleados permanecen en Teams, Word y Outlook, la administración se realiza con las herramientas habituales de Microsoft: es con diferencia la menor barrera de entrada.

El inconveniente: para los modelos de Claude, Microsoft aún no ofrece una zona de datos europea. El tratamiento se realiza fuera del EU Data Boundary y, por ello, Microsoft ha desactivado la función por defecto para los tenants de la UE, la AELC y el Reino Unido; un administrador debe activarla conscientemente. Se ha anunciado una opción europea de Foundry, pero sin fecha.

De ahí resulta un esquema de doble vía: contenidos no críticos y correctamente seudonimizados por la cómoda vía de Microsoft, datos sensibles por la vía UE. Es una decisión de comodidad, no de cumplimiento. Quien quiera ahorrarse la arquitectura doble lo lleva todo por Bedrock.

3. El comité de empresa entra en la semana 3, no en la semana 14

De los proyectos que vemos a posteriori, esta es la ruptura evitable más frecuente.

El § 87 apdo. 1 n.º 6 de la Ley de Constitución de Empresa otorga al comité de empresa un derecho de cogestión exigible sobre dispositivos técnicos aptos para vigilar el comportamiento o el rendimiento. Los registros de IA muestran quién consultó qué y cuándo. Eso cumple el criterio, con independencia de que usted nunca haya pretendido analizarlos.

Un comité de empresa ignorado puede imponer la desconexión por vía de urgencia. De dos a seis semanas de procedimiento, con parálisis del proyecto incluida. La tecnología queda lista y nadie puede usarla.

La solución cuesta casi nada: informar pronto, comprometerse a una evaluación anonimizada, excluir contractualmente la monitorización individual del uso. En la mayoría de los casos el comité no es un adversario, sino alguien que necesita un compromiso sólido para poder dar su aprobación.

Un acuerdo marco de empresa sobre «IA» debería cubrir al menos ocho puntos: ámbito de aplicación, lista positiva de casos de uso permitidos por grupo de usuarios, prohibición expresa del control del rendimiento y de decisiones automatizadas sobre empleados, reglas de datos, transparencia frente a la plantilla, certificado de formación como requisito de acceso, derechos de control del órgano y una cláusula de modificación para sistemas futuros.

Un detalle de la práctica: quien opere Microsoft Copilot y Claude en paralelo —como hacen muchas medianas empresas— debería redactar un único reglamento de IA para ambas herramientas. Eso ahorra la doble discusión con el comité y con protección de datos y evita que surjan dos soluciones aisladas con reglas distintas.

4. La formación es requisito de acceso, no programa acompañante

La obligación de alfabetización en IA del art. 4 del Reglamento de IA se aplica desde el 2 de febrero de 2025. El Digital Omnibus la suavizó en el verano de 2026: de la obligación de garantizar un determinado nivel de competencia se pasó a una obligación de fomento. No se eliminó: proveedores y responsables del despliegue deben seguir adoptando medidas para desarrollar la competencia en IA de su personal.

En la práctica cambia poco, porque la regla dura se ha impuesto de todos modos por otro motivo: sin certificado de formación, no hay cuenta. Es menos un instrumento de cumplimiento que la palanca más eficaz de que dispone para la adopción. Y de paso le proporciona exactamente la prueba que exige el art. 4.

Una formación única para todos no funciona. Una desarrolladora necesita seguridad de API, conciencia sobre prompt injection y disciplina de revisión. Un administrativo necesita fundamentos de prompting y reglas de datos claras. Una directora general necesita gobernanza, cuestiones de responsabilidad y la comprensión de que debe usarlo ella misma para que los demás lo hagan. Como referencia: dos horas de base para todos, cuatro horas ampliadas para desarrolladores, dos horas de gobernanza para la dirección.

5. Bloquee los casos de uso de riesgo — y los plazos trabajarán a su favor

No autorice de momento la evaluación de candidatos, la analítica de RR. HH. a nivel de persona ni las decisiones automatizadas sobre personas. Esta única decisión elimina de su proyecto toda la parte de alto riesgo del Reglamento de IA: las obligaciones simplemente no se aplican.

Es tan eficaz porque es aquí donde más se ha movido en los últimos meses y donde circulan más verdades a medias. La situación en tres puntos:

Aplazado, pero aprobado. El Digital Omnibus entró en vigor el 27 de julio de 2026 como Reglamento (UE) 2026/1744, tras la aprobación del Parlamento Europeo en junio y del Consejo a finales de junio de 2026. Las obligaciones de alto riesgo del anexo III, entre otras para la IA de reclutamiento, se aplican por tanto a partir del 2 de diciembre de 2027; la IA de alto riesgo integrada en productos, el 2 de agosto de 2028. Es derecho vigente, no un anuncio: puede planificar con ello.

La supervisión sigue en pie. Conforme a la ley alemana de vigilancia del mercado y fomento de la innovación en IA, la Agencia Federal de Redes es la autoridad central de vigilancia del mercado y el punto de contacto nacional. Ha señalado expresamente el uso de la IA, entre otros ámbitos, en recursos humanos como prioridad. Un incidente en este ámbito atrae hoy más atención que hace un año — y puede desacreditar todo un proyecto de implantación, aunque formalmente no sea ilícito. El plazo aplazado no cambia nada de eso.

La obligación de etiquetado le afecta menos de lo que está leyendo. Desde el 2 de agosto de 2026 se aplican las obligaciones de transparencia del art. 50. La mayor parte recae sobre los proveedores de los sistemas, no sobre sus usuarios empresariales — también el marco sancionador citado con frecuencia, de hasta 15 millones de euros o el 3 por ciento de la facturación anual mundial, apunta sobre todo allí. Como empresa usuaria le afecta principalmente en tres casos: si opera un chatbot de cara al cliente y debe revelar que se comunica con una IA; si utiliza deepfakes; o si publica textos generados por IA sobre asuntos de interés público. De ello no se deriva una obligación general de etiquetar cada correo de oferta asistido por IA. Para los proveedores de sistemas generativos que ya estaban en el mercado antes de la fecha límite rige además un periodo transitorio hasta el 2 de diciembre de 2026 para el marcado legible por máquina de contenidos sintéticos.

Aun así, una regla de etiquetado debe figurar en la instrucción interna — no por el art. 50, sino porque los contratos con clientes y los contratos marco incluyen cada vez más cláusulas propias de divulgación. Compruébelo en sus contratos, no en el texto legal.

La columna vertebral operativa: el semáforo de categorías de datos

Las cinco decisiones competen a la dirección. Para la plantilla hace falta una traducción, y para eso existe exactamente una herramienta que funciona en la práctica. Una página, comprensible para todos, en la intranet y como cartel:

• Verde – público o interno sin datos personales: datos de mercado, información de producto, textos propios, casos anonimizados. De uso libre en el entorno autorizado.
• Amarillo – confidencial pero seudonimizable: expedientes de clientes, contratos, código interno. Solo tras seudonimización y solo en el entorno de la empresa.
• Rojo – sensible o estratégico con datos personales: datos identificables de clientes y candidatos, salarios, datos de salud del art. 9 del RGPD, documentación de fusiones y adquisiciones, extractos de bases de datos productivas. Solo en un entorno ZDR y por roles autorizados — o en absoluto.

El semáforo solo funciona si la regla amarilla es fácil de cumplir en el día a día. Añada una breve guía de seudonimización con ejemplos («Müller GmbH → Cliente A»). Y déjelo por escrito: la frontera está en la seudonimización, no en la intuición.

Asegurar no es todavía tener impacto

Las cinco decisiones hacen que su proyecto no se detenga. Si merece la pena se decide después — y ahí está el error de desarrollo más frecuente.

Tiene este aspecto: la tecnología está lista, pero no hay plantillas ni casos de uso concretos. Los usuarios prueban una vez, quedan moderadamente impresionados y no vuelven. Tres remedios han demostrado su eficacia.

Defina dos quick wins concretos por departamento en lugar de decir «probadlo». Ventas: borradores de ofertas y correos, estructurar notas de conversación. Control de gestión: condensar informes, hacer explicar tablas. Dirección de proyectos: convertir notas de reunión en listas de tareas.

Nombre champions —aproximadamente uno por cada 30 a 50 usuarios— como primer punto de contacto en el departamento. Eso descarga a TI y reduce la barrera mucho más que cualquier línea de ayuda.

Y mida el uso real en lugar de las licencias repartidas. Como regla práctica, alguien ha incorporado la herramienta a su día a día si trabaja con ella conscientemente unas 30 veces en cuatro semanas. Por debajo de eso es curiosidad, no hábito.

El calendario

Para una empresa de unos 500 empleados son realistas de 16 a 20 semanas: inventario en las semanas 1 y 2, derecho y contratos incluida la conversación con el comité de empresa en las semanas 3 a 6, tecnología con SSO, alta y baja automatizadas y registro de auditoría en las semanas 7 a 10, piloto en las semanas 11 a 14 y después despliegue por departamentos.

Que la dirección inaugure el piloto no es una cortesía. Hay dos razones sobrias: los directivos que lo usan impulsan la adopción de forma medible — y sus riesgos de datos en estrategia, fusiones y temas de personal obligan de todos modos a que el entorno protegido esté listo antes que para nadie más.

Llama la atención lo poco que hay aquí de tecnología. Cuatro de las cinco decisiones se toman en contratos, conversaciones e instrucciones internas, mucho antes de que alguien configure un sistema. Precisamente por eso son tan fáciles de pasar por alto y tan caras de recuperar.

Situación jurídica: 7 de agosto de 2026. Este artículo no sustituye al asesoramiento jurídico; la interpretación del art. 50 del Reglamento de IA en el uso empresarial no está aún plenamente aclarada en algunos puntos. Los detalles de producto como precios, condiciones de ZDR y disponibilidad de regiones UE cambian a corto plazo: consulte la documentación actual del proveedor antes de firmar.

ZEMID GmbH acompaña a empresas medianas en estrategias de transformación de TI e IA — desde la decisión sobre la vía de acceso hasta el despliegue, pasando por la conversación con el comité de empresa. Si está atascado en alguno de estos puntos, hable con nosotros. zemid.de/contact