Antes de conectar la inteligencia artificial a la información del negocio, la pregunta correcta no es cuál modelo responde mejor, sino qué dice la letra pequeña: si entrenan con sus datos, cuánto los guardan y bajo qué contrato. Comparamos lado a lado los cuatro asistentes de empresa más usados: Claude Team, ChatGPT Team, Microsoft 365 Copilot y Gemini para Workspace.
El error más caro no es elegir «el proveedor equivocado». Es pegar la cuenta gratis o personal a los datos del negocio. Los planes de empresa de los cuatro proveedores comparten un mismo compromiso de fondo: no entrenan sus modelos con su información y operan bajo un contrato de tratamiento de datos (DPA). Las versiones gratuitas, no necesariamente.
El Gemini gratuito puede usar sus conversaciones para entrenar y con revisión humana; el de Workspace, no. El ChatGPT gratis/Plus entrena salvo que usted lo desactive; ChatGPT Team, no. El Copilot de consumo (el del navegador) no tiene DPA ni respeta permisos de su organización; Microsoft 365 Copilot, sí. Y el Claude.ai gratuito entrena por defecto (con opción de salir), mientras que en Claude Team el entrenamiento está prohibido por contrato. Misma marca, reglas opuestas.
Todos en su versión de empresa. Las celdas resumen la política vigente; las fuentes oficiales están al final.
| Dimensión | Claude TeamAnthropic · empresa | ChatGPT TeamOpenAI · empresa | Microsoft 365 CopilotMicrosoft · empresa | GeminiGoogle Workspace |
|---|---|---|---|---|
| Puntaje de protección de datosPonderado Claude + Codex · jun 2026 | 79/100 | 86/100 | 92/100 | 90/100 |
| ¿Entrena sus modelos con sus datos?Comportamiento por defecto del plan de empresa | No — prohibido por contrato | No por defecto (solo si opta por compartir) | No — ni prompts, ni respuestas, ni datos del Graph | No sin su permiso explícito |
| Revisión humana de sus conversaciones | Solo si usted envía feedback; clasificadores de seguridad automáticos | Solo abuso/seguridad o feedback opt-in; nunca rutinaria | No para entrenamiento; actividad auditable vía Purview | No fuera de su dominio, sin permiso (igual que Gmail/Docs) |
| Retención de datosQuién controla y por cuánto tiempo | Borrables; resultados de clasificadores de seguridad se retienen | Lo borrado se purga en ≤30 días; retención más fina en Enterprise | Dentro del tenant de M365; políticas de retención de Purview | El admin elige: de 90 días a indefinido |
| Propiedad de entradas y salidas | Suyas: usted conserva los inputs y posee los outputs | Suyas: conserva inputs, posee outputs | Suyas: datos del cliente bajo el DPA de Microsoft | Suyas: «sus datos son estrictamente suyos» |
| DPA / RGPDContrato de tratamiento de datos | DPA disponible; cláusulas tipo (SCC), RGPD | DPA disponible (formulario); RGPD | DPA de Productos y Servicios de Microsoft; RGPD | Cloud Data Processing Addendum; RGPD |
| Residencia de datos | EE. UU. por defecto; inferencia US-only solo en Enterprise | EE. UU./multirregión; residencia regional en la API | Dentro del límite de servicio de M365 y Frontera de Datos UE (las búsquedas web salen) | Regiones de datos de Workspace (EE. UU./UE) y Assured Controls |
| CertificacionesAuditorías de seguridad independientes | SOC 2 Tipo II · ISO 27001 · ISO 42001 | SOC 2 Tipo II · ISO 27001/27017/27018/27701 | SOC 2 · ISO 27001/27018 (heredadas de M365) | SOC 1/2/3 · ISO 27001/17/18 · FedRAMP High |
| HIPAA / BAAPara datos de salud | Solo en Enterprise / API | Disponible (salud/API); confirmar para Team | Sí, con BAA | Sí, con salvedades por función |
| Controles de adminSSO, auditoría, provisión | SSO, registros de auditoría, SCIM | SSO; SAML/SCIM completos en Enterprise | Entra ID, auditoría y eDiscovery con Purview | SSO, auditoría, cobertura en Vault |
Verde = a favor de su privacidad · ámbar = depende del plan o tiene matices · rojo = no disponible en este nivel. El puntaje es el promedio ponderado (50/50) de dos evaluaciones independientes del plan de empresa —Claude (Opus 4.8) y Codex (gpt-5.5)—, cada una contrastada contra la documentación oficial. Resumen orientativo, no asesoría legal: revise el contrato vigente antes de decidir.
El compromiso más tajante sobre entrenamiento: «Anthropic no entrenará modelos con el contenido del cliente». A cambio, retención configurable, HIPAA y la inferencia solo-EE. UU. quedan reservadas al plan Enterprise.
No entrena por defecto y el admin controla la retención. SAML/SCIM completos y la API de auditoría llegan en Enterprise. Tenga presente que litigios recientes pueden obligar a retener datos pese a la política de borrado.
Su ventaja es quedarse dentro del límite de servicio de Microsoft 365 y respetar los permisos que ya existen en SharePoint/Teams: Copilot no muestra lo que el usuario no podría abrir (las búsquedas web y los agentes sí salen del límite). Ojo: el «Copilot» gratuito del navegador es otro producto.
Hereda las mismas protecciones que Gmail y Docs: sin entrenamiento ni revisión humana fuera de su dominio (sin permiso), con cobertura en Vault y FedRAMP High. El salto frente al Gemini personal es enorme; no los confunda.
Que el proveedor prometa no entrenar con sus datos resuelve una parte del problema: qué hace él con la información una vez que la recibe. No resuelve la otra mitad, que es enteramente suya: qué información sale de sus sistemas, quién puede pedirla y qué queda registrado.
Elija el proveedor que elija de este cuadro, Altavía construye la capa que decide qué sale de sus sistemas hacia ese asistente. Un servidor MCP a la medida que se interpone entre la IA y sus datos:
Así, la decisión de proveedor pasa a ser de costo y preferencia, no de riesgo: el control de qué se expone deja de depender de la letra pequeña de un tercero y vive en su lado. Ver el modelo de seguridad →
Documentación oficial de cada proveedor, consultada en junio de 2026:
Los planes y políticas de estos proveedores cambian con frecuencia. Esta página es un resumen informativo, no asesoría legal; verifique siempre los términos vigentes antes de contratar.
En una llamada revisamos qué datos quiere conectar, qué proveedor encaja y cómo se controla el acceso.