Claude Duet para Teams: Qué pueden controlar realmente los administradores

La primera pregunta que un equipo de TI plantea sobre una nueva aplicación de agente es si puede instalarse en un portátil gestionado. En el caso de Claude Duet, el agente proactivo de Anthropic construido en torno a Claude Opus 5.5, la respuesta a 21 de octubre de 2026 es que la empresa no ha publicado nada al respecto. No hay documentación de Intune, ni perfil MDM, ni guía de despliegue en dispositivos gestionados, ni ninguna declaración sobre la gestión de dispositivos móviles en la página del anuncio ni en la del producto. Es una laguna en la información disponible más que un defecto conocido, pero debería figurar en la primera línea de cualquier nota interna que se redacte este mes, antes de que nadie dé por hecho que la aplicación se puede implementar porque se distribuye como binario nativo.

Lo que las páginas sí describen es un conjunto de controles que se encuentran dentro del producto en lugar de por encima de él: en cómo se gestionan las credenciales, en los clasificadores que condicionan las acciones y en la lista de cosas que permanecen fuera de los límites incluso cuando un usuario hace clic en aprobar. Esos controles son reales y están documentados. También son por usuario en lugar de por inquilino, que es la distinción que decide si un equipo de seguridad puede dar el visto bueno a un despliegue para todo el equipo o solo a un piloto individual.

Qué se publica y qué simplemente no está ahí

La historia de disponibilidad es breve. Duet es una vista previa de investigación, solo en Estados Unidos, incluido en los planes Pro y Max, y usa los mismos límites de uso que el resto de Claude. Se ejecuta como una aplicación independiente en iOS y Android, y en claude.ai. Anthropic no ha publicado una fecha para la disponibilidad en Team o Enterprise, ni ha publicado una API específica de Duet: es una aplicación de consumidor, no un producto de plataforma.

Además de eso, en ambas páginas faltan una serie de elementos que un comprador empresarial normalmente buscaría. No hay consola de administración de Duet. No hay un conmutador a nivel de organización para activar o desactivar Duet para un inquilino. No hay ninguna declaración sobre el inicio de sesión único SAML ni el aprovisionamiento SCIM para la aplicación. No hay exportación del registro de auditoría, ni un calendario de retención específico de Duet, ni documentación sobre el despliegue en dispositivos administrados mediante Microsoft Intune o cualquier otro MDM. Nada de eso significa que los controles no existan internamente; significa que un administrador no puede citarlos y que no se puede responder a un cuestionario de adquisición a partir de ellos.

Para los equipos que ya han estandarizado el uso de dispositivos gestionados, este es el obstáculo práctico, y merece la pena decirlo con claridad en lugar de buscarle una vuelta: en el momento de escribir esto, no existe ninguna forma publicada de desplegar, configurar o borrar de forma remota Claude Duet mediante la gestión de dispositivos. Un equipo que necesite eso antes de adoptarlo está esperando una documentación que todavía no existe, no una feature flag que alguien olvidó mencionar.

El diseño de la credencial es la afirmación publicada más sólida.

El párrafo más útil de la página de Duet para un lector de TI es el que trata sobre contraseñas. Anthropic dice que el manejo de credenciales de Claude Duet "sigue el diseño que usamos para Claude Managed Agents, por lo que nunca ve directamente tus contraseñas ni tus tokens de inicio de sesión". Leído por un administrador, eso es una afirmación sobre el radio de impacto: la aplicación no es un almacén de credenciales, así que una vulneración de la aplicación no entrega un conjunto de secretos reutilizables que luego haya que rotar en todos los servicios conectados.

El mismo diseño aparece en los pagos. Las compras pasan por la billetera digital Link de Stripe, donde Duet confirma el artículo, Link pide al usuario que apruebe el gasto y el pago se realiza mediante una tarjeta virtual para que no se comparta el número real de la tarjeta. Shop Pay de Shopify es compatible con el mismo patrón, y Anthropic dice que está por llegar el inicio de sesión en sitios con credenciales guardadas en 1Password. El patrón es coherente: la aplicación pide a una billetera o a un gestor de contraseñas que actúe, en lugar de guardar el secreto ella misma.

Una consecuencia que vale la pena señalar a finanzas en lugar de a TI: la aprobación de gasto en ese flujo corresponde a la billetera del individuo, no a una política de la organización. El límite de una tarjeta es una configuración de Link. No es una configuración de Duet, y nada en la página sugiere que un administrador pueda ver o limitar lo que gasta la sesión de Duet de un usuario.

Dos clasificadores y una lista de cosas que no hará

Duet incluye su propia capa de seguridad, descrita en la página con más detalle del que suelen ofrecer la mayoría de las publicaciones de lanzamiento. Un clasificador dedicado y un mensaje de sistema de seguridad revisan cada mensaje y protegen contra filtraciones de información sensible. La intención del diseño es rechazar las solicitudes de compartir «el nivel más estricto de información, incluidos números de tarjetas de crédito e identificaciones gubernamentales». Otros materiales sensibles, como información de salud o finanzas personales, solo se dejan pasar cuando el usuario ha indicado explícitamente a Duet que los envíe.

Las acciones se controlan por separado. Anthropic afirma que las acciones se aprueban mediante su clasificador de modo automático, «la misma salvaguarda que protege a Claude y Claude Code de realizar acciones que no solicitaste». Por encima de eso hay una barrera humana: antes de que Duet envíe un mensaje, haga un pago, firme un documento o elimine algo, muestra lo que está a punto de hacer y espera.

Luego está la parte que más importa en una revisión de políticas: las acciones que se rechazan independientemente del consentimiento. Anthropic menciona dos: negociar con valores y mover dinero entre cuentas. Esas están fuera de los límites incluso con aprobación. Los usuarios también pueden desconectar cualquier aplicación a la que Duet tenga acceso, lo que es lo más parecido a un interruptor de apagado por conexión que describe la página.

La garantía que respalda todo esto se expresa en un nivel con el que un equipo de seguridad puede trabajar, pero que no puede auditar: equipos rojos internos de Anthropic y una empresa externa realizaron pruebas de penetración a Duet, las defensas contra la inyección de prompts se basan en la investigación de la empresa sobre el uso del navegador, y el producto está cubierto por el programa público de recompensas por errores. Es una postura razonable para una vista previa de investigación. No es un informe, y no se ha publicado ningún informe.

Los controles a nivel de organización que existen pertenecen a Cowork.

Anthropic sí ofrece administración para un producto de agentes, y está documentada con cierta profundidad —solo en la página de Cowork, no en la de Duet—. Sería fácil trasladar esos controles a Duet y sería un error, así que aquí está la separación.

Para Cowork, los administradores pueden desactivar el producto para su organización en la Configuración de administrador y gestionar el acceso entre equipos con controles de acceso basados en roles. En los planes Teams y Enterprise, los administradores establecen el acceso por equipo, gestionan los límites de gasto y controlan los permisos de las herramientas por departamento, con transmisión de actividad a un SIEM mediante OpenTelemetry. Enterprise añade controles de administrador, análisis de uso, una API de Analytics y observabilidad con OpenTelemetry, y la página señala que los administradores de Enterprise pueden configurar los permisos para que se ajusten a sus requisitos de seguridad. Cowork también expone ajustes de permisos para que el agente muestre su plan y espere antes de realizar cualquier acción significativa, y la eliminación siempre requiere aprobación.

Esa es una historia completa de tenant: un conmutador, un modelo de roles, un control de gastos, un límite de permisos departamental y una ruta de telemetría. Es exactamente la lista de verificación que un revisor empresarial llevaría a Duet. Nada de esto se indica para Duet. La inferencia razonable es que la misma maquinaria administrativa acabará extendiéndose al producto más reciente, ya que ambos son agentes de la misma empresa en los mismos planes de cuenta, pero eso es una inferencia y ninguna página lo dice. Un administrador que redacte una evaluación de controles debería registrar los controles de Cowork como de Cowork, y registrar los controles organizacionales de Duet como no publicados.

La facturación es la segunda pregunta que hace el área de compras.

Duet está incluido en Pro y Max para la vista previa, con los mismos límites de uso que el resto de Claude. La página de producto de Anthropic indica que Pro cuesta 17 $ al mes con facturación anual (200 $ por adelantado) o 20 $ facturados mensualmente, Max 5x a 100 $ al mes, Max 20x a 200 $ al mes, y Team a 20 $ por asiento al mes para entre 2 y 150 personas. Lo que no dice es que Duet está disponible en Team. La página es explícita en que la vista previa es para Pro y Max, en EE. UU.

El detalle del uso tiene más consecuencias que el precio de etiqueta. Las verificaciones en segundo plano de Duet cuentan para los mismos límites que todo lo demás, y las tareas más grandes «requieren más turnos del modelo y trabajo en segundo plano». Un agente que revisa las cuentas conectadas cada pocas horas está, por diseño, gastando de forma continua. Para una persona, eso es un límite del plan. Para un equipo, es un problema de presupuestación sin respuesta administrativa publicada: no hay una SKU de Duet por asiento, no hay tarifa empresarial publicada y no hay consola en la que un gerente pueda ver lo que ha consumido el agente de un subordinado. La propia advertencia de Anthropic en la página de Cowork, de que el trabajo agéntico consume los límites más rápido que el chat, se aplica con más fuerza a un producto cuya premisa entera es trabajar mientras tú no estás.

Lo que un piloto puede revisar sin esperar una decisión de adquisición

Hay una separación clara que vale la pena nombrar, porque resuelve la mayor parte del punto muerto anterior. Claude Duet es la superficie cerrada de un proveedor: una app, con dos planes de consumo, en un solo país, detrás de una lista de espera. El modelo en torno al cual se construyó no lo es. Se puede acceder hoy a Claude Opus 5.5 mediante una API, lo que significa que un equipo que quiera evidencias de cómo se comporta el modelo con su propio trabajo puede obtenerlas sin una decisión de MDM, sin una mejora de plan ni sin una revisión de seguridad de una app que no tiene documentación de administración.

OrcaRouter ofrece Claude Opus 5.5 a $4.00 por millón de tokens de entrada y $20.00 por millón de tokens de salida, con una ventana de contexto de 1M de tokens y lecturas de caché a $0.20 por millón. No aplicamos ningún recargo sobre el precio de lista del proveedor, por lo que cualquier cambio de precio del proveedor nos afecta el mismo día, y una sola clave compatible con OpenAI da acceso a más de 200 modelos con conmutación automática por error entre proveedores. Para un piloto, la forma práctica es poco glamurosa: una clave de API, un cliente existente y una semana de tareas reales, lo que es una forma mucho más económica de saber si un agente construido sobre este modelo es útil para tu equipo que esperar en una lista de espera para averiguarlo.

Para ser exactos sobre el límite, ya que es el tipo de cosa que se malinterpreta: OrcaRouter no aloja Claude Duet, Claude Cowork, Claude Code ni Claude Security. Esos son productos de Anthropic. Lo que está disponible aquí es el modelo, que es algo distinto de la aplicación que lo envuelve; y para un piloto, a menudo la única parte que necesitabas probar.

Lo que un revisor de seguridad debería leer, en orden

Cuatro documentos sustentan el argumento, y los cuatro son de primera parte. El marco de agentes confiables es la capa de políticas, y Anthropic señala que también guía Claude Code y Claude in Chrome, por lo que es la postura general de la empresa y no una específica de Duet. El diseño de credenciales de Claude Managed Agents es la base técnica de la afirmación «nunca ve tus contraseñas», y leerlo es cómo decides si crees esa afirmación. La investigación sobre uso del navegador es de donde provienen las defensas contra la inyección de prompts, y es el documento más relevante para cualquiera que le preocupe que un agente lea páginas web hostiles en nombre de un usuario. El programa público de bug bounty es la garantía continua, y su alcance te indica qué está dispuesta a que se pruebe Anthropic.

Anthropic ha dicho que «compartirá más detalles sobre cómo se ha diseñado Claude Duet para ser seguro en los próximos días». Ese documento no existía cuando se escribió esto. Cuando aparezca, será lo primero que haya que leer, porque es la única fuente prevista que podría salvar la distancia entre «los controles se describen» y «los controles se especifican».

¿Qué cambiaría esta evaluación?

Cuatro publicaciones convertirían a Duet de una herramienta individual en algo que un equipo pueda adoptar como estándar, y ninguna de ellas existe todavía. Una interfaz de administración con un conmutador a nivel de organización y acceso basado en roles, en línea con lo que Cowork ya documenta. Una declaración sobre la identidad —sobre si la aplicación admite inicio de sesión único SAML y aprovisionamiento SCIM, y cómo se revoca el acceso de un empleado que se marcha. Documentación sobre la gestión de dispositivos, que abarque Intune o cualquier otro MDM, incluido qué elimina realmente un borrado remoto. Y una fecha de disponibilidad de Team o Enterprise con un precio asociado.

Hasta que aparezca cualquiera de esos, el resumen interno preciso es breve: los controles por usuario están inusualmente bien documentados para una vista previa, los controles de inquilino no están publicados en absoluto y la pregunta sobre el despliegue no tiene respuesta en el registro. Un equipo de seguridad que lo deje por escrito ahora no tendrá que retractarse después, y un equipo que quiera evaluar el modelo subyacente no tiene que esperar a nada de eso.