La checklist del comprador de IA soberana

«Soberano» es ahora un adjetivo de marketing. Estas doce preguntas separan las arquitecturas que conservan sus datos por diseño de los productos que los conservan por promesa. Hágaselas a cada proveedor — incluidos nosotros.

Adónde van realmente los datos

1. ¿Dónde corre la inferencia — físicamente? No «en la región», no «tenencia dedicada»: qué máquinas, en los racks de quién, bajo qué jurisdicción. Si la respuesta incluye un endpoint compartido, sus prompts transitan infraestructura que usted no controla.

2. ¿La soberanía puede verificarse, o solo configurarse? Una casilla que desactiva la telemetría es un ajuste; un despliegue sin ruta de salida es una arquitectura. Pida ejecutar el producto detrás de un firewall que bloquee todo egreso y observe qué se rompe.

3. ¿Qué sale del perímetro durante la ingesta RAG? Vectorizar también es inferencia. Si los documentos se vectorizan mediante una API de nube, su base de conocimiento ya ha salido del edificio — antes de que nadie haga una pregunta.

4. ¿Qué ocurre totalmente aislado (air-gapped)? No «tolerante a estar offline» — instalado, licenciado y operado en una red que nunca ha visto internet. Muchos productos pasan una demo y suspenden un air gap.

Quién tiene las claves

5. ¿Quién posee la raíz de confianza de agentes y automatizaciones? Si los agentes se firman y certifican, pregunte quién controla la clave de firma. Si es la nube del proveedor, su cadena de suministro de agentes tiene una dependencia externa.

6. ¿El licenciamiento llama a casa? El licenciamiento con llamada a casa es telemetría con modelo de negocio. Los archivos de licencia offline existen; pregunte por qué el proveedor no los usa.

7. ¿Quién puede leer el registro de auditoría — y quién puede editarlo? Una traza de auditoría que un administrador puede reescribir es un pasivo disfrazado de control. Busque almacenamiento de solo anexado y a prueba de manipulación.

8. ¿Qué telemetría, informes de fallos o «analítica de producto» viene activada por defecto? Consiga la lista completa por escrito, con el interruptor de apagado demostrado.

Operaciones y economía

9. ¿Cómo llegan las actualizaciones de modelos? Si actualizar significa que el proveedor entre en su entorno, la soberanía termina con el primer parche. Busque artefactos de actualización verificables aplicados por el operador.

10. ¿Precio por puesto o basado en cómputo? Un precio por puesto sobre infraestructura que usted aporta significa pagar dos veces por escalar. Entienda qué impulsa realmente el coste a medida que crece el uso.

11. ¿Cuánto tarda de verdad el despliegue? «Semanas de servicios profesionales» suele señalar una arquitectura que no fue diseñada para su perímetro. Pida una instalación cronometrada y con testigos.

12. ¿Cuál es la ruta de salida? Sus documentos, embeddings, automatizaciones e historial de auditoría — ¿en qué formato, extraídos por quién, a qué coste? La soberanía incluye la soberanía frente al proveedor.

• Insista en demostraciones antes que declaraciones: pruebas con egreso bloqueado, instalaciones air-gap, verificaciones de integridad de los logs.
• Ponga cada respuesta en el contrato. Un «sí, on-prem» verbal no es un diagrama de flujo de datos.
• Puntúe a los proveedores según cómo respondan a la pregunta 12 — predice cómo se respondieron las preguntas 1–11.

Un proveedor con confianza en su arquitectura dará la bienvenida a esta lista. La evasiva ante una sola pregunta es en sí misma la respuesta.

Plantéenos estas doce preguntas →