Desarrollar o comprar IA: un marco de decisión para equipos empresariales

La pregunta de si desarrollar o comprar IA tiene una respuesta breve: comprar para las capacidades estándar, potenciar los modelos de proveedores con datos propios cuando aporten una ventaja y desarrollar solo aquello que constituya el núcleo competitivo de la empresa. Sea cual sea la vía elegida, la responsabilidad sobre cómo se comporta la IA ante los clientes sigue siendo de la organización. Este último punto es el que omite la mayoría de los marcos de decisión.

Esta guía aborda las tres vías, las variables de coste y riesgo que determinan la elección y el trabajo de gobernanza posterior a la decisión.

Resumen

• La mayoría de las organizaciones compran. El análisis de KPMG indica que el 50% compra o alquila IA generativa, el 29% utiliza un enfoque híbrido y el 12% desarrolla todo internamente.
• El planteamiento binario está obsoleto. El modelo actual consiste en comprar, potenciar o desarrollar, según la importancia estratégica, la sensibilidad de los datos y la rapidez necesaria.
• El coste total de propiedad determina la mayoría de las decisiones de desarrollo. El mantenimiento, los flujos de recuperación de información y la monitorización suelen costar más que la primera versión.
• Las obligaciones de cumplimiento no se transfieren con la compra. Los responsables del despliegue siguen siendo responsables de informar al usuario, derivar los casos y garantizar la seguridad en las conversaciones en producción.
• Todas las vías necesitan una verificación independiente del comportamiento de los agentes en condiciones reales.

Índice

• Por qué ha cambiado la pregunta de desarrollar o comprar
• Las tres vías: comprar, potenciar y desarrollar
• Seis criterios que determinan la decisión
• Cuál es el coste real
• Las obligaciones de cumplimiento no se transfieren con el contrato
• El punto ciego: las evidencias aportadas por el proveedor
• Nuestra perspectiva
• Cómo tomar la decisión en cinco pasos
• Cuándo suele ser preferible cada vía
• Verificación independiente para cualquier vía
• Preguntas frecuentes
• Fuentes

Por qué ha cambiado la pregunta de desarrollar o comprar

En el software tradicional, la decisión de desarrollar o comprar comparaba un coste de desarrollo puntual con las cuotas de licencia. La IA cambia los términos de tres maneras.

En primer lugar, desarrollar se ha vuelto más sencillo. Los modelos fundacionales y las API permiten que un equipo pequeño entregue un prototipo funcional en cuestión de días. Sin embargo, un prototipo no es un producto. Operarlo de forma segura a escala es una tarea distinta y de mayor envergadura.

En segundo lugar, la compra se ha diversificado. La oferta de los proveedores abarca ahora desde herramientas para tareas muy concretas hasta plataformas de agentes configurables. Algunas permiten incorporar datos y modelos propios, lo que difumina la frontera entre comprar y desarrollar.

En tercer lugar, ha llegado la regulación. El EU AI Act, el Marco de Gestión de Riesgos de IA del NIST y las normas sectoriales imponen obligaciones a la organización que despliega la IA, no solo a la que la ha creado. Una compra traslada el trabajo de ingeniería a un proveedor. No traslada la responsabilidad.

Las tres vías: comprar, potenciar y desarrollar

Los profesionales se inclinan ahora por un modelo de tres vías descrito inicialmente por investigadores del MIT Sloan. La decisión depende de tres variables: hasta qué punto es crucial la capacidad para la ventaja competitiva, cuál es la sensibilidad de los datos y con qué rapidez la necesita el negocio.

Comprar

Comprar encaja con las capacidades que necesita cualquier competidor: transcripción de reuniones, resumen de documentos y automatización estándar de la atención al cliente. La adopción es rápida, el proveedor mantiene el modelo y el coste es predecible. La contrapartida es que se aceptan las decisiones de diseño del proveedor, incluida la forma en que el agente gestiona la derivación de casos, la información al usuario y los casos excepcionales.

Potenciar

Potenciar consiste en partir de la base de un proveedor y añadir conocimiento propio mediante ajuste fino o recuperación de información. Aporta diferenciación competitiva sin entrenar un modelo desde cero. Según un marco de referencia para profesionales, las empresas suelen empezar comprando, pasan a potenciar a medida que maduran sus activos de datos y desarrollan solo cuando existe una verdadera diferenciación estratégica.

Desarrollar

El desarrollo se reserva para las capacidades que definen a la empresa: un modelo de riesgo propio, un motor de recomendaciones único o un sistema entrenado con datos a los que ningún proveedor puede acceder. Exige talento de ingeniería, infraestructura, herramientas de evaluación y un presupuesto de mantenimiento a largo plazo. Pocos casos de uso superan ese umbral, por lo que solo el 12% de las organizaciones desarrolla todo internamente, según las cifras de KPMG citadas anteriormente.

Seis criterios que determinan la decisión

Utilice estos criterios como matriz de puntuación. Valore cada uno del 1 al 5 para su caso de uso concreto y pondérelos según su sector.

1. Importancia estratégica. ¿Esta capacidad le diferencia en el mercado o es un requisito básico para competir? Las capacidades diferenciadoras favorecen potenciar o desarrollar.
2. Sensibilidad de los datos. Los datos regulados, personales o de propiedad exclusiva elevan el coste de enviarlos a un tercero. Esto no siempre descarta la compra, pero condiciona los términos del contrato y la arquitectura.
3. Rapidez de obtención de valor. Si el negocio necesita resultados este trimestre, desarrollar rara vez es una opción realista.
4. Coste total de propiedad. Incluya todo lo que vaya más allá de la licencia o del primer sprint. Véase la siguiente sección.
5. Exposición regulatoria. Los agentes que interactúan con clientes en finanzas, sanidad, seguros, telecomunicaciones y suministros básicos están sujetos al mayor escrutinio.
6. Capacidad operativa. ¿Dispone de personal para monitorizar, evaluar y reentrenar un sistema de forma continua?

De las puntuaciones se desprende una regla sencilla. Si la importancia estratégica es baja y la necesidad de rapidez es alta, compre. Si la importancia estratégica es moderada y sus datos son distintivos, potencie. Si la importancia estratégica es alta y dispone de capacidad operativa, desarrolle.

Cuál es el coste real

La primera factura rara vez es la más elevada. Un análisis profesional cita que el 65% de los costes totales del software se produce después del despliegue inicial y sostiene que esto debería replantear las decisiones de inversión en IA. La misma fuente señala que los equipos que potencian o desarrollan asumen toda la pila tecnológica, incluido el mantenimiento de los flujos de recuperación de información, la indexación y la optimización de la recuperación. Las organizaciones suelen subestimar estos gastos operativos al proyectar el retorno de la inversión.

Una hoja de cálculo del coste total debe incluir:

• Costes de desarrollo: salarios de ingeniería y ciencia de datos, infraestructura, conjuntos de datos de evaluación, revisión de seguridad y revisión jurídica.
• Costes operativos: actualizaciones del modelo, ajuste de instrucciones y recuperación de información, respuesta a incidentes y cobertura de guardias.
• Costes del proveedor: cuotas de licencia o uso, trabajo de integración, soporte prémium y costes de salida y migración.
• Costes de gobernanza: auditorías, monitorización, documentación, formación del personal y evidencias preparadas para el regulador.

La última partida es la que más suele faltar. La gobernanza no es una fase que termina con el lanzamiento. La investigación de Deloitte identificó el cumplimiento normativo como la principal barrera para el despliegue de IA generativa, con un 38%, lo que supone un aumento de 10 puntos porcentuales respecto a encuestas anteriores. También constató que el 69% de las organizaciones afirma que implantar por completo una estrategia sólida de gobernanza de IA lleva más de 12 meses. Prevea presupuesto para ese plazo, sea cual sea la vía elegida.

Una comparación práctica

Pensemos en una aseguradora mediana que decide cómo gestionar las consultas de primera línea de sus clientes con un agente de IA.

• Comprar: una plataforma de agentes de un proveedor entra en producción en semanas. La aseguradora configura los guiones y las integraciones. El modelo pertenece al proveedor. La aseguradora es responsable de los textos informativos, las reglas de derivación y el resultado de cada conversación.
• Potenciar: la aseguradora fundamenta un modelo de un proveedor en los documentos de sus pólizas y su historial de siniestros. Las respuestas mejoran, pero el equipo pasa a mantener la base de conocimiento, la calidad de la recuperación de información y el ciclo de actualización.
• Desarrollar: la aseguradora entrena y aloja su propio modelo. Lo controla todo y asume toda la carga: seguridad, evaluación, disponibilidad y evidencias de cumplimiento.

En los tres casos, la pregunta final es la misma: ¿qué dijo realmente el agente a los clientes el mes pasado y puede la aseguradora demostrar que cumplió la normativa?

Para obtener una visión más amplia de cómo las organizaciones sopesan el desarrollo interno, los productos de proveedores y los enfoques híbridos, esta descripción general de los enfoques de desarrollo de capacidades es un complemento útil sobre las personas y los procesos que intervienen en la decisión.

Las obligaciones de cumplimiento no se transfieren con el contrato

El panorama regulatorio es el argumento más sólido para tratar la decisión de desarrollar o comprar también como una decisión de gobernanza.

EU AI Act. Según el servicio de asistencia sobre el Reglamento de IA de la Comisión Europea, las obligaciones de transparencia del artículo 50 se aplican a partir del 2 de agosto de 2026. Los proveedores y los responsables del despliegue de agentes de IA conversacional deben informar a los usuarios de que están interactuando con un sistema de IA, a más tardar en la primera interacción. Los proveedores de contenido generado por IA tienen hasta el 2 de diciembre de 2026 para marcarlo en un formato legible por máquina y detectable. Una empresa estadounidense que atienda a clientes en la UE entra en el ámbito de aplicación como responsable del despliegue, aunque haya comprado el agente a un proveedor. Para una visión práctica de cómo se concretan estas obligaciones de transparencia en los despliegues de voz, esta lista de comprobación del cumplimiento en llamadas aborda los aspectos operativos.

NIST AI RMF. El marco es voluntario en Estados Unidos, pero se utiliza ampliamente como referencia. Su Perfil de IA Generativa (NIST AI 600-1) recomienda una evaluación dinámica y continua del riesgo de los sistemas de terceros. Esto incluye evaluaciones de adquisición que abarquen la privacidad de los datos, la seguridad y la propiedad intelectual, además de alertas inmediatas y monitorización automatizada para detectar comportamientos anómalos en los modelos proporcionados por proveedores durante el despliegue.

Riesgo de terceros. El resumen del marco elaborado por Mitratech afirma que los componentes de terceros merecen el mismo rigor de gobernanza que los internos. Destaca la monitorización continua frente a las auditorías de seguridad puntuales y el mantenimiento de un inventario actualizado de las herramientas de IA adoptadas por las distintas unidades de negocio.

La consecuencia es clara. Un agente comprado es un sistema de terceros que debe monitorizar. Un agente desarrollado internamente es un sistema que también debe monitorizar, sin un proveedor con el que compartir la carga de aportar evidencias. Ninguna vía elimina la necesidad de supervisión.

El punto ciego: las evidencias aportadas por el proveedor

La mayoría de los compradores evalúa a un proveedor de IA mediante demostraciones, pruebas comparativas e informes aportados por el propio proveedor. Estos describen cómo funciona el producto en condiciones de prueba. No describen lo que ocurrió en sus conversaciones en producción.

Tres comportamientos generan la mayor exposición al riesgo en los agentes que interactúan con clientes:

• Fallos en la derivación. El agente continúa cuando debería transferir al cliente a una persona. En las auditorías realizadas por Lexic, el 85% de los agentes auditados no derivó correctamente los problemas a representantes humanos.
• Información ausente o tardía. Conforme al artículo 50, el cliente debe saber desde la primera interacción que está hablando con una IA.
• Brechas de seguridad. La inyección de instrucciones, las fugas de datos y las revelaciones indebidas se manifiestan en el tráfico en producción y en las pruebas adversariales, no en las demostraciones comerciales.

Lo mismo se aplica a los desarrollos internos. Los equipos internos que crean un agente no son los candidatos adecuados para auditarlo por sí solos, porque la independencia es la razón de ser de una auditoría.

Nuestra perspectiva

Observamos el debate entre desarrollar y comprar desde la perspectiva de la auditoría. Lexic no desarrolla ni opera agentes conversacionales. Auditamos agentes de cualquier proveedor y de equipos internos mediante el análisis de conversaciones reales. Esta posición revela un patrón que los modelos de costes pasan por alto.

La decisión de desarrollar o comprar condiciona el coste y la rapidez. Influye poco en que el agente derive correctamente los casos, se identifique debidamente como IA o resista la manipulación. Estos resultados dependen de la configuración, los datos, las pruebas y la monitorización, y pueden desviarse con el tiempo. Un agente que superó la revisión en el lanzamiento puede fallar tres meses después de un cambio en las instrucciones, una actualización del modelo o la incorporación de un nuevo segmento de clientes.

Por ello, aconsejamos a los equipos separar dos preguntas. La primera es quién crea el agente. La segunda es quién lo verifica. Unir ambas genera un conflicto de intereses, tanto si el creador es un proveedor con un objetivo de ventas como si es un equipo interno con una fecha de lanzamiento. Los equipos de cumplimiento necesitan evidencias que puedan defender ante un regulador sin depender de datos aportados por el proveedor. Esto exige una cobertura completa de las conversaciones, no muestras, y un circuito de derivación que envíe los hallazgos al equipo capaz de corregirlos.

Nuestro consejo práctico: elija la vía que encaje con su estrategia, incorpore la verificación independiente al plan desde el primer día y trate la supervisión como un coste permanente.

— Sergio Llorens

Cómo tomar la decisión en cinco pasos

1. Inventaríe los casos de uso. Enumere cada capacidad de IA que desea, incluidas las que las unidades de negocio ya han adoptado de manera informal.
2. Clasifique cada uno. Márquelo como estándar, diferenciador o esencial. Para los elementos estándar, la opción por defecto es comprar.
3. Puntúe los seis criterios. Dé más peso a la sensibilidad de los datos y a la exposición regulatoria en los sectores regulados.
4. Modele los costes de tres años. Incluya los costes operativos, de gobernanza y de salida, no solo la cifra de desarrollo o licencia.
5. Defina el plan de verificación. Decida antes de comprar o desarrollar quién auditará el comportamiento, con qué frecuencia y qué evidencias conservará.

La implicación de la dirección es importante en el quinto paso. Los resultados del informe State of AI de McKinsey de 2025, según recoge la prensa económica, indican que las organizaciones con implicación directa del consejero delegado en la gobernanza de IA tienen casi el doble de probabilidades de generar valor empresarial medible. El seguimiento de indicadores clave de rendimiento específicos de IA y bien definidos se describe como uno de los principales predictores del éxito.

Cuándo suele ser preferible cada vía

Comprar es preferible cuando el caso de uso es habitual, los datos no son muy sensibles y el equipo carece de capacidad de ingeniería de IA. Acompañe la compra de cláusulas contractuales sobre registros, acceso a los datos y derechos de auditoría, para poder verificar el comportamiento más adelante.

Potenciar es preferible cuando los datos propios son el factor diferenciador y un modelo de un proveedor ya funciona bien en la tarea básica. Prevea el mantenimiento de los flujos de recuperación de información y de conocimiento.

Desarrollar es preferible cuando la capacidad es el producto, los datos no pueden salir de su entorno o ningún proveedor cumple los requisitos. Prevea una función permanente de evaluación y monitorización.

El enfoque híbrido es la norma. Con un 29% de las organizaciones utilizando ya una estrategia híbrida, según KPMG, la mayoría de las carteras combina las tres vías. Esto aporta mayor valor a una única capa de verificación neutral respecto al proveedor: un mismo estándar para evaluar a todos los agentes, sea cual sea su origen.

Verificación independiente para cualquier vía

Lexic ofrece auditoría independiente y gobernanza para agentes de IA conversacional de cualquier proveedor. Lexic Compass verifica el comportamiento en condiciones reales en materia de cumplimiento normativo, seguridad, gestión de derivaciones e información al cliente. Puede empezar con una Flash Preview, un Audit Sprint o Enterprise Continuous Trust, según necesite una valoración rápida, una auditoría de alcance definido o una monitorización continua. Los detalles sobre el enfoque de auditoría están en la página de Lexic Compass.

Para los equipos que quieren aprender de cada conversación con el cliente, Lexic Pulse analiza llamadas, chats, correos electrónicos y tickets, y genera información sobre sentimiento, abandono y oportunidades para los equipos de experiencia del cliente, producto, ventas y operaciones.

Preguntas frecuentes

¿Qué significa desarrollar frente a comprar en IA?

Es la elección entre desarrollar un sistema de IA internamente y adquirirlo a un proveedor. Una tercera opción, potenciar, adapta un modelo de un proveedor con datos propios. La mayoría de las organizaciones compra o combina enfoques en lugar de desarrollarlo todo.

¿Cuánto cuesta desarrollar IA?

No existe una cifra única, porque el coste depende del alcance, los datos, el talento y el modelo operativo. Los costes recurrentes, como el mantenimiento, los flujos de recuperación de información, la monitorización y el cumplimiento, pueden superar el desarrollo inicial. Modele el coste total de tres años, no el de la primera versión.

¿Comprar un agente de IA hace responsable del cumplimiento al proveedor?

No por completo. Según el EU AI Act, los responsables del despliegue de agentes conversacionales comparten obligaciones de transparencia con los proveedores. Una empresa que utilice un agente comprado debe seguir comprobando que se informa a los clientes de que están hablando con una IA y que los problemas llegan a una persona cuando es necesario.

¿Podemos auditar un agente de IA que hemos desarrollado nosotros mismos?

Pueden realizar pruebas internas, pero una revisión independiente aporta evidencias más sólidas para los reguladores, los consejos de administración y los clientes. El equipo que ha desarrollado un agente tiene un interés inherente en sus resultados. Los auditores independientes examinan conversaciones reales sin ese conflicto.

Fuentes

• La evolución de desarrollar frente a comprar, KPMG UK
• Comprar, potenciar o desarrollar: elija su vía hacia la IA generativa, MIT Sloan
• El cálculo de desarrollar frente a comprar, Plan para una empresa centrada en la IA
• El cálculo de desarrollar frente a comprar, Plan para una empresa centrada en la IA (capítulo del libro)
• Estado de la IA generativa, Deloitte US
• Preguntas frecuentes, Servicio de asistencia sobre el Reglamento de IA
• Perfil de IA Generativa del AI RMF, NIST
• NIST AI RMF y el riesgo de terceros, Mitratech
• Cómo la inteligencia artificial está transformando el mundo, Business Live