Un director jurídico te reenvía tu carta de encargo con un archivo adjunto: un cuestionario de seguridad de IA de catorce preguntas, que debe completarse antes de que liberen el expediente del asunto. Pregunta qué herramientas de IA permite tu bufete, cómo evitas que los datos del cliente se introduzcan en las públicas y qué ocurre cuando alguien lo hace de todos modos. El socio que ganó la propuesta ahora tiene que responder preguntas sobre controles que nadie en el bufete ha documentado jamás — y "les decimos a nuestros asociados que no lo hagan" no va a sobrevivir a la siguiente pregunta.
Esto llega más rápido de lo que la mayoría de los bufetes esperaba. Los clientes —especialmente los equipos jurídicos internos de empresas tecnológicas, instituciones financieras y organizaciones de salud reguladas— han empezado a tratar a sus abogados externos como tratan a cualquier otro proveedor con acceso a su información más valiosa. Si un cliente ya ejecuta un programa de gobernanza de IA internamente, esperará que el bufete que custodia sus expedientes privilegiados también lo haga. El cuestionario es el momento en que tu postura informal se convierte en una declaración contractual y susceptible de descubrimiento.
Qué está evaluando en realidad el cuestionario
Las preguntas superficiales son sobre herramientas y políticas. La pregunta real que subyace es si el bufete tiene visibilidad y control sobre a dónde van los datos del cliente una vez que entran en el navegador de un abogado. Un cliente lo suficientemente sofisticado como para enviar el cuestionario sabe que la respuesta no es una lista de herramientas, sino un relato de cómo el bufete gestiona la brecha entre la política y el comportamiento.
Esa brecha está bien documentada. La encuesta de 2026 de Gartner encontró que el 88% de los empleados con acceso a IA empresarial también usan herramientas de IA personales para el trabajo, y el análisis de 2025 de Cyberhaven encontró que el 82,8% de los documentos legales introducidos en herramientas de IA van a cuentas no corporativas. Así que cuando un cliente pregunta "¿tu personal usa ChatGPT con nuestros datos?", la respuesta honesta para la mayoría de los bufetes es: probablemente alguien lo ha hecho, en un inicio de sesión personal que el bufete no puede ver, y el bufete no tiene registro en ningún sentido. Una respuesta al cuestionario que afirme lo contrario sin pruebas es una declaración que el bufete quizá no pueda respaldar.
Las respuestas más sólidas replantean la pregunta de la prevención por prohibición a la diligencia demostrable. Los clientes en realidad no creen que puedas impedir que cada asociado toque jamás una herramienta de IA. Quieren saber que, cuando ocurra, los datos sensibles se detectaron antes de que salieran del control del bufete — y que puedes demostrarlo.
El escenario que el cuestionario está diseñado para atrapar
Imagina el asunto después de haberlo ganado. Una asociada de litigio está contra el reloj en una revisión documental. Pega un lote de los correos internos del cliente en una herramienta de IA pública para obtener un resumen rápido de quién sabía qué y cuándo. La consulta funciona de maravilla. También acaba de mover las comunicaciones confidenciales del cliente fuera del control del bufete — a una herramienta donde, una vez enviado, el contenido queda sujeto a las condiciones de uso del proveedor, que pueden otorgar amplios derechos para retenerlo y procesarlo. No hay botón de deshacer. La asociada nunca lo pensó como "enviar datos del cliente a un proveedor", porque no hubo cuadro de diálogo de carga, ni archivo adjunto, ni aviso de seguridad. Solo un cuadro de texto.
Ahora relaciona eso con el cuestionario. El cliente preguntó cómo evitas exactamente esto. Si tu respuesta es un documento de política, el pegado de la asociada ya lo esquivó. Si tu respuesta es una prohibición, ella usó su cuenta personal y el bufete no tiene ningún registro del evento. La única respuesta que realmente corresponde a lo que ocurrió es aquella en la que el contenido sensible se identificó y redactó antes de que la consulta llegara a la herramienta — porque después del envío no queda nada que controlar.
Por eso las prohibiciones suenan débiles en un cuestionario y por eso fracasan en la práctica. Una prohibición que la gente sortea no produce ni registro ni protección. Lo que un cliente sofisticado busca es un control que actúe en el punto de entrada y deje un rastro que pruebe que actuó.
Construir una respuesta que puedas respaldar de verdad
Tres cosas convierten un cuestionario de un ejercicio incómodo en una ventaja competitiva.
Primero, visibilidad. No puedes declarar lo que no puedes ver. Un bufete que puede describir su uso de IA —a dónde van las consultas, dónde se concentran las violaciones de política, qué grupos de práctica cargan con mayor exposición— responde desde la evidencia y no desde la esperanza. Ten en cuenta el límite que importa para el privilegio: el registro debe capturar el evento de política, no el contenido de lo que el abogado escribió. Quieres prueba de que un control se activó, no una segunda copia del material confidencial del cliente reposando en un registro.
Segundo, protección a nivel de datos que sobreviva al comportamiento real. El control tiene que detectar la PII, los datos financieros y el contenido privilegiado del cliente en las herramientas a las que la gente realmente recurre y en los archivos que carga, y debe hacerlo antes del envío. Fundamentalmente, debe dejar pasar la consulta saneada —redactando las partes sensibles mientras mantiene útil la respuesta— para que los abogados obtengan su resultado y no se sientan empujados de vuelta a una cuenta personal para hacer su trabajo.
Tercero, educación en el momento. Cada vez que una consulta riesgosa se detiene con una explicación en lenguaje claro de qué se marcó y por qué, la asociada aprende el límite en el momento exacto en que importaba. Con el tiempo, eso produce algo que a un cuestionario le encanta: un registro medible de que tu gente está mejorando en el uso seguro de la IA. Ese registro también es útil, de forma orientativa, si un bufete alguna vez necesita demostrar que tomó medidas razonables para prevenir una divulgación — evidencia de salvaguardas, planteada como diligencia, no como garantía de un resultado concreto.
Este es el principio sobre el que está construido Sanitized AI: proteger los datos en el momento de la consulta, enseñar a la persona mientras sucede y conservar un registro del evento de política para que el bufete pueda demostrar su trabajo — independientemente de la herramienta a la que el abogado haya recurrido.
La pregunta que hay que hacerse antes de que llegue el próximo cuestionario
No esperes a que un cliente defina tu postura de IA por ti. Este trimestre, saca el cuestionario que menos querrías recibir y respóndelo con honestidad, por escrito. Si alguna respuesta es "tenemos una política" sin forma de demostrar que se cumplió, esa es la brecha que un cliente encontrará primero. Los bufetes que traten el cuestionario de seguridad de IA como una señal de confianza para el cliente —algo que pueden entregarle de forma proactiva— ganarán los asuntos que los bufetes que aún dependen de una prohibición pierden en silencio.
Si quieres ver cómo se ve en la práctica una respuesta demostrable y respaldada por evidencia, solicita una demostración o una conversación de admisión.