La adopción de la IA es una métrica vanidosa

Chris Garrett es vicepresidente de Tecnología Gestionada y Operaciones de Seguridad en Novatech, un proveedor de servicios gestionados. También es el autor de Escalar o vender.

Nos sentamos con Chris para aprender de sus flujos de trabajo con IA y conocer cómo está afectando la IA a la industria. Esto es lo que nos contó.

Traducir los sistemas a dinero

Dirijo las áreas de TI Gestionada y Seguridad en Novatech, un proveedor de servicios gestionados propiedad de Perpetual Capital Partners. El cargo dice vicepresidente. El trabajo expresa algo más sencillo. Soy responsable de que la tecnología genere dinero para la empresa o lo drene silenciosamente.

El camino hasta aquí no fue una línea recta. Ascendí desde la capa operativa, el lugar donde fallan los sistemas y alguien tiene que hacerse cargo de solucionarlo. Trabajé en el servicio de asistencia, después en infraestructura y luego en seguridad. Esas son las salas donde la brecha entre lo que promete un proveedor y lo que hace una red se convierte en tu problema a las 2 de la madrugada. Esa base me enseñó la lección que se ha mantenido vigente desde entonces. La tecnología no es el objetivo. El resultado es proteger los ingresos, valorar correctamente el riesgo y eliminar el tiempo de inactividad antes de que el cliente lo perciba.

Después, aprendí a traducir. Los ingenieros hablan de sistemas y los ejecutivos hablan de dinero, y la mayoría de los líderes tecnológicos eligen un idioma y pierden a la otra audiencia. Construí mi carrera situándome en esa intersección, convirtiendo la latencia, la exposición y la arquitectura en el lenguaje del margen y la continuidad: TI como multiplicador, nunca como centro de costes. Ese enfoque cambió las conversaciones en las que participé y las decisiones que ayudé a definir.

El terreno vuelve a moverse. La IA no es la siguiente herramienta de la pila tecnológica. Cambia lo que significa el apalancamiento, quién lo controla y la velocidad a la que se acumula la capacidad. La mayoría de las organizaciones responde con ruido. Ejecutan proyectos piloto que no demuestran nada y redactan políticas para gestionar la ansiedad en lugar del riesgo, mientras los proveedores venden inevitabilidad a compradores que no han hecho los cálculos.

Mi interés es más específico y más difícil de fingir. ¿Dónde mueve la IA las cifras reales? ¿Qué expone que ya era frágil? ¿Qué competencias exige que la mayoría de los equipos aún no tiene? Lo trato como trato todo lo demás: pruebas por encima del bombo publicitario, resultados por encima del consenso, la capa de sistemas por encima de la historia superficial.

Complejidades del trabajo

Novatech es un proveedor de servicios gestionados propiedad de Perpetual Capital Partners desde septiembre de 2024. Somos una empresa de servicios rentable posterior a una adquisición, con el mandato de ampliar el margen y los ingresos de seguridad mientras mantenemos la calidad de prestación que nos permitió ganarnos nuestra base de clientes.

La división opera junto con Tecnología Gestionada, Oficina Gestionada y Despacho de Campo, realizando el trabajo que mantiene en funcionamiento y protegidas las operaciones de los clientes. Mi equipo está compuesto por 68 ingenieros y analistas de los servicios de asistencia, infraestructura y una práctica de seguridad dedicada, que presta soporte a 400 entornos de clientes.

La arquitectura no es un único producto; es multiinquilino. Operamos decenas de entornos de clientes distintos, cada uno con su propia combinación de infraestructura local, Microsoft 365, Azure, AWS y Google Cloud, además de redes híbridas que no siempre diseñamos, pero que ahora gestionamos. Esta variación crea complejidad. Un cambio rutinario para un cliente supone un riesgo para la producción de otro. La disciplina consiste en gestionar esta flota conforme a un único estándar de fiabilidad y postura de seguridad sin obligar a todos los clientes a encajar en el mismo molde.

Nuestro modelo de implementación es gestionado y prioriza el trabajo remoto, con el respaldo del Despacho de Campo para las tareas que requieren presencia in situ. Supervisamos, aplicamos parches y protegemos continuamente. Nos medimos por el tiempo de actividad, el tiempo de respuesta y la rapidez con la que contenemos los incidentes de seguridad antes de que los clientes los experimenten.

Cómo transforma la IA los procesos de toma de decisiones técnicas — pero no los controla

Mi filosofía central es «Rodear al ingeniero de IA» para obtener lo mejor de ambos mundos. No reducimos la plantilla; en su lugar, el equipo realiza más trabajo y de mejor calidad con herramientas de asistencia.

La IA ahora impulsa el trabajo de gran volumen en el que un revisor humano siempre era el cuello de botella y nunca aportaba el valor. Por ejemplo, la clasificación inicial de las alertas de seguridad pasa primero por una capa de IA porque un analista de un SOC que lee manualmente diez mil eventos de baja señal es caro y obtiene peores resultados que el modelo.

Usamos la IA de forma similar para analizar registros durante las investigaciones, para la primera versión de la documentación y de los procedimientos operativos, y para resumir el entorno de un cliente antes de una revisión. Así, el ingeniero llega informado en lugar de empezar desde cero. En todos estos casos, la IA acelera la lectura; no toma la decisión.

La decisión sigue siendo humana, y la línea está trazada deliberadamente. Las decisiones de arquitectura para el entorno de un cliente siguen siendo humanas porque el modelo optimiza la respuesta técnicamente más limpia. Una decisión real sopesa el presupuesto, la tolerancia al riesgo del cliente y lo que su equipo puede gestionar realmente después de que nos marchemos.

La respuesta a incidentes sigue siendo humana en el nivel de mando. La IA puede sacar a la luz lo que ocurrió, pero las decisiones de contención conllevan consecuencias empresariales, exposición legal y confianza del cliente. No delegaré el criterio bajo presión a una herramienta a la que no se pueda responsabilizar del resultado. La revisión de seguridad final antes de la aprobación también sigue siendo humana por la misma razón. El modelo destaca a la hora de encontrar patrones conocidos, pero es ciego ante los problemas nuevos que realmente importan.

Un flujo de trabajo real de clasificación de alertas de seguridad

Profundicemos en la clasificación de alertas de seguridad, porque se ejecuta a diario y muestra claramente dónde funciona la IA y dónde interviene una persona.

El proceso comienza con un volumen que ninguna persona puede ni debería procesar manualmente de forma constante. En toda la cartera de clientes, nuestra supervisión genera decenas de miles de eventos al día, la mayoría de ellos ruido. Antes de la IA, un analista trabajaba con una cola, y la señal real permanecía enterrada entre intentos de inicio de sesión fallidos y anomalías benignas. Los problemas importantes recibían atención tarde porque el analista tenía que atravesar el ruido para encontrarlos.

La capa de IA procesa primero ese flujo de datos sin procesar. Agrupa los eventos relacionados, elimina los falsos positivos evidentes frente a patrones conocidos como legítimos, correlaciona la actividad en todo un entorno de cliente que una persona consideraría inconexo y clasifica los elementos restantes según su parecido con una intrusión real. El analista no recibe un torrente de datos. En su lugar, recibe una lista breve y ordenada con el contexto correspondiente, los sistemas afectados identificados y una explicación detallada de por qué se ha mostrado cada elemento. El modelo realiza la lectura inicial, pero no toma decisiones.

El analista abre esa lista y comienza el trabajo humano. Investiga el hilo sospechoso, y la IA vuelve a ayudar al resumir los registros relevantes y la cronología, lo que permite al analista reconstruir los acontecimientos en minutos en lugar de una hora. El criterio sigue correspondiendo a la persona. ¿Se trata de una intrusión real o de un cambio autorizado que parece sospechoso? ¿Coincide el patrón con algo nuevo que el modelo no señalaría? El modelo acelera la revisión de las pruebas; el analista toma la determinación.

Cuando ocurre un evento real, la contención sigue siendo una decisión de mando humana. El analista, o la persona sénior de guardia en el caso de incidentes graves, decide si aislar un equipo, deshabilitar una cuenta o desconectar a un cliente. Estas decisiones conllevan costes empresariales, exposición legal y confianza del cliente, y no se puede responsabilizar a ninguna herramienta de ellas. La IA puede decirte qué ocurrió, pero no elige nuestra respuesta bajo presión.

Después de la contención, la IA redacta el registro del incidente, la cronología, las acciones realizadas y el resumen dirigido al cliente. Este borrador ahorra mucho tiempo en comparación con empezar desde una página en blanco. No se envía hasta que un ingeniero lo corrige y firma. Un informe pulido pero incorrecto es peor que no tener ningún informe, y un procedimiento oficial redactado por IA sin una persona responsable crea una responsabilidad que decidimos que nunca surgiría bajo nuestra supervisión.

El ciclo se cierra con un paso que la mayoría de los equipos omite. Tomamos una muestra de lo que la IA descartó, no solo de lo que escaló, y utilizamos esos errores para perfeccionar la siguiente pasada. Esta disciplina de muestreo evita que se instaure el sesgo de automatización. Una herramienta que hace más rápidos a los analistas también los vuelve complacientes si nadie comprueba los elementos que descarta.

Por qué las empresas deben depurar sus permisos antes de integrar la IA

También implementé un control de gobernanza en Microsoft Copilot.

Antes, Copilot parecía una mejora de la productividad, y los clientes lo trataban como un simple interruptor que había que activar. El problema es que Copilot hereda los permisos de acceso existentes de cada usuario. La mayoría de nuestros clientes arrastraba años de proliferación de permisos: sitios de SharePoint abiertos, unidades compartidas que nadie había depurado y archivos técnicamente accesibles, pero prácticamente invisibles. En el momento en que se proporciona a un empleado una herramienta que busca en todo lo que puede consultar, el contenido invisible se convierte en un resultado de búsqueda. Un empleado júnior podía formular una pregunta en lenguaje natural y sacar a la luz datos salariales o una presentación del consejo que nunca estaba destinada a él. Nadie había abordado los permisos, pero la exposición era real y llevaba años allí.

Creé una evaluación de preparación obligatoria que se ejecuta antes de habilitar Copilot para cualquier persona. Mapeamos el acceso efectivo, encontramos el contenido compartido en exceso y corregimos primero el modelo de permisos. El cliente aprueba a qué puede acceder su propio personal antes de activar una sola licencia de IA. Convertimos una solicitud de funcionalidad en un despliegue gobernado con un requisito previo estricto.

Chris destaca

En el momento en que das a un empleado una herramienta que busca en todo lo que puede alcanzar, el contenido invisible se convierte en un resultado de búsqueda.

Cómo las ganancias de la IA conllevan costes de disciplina

En el ámbito de la seguridad, la capa de clasificación de alertas redujo aproximadamente un 70 por ciento el volumen que los analistas gestionan manualmente. El tiempo medio para reconocer una alerta real pasó de horas a minutos durante los periodos de menor actividad, porque los analistas ya no tienen que revisar el ruido para encontrar eventos importantes. Esta es nuestra victoria más clara. El coste de equivocarse es bajo; una persona revisa la lista corta de todos modos, y el modelo destaca en la identificación de patrones, algo que los humanos hacen mal día tras día.

El trabajo de preparación para CoPilot produjo un tipo de resultado diferente. Encontramos datos expuestos en todas las evaluaciones que hemos realizado, problemas anteriores a la IA que habrían seguido ocultos. Eso es buena seguridad y buenos ingresos.

Las mejoras en la redacción son reales, pero menores de lo que sugiere el entusiasmo. La documentación y los borradores de manuales operativos asistidos por IA redujeron más de la mitad el tiempo necesario para una primera versión. Un ingeniero todavía tiene que corregir el trabajo, así que el ahorro está en resolver el problema de la página en blanco, no en el producto final.

El modo de fallo que más nos costó fue el sesgo de automatización. Al principio, un par de analistas empezó a confiar demasiado en la clasificación de la IA y dejó pasar cosas que debería haber investigado. Lo detectamos durante una revisión, pero me enseñó que una herramienta que hace que las personas sean más rápidas también las vuelve más perezosas si se lo permites, y la solución fue de proceso, no de tecnología. Ahora tomamos muestras de lo que la IA descarta, no solo de lo que escala.

En resumen, la IA nos compró velocidad en todas partes, pero criterio en ninguna. Cada ganancia conllevó un coste de disciplina para evitar que las personas confiaran en ella más allá de lo que se había ganado.

Cómo la IA mejora los resultados, pero no la capacidad

Hay algo de lo que nadie quiere hablar: la IA no hizo que las personas fueran más capaces. Les permitió alquilar la apariencia de capacidad y fingir que era real.

Podemos llamarlo «alquilar una voz». Una persona produce un artefacto que no habría podido producir por sí sola —por ejemplo, código, una justificación de arquitectura, una política de seguridad o un análisis dirigido a clientes— y el artefacto se lee como fluido y autorizado. La fluidez es real. Las palabras toman prestada la competencia subyacente, que desaparece en el momento en que el modelo deja de escribir. La persona es dueña del resultado, pero no de la comprensión. Esa brecha es invisible hasta que algo falla, y entonces es lo que más se hace notar.

He aquí un ejemplo: un ingeniero júnior implementa una solución generada por IA que funciona en la demostración y, tres semanas después, no puede explicarla durante un incidente. Así que un ingeniero sénior aplica ingeniería inversa a una solución que nadie del equipo creó. La velocidad inicial se convirtió en un coste posterior, y el coste fue mayor porque la superficie fluida retrasó el momento en que alguien comprobó el fondo.

La expectativa fallida era el apalancamiento. La promesa era que la IA multiplicaría a las personas cualificadas. Lo que hace es borrar la diferencia visible entre alguien que sabe y alguien que sabe escribir instrucciones, y ese borrado resulta caro porque ambos producen un trabajo de aspecto idéntico y resultados radicalmente distintos bajo carga.

Por tanto, el único uso duradero de la IA se da cuando alguien que ya posee la competencia utiliza la IA para trabajar más rápido, porque esa persona puede detectar cuándo el resultado es incorrecto. Entrega la misma herramienta a alguien que toma prestada la competencia por completo y no habrás añadido capacidad. Habrás añadido resultados seguros de sí mismos sin nadie responsable detrás.

Por qué los compañeros júnior siguen siendo necesarios con la IA

Chris destaca

Una forma de evitar llegar a ese punto es implementar la IA de forma más limitada, ganándose el acceso nivel por nivel. Las mismas ganancias sin desfinanciar silenciosamente la cantera que forma a los sénior que hacen que esto sea seguro.

Este es el modelo que utilicé para construir todas las organizaciones de servicios que dirigí: colocar capacidad júnior bajo supervisión sénior, dejar que el volumen de trabajo descienda hasta las manos competentes más económicas y hacer crecer la pirámide a medida que aumenta la demanda.

La IA se comió la base de la pirámide. El trabajo que antes asignaba a los júnior —la clasificación inicial, la lectura de registros, la redacción de manuales operativos y los tickets rutinarios— es exactamente el trabajo que ahora realiza el modelo de forma más rápida y barata que una persona que está aprendiendo en el puesto. Los cálculos de personal que dependían de una amplia base de trabajo voluminoso y económico ya no se sostienen, porque ese trabajo ya no necesita una persona.

Pero el nivel júnior nunca fue solo mano de obra barata. Era el campo de entrenamiento. Las personas en las que confío como profesionales sénior llegaron a serlo tras trabajar en miles de tickets de bajo riesgo y desarrollar criterio, un error a la vez. Elimina ese peldaño y no solo habrás cambiado la estructura de costes de este año. Habrás dejado de formar a los ingenieros sénior que necesitarás dentro de cinco años, y no notarás esa carencia hasta que sea costoso corregirla.

Una forma de evitar llegar a ese punto es implementar la IA de manera más limitada, ganando acceso nivel por nivel. Obtienes los mismos beneficios sin desfinanciar silenciosamente el canal que forma a los profesionales sénior que hacen que esto sea seguro.

Yo no lo hice, así que estoy reconstruyendo la escalera. Mantenemos a los júnior, pero no para absorber un volumen que el modelo ya gestiona. Están ahí para desarrollar lo único que la IA no puede darles: el criterio para saber cuándo su resultado convincente es incorrecto. Eso significa exponerlos deliberadamente a problemas difíciles desde el principio, dedicar el tiempo de los sénior a enseñar en lugar de delegar, y contar con una base más pequeña y selecta de la que habría creado la economía anterior.

Por qué la adopción es una métrica de vanidad

La implementación fracasa en la dimensión humana, no en la tecnológica. Tuve que dar marcha atrás en casi todo porque lo entendí al revés.

Traté el lanzamiento como un problema de capacidades. Elegir las herramientas, demostrar que funcionan, dar acceso a las personas y medir la adopción. La adopción aumentó, y lo interpreté como un éxito. En realidad, estaba observando cómo las personas se sentían cómodas confiando en resultados que aún no habían aprendido a cuestionar, y la comodidad es un síntoma temprano del fracaso, no una prueba de éxito.

Ya que hablamos de eso, debería haberme negado a medir la adopción. Es una cifra de vanidad y me orientó en la dirección equivocada. La métrica importante era si las personas verificaban el resultado antes de confiar en él, y eso es más difícil de contabilizar, así que medí lo fácil en su lugar. Medir el uso recompensaba exactamente el comportamiento que causó el caos: las personas se apoyaban más en la herramienta, más rápidamente y con menos escrutinio.

Ahora mediría la verificación y el retrabajo, y nunca volvería a permitir que un gráfico de uso sustituyera a la mejora del trabajo.

Por qué los CTO deben vincular cada decisión sobre IA a las cifras del negocio

Este es mi consejo:

1. La gobernanza es lo primero. No es emocionante ni entusiasmará a quienes temen quedarse atrás como lo hacen los modelos de frontera más recientes, pero es absolutamente necesaria. Gobierna toda la superficie antes de implementarla y escalarla. La mayoría de los problemas graves que he visto surgieron de CTO que implementaron IA para ganar velocidad y redactaron la gobernanza después. Invierte ese orden.
2. Deja de comprar madurez y empieza a comprar capacidades verificables. La mitad de la IA que aparece en las presentaciones de los proveedores se limita a envolver una API y se vende como competencia propia. Exige a cada proveedor que te muestre la solución funcionando con un problema ajeno a su demostración, y haz que tus propios equipos hagan lo mismo.
3. Protege a las personas que ya saben. El apalancamiento solo es real en manos de alguien capaz de detectar cuándo el modelo se equivoca. Invierte en ese criterio, mídelo y no permitas que la fluidez al escribir instrucciones lo sustituya en tu organigrama.
4. Vincula cada decisión sobre IA a una cifra que ya le importe al negocio. Protege los ingresos, pon precio al riesgo y devuelve horas a las personas que realizan un trabajo importante. Los CTO que presentan la IA como una iniciativa tecnológica tendrán que luchar por el presupuesto cada trimestre. Aquellos que la presenten como margen y riesgo serán consultados en salas donde antes se tomaban decisiones sin contar con ellos. El argumento técnico rara vez convence a un ejecutivo; los cálculos de pérdidas y ganancias sí.
5. Practica la disciplina. Implementa la IA donde una persona siga siendo responsable del resultado, mantenla alejada del puesto en el que un resultado incorrecto no se puede tolerar y audita lo que descarta, no solo lo que escala. El mercado está premiando la velocidad ahora mismo y dedicará los próximos años a reevaluar el valor de los equipos que confundieron la fluidez con la competencia. Construye de forma que no seas uno de ellos.

Sigue el proceso

Puedes seguir el trabajo de Chris Garrett en LinkedIn. Y consulta su último libro, Escalar o vender.

¡Habrá más entrevistas con expertos en el Club de CTO!