Seguridad: datos de clientes, secretos y textos trampa

Qué sale de tu ordenador

Claude Code funciona en tu ordenador, pero para pensar manda a Anthropic tus mensajes y lo que lee de tus archivos, cifrado por el camino. Además:

• Planes personales (Free, Pro, Max, Ultra): si tienes activado el ajuste de mejorar los modelos, Anthropic usa tus conversaciones para entrenar y las guarda 5 años; apagado, 30 días. Se cambia con /privacy-settings o en claude.ai, en Ajustes → Privacidad.
• Planes de empresa (Team, Enterprise, API): Anthropic no entrena con lo que envías, y se guardan 30 días.
• En tu ordenador: las conversaciones se guardan como texto sin cifrar en ~/.claude/projects/ durante 30 días.
• /feedback envía la conversación entera a Anthropic, que la guarda 5 años. No lo uses en conversaciones con datos de clientes.

Para trabajar, el plan que toca

• Datos de salud: son una categoría especial en el RGPD (artículo 9). No los metas en un plan personal.
• Secreto profesional (abogacía y otras profesiones): lo que te cuentan tus clientes no debería ir a una herramienta sin el contrato y las garantías que exige tu colegio o tu organización.
• Ante la duda: pregunta a la persona delegada de protección de datos de tu organización. Y, mientras tanto, trabaja con datos anonimizados: iniciales en vez de nombres, sin DNI ni direcciones.

Los textos trampa

La AEPD lo explica muy claro: una web, un correo, un PDF o una invitación de calendario pueden llevar instrucciones ocultas (hasta en texto blanco sobre fondo blanco) para que el agente haga otra cosa: enviar tus datos, abrir un enlace o aprobar algo. Se llama inyección de instrucciones.

Claude Code trae protecciones: en modo automático, el modelo que revisa las acciones no ve el contenido de los archivos ni de las webs, y un detector avisa del contenido sospechoso. Pero la propia Anthropic dice que ningún sistema es inmune, y su estudio del modo automático habla de un 17 % de acciones arriesgadas que se le escapan.

• No juntes en una misma tarea contenido de desconocidos, acceso a tus datos y capacidad de actuar en tu nombre. El ejemplo de la AEPD: «resume mis correos nuevos y responde a todos».
• Lee las órdenes que te propone antes de aprobarlas, sobre todo después de leer algo de fuera.
• Para enviar, publicar, borrar, pagar o aceptar condiciones, que te pida confirmación siempre.

Reglas que se cumplen siempre

Lo que le dices en la conversación («no envíes nada») ayuda, pero puede perderse al compactar. Para una garantía, una regla de permisos en tu settings.json. Las reglas deny valen en todos los modos, incluso saltando permisos:

{
  "permissions": {
    "ask": ["Bash(git push *)"],
    "deny": ["Read(./.env)", "Read(./.env.*)", "Read(./secrets/**)"]
  }
}

• Las reglas de leer frenan las herramientas de Claude, pero no un programa que abra el archivo por su cuenta. No guardes claves en las carpetas donde trabaja.
• Un archivo .claudeignore no hace nada: lo que no deba leer va en reglas deny.
• El aislamiento de órdenes (/sandbox) existe en Mac, Linux y WSL, pero no en Windows normal.

Las cinco preguntas antes de delegar

Son de la AEPD y valen para cualquier tarea:

1. ¿Qué puede ver?
2. ¿Qué puede recordar?
3. ¿Qué puede hacer en mi nombre?
4. ¿Dónde envía mis datos?
5. ¿Afecta a alguien más?

Y su regla de oro: cuanto más delicados los datos (salud, dinero, identidad, contraseñas), menos acceso y menos autonomía. Empieza por tareas pequeñas y que se puedan deshacer.

Si algo falla

Comprueba que lo has pillado

Tres preguntas. Cada acierto suma 10 puntos.