Seguridad y Gobernanza de IA: Guía de Uso Seguro

Si metes varios sitios en un repositorio y colocas un CLAUDE.md o un AGENTS.md en la carpeta de cada sitio, no hay garantía de que esas reglas se lean antes de empezar a trabajar. Claude Code carga un CLAUDE.md situado por debajo de la carpeta de inicio cuando Claude lee, escribe o edita un archivo de esa carpeta, mientras que Codex lee solo los AGENTS.md desde la raíz del proyecto hasta la carpeta de inicio, una vez al comienzo de cada ejecución. Este artículo compara, punto por punto, cómo cargan estos archivos ambas herramientas y cómo comprobar si se cargaron (/context muestra solo lo cargado al iniciar), y después explica una comprobación que detiene el despliegue si cambia algo fuera de la carpeta asignada y los ajustes de las herramientas que bloquean la escritura. También muestra cómo distinguir repositorios de nombre parecido por la URL remota y el commit raíz, y comandos que muestran solo los nombres de las variables de entorno (consultado el 1 de noviembre de 2026).

Explica cómo dejar Codex (app, IDE y CLI) y Claude Code (Claude Desktop, VS Code, web y móvil) en modo de solo investigación. Incluye la diferencia entre solo lectura y Plan, el alcance de los ajustes, la limitación de herramientas, una solicitud lista para usar y cómo revisar los cambios.

Repasa la denegación de lectura, la separación del entorno, las aprobaciones y los límites de red en Codex. Incluye un ejemplo de perfil de permisos, las rutas de .env, las variables de entorno y las limitaciones de cada sistema operativo. También explica cómo confirmar la denegación con archivos ficticios, sin usar secretos reales.

Antes de elegir Codex Security, compara el plugin local, Cloud conectado a GitHub y la CLI independiente. Esta guía explica con documentación oficial la facturación separada de Cloud, los créditos gratuitos sujetos a condiciones, la configuración inicial, Standard y Deep, la cobertura, las pruebas de reproducción y la verificación de correcciones. También detalla cuándo la CLI elige una clave de API del entorno y cómo usar los límites de coste estimados.

Los mods de Claude Code (Claude Mods) son plugins que ejecutan funciones de JavaScript o TypeScript dentro de Claude Code, añadidos oficialmente en la v2.1.287 el 1 de octubre de 2026. Este artículo explica cómo funciona un mod de tres archivos, en qué se diferencia de los hooks tradicionales escritos en settings.json, de las skills y de MCP, qué pueden hacer los mods, como dibujar paneles en la interfaz, crear comandos que se ejecutan sin esperar y retener una llamada a una herramienta para preguntar al usuario, y límites como el tiempo de ejecución, todo ello a partir del texto original de la documentación oficial consultado el 5 de octubre del mismo año. Un mod se ejecuta con tus permisos fuera del sandbox y puede anular decisiones de permisos. Una tabla muestra que las reglas deny se mantienen en Team o Enterprise o en un equipo con managed settings, pero que en un plan personal un mod puede aprobar incluso llamadas que una regla deny había rechazado. También recoge los resultados de leer el código de los tres mods de ejemplo oficiales de Anthropic y contar qué API usan, cómo leer claude plugin validate antes de instalar, cómo probar mods, pedirle a Claude que cree uno y desactivarlos, dónde se ejecutan los mods y los mods integrados, y una lista de comprobación antes de instalar.

Puedes delegar el desarrollo en las sesiones en la nube de Claude Code sin abrir una nueva vía de entrada a producción: guarda el código en un repositorio privado de GitHub, instala la Claude GitHub App solo en ese repositorio y haz que el servidor de producción solo haga pull con una deploy key de solo lectura. Este artículo es mi registro de cuando empecé a usar las sesiones en la nube en otro proyecto de desarrollo el 4 de octubre de 2026, contrastado con el texto original de la documentación oficial en esa fecha. Explica que claude --cloud sin GitHub envía el historial de todas las ramas y los cambios sin confirmar en archivos rastreados (en Windows, sea cual sea el nombre del archivo), cómo resolverlo cuando hay conectada otra cuenta de GitHub, «Only select repositories» y por qué aparecen repositorios públicos en la lista, por qué conviene crear un entorno nuevo por proyecto si cualquiera que use un entorno puede leer sus variables de entorno, que los archivos locales no son visibles y que en la nube Accept edits se detiene en cada comando mientras que Auto sigue adelante, todo ello reunido en una lista de comprobación previa. También comparte un caso real en el que una sola instrucción ejecutada de forma autónoma consumió 226 $ de crédito por tiempo limitado antes de que le dijera que parara a mitad, por qué el crédito se gasta tan rápido y formas de reducir el coste.

Incluso con Pro personal, las conversaciones y el código de ChatGPT y Codex se usan por defecto para entrenar. Un ajuste de ChatGPT también frena las tareas nuevas de Codex, pero el entrenamiento con entornos tiene un control aparte. La guía recoge qué información no conviene introducir, qué hacer si ya enviaste datos sensibles y las excepciones de borrado y revisión.

Que tus conversaciones con Claude Code se usen para entrenar modelos de IA depende de tu plan y del ajuste de tu cuenta. En los planes de consumo Free, Pro y Max, tus datos solo se usan para entrenar mientras el ajuste de mejora del modelo de la privacidad de claude.ai está activado (se guardan 5 años), y desactivarlo detiene el entrenamiento (se guardan 30 días). El ajuste pertenece a tu cuenta, así que no hace falta cambiar archivos de configuración en el ordenador donde se ejecuta Claude Code. A partir del texto original de la página "Data usage" de la documentación de Claude Code, del Privacy Center de Anthropic y de la página "API and data retention" de Claude Platform a 4 de octubre de 2026, este artículo explica dónde está el ajuste y cómo desactivarlo, por qué desactivarlo no retira tus datos de entrenamientos anteriores, cómo se tratan las valoraciones 👍👎, /feedback y las conversaciones marcadas como infracción de la política, y el entrenamiento y la conservación por plan, incluidos Team, Enterprise, la API y Bedrock. También aclara que las entradas y salidas de la API no se usan para entrenar por defecto y se eliminan en un plazo de 30 días, qué cubre el ZDR y por qué los Covered Models como Fable exigen 30 días de conservación, las variables de entorno que detienen las métricas de uso y los informes de errores que se envían aparte del entrenamiento, las transcripciones guardadas en texto plano en tu propio ordenador y cómo elegir la configuración para trabajo confidencial.

Si Claude Code muestra «API Error: Opus 5.5's safeguards flagged this message» o «safeguards flagged this session», un clasificador de seguridad asociado al modelo reaccionó al contenido de tu conversación y detuvo la respuesta de ese modelo. En los títulos de las Issues también aparece como «Message flagged by safeguards». Los clasificadores funcionan en el servidor y no miran solo tu última frase, sino toda la conversación, los archivos leídos e incluso CLAUDE.md, así que un mensaje corriente como «hi» puede quedar detenido, y Anthropic reconoce que hay falsos positivos. A partir de la referencia de errores oficial, la documentación de configuración de modelos, la página Refusals and fallback de la API y el Centro de ayuda, explicamos qué significan las categorías cyber, bio, reasoning_extraction, general_harms y frontier_llm del campo Details, cuándo Claude Code cambia automáticamente a otro modelo y cuándo simplemente se detiene, cómo usar Esc dos veces para retroceder, /clear, /model, --safe-mode y /feedback, la ampliación del CVP del 6 de octubre de 2026 a tres niveles que cubren también Opus 5.5 y Sonnet 5.5, y cómo se facturan las solicitudes detenidas. Las notificaciones de GitHub desde el 22 de septiembre se separan de las explicaciones oficiales y se tratan como casos sin confirmar.

Las disposiciones restantes del EU AI Act pasaron a ser de aplicación general el 2 de agosto de 2026 y, con ellas, llegó una oleada repentina de afirmaciones según las cuales publicar un artículo escrito con IA sin etiquetarlo ya es ilegal. La respuesta corta es que, para la mayoría de quienes publican por su cuenta y para los blogs corporativos, no nace ninguna obligación de revelarlo. El artículo 50, apartado 4, dice con todas las letras que la obligación no se aplica cuando el contenido ha pasado por una revisión humana o un control editorial y alguien asume la responsabilidad editorial de la publicación. Hasta ahí llega el texto legal; la guía práctica del artículo 50 añade que la revisión debe ser sustantiva y no puede limitarse a cuestiones superficiales ni a un visto bueno meramente formal, de modo que publicar de forma automática un texto que nadie ha leído difícilmente entra en la exención. Este artículo recorre por qué el proveedor y el responsable del despliegue tienen obligaciones completamente distintas, por qué la revelación de los textos generados por IA depende de la finalidad de la publicación y no del tema, la obligación de revelar los deepfakes y el trato atenuado de las obras artísticas y satíricas, los avisos de los chatbots, por qué el marcado legible por máquina como C2PA Content Credentials es una obligación del proveedor, y los plazos del 2 de diciembre de 2026 y el 2 de febrero de 2027, siempre limitado a lo que ha podido contrastarse con el texto legal y con el material de la Comisión Europea.

Una afirmación general no puede responder a la pregunta "si la IA puede editar las cosas directamente, ¿sigue haciendo falta un panel de administración?", porque la propia expresión "panel de administración" cubre un montón de funciones de naturaleza completamente distinta. Este artículo, apoyado en la experiencia de haber borrado entero el panel de administración de este sitio, sustituye esa pregunta por otra más afilada: ¿ofrece esa pantalla algo que la CLI y la IA no estén ofreciendo ya? Lo que reveló borrarlo todo es que la mayoría de las funciones retiradas no estaban "sin usar", sino "estructuralmente rotas". El CRUD de artículos nunca pudo funcionar, porque la fuente de verdad de los artículos vive en el código y cada despliegue sobrescribe la base de datos, así que todo lo editado en la pantalla se esfumaba en el siguiente despliegue. La cola de aprobación de comentarios estaba siempre vacía porque los mensajes se marcaban como aprobados al enviarlos, de modo que un comentario sin aprobar nunca llegaba a existir. Una función que nadie usa es una función cuya avería nadie puede detectar. La única capacidad que no podía irse era el borrado de comentarios, y ni siquiera esa tenía necesidad intrínseca de ser un panel de administración: un botón de borrar en la propia página del artículo resultó mejor, porque el comentario problemático se quita justo donde se está leyendo. La decisión se reduce a seis preguntas. Quién la opera (personal no técnico o un puesto que cambia de manos empuja hacia una interfaz; desarrolladores que viven en la terminal, no). Si es reversible (las acciones irreversibles necesitan una puerta). Si necesita un juicio humano (si existe una transición de estado de aprobar o rechazar). Si hay que separar permisos. Si quien opera sabe qué es posible (el listado hace de documentación). Si hay rastro de auditoría. Los permisos y el rastro de auditoría, en particular, parecen innecesarios en un proyecto en solitario y se convierten en lo primero que hace falta en cuanto llega una segunda persona. Los cambios hechos a través del código aterrizan en git, pero dejar que una IA escriba directamente en la base de datos no registra nada por defecto, y un registro de conversación conserva lo que se pidió, no lo que ocurrió. De los seis ejes, solo la reversibilidad carga un peso distinto. El 18 de julio de 2025, un agente de IA de Replit borró la base de datos de producción de SaaStr durante una congelación de código en vigor, fabricó 4.000 usuarios y afirmó erróneamente que la reversión era imposible, retrasando la recuperación (AI Incident Database #1152) — un caso que muestra menos el peligro de la IA que un problema de diseño en el que una acción irreversible podía alcanzarse sin pasar por una puerta humana. El artículo cubre además las tres cosas que hay que colocar antes de cargar el peso sobre la IA y la CLI (que los cambios dejen un rastro duradero, que haya un escalón delante de las acciones irreversibles y que el procedimiento esté escrito, porque borrar la interfaz borra también la lista de lo que es posible), una lista de comprobación previa a construir nada y la tercera opción de los productos de herramientas internas como Retool o Forest Admin en lugar de escribir un panel a mano.

Dispatch es la función con la que mandas una instrucción desde el móvil y Claude ejecuta el trabajo en tu propio ordenador (en beta, planes Pro y Max). No corre en la nube: se mueve tu máquina real, y de ese único hecho salen a la vez todo su valor y todo su peligro. La ayuda oficial dice que puedes escribir a Claude desde el móvil y que trabaje en tu ordenador de escritorio, usando los mismos connectors, plugins y acceso a archivos que ya tengas configurados en Cowork, dentro de lo que Anthropic plantea como una única conversación continua a la que se llega desde cualquiera de los dos dispositivos. Para que funcione, el ordenador tiene que estar despierto y con la aplicación de escritorio abierta, y el computer use solo está disponible en macOS y Windows, nunca en Linux. Mecánicamente trabaja bajando por tres niveles de prioridad: un connector si lo hay, la navegación por el navegador si no lo hay, y la interacción directa con la pantalla como último recurso, tomando capturas por el camino para entender lo que se ve. La valoración empieza justo ahí. Los puntos donde se detiene están diseñados: el computer use viene desactivado por defecto y se activa en Ajustes, General; el permiso se pide para cada aplicación nueva; borrar un archivo de forma permanente exige permiso explícito; y las plataformas de inversión y trading y las aplicaciones de criptomonedas quedan vetadas por defecto. Pero también hay puntos donde no se detiene. Las acciones concretas dentro de una aplicación ya aprobada no se te confirman, y la redacción oficial es que Claude hace clic, escribe y navega por tu pantalla directamente, sin las comprobaciones de permisos que sí filtran las demás herramientas de Cowork. La documentación añade que no hay ningún sandbox entre Claude y lo que hay en tu pantalla, y que las acciones tomadas en una aplicación pueden afectar a otras. El riesgo mayor es la prompt injection, que Anthropic describe con sus propias palabras: el contenido web es un vector principal de ataques de prompt injection, y una instrucción manipulada, un comando inesperado o un enlace de phishing abierto en tu navegador podrían encadenarse hasta acciones difíciles o imposibles de deshacer. Anthropic afirma que escanea las activaciones del modelo para detectar ese comportamiento, pero eso baja la probabilidad sin quitarte a ti la obligación de trazar una línea, y la guía sigue diciendo que pases a la aprobación manual siempre que una tarea toque archivos, cuentas o sitios sensibles. Anthropic nombra el límite sin rodeos: no des permiso de computer use a aplicaciones sensibles, como las de banca, sanidad o administración pública, y evita las cuentas financieras, los documentos legales, la información médica y los datos personales. El artículo cubre también el lado del móvil. Lo que se escapa si lo pierdes no son los datos guardados en el teléfono, sino la capacidad de dar órdenes a tu ordenador, más el contenido de la conversación que sigue viva; y la ayuda oficial de Dispatch no documenta cómo desemparejar un dispositivo ni qué hacer si lo pierdes, así que los remedios vienen del lado de la cuenta: cerrar esa sesión concreta en Ajustes, Cuenta, Sesiones activas; cerrar todas las sesiones desde claude.ai, algo que no está disponible en las aplicaciones móviles y que por tanto exige un navegador web; o simplemente cortar por el lado del ordenador cerrando la aplicación de escritorio o dejando que la máquina se suspenda, que en realidad es lo más rápido porque Dispatch necesita el ordenador despierto y la aplicación abierta. Cierra separando Dispatch y computer use como dos interruptores distintos, distinguiendo ambos del agent view de Claude Code (al que la documentación oficial también llama dispatch) y trazando una línea práctica: empieza por el trabajo que puedes deshacer.