O que agrava não é o erro. É escondê-lo.

Existe uma cláusula de uma linha que decide se a sua política de IA vai funcionar, e quase nenhuma política tem: o que acontece quando alguém já colou o que não devia.

Toda regra escrita cobre o antes — o que pode, o que não pode, qual ferramenta. O depois quase nunca está escrito, e é justamente ali que a coisa se decide.

O momento que ninguém previu

Alguém colou um trecho de contrato numa ferramenta pessoal. Percebeu meia hora depois, sozinho, sem ninguém ter notado.

Agora essa pessoa faz uma conta rápida: se eu avisar, o que acontece comigo?

Se a resposta for "não faço ideia" ou "provavelmente uma bronca", a decisão racional dela é ficar quieta. Ninguém viu. Talvez não dê em nada. E a empresa acaba de perder a única janela em que ainda dava para fazer alguma coisa.

A frase que muda a conta

O material da casa resolve isso com uma orientação direta na política:

Se você colou algo que não devia, avise imediatamente. Avisar cedo permite conter o problema — trocar uma chave, comunicar quem precisa saber, corrigir o que dá — e é tratado como o que é: alguém protegendo a empresa.

E o princípio que sustenta a cláusula, que é a frase inteira do texto:

O que agrava não é o erro; é escondê-lo.

Não é bondade. É a janela de contenção

Vale ser claro sobre o motivo, porque "não vamos punir" soa a moleza e não é disso que se trata.

Um dado que saiu tem um período curto em que ainda dá para agir: trocar a credencial que vazou, avisar o cliente antes de ele descobrir sozinho, revogar um acesso, ajustar um contrato. Passada essa janela, sobra só documentar o estrago.

A cláusula não existe para perdoar ninguém. Existe para que a empresa fique sabendo dentro da janela. É uma decisão de gestão de risco, e é a mais barata que há: custa uma frase escrita.

O tom decide isso antes de acontecer

E há uma parte anterior, que define se alguém vai avisar meses depois de a política existir. É o tom com que ela foi anunciada:

Se o comunicado soar como "estamos de olho em vocês", a equipe esconde o uso de IA (…). Se soar como "queremos que vocês usem, com segurança", a equipe adota com você.

O mesmo conjunto de regras produz os dois resultados opostos, dependendo só da frase de abertura. Uma política que chega como ameaça é lida como ameaça, e a resposta a uma ameaça nunca é transparência.

Isso não é permissividade

Convém dizer o outro lado, porque uma cláusula que não tem limite não vale nada:

Errar e avisar é uma coisa. Usar deliberadamente contra a regra combinada, ou omitir um vazamento que se sabe que aconteceu, é outra — e essas continuam tendo consequência, proporcional ao que foi feito.

A diferença que a política precisa deixar explícita não é entre erro grave e erro leve. É entre quem errou e contou e quem errou e escondeu. Sem essa distinção escrita, as duas situações se parecem, e a equipe assume a pior.

E precisa haver um nome

Falta a parte prática, e ela é a que mais fica de fora: avisar a quem?

É uma pessoa com nome, não uma área — governança sem dono não acontece.

"Avise a TI" não é um destinatário. "Avise a Ana" é. A diferença entre as duas frases é a diferença entre uma regra que alguém consegue cumprir às onze da noite e uma que exige descobrir antes com quem falar — e descobrir com quem falar é exatamente o atrito que faz a pessoa desistir.

O teste

Faça a pergunta que a sua equipe já se fez em silêncio:

Se alguém aí dentro colasse hoje um dado de cliente numa ferramenta pessoal e percebesse no minuto seguinte, essa pessoa saberia a quem contar — e o que aconteceria com ela?

Se você não tem certeza da segunda metade, ela também não tem. E é por isso que você não fica sabendo.