Hay una frase en las respuestas de Alejandro Rios Calera que resume todo lo demás: «la IA tiene que responder a una estrategia empresarial, no ser la estrategia empresarial». Para él, muchas empresas creen que ya han dado el salto tecnológico porque sus empleados usan ChatGPT o Claude, y confunden utilizar inteligencia artificial con integrarla en el negocio.
Alejandro es cofundador y CTO de The AI Business, una firma de ejecución de IA fundada en 2025 en Madrid, con oficinas en Miami y Dubái. Le planteamos cinco preguntas de pyme: qué hacer antes de comprar ninguna herramienta, cómo distinguir automatizar un proceso de automatizar el caos, qué exige de verdad el AI Act, qué riesgo se pasa por alto al dar permisos a un agente y cómo empezar sin equipo técnico.
Sus respuestas llevan un hilo común: primero el diagnóstico, después la herramienta, y la seguridad desde el diseño. Sobre el reglamento europeo de IA encontrarás también otra entrevista de esta sección.
La entrevista
¿Qué es lo primero que debería hacer hoy una pyme con la IA, antes de comprar ninguna herramienta?
Creo que uno de los principales errores que están cometiendo muchas empresas es confundir utilizar inteligencia artificial con integrar inteligencia artificial en su negocio. Hay compañías que consideran que ya han dado el salto tecnológico porque sus empleados utilizan ChatGPT o Claude para resolver dudas, redactar correos o generar documentos. Y, aunque eso puede mejorar la productividad individual, estamos hablando de algo muy distinto a una verdadera transformación de la operativa empresarial.
La inteligencia artificial tiene potencial para aportar valor en prácticamente todas las áreas de una compañía, pero eso no significa que debamos automatizarlo todo ni introducir tecnología indiscriminadamente.
Mi primera recomendación sería hacer un diagnóstico profundo del negocio antes de pensar en herramientas. Entender cómo funciona realmente la empresa, qué procesos consumen más recursos, dónde se producen los cuellos de botella, qué tareas dependen excesivamente de las personas y, sobre todo, dónde se están perdiendo oportunidades de crecimiento o rentabilidad.
A partir de ahí, distinguiría dos grandes oportunidades: utilizar la tecnología para optimizar lo que ya hacemos y utilizarla para conseguir cosas que antes no podíamos hacer. Esto último me parece especialmente interesante, porque la IA no debería limitarse a reducir costes; también puede permitirnos crear nuevas capacidades, modelos de negocio y ventajas competitivas.
Después evaluaría qué necesidades pueden resolverse con herramientas existentes y cuáles justifican desarrollar soluciones a medida. No todas las pymes necesitan software propio, pero tampoco deberían asumir que una solución genérica va a proporcionarles la máxima ventaja competitiva.
Estamos viviendo un momento en el que el acceso a la tecnología se ha democratizado extraordinariamente. Prácticamente todas las empresas pueden utilizar los mismos modelos de inteligencia artificial. Por tanto, la diferencia ya no está tanto en quién tiene acceso a la tecnología, sino en quién sabe aplicarla mejor a la realidad de su negocio.
La IA tiene que responder a una estrategia empresarial, no ser la estrategia empresarial.
«Automatiza el proceso, no el caos»: ¿puedes ponernos un ejemplo real de cada caso?
Imaginemos una empresa que quiere aumentar sus ventas y decide invertir en agentes de inteligencia artificial para captar clientes, automatizar campañas comerciales y generar oportunidades de negocio.
Sobre el papel parece una gran decisión. Sin embargo, cuando analizamos su operativa descubrimos que el departamento comercial no tiene una visión centralizada de los clientes, que las oportunidades se gestionan de forma desordenada, que existen problemas de coordinación entre departamentos y que la capacidad operativa ya está cerca de su límite.
¿Qué sucedería si consiguiéramos duplicar el volumen de oportunidades comerciales? Probablemente estaríamos multiplicando también los problemas existentes: clientes sin atender, errores operativos, retrasos y una experiencia de servicio cada vez peor.
Habríamos utilizado una tecnología extraordinariamente potente para acelerar un sistema que ya funcionaba mal.
En el lado contrario, puedo poner como referencia uno de los proyectos que hemos desarrollado en el sector de la arquitectura. El estudio tenía una operativa que dependía en gran medida de hojas de cálculo, con dificultades para visualizar la rentabilidad real de los proyectos, controlar la carga de trabajo y anticipar posibles retrasos.
En lugar de limitarnos a automatizar tareas aisladas, el trabajo consistió en estructurar la operativa mediante un sistema que permitiera analizar la rentabilidad de cada oportunidad, distribuir mejor los recursos y detectar riesgos antes de que afectaran al negocio.
La diferencia es fundamental: no se trata simplemente de hacer más rápido lo que ya haces, sino de replantear cómo funciona el negocio para que la tecnología pueda multiplicar su capacidad.
Y aquí hay una reflexión que considero especialmente importante: escalar no significa únicamente vender más. Significa ser capaz de gestionar ese crecimiento sin que los costes, la complejidad y los problemas aumenten en la misma proporción.
Por eso siempre defendemos que el diagnóstico tiene que preceder a la ejecución. La automatización debe ser la consecuencia de entender y mejorar un proceso, nunca un sustituto de ese análisis.
¿Qué exige el AI Act a una pyme pequeña y qué es solo un mito?
Lo primero que aclararía es que el AI Act no es una normativa reservada a las grandes corporaciones. Una pyme también está sujeta a las obligaciones que correspondan a los sistemas de inteligencia artificial que desarrolla o utiliza.
Ahora bien, hay un matiz fundamental: la regulación no se basa únicamente en el tamaño de la empresa, sino principalmente en el riesgo asociado al sistema y en el papel que desempeña la organización. No tiene las mismas responsabilidades quien desarrolla una solución que quien utiliza una herramienta de un tercero, ni presenta los mismos riesgos un asistente para organizar documentación que un sistema que interviene en decisiones laborales o financieras sensibles.
La normativa contempla cuestiones como las prácticas prohibidas, la transparencia en determinados usos de inteligencia artificial, la promoción de conocimientos adecuados sobre IA entre los profesionales y, para los sistemas considerados de alto riesgo, obligaciones adicionales de control, documentación, supervisión y seguridad, conforme a su calendario de aplicación.
También existen medidas de simplificación y proporcionalidad dirigidas a las pequeñas y medianas empresas.
Uno de los grandes mitos es pensar que cualquier empresa que utilice inteligencia artificial necesita superar una especie de certificación general para poder seguir operando. No es así. Tampoco es cierto que cualquier automatización con IA sea automáticamente un sistema de alto riesgo.
Desde mi punto de vista, el mayor error es abordar el cumplimiento normativo como un trámite que se revisa cuando el sistema ya está funcionando.
En The AI Business defendemos que la seguridad, la gobernanza y el cumplimiento deben considerarse desde el diseño de la solución. Es mucho más sencillo construir un sistema con los controles adecuados desde el principio que intentar corregir posteriormente una arquitectura que nunca tuvo en cuenta esos requisitos.
El AI Act no debería interpretarse como un freno a la innovación, sino como una razón más para profesionalizar la forma en la que las empresas implementan inteligencia artificial.
¿Qué riesgo de seguridad pasan por alto las empresas al dar permisos a un agente de IA?
Creo que muchas empresas todavía no han comprendido del todo la diferencia entre utilizar un modelo de inteligencia artificial para consultar información y concederle permisos para actuar sobre sus sistemas.
Cuando le haces una pregunta a un modelo, normalmente esperas una respuesta. Pero cuando conectas un agente a tu correo corporativo, tu CRM, tus bases de datos o tu sistema de facturación, le estás proporcionando capacidades reales para interactuar con activos críticos del negocio.
Y ahí cambia completamente el paradigma de seguridad.
Pongamos un ejemplo. Una empresa implementa un agente para gestionar su correo electrónico y le concede acceso de lectura, envío y consulta de documentación interna. Un atacante podría enviarle un mensaje aparentemente legítimo que contenga instrucciones diseñadas para manipular su comportamiento. Si el sistema no está correctamente protegido, ese agente podría interpretar las instrucciones maliciosas como parte de su tarea y terminar enviando información confidencial a un tercero.
Este tipo de ataque se conoce como prompt injection. Lo preocupante es que el agente podría ejecutar acciones utilizando permisos completamente legítimos, sin necesidad de que el atacante robe directamente las credenciales de un empleado.
El problema no es únicamente lo que el agente sabe, sino lo que tiene permiso para hacer.
Por eso considero imprescindible aplicar el principio de mínimo privilegio: cada agente debe poder acceder exclusivamente a la información y las funciones que necesita. También necesitamos mecanismos de autenticación, trazabilidad, supervisión y autorización humana para las acciones especialmente sensibles.
No podemos dar acceso indiscriminado a toda la infraestructura de una compañía y confiar en que unas instrucciones escritas en lenguaje natural constituyan una barrera de seguridad suficiente.
Los agentes introducen una nueva superficie de ataque porque ya no hablamos únicamente de proteger información frente a usuarios maliciosos, sino también de controlar cómo sistemas capaces de tomar decisiones utilizan sus permisos.
La ciberseguridad tiene que formar parte de la arquitectura del agente desde el primer momento, no añadirse cuando el proyecto ya está terminado.
¿Qué consejo darías a quien quiere empezar con agentes sin un equipo técnico?
Mi recomendación sería distinguir claramente entre experimentar con inteligencia artificial y poner un sistema autónomo en producción.
Hoy cualquier persona, incluso sin conocimientos de programación, puede construir prototipos de agentes utilizando herramientas visuales. Me parece algo extraordinariamente positivo porque reduce las barreras de entrada, permite validar ideas y acerca la tecnología a empresas que hace unos años no habrían podido plantearse estos desarrollos.
Pero precisamente esa facilidad también está generando una falsa sensación de seguridad.
Que puedas construir un agente en una tarde no significa que estés preparado para conectarlo al día siguiente a los sistemas de tu empresa.
Personalmente, no recomendaría poner en producción un agente que pueda acceder a información sensible o ejecutar operaciones empresariales sin una revisión técnica adecuada. No basta con comprobar que responde bien en unas cuantas pruebas. Hay que evaluar qué ocurre cuando falla, cómo gestiona instrucciones contradictorias, qué permisos utiliza, qué información puede revelar y cómo podemos detener o revertir sus acciones.
Y esto conecta con un cambio que creo que vamos a vivir en el ámbito de la ciberseguridad.
La inteligencia artificial está democratizando enormemente la capacidad de construir tecnología, pero también está reduciendo las barreras para que actores maliciosos automaticen y escalen determinados ataques. Por tanto, vamos a encontrarnos con empresas que incorporan sistemas cada vez más complejos sin disponer necesariamente de la preparación técnica para protegerlos.
No significa que una pyme necesite contratar un departamento de ingeniería para comenzar a explorar los agentes. Puede empezar identificando un caso de uso concreto, creando un prototipo en un entorno controlado, utilizando información ficticia o no sensible y comprobando si realmente genera valor.
Sin embargo, cuando hablamos de integrarlo en la operativa real, conectarlo a sistemas corporativos o permitirle tomar acciones de forma autónoma, considero imprescindible contar con profesionales capaces de revisar su arquitectura, seguridad y funcionamiento. Ese equipo puede ser externo; no tiene por qué estar contratado en plantilla.
También recomendaría comenzar con agentes que propongan acciones para que una persona las valide, antes de concederles autonomía completa.
La gran oportunidad de los agentes es que las empresas puedan multiplicar su capacidad operativa sin incrementar sus recursos en la misma proporción. Pero para aprovechar esa oportunidad necesitamos sistemas fiables, no simplemente demostraciones que funcionen bien delante de una pantalla.
Creo que en los próximos años la ventaja competitiva no estará en tener más agentes, sino en conseguir que trabajen de forma segura, coordinada y realmente integrada en el negocio.
Alejandro Rios Calera es cofundador y CTO de The AI Business, firma de ejecución de IA con sede en Madrid. Más información: theaibusiness.com · LinkedIn. Responde por escrito a LaPrensaIA; sus respuestas se publican íntegras y en su orden original. Foto: The AI Business.
Contenido elaborado con la asistencia tecnológica de IBERIA y supervisión editorial. Fermín Sánchez es el responsable editorial de LaPrensaIA, diario de divulgación sobre inteligencia artificial. Cubrimos la actualidad de la IA con criterio propio —tecnología, empresas y sociedad— de forma clara para el público no técnico.
