Seguridad y compliance enterprise: Claude vs Gemini for Workspace.

Hasta 2024, la conversación sobre IA en una empresa arrancaba con "probalo". En 2026 arranca con "mostrame el DPA, el SOC 2 y la política de no entrenamiento". El CIO o el CISO se sumaron a la mesa, y la decisión de qué IA desplegar dejó de ser una elección de producto: es una decisión de compliance.

Este artículo compara a los dos players que se pelean el mercado enterprise serio: Claude Enterprise (Anthropic) y Gemini for Workspace (Google). No miramos calidad del modelo ni features del producto —eso lo cubro en Projects vs Gems—. Acá miramos únicamente lo que un auditor externo evalúa.

“En IA corporativa, la seguridad no es el 10% más caro de la decisión. Es el 100% del GO / NO-GO.”

Las 5 dimensiones que importan (y en qué orden).

Cualquier evaluación seria de IA enterprise se reduce a 5 preguntas. Si el proveedor no las responde con documentación pública, no califica.

1. Certificaciones externas. SOC 2 Type II vigente, ISO 27001 y, si aplica, ISO 42001 (gestión de IA), HIPAA, PCI-DSS.
2. Política de entrenamiento con datos del cliente. ¿Se usan o no tus inputs y outputs para entrenar modelos? ¿El opt-out es default o hay que activarlo?
3. Residencia de datos. Dónde se procesan y almacenan físicamente los datos. Relevante para GDPR, LGPD y requisitos de banca/salud.
4. Controles administrativos. SSO/SAML, SCIM, DLP, audit logs, retention policies, gestión por unidad organizacional.
5. Contratos (MSA, DPA, BAA). Master Service Agreement, Data Processing Addendum para GDPR, Business Associate Agreement para HIPAA.

Claude Enterprise: cómo lo audita Anthropic.

Anthropic construyó la marca "AI safety lab". Desde el modelo base hasta la política comercial, la narrativa de seguridad es diferencial. En términos verificables:

Gemini for Workspace: cómo lo audita Google.

Gemini no es un producto aislado: hereda toda la arquitectura de seguridad de Google Cloud, que es probablemente la infraestructura mejor auditada del mundo fuera de gobiernos. Eso le da ventaja en amplitud de certificaciones y en granularidad administrativa.

Tabla comparativa para llevar al comité de seguridad.

Lectura rápida de la tabla: en amplitud de certificaciones y en granularidad administrativa, gana Gemini for Workspace porque hereda la pila completa de Google Cloud. En certificaciones específicas de IA y en política de datos como diferenciador, gana Claude Enterprise. Los dos son aceptables para una empresa mediana con requisitos estándar.

Residencia de datos y soberanía (Argentina/LATAM).

La mayoría de empresas argentinas no tienen requisitos estrictos de soberanía local: la Ley 25.326 permite transferencia internacional siempre que haya cláusulas contractuales adecuadas, que ambos proveedores incluyen en su DPA. Los casos donde sí hay que mirar con lupa son:

• Bancos, fintechs y aseguradoras. BCRA exige controles de tercerización y, en algunos casos, residencia regional. Verificar con compliance interno.
• Empresas con clientes UE/Brasil. GDPR y LGPD exigen DPA firmado, lo cual ambos proveedores ofrecen de forma estándar.
• Salud y educación con datos de menores. Requiere DPA + a veces BAA + políticas internas de retención más cortas.
• Sector público. Algunos organismos exigen residencia nacional o regional; en ese caso, conviene evaluar Vertex AI privado o deployment dedicado.

Compliance por industria: qué exige cada sector.

El riesgo real de un deploy no está en el modelo, está en el tipo de datos que van a tocar el modelo. Así recomiendo evaluar:

• Legal y estudios jurídicos: confidencialidad de cliente. Política de no entrenamiento es no-negociable. Claude Enterprise es ventaja por ISO 42001 + cláusulas específicas de secreto profesional.
• Salud y laboratorios: HIPAA si hay datos de pacientes US. Ambos proveedores habilitan BAA, pero hay que activarlo antes de cargar información.
• Finanzas / bancos / fintechs: BCRA, PCI-DSS (si tocan tarjetas), ISO 27001. Gemini for Workspace tiene ventaja por heredar PCI-DSS de Google Cloud.
• eCommerce y retail: PCI-DSS (checkout), datos de clientes bajo Ley 25.326. Ambos proveedores cubren el baseline.
• Educación y ONGs: foco en datos de menores y en costos. Gemini dentro de Workspace for Education tiene ventaja operativa.

Checklist de 10 preguntas antes de desplegar.

Antes de firmar un contrato con cualquier proveedor de IA, respondete estas diez. Si no tenés respuesta a una, no avances:

1. ¿Tengo la certificación SOC 2 Type II del proveedor con fecha vigente?
2. ¿Firmé el DPA antes de cargar datos personales?
3. ¿El plan contratado tiene política de no entrenamiento por default (no opt-out)?
4. ¿Sé en qué región se procesan mis datos y tengo contrato que lo fija?
5. ¿Activé SSO/SAML + SCIM para que el offboarding sea automático?
6. ¿Tengo audit logs exportables y política de retención definida?
7. ¿Documenté internamente qué información puede y qué no puede ir a un Project/Gem?
8. ¿Necesito BAA para HIPAA o cláusula específica por industria? ¿Está activo?
9. ¿Tengo DLP activo para prevenir leaks desde la interfaz?
10. ¿Mi política de uso interno está aprobada por compliance/ legal/IT?

Conclusión: ninguno es "el más seguro" en absoluto.

Para una empresa mediana argentina con operación regular, los dos cumplen el baseline que pide cualquier auditor serio. La decisión de fondo no pasa por seguridad: pasa por el stack operativo, el tipo de tarea y la adopción del equipo. Si tu empresa está en Google Workspace, Gemini for Workspace gana por integración y granularidad administrativa. Si tu empresa no está en Workspace, Claude Enterprise rinde por calidad del modelo y por las certificaciones específicas de IA.

Lo que no es negociable es el proceso: firmar DPA, activar opt-out, documentar política de uso y hacer un piloto controlado antes de desplegar a toda la empresa. Si querés que ese proceso lo llevemos juntos para tu empresa, agendemos una sesión estratégica y armamos el plan de adopción con compliance incluido.