Un pasante va atrasado con un memorándum de investigación, así que pega la carta de contratación del cliente y un resumen del expediente en ChatGPT para obtener un primer borrador más rápido. El pasante nunca lo menciona. Tres semanas después, el socio firma el memorándum, factura al cliente y jamás se entera de que la información confidencial del cliente salió del control del despacho a través de una cuenta personal. El trabajo se veía bien. La exposición es invisible, y es el socio quien tiene que responder por ella.
Este es el escenario que debería quitarle el sueño a los abogados supervisores, y no tiene casi nada que ver con las historias de escritos sancionados por citas fabricadas. El riesgo aquí no es una respuesta incorrecta. Es que los datos confidenciales del cliente salgan del despacho en el momento en que entran en un cuadro de texto de una herramienta que nadie en el despacho eligió ni controla.
El error del junior es la responsabilidad del abogado supervisor
Las normas de conducta profesional tratan el trabajo delegado como siempre lo han hecho: lo que produzca un pasante, un asociado junior o un asistente es responsabilidad del abogado a cargo. Se espera que un abogado supervisor vigile el trabajo de aquellos en quienes delega, y los errores fluyen hacia arriba. Una herramienta de IA utilizada por un junior se ubica dentro de ese mismo marco: se comporta como otro junior cuyo resultado usted debe responder, salvo que esta transmite en silencio todo aquello con lo que se la alimenta.
Eso cambia la naturaleza del deber de supervisión. Ya no basta con revisar la exactitud del memorándum. El socio también es responsable de cómo se produjo el memorándum, porque el método en sí —pegar confidencias del cliente en una herramienta de IA pública— puede vulnerar la confidencialidad y, en las circunstancias equivocadas, poner en riesgo el secreto profesional abogado-cliente. Una vez que se envía esa información, puede quedar sujeta a los términos de uso del proveedor, que pueden otorgar amplios derechos para conservarla y procesarla. No hay botón para deshacerlo. La divulgación ya ocurrió antes de que nadie en el despacho sepa que se escribió un prompt.
Y va a ocurrir. Los juniors recurren a las herramientas que ya usan. En una encuesta de Gartner de 2026, el 88% de los empleados con acceso a IA empresarial también usaban herramientas de IA personales para el trabajo; Cyberhaven descubrió en 2025 que el 82,8% de los documentos legales introducidos en herramientas de IA iban a cuentas no corporativas. Las personas más cercanas a los expedientes de sus clientes son las que tienen más probabilidades de pegarlos en algún lugar que usted no puede ver.
Una política del despacho que el socio no puede ver no es supervisión
La mayoría de los despachos ha respondido con una política: no pongan información del cliente en ChatGPT. El problema es que una política cuyo cumplimiento nadie puede observar no es un control, es una esperanza. Si un pasante usa una cuenta personal en su propio portátil, el despacho no tiene ningún registro de que se incumplió la regla, ni de que se respetó.
Esa brecha corta por ambos lados. Significa que el uso riesgoso pasa inadvertido. También significa que el socio no tiene manera de demostrar que se tomaron medidas razonables, algo que importa cuando algo sale mal. Las sanciones y penalizaciones pueden reducirse cuando un abogado demuestra que tomó medidas adecuadas para prevenir el daño. Un socio que puede señalar un registro que muestra que datos sensibles del cliente fueron detectados antes de llegar a una herramienta de IA tiene evidencia de salvaguardas razonables. Un socio que se apoya en un memorándum no aplicado tiene un documento que prueba que la regla existía y nada sobre si funcionó.
Por eso las prohibiciones y las políticas de papel no superan la prueba de la supervisión. Están redactadas para controlar qué herramienta usa un junior. Pero nadie dicta a qué IA recurre un abogado o un pasante: usan lo que es rápido y familiar. La pregunta de supervisión no es qué herramienta sino qué datos salen. Reformule el deber en torno a los datos y el panorama se aclara: el socio necesita visibilidad de dónde está en riesgo la información del cliente, y una manera de impedir que salga antes de que lo haga.
Visibilidad del riesgo, no vigilancia de las personas
Aquí hay una tensión evidente. Un socio necesita saber dónde el uso de IA está generando exposición entre su personal. Pero nadie quiere leer lo que un pasante escribió en un prompt, y convertir la supervisión en vigilancia de pulsaciones de teclas corroe la confianza de la que depende una relación de formación.
La distinción que lo resuelve: un abogado supervisor necesita ver el evento de política —que se marcaron datos de cliente, en qué tipo de prompt, con qué frecuencia y dónde se concentra el riesgo— no el contenido del trabajo de nadie. Saber que se están detectando pegados riesgosos en el grupo corporativo, o que un flujo de trabajo determinado sigue activando alertas, es exactamente la visibilidad que la supervisión requiere. Leer el prompt en sí no aporta nada al deber y añade nuevos problemas.
También hay un momento que el junior merece. Cuando un pasante está a punto de pegar el expediente de un cliente en una herramienta pública, lo más útil que puede ocurrir no es un registro silencioso: es una explicación, en lenguaje claro, de qué se marcó y por qué. Eso convierte un incidente evitado en formación, y un pasante que aprende por qué la carta de contratación no debe ir a ChatGPT es un pasante que no cometerá el error en el siguiente expediente. Con el tiempo, ese registro muestra al personal del despacho volviéndose medible mente mejor en el uso seguro de la IA, que es en qué consiste realmente la diligencia demostrable.
Este es el principio sobre el que está construido Sanitized AI: la información sensible del cliente se detecta y se redacta antes de que un prompt llegue a la herramienta de IA, el junior recibe una explicación en el momento, y el abogado supervisor ve que el riesgo fue gestionado, nunca lo que alguien escribió. El control actúa donde reside el deber, antes de la divulgación que no puede deshacerse.
La pregunta que responder este trimestre
Plantéela sin rodeos: si un pasante pegara mañana un expediente de cliente en ChatGPT, ¿llegaría usted a saberlo alguna vez, y podría demostrarle a un cliente, o a un regulador, que su despacho tomó medidas para impedirlo? Si la respuesta honesta es no en ambos casos, la brecha de supervisión ya está abierta. Vale la pena cerrarla antes de que un memorándum firmado se convierta en una confidencia divulgada.
Si quiere ver cómo un despacho puede proteger los datos del cliente en el prompt a la vez que da a los socios visibilidad del riesgo sin leer el trabajo de nadie, solicite una demostración.