Claude Code y RGPD: lo que una empresa tiene que saber
La mitad del contenido que circula sobre IA y cumplimiento usa fechas del AI Act que ya no rigen. Esta guía explica qué dicen de verdad los términos de Anthropic, qué obligaciones aplican en 2026 y cuáles recién en diciembre de 2027, y cómo se diseña un despliegue de Claude Code que cumple el RGPD.
Respuesta corta
Claude Code puede usarse en una empresa europea cumpliendo el RGPD. Los términos comerciales de Anthropic establecen que no entrena sus modelos con el contenido de clientes de API, Team o Enterprise, y para casos sensibles existe el acuerdo de zero data retention, que evita que las entradas y salidas queden almacenadas.
El AI Act tampoco es el bloqueo que se suele pintar: para los usos empresariales típicos no impone obligaciones de alto riesgo, y las que existen tienen un calendario concreto que conviene conocer con las fechas correctas, porque buena parte del contenido publicado sigue citando las viejas.
El calendario real del AI Act
Actualizado al 31 de julio de 2026, después del Digital Omnibus.
Las fechas que rigen hoy
El paquete Digital Omnibus de junio de 2026 movió el calendario. Estas son las fechas vigentes.
Ojo con las guías desactualizadas
Gran parte del contenido en español sobre IA y cumplimiento se escribió antes del Digital Omnibus y sigue diciendo que las obligaciones de alto riesgo aplican en agosto de 2026. Si un proveedor te apura a contratar "antes de que entre el AI Act", pídele la fuente: la fecha vigente para alto riesgo es diciembre de 2027, y la mayoría de los proyectos empresariales ni siquiera entran en esa categoría.
Qué dicen los términos de Anthropic
Lo que está escrito, sin interpretación creativa.
No entrenamiento con datos de clientes
Los términos comerciales (API, Team, Enterprise) establecen que el contenido de clientes no se usa para entrenar modelos. Esto no aplica a cuentas gratuitas de consumo: el trabajo con datos de empresa va siempre por productos comerciales.
Zero data retention en la API
Acuerdo disponible para organizaciones por el cual las entradas y salidas no quedan almacenadas: se procesan y se descartan. Es la configuración estándar para datos de salud, financieros o legales.
DPA incluido
El Data Processing Addendum de Anthropic se acepta junto con los términos comerciales y cubre el rol de encargado del tratamiento y las transferencias internacionales.
El código también está cubierto
El código propietario que Claude Code lee viaja a la API bajo los mismos términos: no se entrena con él, y con zero data retention tampoco queda almacenado.
La otra mitad: la arquitectura
Lo que los términos de Anthropic no pueden resolver por vos.
El proveedor cubre lo que pasa dentro de su servicio. Todo lo demás depende de cómo se implemente: qué datos ve el agente, dónde viven, y cómo queda documentado el tratamiento. Un despliegue serio de Claude Code define esto antes de escribir la primera línea.
Alcance de lectura
El agente ve los repositorios y carpetas que necesita para su tarea, no toda la empresa. Igual que un consultor externo: acceso por necesidad, no por comodidad.
Residencia de los datos
Cuando el proyecto exige datos en la UE o en infraestructura propia, los sistemas de la empresa quedan de su lado y al modelo se le envía solo lo necesario por tarea.
Registro del tratamiento
Qué datos personales se procesan, con qué finalidad y por cuánto tiempo. Escrito, en el registro de actividades, no implícito en el código.
Aprobación humana en lo irreversible
Enviar, publicar, borrar y pagar quedan detrás de una aprobación explícita. Es buena ingeniería y además reduce la exposición legal.
La distinción de responsabilidades del RGPD es la clave para leer todo esto: tu empresa es responsable del tratamiento y Anthropic es el encargado. Por eso dos despliegues de la misma herramienta pueden estar uno impecable y el otro en falta: la diferencia no está en la licencia, está en el diseño.
Cuándo hace falta más que lo estándar
Señales de que tu caso pide diseño de cumplimiento específico.
Datos de categorías especiales
Salud, datos biométricos, afiliación sindical. Acá corresponde evaluación de impacto (DPIA) y normalmente zero data retention desde el día uno.
Tratamiento a gran escala de datos personales
Un agente que procesa datos de miles de clientes finales pide DPIA y minimización agresiva: seudonimizar antes de enviar al modelo lo que no necesita identificarse.
Sector regulado con supervisor propio
Financiero, seguros, sanitario. El RGPD convive con normativa sectorial y el despliegue tiene que documentarse para los dos marcos.
Decisiones automatizadas sobre personas
Si el sistema decide sobre crédito, empleo o acceso a servicios, entrás en el artículo 22 del RGPD y, según el caso, en el Anexo III del AI Act con horizonte diciembre de 2027. Es el único escenario donde el AI Act pesa de verdad.
Preguntas frecuentes sobre Claude Code y RGPD
¿Claude Code cumple con el RGPD?+
¿Anthropic entrena sus modelos con los datos de mi empresa?+
¿Qué pasa con el código propietario de mi empresa en Claude Code?+
¿El AI Act me prohíbe usar Claude Code en mi empresa?+
¿Qué es el zero data retention de Anthropic?+
¿Necesito una evaluación de impacto (DPIA) para usar Claude Code?+
¿Los datos se procesan en Europa?+
¿Quién es responsable del cumplimiento: Anthropic o mi empresa?+
El cumplimiento se diseña al principio, no se parchea al final
Todos nuestros proyectos con Claude Code nacen con el alcance de datos, la residencia y el registro del tratamiento definidos en el diagnóstico, antes de construir.
Cómo arrancamos
Con un diagnóstico acotado que define qué automatizar primero, qué datos toca y bajo qué configuración de cumplimiento, incluida la posibilidad de que tu caso no necesite más que la configuración comercial estándar.
Artículos Relacionados
Claude Code para empresas en España
La guía completa: qué es, precios con IVA, Kit Digital y casos reales en Madrid y Barcelona.
Cuánto cuesta implementar Claude Code
Licencias, proyecto y mantenimiento: los tres costos separados y los rangos reales.
Qué es un agente de IA
La definición, los cinco componentes que necesita en producción y cuándo no conviene usar uno.