El error de Anthropic en GitHub: cuando un DMCA mal apuntado pone en duda la narrativa de la “IA responsable”
Anthropic se ha vendido al mundo como la alternativa prudente en la carrera de la IA generativa. Por eso duele especialmente que, en cuestión de horas, haya hecho dos cosas difíciles de justificar: filtrar código fuente sensible y, en el intento de corregirlo, tumbar miles de repositorios legítimos en GitHub con un aviso DMCA excesivo. No es solo una anécdota: es una prueba de estrés de cómo los grandes laboratorios de IA gestionan el poder, el error y la relación con la comunidad de desarrolladores. Veamos qué ha pasado y por qué debería importarle tanto a Europa como a América Latina.
La noticia, resumida
Según relata TechCrunch, Anthropic incluyó por accidente acceso a partes del código fuente de Claude Code, su herramienta de línea de comandos para programadores, en una versión reciente. Un ingeniero detectó el desliz y, rápidamente, entusiastas de la IA y del open source empezaron a compartir y analizar ese código en GitHub para entender mejor cómo se integra el modelo Claude.
Para frenar la difusión, Anthropic presentó ante GitHub una notificación de retirada por supuesta infracción de copyright bajo la ley estadounidense DMCA. De acuerdo con los registros de GitHub, la petición acabó afectando a unos 8.100 repositorios. Entre ellos había forks totalmente legítimos del propio repositorio público de Claude Code, sin relación directa con el código filtrado.
Tras la oleada de quejas en redes sociales, el responsable de Claude Code admitió que el alcance fue un error. Anthropic retiró la mayor parte del aviso y lo limitó a un solo repositorio y 96 forks que sí contenían el código publicado por equivocación. Según declaró la compañía a TechCrunch, GitHub ya ha restaurado el acceso al resto de proyectos afectados.
Por qué importa de verdad
Para la mayoría de empresas tecnológicas, filtrar código fuente interno ya sería una crisis seria. En el caso de Anthropic, el daño más profundo puede estar en cómo intentó borrar el rastro: usando un DMCA tan amplio que arrastró a miles de inocentes por el camino.
Los impactos inmediatos se reparten entre varios actores:
- Desarrolladores en GitHub, cuyos repos reposaron bloqueados sin aviso previo. Si ese código se usa en pipelines de CI/CD, productos en producción o librerías críticas, incluso unas horas de caída rompen flujos de trabajo y dañan reputaciones.
- Clientes empresariales e inversores, que ven cómo una compañía que aspira a cotizar en bolsa comete errores básicos de gobernanza: control insuficiente de versiones, coordinación deficiente entre ingeniería y equipo legal, y escasa sensibilidad hacia la comunidad que le da tracción.
- Competidores en el mercado de IA, que pueden cuestionar con más fuerza el relato de Anthropic como actor “más responsable” que los gigantes de Silicon Valley.
El caso también destapa un problema estructural: los grandes proveedores de IA se han convertido en plataformas sobre las que otros construyen productos. Cuando uno de ellos recurre a herramientas legales de manera imprecisa, no está sólo protegiendo su propiedad intelectual; está poniendo en riesgo a todo un ecosistema de proyectos dependientes.
Y hay una incoherencia incómoda: Anthropic participa activamente en debates sobre seguridad y regulación de la IA a nivel global. Sin embargo, este episodio sugiere que sus propios procesos internos de control de versiones, revisión legal y gestión de incidentes están lejos de ser ejemplares.
El contexto más amplio
La historia encaja en una tendencia conocida: el uso agresivo y a veces torpe del copyright en el mundo tecnológico. Llevamos años viendo reclamaciones DMCA dudosas contra investigadores de seguridad, vídeos educativos derribados en YouTube o repositorios de código cerrados por automatismos mal configurados.
Lo que cambia ahora es el papel de la IA generativa. Herramientas como Claude Code, GitHub Copilot o CodeWhisperer se han colado en el corazón del proceso de desarrollo. Ya no son juguetes experimentales: son parte de la infraestructura diaria. Cuando un proveedor comete un error grave, el efecto dominó se siente en miles de equipos.
Además, los grandes laboratorios de IA se han vuelto cada vez más opacos: publican menos detalles sobre arquitectura, datos de entrenamiento o tooling, escudándose en la competencia y la seguridad. En ese entorno, cuando algo se filtra, el DMCA se convierte en el instrumento favorito para “controlar la narrativa”. Y el sesgo natural es claro: es preferible quitar demasiado contenido que arriesgarse a dejar algo comprometedor a la vista.
Si comparamos con los proveedores de nube tradicionales, el contraste es llamativo. Cuando AWS, Google Cloud o Azure sufren una filtración accidental de información interna en un SDK, su respuesta suele pivotar sobre parches técnicos rápidos, transparencia razonable y comunicación con clientes clave. Las maniobras legales de tierra quemada son la excepción, porque todos entienden que el activo central es la confianza en la plataforma. Los laboratorios de IA aún están aprendiendo esa lección.
Por último, el incidente llega en un momento en el que tanto en EE. UU. como en la UE se acumulan demandas contra sistemas de IA por uso de datos y obras protegidas. Cada abuso o sobreuso del DMCA alimenta la percepción de que las grandes tecnológicas quieren jugar con dos barajas: entrenar sus modelos con datos ajenos a gran escala y, al mismo tiempo, blindar su propio código con el máximo celo jurídico.
La mirada europea y latinoamericana
Desde Europa, el caso se lee a través del prisma de la soberanía digital y la nueva regulación: Reglamento de IA de la UE (AI Act), RGPD, Ley de Servicios Digitales (DSA), Ley de Mercados Digitales (DMA). Aunque el conflicto concreto nace del DMCA estadounidense, ilustra a la perfección por qué Bruselas insiste tanto en la proporcionalidad de las medidas de retirada de contenidos y en la responsabilidad de las grandes plataformas.
Para empresas y administraciones públicas en España o en otros países de la UE que ya usan herramientas basadas en Claude o evalúan hacerlo, hay una enseñanza clara: no basta con mirar la calidad del modelo; hay que evaluar el gobierno del proveedor. Un error procedimental en San Francisco puede dejar a un equipo en Barcelona o Varsovia con repositorios bloqueados en pleno cierre de sprint.
En América Latina, donde GitHub y los servicios de IA en la nube son igual de centrales pero la protección regulatoria es a menudo más débil o fragmentada, la lección es incluso más dura. Equipos de Ciudad de México, Buenos Aires o Bogotá dependen de infraestructuras sujetas a decisiones unilaterales tomadas bajo marcos legales ajenos. Y, cuando algo sale mal, rara vez tienen un regulador local capaz de presionar a los gigantes globales.
Este caso refuerza la idea de que tanto en Europa como en el mundo hispanohablante necesitamos alternativas y redundancia: espejos propios de repositorios críticos, opciones de auto‑hosting, proveedores regionales de Git y, sobre todo, políticas claras sobre cómo y cuándo los grandes actores pueden forzar retiradas de contenido.
Qué puede pasar ahora
Es razonable anticipar varios movimientos en los próximos meses:
Refuerzo interno en Anthropic. Más controles previos a los lanzamientos, separación tajante entre repositorios internos y públicos, y un proceso de revisión legal menos impulsivo antes de recurrir al DMCA. Si la empresa aspira realmente a salir a bolsa, este tipo de errores no puede repetirse.
Ajustes en GitHub. La plataforma de Microsoft tendrá presión para introducir salvaguardas cuando una notificación afecte a miles de repositorios: revisiones manuales adicionales, suspensiones temporales en lugar de bloqueos inmediatos o canales de apelación más ágiles para mantenedores.
Cambios en el comportamiento de los equipos de desarrollo. Muchos pasarán a considerar la resiliencia de sus dependencias como un criterio clave: dónde está alojado el código, quién tiene poder para borrarlo, qué copias existen y bajo qué jurisdicción.
Mayor atención regulatoria. En el marco de la DSA, la Comisión Europea ya vigila cómo actúan las grandes plataformas frente a contenidos supuestamente ilícitos. Casos de overblocking masivo derivados de DMCA de terceros pueden convertirse en ejemplo de lo que no se debe hacer – y, con el tiempo, en base para sanciones o nuevas guías.
Quedan preguntas abiertas: ¿ha revelado el código filtrado detalles de arquitectura o seguridad que puedan usarse de forma maliciosa? ¿Informará Anthropic con transparencia a sus clientes empresariales sobre el incidente y las medidas tomadas? ¿Veremos a los reguladores usar este caso para exigir más transparencia y proporcionalidad en los procesos de retirada de código y modelos?
En resumen
El tropiezo de Anthropic en GitHub es, técnicamente, un incidente manejable; simbólicamente, es un aviso serio. Muestra lo frágil que es la etiqueta de “IA responsable” cuando los procesos internos no están a la altura y cuando la primera reacción ante un error es un DMCA masivo que golpea a terceros. Para desarrolladores y organizaciones de habla hispana –en Madrid, Ciudad de México o Bogotá– el mensaje es claro: los proveedores de IA no son solo modelos brillantes, son dependencias críticas cuya cultura de gobernanza debe ser examinada con el mismo rigor que su precisión técnica. La cuestión es si el mercado y los reguladores se atreverán a exigir ese nivel de madurez antes de que llegue el siguiente susto.
