Nadie hackeó nada... pero se filtró información

En abril, alguien pidió ayuda a un chatbot para redactar una entrada de blog sobre seguridad cloud. Todavía sin publicar. Con detalles de un proyecto corporativo dentro. Al terminar pulsó el botón de compartir, probablemente para enseñárselo a un compañero.

Ese documento acabó siendo accesible desde Google.

No hubo ningún ataque. No se explotó ninguna vulnerabilidad. Nadie robó unas credenciales. La persona que lo expuso fue la misma que lo escribió, y en ningún momento tuvo la sensación de estar publicando nada. Esto es lo que de verdad significa shadow AI, y es bastante menos cinematográfico que un intruso en la red.

Qué pasó exactamente, y qué no pasó

El fin de semana del 25 de julio, usuarios de Reddit descubrieron que las conversaciones que la gente había compartido desde Claude, el chatbot de Anthropic, aparecían en los resultados de los buscadores. Poco después se vio que también ocurría con los Artifacts, las aplicaciones, informes y hojas de cálculo que se generan dentro de la herramienta. Anthropic corrigió el problema el lunes 27 y Google empezó a retirar los enlaces, aunque durante un tiempo seguían siendo accesibles desde Bing y Brave. Lo publicaron la BBC, Fortune, Axios y buena parte de la prensa española.

Conviene decir con precisión lo que no ocurrió, porque casi todos los titulares se han pasado de frenada.

No fue una brecha. No hubo un hackeo. Los chats de Claude son privados por defecto, y los enlaces afectados no daban acceso a la cuenta de nadie ni al resto de sus conversaciones. Cada una de esas páginas existía porque una persona decidió crearla. La propia Anthropic lo resumió así en su declaración a la BBC:

"Cuando alguien comparte una conversación, está haciendo ese contenido públicamente accesible y, como cualquier otro contenido público de la web, puede ser archivado por servicios de terceros."

Es una respuesta razonable. Y aun así no cierra el problema, por un motivo que tiene poco que ver con la privacidad y mucho con las expectativas: no es lo mismo mandarle una conversación a un compañero que dejarla indexada en un buscador. La ventana de compartir avisa de que "cualquiera con el enlace" podrá verla. No dice que el enlace pueda terminar en Google.

Lo que había dentro

El inventario es la parte incómoda, y viene de medios de primer nivel:

• Un borrador sin publicar sobre seguridad cloud con detalles de un proyecto corporativo (BBC)
• Currículums con nombres, datos de contacto e historial laboral (BBC)
• Lo que parecía investigación propietaria de trabajo, incluida sanidad, con transcripciones de conversaciones privadas (BBC)
• Claves de monederos de criptomonedas, nombres y direcciones (Fortune)
• Documentos de empresas, universidades y proyectos médicos (Gizmodo)

Sobre el volumen conviene ser honesto: no hay una cifra fiable. La BBC contabilizó más de 200 conversaciones repartidas en al menos 25 páginas de resultados. Gizmodo vio unas 612 páginas todavía en Bing. Otros medios hablaron de miles. Cada uno midió en un momento distinto de la retirada, así que cualquier número redondo que leas por ahí es, como mucho, una foto parcial.

Lo relevante no es cuántas eran. Es de qué tipo.

El detalle técnico que casi nadie ha contado

La mayoría de la cobertura resuelve esto con la palabra "mala configuración" y pasa a otra cosa. Merece la pena detenerse, porque aquí está la lección que sí te sirve.

Se puede comprobar en directo. El fichero claude.ai/robots.txt, a día de hoy, contiene esta línea:

Es decir: las conversaciones compartidas sí estaban bloqueadas para los rastreadores. Y según Forbes, ya lo estaban en septiembre de 2025, cuando esto pasó por primera vez. Se indexaron igualmente.

Eso no es una contradicción. Es exactamente cómo funciona. robots.txt es una directiva de rastreo, no de indexación. Lo dice la documentación de Google sin ambigüedad:

"Una página no permitida en robots.txt puede indexarse igualmente si hay enlaces hacia ella desde otros sitios."

Traducido: si alguien pega ese enlace en un foro, en una red social o en cualquier página pública, el buscador se entera de que la URL existe y puede listarla, aunque haya prometido no rastrear su contenido. Para impedir de verdad que una dirección aparezca en resultados hace falta otra cosa: una etiqueta noindex, autenticación, o retirar la página. Las páginas afectadas no llevaban noindex.

Hay un segundo detalle verificable. Ese mismo robots.txt no contiene ninguna regla para la ruta /public/, que es donde viven los Artifacts. La parte de aplicaciones y documentos generados no estaba cubierta ni siquiera sobre el papel.

Y ahora la pregunta que deberías hacerte: ¿cuántos controles de tu organización son de este tipo? ¿Cuántas veces alguien ha dicho "eso está bloqueado en el robots" y todo el mundo ha asentido? Esa comprobación, en tu propio dominio, te lleva dos minutos y probablemente sea lo más rentable que hagas esta semana.

No es la primera vez. Es la cuarta.

Cuatro episodios en un año, tres proveedores distintos, y el segundo para el mismo. En septiembre de 2025 Anthropic explicó que bloqueaba a los rastreadores de Google. Era cierto, y sigue siéndolo. Diez meses después vuelve a ocurrir, esta vez extendido a una ruta que aquella regla nunca cubrió.

Merece la pena señalar el contraejemplo. Cuando ChatGPT tuvo su episodio en agosto de 2025, OpenAI no ajustó su fichero de configuración: eliminó la función que permitía que los chats compartidos fueran localizables, la describió como un "experimento de corta duración" y se puso a trabajar con los buscadores para desindexar. Cambió el producto, no el robots.

Como resume Fortune, que OpenAI, Anthropic y xAI hayan tropezado cada uno con su versión del mismo problema sugiere que es algo que el sector no ha conseguido arreglar de forma permanente.

Esa es la conclusión operativa. No se trata de elegir el proveedor que no vaya a fallar en esto.

Por qué esto no es un problema de Anthropic, sino tuyo

Aquí es donde la mayoría de los análisis se equivocan de norma.

Se ha escrito mucho estos días sobre la Ley de IA de la UE, y es verdad que el 2 de agosto de 2026, dentro de unos días, la Comisión y la Oficina de IA estrenan sus poderes de supervisión sobre los proveedores de modelos de propósito general, con multas de hasta el 3% del volumen de negocio mundial o 15 millones de euros. Pero esas obligaciones apuntan a Anthropic, a OpenAI y a xAI. No a la pyme española cuyo empleado usó el chatbot.

Lo que te expone a ti es el RGPD.

Si una persona de tu equipo pega en un chatbot datos de un cliente, de un paciente o de un candidato, y comparte un enlace que acaba siendo públicamente accesible, tu empresa es la responsable del tratamiento y eso es una divulgación no autorizada: una violación de seguridad de los datos personales en el sentido del artículo 4.12. A partir de ahí se abre el artículo 33, que da 72 horas para notificar a la AEPD desde que tienes conocimiento, y el artículo 34, que obliga a comunicárselo a los afectados si el riesgo es alto. Las multas llegan al 4% del volumen de negocio global.

Y si lo que se compartió incluía transcripciones sanitarias, estás en el artículo 9, datos de categoría especial, con el listón de riesgo bastante más alto.

Nada de esto depende de que el proveedor lo haga bien. Depende de qué haya salido de tu organización.

El contexto tampoco ayuda. Según el informe Cost of a Data Breach 2025 de IBM, una de cada cinco organizaciones que sufrieron una brecha la tuvieron relacionada con shadow AI, y esas brechas costaron unos 670.000 dólares más que las demás. El 63% de las organizaciones afectadas no tenía políticas de gobernanza de IA. Entre las que reportaron incidentes relacionados con IA, el 97% reconoció no tener controles de acceso adecuados.

Qué hacer esta semana

Cinco cosas concretas, por orden de esfuerzo.

1. Revisa tus propios enlaces compartidos. En Claude está en Configuración, Privacidad, Chats compartidos: se puede pasar una conversación a privada y desactivar su enlace. Ojo, revocar impide que se siga abriendo, pero no borra las copias que ya se hayan archivado o reenviado. La propia Anthropic lo admite.
2. Inventaria qué herramientas de IA usa de verdad tu gente, no cuáles están aprobadas. Son listas distintas y la diferencia es el problema.
3. Escribe en la política de IA que compartir es publicar. Con esas palabras. La mayoría de la gente no interpreta un enlace privado como una página web, y no es culpa suya.
4. Saca los datos personales y de cliente de las herramientas de consumo. Lo que sea trabajo real va por acuerdos de empresa, con condiciones de no entrenamiento y de retención. Y para lo demás, quita los datos antes de pegar: más abajo te dejamos una herramienta gratuita que hace exactamente eso.
5. Audita tus propios dominios. robots.txt no es noindex. Comprueba qué hay indexado de lo tuyo que no debería estarlo.

Y una previa: ten decidido de antemano quién dispara el reloj de las 72 horas. Cuando esto pasa, el tiempo empieza a correr cuando tienes conocimiento, no cuando terminas de investigar.

Una herramienta gratuita para la parte que sí tiene solución rápida

Hay una parte de este problema que se arregla en treinta segundos, y es la que más veces aparece: los datos personales que la gente pega en un chatbot sin pensarlo. Nombres de clientes, un DNI, un teléfono, un IBAN, una dirección de correo dentro de un correo que copiaron entero.

Por eso hemos publicado el anonimizador de Moviwa, y es gratis y sin registro.

Funciona así. Pegas el texto, o subes un .txt, .md, .pdf o .docx. La herramienta detecta los datos personales y los sustituye por tokens del tipo [PERSON_1] o [ID_1]. Copias ese texto ya limpio y lo usas en ChatGPT, Claude, Gemini o el que prefieras. Cuando la IA te responde, pegas la respuesta de vuelta y recuperas los datos originales de un clic.

La parte importante: todo ocurre dentro de tu navegador. El documento no se sube a ningún servidor, tampoco a los nuestros. Lleva dos motores de detección, uno de patrones (DNI, NIE, teléfonos, correos, IBAN, tarjetas, matrículas) y un modelo de IA para los nombres que se descarga una vez y se ejecuta entero en tu equipo. El mapa de tokens se guarda solo en el almacenamiento local de tu navegador, caduca a los siete días y puedes borrarlo cuando quieras. Sin cuentas y sin analítica sobre el contenido.

Y ahora la parte honesta, que viene al caso de este artículo: esto no impide que alguien comparta una conversación. Lo que hace es que, si esa conversación acaba en un buscador, lo que se ve sean tokens y no el DNI de tu cliente. Tampoco protege el conocimiento propio de la empresa: el borrador de arquitectura cloud del principio seguiría siendo legible, porque el problema ahí no eran los datos personales sino el contenido. Para eso hace falta política y criterio, no una herramienta.

Cubre la parte frecuente y evitable. No cubre la parte que exige decidir qué se puede pegar y qué no.

Lo que queda

La conversación con un chatbot da una sensación de intimidad muy convincente. Es una ventana, uno a uno, sin nadie mirando. Esa sensación es real hasta el momento exacto en que alguien pulsa compartir, y a partir de ahí la privacidad de lo que has escrito depende de la configuración de un buscador y de que nadie vuelva a pegar el enlace en ningún sitio.

La pregunta de gobernanza no es si tu proveedor va a acertar la próxima vez.

Es qué le has entregado ya a un botón de compartir.

Empieza por lo fácil: prueba el anonimizador, es gratuito, no pide registro y funciona íntegramente en tu navegador. Pásaselo a quien en tu equipo trabaja a diario con documentos de clientes.

Y luego lo demás. El anonimizador resuelve un caso concreto para una persona. Moviwa protege a toda la organización: detección de nombres con IA, documentos con el formato original conservado (PDF, Word, Excel), extensión de navegador transparente para el usuario, auditoría completa y cumplimiento del RGPD. Si quieres ver qué se está pegando hoy en un chatbot desde tu empresa, pide una demo y lo miramos con tu caso.