Lo que agrava no es el error. Es esconderlo.

Existe una cláusula de una línea que decide si tu política de IA va a funcionar, y casi ninguna política la tiene: qué pasa cuando alguien ya pegó lo que no debía.

Toda regla escrita cubre el antes — qué se puede, qué no, qué herramienta. El después casi nunca está escrito, y es justamente ahí donde la cosa se decide.

El momento que nadie previó

Alguien pegó un fragmento de contrato en una herramienta personal. Se dio cuenta media hora después, solo, sin que nadie lo notara.

Ahora esa persona hace una cuenta rápida: si aviso, ¿qué me pasa?

Si la respuesta es "ni idea" o "probablemente un reto", su decisión racional es quedarse callada. Nadie vio. Quizá no pase nada. Y la empresa acaba de perder la única ventana en la que todavía se podía hacer algo.

La frase que cambia la cuenta

El material de la casa lo resuelve con una instrucción directa en la política:

Si pegaste algo que no debías, avisa de inmediato. Avisar a tiempo permite contener el problema — cambiar una clave, comunicar a quien necesita saberlo, corregir lo que se pueda — y se trata como lo que es: alguien protegiendo la empresa.

Y el principio que la sostiene, que es el texto entero en una línea:

Lo que agrava no es el error; es esconderlo.

No es bondad. Es la ventana de contención

Conviene ser claro sobre el motivo, porque "no vamos a castigar" suena a blandura y no se trata de eso.

Un dato que salió tiene un período corto en el que todavía se puede actuar: rotar la credencial filtrada, avisar al cliente antes de que se entere solo, revocar un acceso, ajustar un contrato. Pasada esa ventana, solo queda documentar el estrago.

La cláusula no existe para perdonar a nadie. Existe para que la empresa se entere dentro de la ventana. Es una decisión de gestión de riesgo, y la más barata que hay: cuesta una frase escrita.

El tono decide esto de antemano

Y hay una parte anterior, que define si alguien va a avisar meses después de que la política exista. Es el tono con que fue anunciada:

Si el comunicado suena a "los estamos vigilando", el equipo esconde el uso de IA (…). Si suena a "queremos que la usen, con seguridad", el equipo la adopta contigo.

El mismo conjunto de reglas produce los dos resultados opuestos, dependiendo solo de la frase de apertura. Una política que llega como amenaza se lee como amenaza, y la respuesta a una amenaza nunca es transparencia.

Esto no es permisividad

Vale decir el otro lado, porque una cláusula sin límite no vale nada:

Equivocarse y avisar es una cosa. Usarla deliberadamente contra la regla acordada, u omitir una filtración que se sabe que ocurrió, es otra — y esas siguen teniendo consecuencias, proporcionales a lo que se hizo.

La distinción que la política necesita dejar explícita no es entre error grave y error leve. Es entre quien se equivocó y lo contó y quien se equivocó y lo escondió. Sin eso escrito, las dos situaciones se parecen, y el equipo asume la peor.

Y tiene que haber un nombre

Falta la parte práctica, y es la que más queda fuera: ¿avisar a quién?

Es una persona con nombre, no un área — la gobernanza sin dueño no ocurre.

"Avisa a sistemas" no es un destinatario. "Avisa a Ana" sí. La diferencia entre esas dos frases es la diferencia entre una regla que alguien puede cumplir a las once de la noche y una que exige averiguar antes con quién hablar — y averiguar con quién hablar es exactamente la fricción que hace que la persona desista.

La prueba

Haz la pregunta que tu equipo ya se hizo en silencio:

Si alguien ahí dentro pegara hoy un dato de cliente en una herramienta personal y se diera cuenta al minuto siguiente, ¿esa persona sabría a quién contarle — y qué le pasaría?

Si no estás seguro de la segunda mitad, ella tampoco. Y por eso no te enteras.