Qué lanzó Anthropic el 18 de junio y el plano de gobernanza que llega con ello
El lanzamiento de Anthropic del 18 de junio incluyó la Autorización Gestionada por la Empresa (EMA) para los conectores MCP de Claude: la pantalla de consentimiento OAuth por usuario —en torno a la cual el equipo y el administrador empresarial han venido negociando revisiones de cumplimiento desde los primeros despliegues de Claude-en-el-canal— sale del flujo del usuario y pasa a un intercambio silencioso de tokens JWT de aserción de identidad (ID-JAG) mediado por el proveedor de identidad de la organización. Okta es el primer socio de IdP en el lanzamiento; Microsoft Entra está en la misma cola de envío. Siete proveedores MCP soportan EMA desde el primer día: Asana, Atlassian (Jira, Confluence, Rovo), Canva, Figma, Granola, Linear, Supabase. HubSpot, Ramp y Webflow se encuentran entre las primeras organizaciones que están desplegando la autenticación gestionada por la empresa en sus equipos.
Las piezas operativamente importantes:
- El flujo ID-JAG reemplaza la pantalla de consentimiento con un intercambio silencioso de tokens mediado por el IdP. Identity Assertion JWT Authorization Grant —el estándar de la IETF contra el que se construye el flujo— reemplaza el paso de redirección-y-consentimiento con un intercambio silencioso de tokens: el cliente MCP solicita un JWT de aserción de identidad firmado al IdP, el IdP aplica la política configurada por el administrador y emite la aserción, el servidor MCP la valida contra la misma relación de confianza que el SSO habitual, y el servidor MCP emite un token de acceso con alcance limitado. No se requiere ninguna acción del usuario, y no aparece ninguna pantalla de consentimiento: la superficie de fatiga de OAuth por conector que ha sido la objeción de cumplimiento de mayor peso colapsa dentro del flujo de SSO estándar que el equipo de TI ya opera.
- La herencia de incorporación del primer día es la forma predeterminada, no una función opcional. Una persona recién contratada que entra en su primer día hereda todos los conectores MCP aprobados —Figma, Atlassian, Asana, Linear, Canva, Granola, Supabase— sin abrir un ticket a TI. La forma de incorporación predeterminada mueve la decisión de acceso a conectores de por usuario, en el primer uso, contra una pantalla de consentimiento a por rol, en el momento de la incorporación, contra la política configurada por el administrador. La herencia del primer día es el activo de experiencia de usuario de calidad para adquisiciones que el comprador del sector regulado ha estado pidiendo; la política por rol es el activo de administración de calidad para gobernanza que el comité de cumplimiento ha estado pidiendo. Ambos se entregan en el mismo flujo.
- La ruta de código de desactivación cierra el ciclo de pérdida de acceso que la auditoría de FY25 señaló. La revocación corre por la misma ruta que la activación: desactiva un usuario en Entra u Okta, y su acceso MCP se va con él. El hallazgo de la auditoría de FY25 que más a menudo surgió en las revisiones del sector regulado —usuario-desactivado-en-IdP-todavía-tiene-acceso-API-a-la-herramienta-conectada— se cierra por la misma ruta de código que el equipo de IdP ya mantiene. El cierre del ciclo de desactivación es el hallazgo de auditoría de mayor peso que el flujo EMA neutraliza; el aprovisionamiento por rol es el hallazgo de incorporación de mayor peso que el flujo EMA neutraliza; el colapso de la fatiga de consentimiento es el hallazgo de experiencia de usuario de mayor peso que el flujo EMA neutraliza. Tres hallazgos de nivel auditoría, un solo flujo.
- Siete conectores en el lanzamiento es una cobertura parcial de la superficie de trabajo del conocimiento, no una completa. Asana, Atlassian, Canva, Figma, Granola, Linear, Supabase es la cobertura del primer día; HubSpot, Ramp y Webflow están en la cola de despliegue temprano. La superficie estándar de trabajo del conocimiento —Slack, Notion, Salesforce, Google Workspace, Microsoft 365, ServiceNow, Workday— todavía no está en la lista del primer día de EMA. El calendario de despliegue de FY27 que asume cobertura EMA del primer día de la superficie estándar de trabajo del conocimiento está dimensionando contra un mapa de cobertura que la lista de lanzamiento no coincide; el calendario de despliegue que se mide contra la lista de siete conectores del primer día más la cola de despliegue temprano más el flujo OAuth por usuario heredado para el resto es el que el contrato vigente tiene que codificar.
- La expansión de la lista de socios de IdP es el evento estructural de la hoja de ruta, no la lista de siete conectores. Okta está en el lanzamiento; Entra está en la misma cola; la expansión de socios de IdP es lo que determina si la pila de TI de FY27 que el comprador ya opera se integra al flujo EMA sin una re-plataformización. El comprador que opera sobre Ping Identity, ForgeRock o Auth0 está en el flujo OAuth por usuario heredado hasta que la expansión de socios de IdP de Anthropic incorpore el IdP del comprador; el calendario de despliegue de FY27 que no codifica el IdP del comprador contra el cronograma de expansión de socios es un calendario cuyo despliegue del Q3 se estanca en el socio de IdP equivocado.
La lectura estructural no es Anthropic lanzó SSO empresarial para MCP. Es que la identidad se convierte en el plano de gobernanza centralizado para la superficie de uso de herramientas de Claude, la superficie de fricción por conector que ha sido la objeción de cumplimiento de mayor peso colapsa dentro del flujo de SSO estándar que el equipo de TI ya opera, y la conversación de adquisición de la pila de trabajo del conocimiento de FY27 pasa de si Claude está listo para cumplimiento a qué dos-de-tres categorías de herramientas obtienen el flujo EMA en el primer día y cuáles se quedan en el flujo OAuth heredado hasta que llegue la expansión de socios. El plano de gobernanza es el sustrato; el calendario de despliegue por categoría de herramienta es la decisión operativa; el contrato vigente por IdP es el artefacto de adquisición.
Qué reestructura el lanzamiento de EMA en el plan de adquisición de la pila de trabajo del conocimiento de FY27
Cuatro cambios concretos que se siguen cuando la pantalla de consentimiento OAuth por usuario colapsa en un intercambio silencioso de tokens mediado por el IdP a través de siete conectores MCP del primer día y una expansión de socios de IdP en cola.
La compuerta de revisión de cumplimiento pasa de ser por conector a ser por política de IdP. Las revisiones de cumplimiento de FY25 y FY26 corrieron por conector —calificar Asana contra la política de clasificación de datos, calificar Atlassian, calificar Figma, calificar cada conector contra la matriz de acceso a datos por herramienta. El flujo EMA mueve la calificación por conector hacia arriba en la pila a una calificación por política de IdP contra la lista de conectores configurada por el administrador. La compuerta de cumplimiento es ahora una revisión de política por IdP por trimestre, con la lista por conector calificándose contra la política vigente: una compresión de calendario para la que el plan de FY27 que aún codifica la compuerta de cumplimiento por conector no está presupuestado.
El flujo de incorporación de TI pasa de ser por usuario-por conector a ser por rol-por lista de conectores. El volumen de tickets de incorporación de TI de FY26 contra la superficie de aprovisionamiento de conectores para nuevas contrataciones fue el ítem de costo de mayor peso en el informe de volumen de tickets de TI que el CFO califica. La herencia de incorporación predeterminada lleva el volumen de tickets a cero contra los conectores del flujo EMA: la política por rol-por lista de conectores es el artefacto contra el que el equipo de TI opera una sola vez, y la incorporación por usuario de la nueva contratación hereda la lista de conectores del rol sin que se requiera ninguna acción de TI. La compresión del volumen de tickets de TI es la línea de costo de FY27 que el plan de FY26 no estaba presupuestado para absorber; la biblioteca de políticas por rol es el artefacto de ingeniería de FY27 que el equipo de TI tiene que entregar.
La compuerta de auditoría de desactivación pasa de ser una revisión trimestral separada a la ruta de código de desactivación de IdP vigente. La revisión trimestral de nivel auditoría de FY26 de qué usuarios desactivados todavía tienen acceso a qué conector es el hallazgo de auditoría contra el que el equipo de TI ha estado corriendo a contrarreloj con el calendario de desactivación de usuarios para cerrarlo. El flujo EMA cierra la compuerta sobre la ruta de código de desactivación de IdP vigente: la desactivación corre una sola vez, el acceso al conector se cae en el mismo instante. El hallazgo de auditoría se neutraliza en la fuente; la revisión trimestral que el equipo ha estado ejecutando colapsa a una única verificación anual de sensatez; las horas de atención de TI liberadas se trasladan a la biblioteca de políticas por rol contra la que el plan de FY27 tiene que dotar de personal.
El contrato vigente de IdP tiene que renegociarse contra el alcance del flujo EMA. El contrato vigente de Okta o Entra se dimensionó contra la superficie estándar de SSO + aprovisionamiento: el flujo EMA expande el alcance a la superficie de gobernanza de conectores Claude-MCP contra la que el contrato no fue redactado. La negociación del contrato vigente de FY27 tiene que codificar el conteo de licencias de política por conector, la cadencia de revisión por política y el esquema de tarifas de expansión de socios de IdP. El contrato vigente que no codifica el alcance del flujo EMA es un contrato cuyo gasto del Q3 aterriza en dos-a-tres veces el pronóstico de FY27 en la tarifa de expansión de socios de IdP que el equipo no presupuestó.
Dónde el lanzamiento de EMA es señal y dónde es ruido
Cuatro lecturas honestas de lo que el lanzamiento de EMA realmente le dice al comprador.
Señal: el plano de gobernanza por IdP es el cambio estructural que el plan de FY27 tiene que codificar. La identidad-como-plano-de-gobernanza es el sustrato que el comité de cumplimiento ha estado pidiendo desde el primer despliegue de ventana de chat. El plan de FY27 que codifica el plano de gobernanza por IdP como la superficie de administración vigente es el plan que cierra los hallazgos de auditoría de mayor peso sobre la misma ruta de código que el equipo de TI ya opera; el plan que no lo hace es el plan cuya auditoría del Q3 expone los mismos hallazgos por conector que la auditoría de FY26 expuso.
Señal: la lista de siete conectores del primer día más la cola de despliegue temprano es el ancla del calendario de despliegue de FY27. El calendario de despliegue de FY27 debería redactarse contra la lista de siete conectores del primer día más la cola de despliegue temprano (HubSpot, Ramp, Webflow) más una columna de seguimiento de expansión de socios para la superficie estándar de trabajo del conocimiento (Slack, Notion, Salesforce, Google Workspace, Microsoft 365, ServiceNow, Workday). El calendario que no rastrea por separado los tres grupos es un calendario cuyo despliegue del Q3 se estanca en un conector que no llegó a la cola de despliegue temprano.
Ruido: el mecanismo ID-JAG es detalle de implementación, no señal de adquisición. Identity Assertion JWT Authorization Grant es el estándar de la IETF contra el que se construye el flujo EMA; el estándar es la garantía de implementación que la pila de SSO del equipo de TI ya sabe validar. La señal de calidad para adquisiciones es la forma del plano de gobernanza y la cobertura de conectores del primer día, no el mecanismo subyacente de intercambio de tokens. El equipo que califica la decisión de adquisición sobre el mecanismo está calificando sobre la unidad equivocada.
Ruido: el titular 'Anthropic lanzó SSO empresarial para MCP' no es la pregunta de adquisición de FY27. La pregunta del ciclo de adquisición es el calendario de despliegue por categoría de herramienta, la biblioteca de políticas por rol, la renegociación del contrato vigente por IdP y el artefacto de seguimiento de expansión de socios. El titular es el evento; los cuatro artefactos son las decisiones que el plan de FY27 tiene que codificar.
Qué debería hacer este trimestre el planificador de adquisiciones de FY27
Cuatro acciones concretas que cierran la brecha entre el lanzamiento de EMA y el plan de adquisición de la pila de trabajo del conocimiento de FY27 que el lanzamiento fuerza.
Mapear la superficie actual de conectores MCP del equipo contra la lista de siete conectores del primer día, la cola de despliegue temprano y la columna de seguimiento de expansión de socios. El artefacto operativamente más útil que el plan de FY27 puede producir dentro de las próximas cuatro semanas es un mapa de cobertura por categoría de herramienta —cuáles de los conectores vigentes del equipo están en la lista EMA del primer día, cuáles están en la cola de despliegue temprano, cuáles todavía no están en ninguna de las dos listas y se quedan en el flujo OAuth por usuario heredado. El mapa de cobertura es el ancla del calendario de despliegue que el contrato vigente tiene que codificar; el mapa faltante es el hallazgo de auditoría que la revisión de FY27 va a exponer.
Levantar la biblioteca de políticas por rol contra la lista de conectores del primer día y enrutar la biblioteca por rol a través del equipo de IdP vigente. La biblioteca de políticas por rol es el artefacto de ingeniería de mayor peso contra el que el equipo de TI opera una sola vez y del que la incorporación por usuario hereda de la lista de conectores del rol en el primer día. La biblioteca debería redactarse contra la superficie de control de acceso basado en roles existente del equipo —ingeniería, diseño, ventas, finanzas, liderazgo— con una lista de conectores por rol y una calificación de clasificación de datos por rol-por herramienta. La biblioteca de políticas es el sustrato operativo de FY27; el equipo que la entrega este trimestre tiene un flujo de incorporación por rol que el CFO puede respaldar; el equipo que la posterga entrega el mismo volumen de tickets OAuth por usuario que el flujo EMA debía neutralizar.
Renegociar el contrato vigente de IdP contra el alcance del flujo EMA antes de que el calendario de despliegue se cierre. El contrato vigente de Okta o Entra tiene que recalificarse contra el conteo de licencias de política por conector, la cadencia de revisión por política y el esquema de tarifas de expansión de socios de IdP. El ciclo de renegociación es un flujo de trabajo de adquisición de seis-a-ocho semanas contra el que el plan de FY27 tiene que presupuestar; la renegociación que no aterriza antes de que el calendario de despliegue se cierre es la renegociación que entrega el despliegue contra un contrato cuya suposición de conteo de licencias surge como gasto no presupuestado en el primer trimestre.
Levantar el artefacto de seguimiento de expansión de socios y enrutar el artefacto a la revisión de adquisiciones vigente de FY27. La superficie estándar de trabajo del conocimiento —Slack, Notion, Salesforce, Google Workspace, Microsoft 365, ServiceNow, Workday— todavía no está en la lista del primer día de EMA, y el calendario de despliegue de FY27 del comprador que asume cobertura EMA del primer día de estos conectores está dimensionando contra un mapa de cobertura que la lista de lanzamiento no coincide. El artefacto de seguimiento de expansión de socios es una calificación por conector de la probabilidad de lanzamiento de EMA contra el calendario de despliegue por trimestre que la revisión de adquisiciones de FY27 recalifica en cada ciclo; el artefacto es la herramienta de pronóstico de mayor peso contra la que el equipo opera el calendario de despliegue.
El trabajo de criterio sénior que el flujo EMA hace necesario pero no reemplaza
El flujo EMA comprime a cero el costo de la superficie de consentimiento OAuth por usuario y mueve la compuerta de cumplimiento por conector hacia arriba en la pila a una revisión por política de IdP contra la que el equipo de TI opera una sola vez. Ambas compresiones tocan la fricción por usuario y la sobrecarga de cumplimiento por conector contra las que el equipo ha estado corriendo a contrarreloj; ninguna compresión toca el trabajo de criterio sénior que el plan de FY27 todavía tiene que hacer: decidir qué categorías de herramientas obtienen el despliegue EMA del primer día, escribir la biblioteca de políticas por rol que codifica las suposiciones de clasificación de datos del equipo, ser dueño de la negociación del contrato vigente por socio de IdP, y calificar qué cargas de trabajo se enrutan a través del flujo de Claude mediado por conector versus el flujo de API directa versus el flujo de base de conocimiento local.
Los equipos que confunden la fricción por usuario abaratada con el criterio abaratado, dentro de seis meses, estarán leyendo análisis post-mortem sobre decisiones de políticas por rol cuya causa raíz es dejamos que el flujo EMA condujera la biblioteca por rol, y la biblioteca por rol resultó codificar una suposición de clasificación de datos que la auditoría expuso como hallazgo de cumplimiento. Los equipos que mantienen el criterio sénior en el centro de la biblioteca de políticas por rol, dentro de seis meses, estarán del lado limpio en auditoría de la revisión de cumplimiento de FY27 y del lado de la incorporación del primer día de la experiencia de la nueva contratación. El plano de gobernanza es el sustrato; la biblioteca de políticas por rol es la superficie; el criterio sénior es el muro de carga.
La pregunta de adquisición ya no es si Claude está listo para cumplimiento para el comprador del sector regulado; es qué dos-de-tres categorías de herramientas obtienen el flujo EMA en el primer día del despliegue, cuánta atención de TI sénior le costará el flujo de trabajo de aprovisionamiento por conector al programa vigente de gobernanza de identidad, y dónde aterriza el patrón ID-JAG dentro del contrato vigente de IdP que se negoció contra la fricción del consentimiento OAuth por usuario hace seis meses. Los equipos que hacen la pregunta correcta este trimestre se compran el flujo de incorporación por rol con el que la nueva contratación se encuentra en su primer día y la ruta de desactivación por conector limpia en auditoría que el equipo de TI opera contra la ruta de código de IdP vigente; los equipos que hacen la equivocada se compran otro año de revisiones de cumplimiento por conector contra la superficie de consentimiento OAuth por usuario que el flujo EMA se lanzó para neutralizar.
