Construir, comprar o mezclar - el marco de decision para IA empresarial en 2026

Cuatro criterios. Primero, sensibilidad de los datos: si la informacion es regulada o estrategica, construir sobre infraestructura propia gana, sobre todo cuando el RGPD impone limites a transferencias internacionales tras Schrems II [2]. Segundo, especificidad del problema: si el caso de uso es general, comprar suele ser mejor; si es especifico, construir gana. Tercero, ritmo de cambio: si el problema cambia rapido, construir da control; si es estable, comprar es mas eficiente. Cuarto, riesgo regulatorio: para sistemas de alto riesgo del Anexo III del Reglamento de IA de la UE, construir con documentacion completa del Anexo IV suele ser mas defendible [1].

Comprar la plataforma (orquestacion, observabilidad, evaluacion, conectores) acorta el tiempo de despliegue. Construir el sistema (prompts, validadores, conjunto de evaluacion, modelo si aplica) preserva la diferenciacion. La capa de auditoria es comun: logs, citas, supervision humana documentada conforme al articulo 14 del Reglamento de IA [1]. La gobernanza organizativa que envuelve ambos lados puede apoyarse en ISO/IEC 42001 como marco de sistema de gestion [3]. Pocas empresas se benefician de construir todo o de comprar todo.

El coste de licencia es la parte visible. El coste real incluye integracion, evaluacion, monitorizacion, conformidad y mantenimiento. Para entidades financieras la capa DORA aporta diligencia debida y derechos de auditoria contractuales que se trasladan al proveedor de IA [4]. Para un sistema de alto riesgo, la conformidad pesa entre el 15% y el 30% del coste total los primeros tres anos. Una solucion comprada que no cubre el Anexo IV obliga a construir esa capa de todos modos [1].

Empezamos con una auditoria escrita: datos, procesos, baseline, restricciones regulatorias. La salida es un diagnostico con clasificacion de riesgo y recomendacion de construir, comprar o mezclar por componente. Construimos lo que requiere construirse y elegimos plataformas para lo que no. Las orientaciones de la AEPD sobre tratamientos de IA con datos personales se incorporan al diagnostico cuando hay datos personales en juego [5].