Cuánto cuesta una auditoría de IA y qué debería incluir el precio

Se cotiza por alcance, no por horas

Cotizar una auditoría por horas empuja al proveedor a mirar rápido y a ti a discutir la tarifa en vez del resultado.

Las tres variables que mueven el precio de verdad son esas. Todo lo demás es forma de presentarlo.

Hay una consecuencia práctica de cotizar por alcance: obliga a la empresa a decidir qué quiere saber antes de pedir precio.

Y esa decisión es la mitad del valor. Una empresa que llega diciendo «quiero saber si renovamos el contrato de este asistente» recibe una propuesta ajustada. Una que llega diciendo «queremos auditar la IA» recibe un número inventado sobre un alcance inventado.

La pregunta que conviene llevar resuelta es qué decisión vas a tomar con el informe. Si no hay una decisión concreta esperando al otro lado, la auditoría todavía no toca.

Las tres variables que mueven el número

Cuando pidas presupuesto, pide que esas tres estén explícitas. Dos propuestas con precios muy distintos casi siempre están cotizando alcances distintos, no calidades distintas.

Hay una cuarta variable que no es de alcance pero mueve el precio igual: en qué estado está la información de partida.

Una empresa que llega con el inventario de sistemas, los accesos preparados y la persona de cada área identificada ahorra días de trabajo. Una que empieza a buscar quién tiene la credencial el mismo día que arranca la auditoría los paga.

Es la parte del presupuesto que está en tus manos y casi nadie la aprovecha.

Los tres alcances que existen en la práctica

En vez de dar un número que envejece mal, conviene entender los tres formatos y elegir el que responde tu pregunta.

• Revisión rápida. Documentación, entrevistas y las estadísticas que el propio sistema ya reporta. Días, no semanas. Sirve para saber si hay que auditar en serio.
• Auditoría estándar. Lo anterior más muestra de casos reales, revisión de permisos y costo total. Una a tres semanas. Es la que produce un veredicto usable.
• Auditoría profunda. Lo anterior más pruebas adversariales sobre el sistema y revisión del recorrido completo del dato. Semanas. Se justifica cuando el sistema toca dinero, salud o datos personales sensibles.

Una nota sobre la revisión rápida, porque se malinterpreta seguido: no es una auditoría barata, es un paso previo distinto.

Su entregable no es un veredicto sino una respuesta a «¿hace falta mirar esto en serio?». Y esa respuesta a veces es que no, con lo cual se ahorra la auditoría entera.

Presentarla como una auditoría completa a menor precio es el error de posicionamiento más común de este servicio, y termina en un cliente que esperaba un veredicto y recibió una lista de preguntas.

Qué debería incluir siempre, cueste lo que cueste

Hay un mínimo por debajo del cual el precio da igual, porque el entregable no decide nada.

• Un veredicto explícito. Continuar, ajustar o cortar.
• El costo real mensual sumado, con las partidas que no estaban en la propuesta original del proveedor.
• El inventario de permisos con los que el sistema está conectado.
• Los hallazgos ordenados por dinero, no por gravedad técnica.
• Lo que está bien. Sin esto, el informe es una propuesta comercial disfrazada.

El detalle de cada capa está en qué revisa una auditoría de IA.

Por qué la auditoría barata suele salir cara

La forma más común de abaratar una auditoría es no tocar los datos. Se revisa la documentación, se entrevista al equipo y se escribe el informe.

El problema es que la documentación describe lo que se quiso construir y las entrevistas describen lo que la gente cree que pasa. Ninguna de las dos describe lo que el sistema hizo.

Y los hallazgos que cuestan dinero de verdad viven exactamente ahí: en la diferencia entre lo que se cree y lo que pasa.

Hay una segunda forma de abaratar que hace menos daño y conviene conocer: reducir el número de sistemas en vez de la profundidad.

Auditar un solo sistema a fondo produce un veredicto usable sobre ese sistema. Auditar cinco por encima no produce un veredicto sobre ninguno.

Si el presupuesto no da para todo, se elige el sistema que más dinero mueve o el que más permisos tiene, y se hace bien. El resto espera al año siguiente.

Quién debería pagarla dentro de la empresa

Parece un detalle administrativo y decide el resultado.

Si la paga el área que compró el sistema, el informe tiene un lector con interés en que salga bien. No hace falta mala fe: basta con que las preguntas incómodas se hagan un poco más suave.

Lo que funciona es que la pida dirección o finanzas, y que el área que opera el sistema sea la auditada y no la clienta.

Hay una versión intermedia que funciona en empresas donde esa separación es difícil de sostener: que la pague el área, pero que el informe se entregue simultáneamente a dirección.

No resuelve el conflicto de incentivos del todo, y sí evita el escenario donde el informe se guarda en un cajón hasta que alguien decida qué hacer con él.

Cuándo se paga sola

Una auditoría se paga sola en tres escenarios, y conviene mirarlos antes de decidir el alcance.

• Cuando encuentra consumo que se puede bajar. El ajuste de un tope o de un modelo más barato para las tareas simples suele cubrir el costo en meses.
• Cuando evita una renovación que no correspondía. Un año de suscripción que no se firma vale más que la auditoría entera.
• Cuando destapa un permiso abierto. Ahí lo que se evita no es un costo, es un incidente, y ese no se puede presupuestar.

La cuenta completa se arma con el mismo criterio que el TCO de un proyecto de IA.

Hay un cuarto escenario que no se puede presupuestar y es el que más veces ha justificado el gasto: que el sistema esté bien.

Una empresa que lleva meses discutiendo internamente si aquello sirve, y que recibe un informe independiente diciendo que sí con evidencia, deja de discutir y empieza a escalarlo.

El costo de esa discusión abierta durante seis meses, en reuniones y en decisiones que no se toman, suele ser más alto que la auditoría.

Cómo pedir el presupuesto para poder comparar

Si mandas la misma frase a tres proveedores vas a recibir tres cosas distintas. Lo que hace comparables las propuestas es fijar tú el alcance.

• Di cuántos sistemas entran y cómo se conectan entre sí.
• Di si vas a dar acceso a datos reales y en qué condiciones.
• Pide el entregable descrito, no «un informe».
• Pide quién hace el trabajo, con nombre y no con logo.
• Pregunta si venden después el arreglo. Si la respuesta es sí, no descarta, pero lo tienes que saber al leer los hallazgos.

Es el mismo método de cómo armar un RFP para un proveedor de IA, aplicado a un encargo más corto.

La alternativa interna, y hasta dónde llega

Una empresa con alguien que entienda procesos y tenga acceso a los registros puede hacer la mitad del trabajo sin pagar nada.

Lo que se puede hacer dentro: el inventario de permisos, la suma del costo real y la muestra de casos revisada contra un criterio escrito.

Lo que casi nunca sale bien dentro: el veredicto. Quien convive con el sistema todos los días tiene demasiado contexto para decir «esto hay que cortarlo», y esa frase es exactamente para lo que se contrata a alguien de fuera.

Un formato mixto que sale bien y cuesta la mitad: el trabajo de recolección lo hace la empresa y el criterio lo pone alguien de fuera.

El equipo interno levanta el inventario de permisos, suma el costo real y prepara la muestra de casos. El auditor externo define el criterio antes, revisa la muestra y escribe el veredicto.

Funciona porque la parte cara de una auditoría es el tiempo de recolección, y la parte valiosa es el criterio independiente. Separarlas baja el precio sin bajar la calidad del entregable.