Solicitud de propuestas para proveedores de IA empresarial: 40 preguntas clave (2026)
La mayoría de los procesos de solicitud de propuestas (RFP) para IA empresarial fracasan porque los equipos de compras formulan las preguntas equivocadas, o bien, formulan las preguntas correctas en un formato que permite a los proveedores dar respuestas evasivas. Estas 40 preguntas están diseñadas para revelar la información que los proveedores de IA no proporcionan voluntariamente.
Los marcos de adquisición de TI estándar se diseñaron para un mundo de software local y herramientas SaaS sencillas. La IA empresarial rompe con esos marcos de tres maneras importantes. Los sistemas de IA procesan sus datos comerciales confidenciales mediante modelos probabilísticos que usted no controla. A menudo, enrutan esos datos a través de API de terceros sin explicitarlo en las conversaciones de ventas. Y influyen en las decisiones a una escala y velocidad que el software tradicional nunca alcanzó.
Una evaluación típica de un proveedor de IA empresarial que utiliza una solicitud de propuestas (RFP) estándar para TI puede pasar por alto hasta el 60 % de las preguntas relevantes sobre riesgos. El resultado es un contrato firmado antes de que el equipo de seguridad haya preguntado dónde se almacenan realmente los datos, o una implementación que el departamento legal posteriormente señala por falta de documentación del RGPD.
Este marco de 40 preguntas está organizado en 7 categorías. Úselo como punto de partida y añada preguntas específicas para su sector y caso de uso.
Por qué las solicitudes de propuestas de TI estándar no tienen en cuenta los riesgos específicos de la IA
La adquisición tradicional de TI se centra en evaluar las funcionalidades, el tiempo de actividad, la capacidad de respuesta del soporte y el precio. Si bien estos factores siguen siendo importantes para la IA, representan menos de la mitad de la superficie de evaluación. Los riesgos específicos de la adquisición de IA empresarial se dividen en tres áreas que la mayoría de las plantillas de RFP no contemplan.
- Enrutamiento de modelos de terceros: Muchos proveedores de IA utilizan API comerciales de gestión del lenguaje natural (OpenAI, Anthropic, Google Gemini) para procesar las consultas de los usuarios. Es posible que sus datos se transmitan a estas API, y su contrato podría no especificarlo. Las solicitudes de propuestas (RFP) estándar para SaaS no suelen preguntar sobre esto, ya que no era relevante antes de la llegada de la IA.
- Riesgo de salida probabilístico: Los resultados de la IA no son deterministas. Una misma consulta puede arrojar resultados diferentes. Las solicitudes de propuestas (RFP) estándar para TI no preguntan cómo se gestiona, registra o audita esto; sin embargo, para las industrias reguladas donde los resultados de la IA influyen en las decisiones, esto representa un riesgo significativo.
- Panorama normativo en constante evolución: La Ley de IA de la UE, los marcos de responsabilidad propuestos para la IA y las directrices sectoriales sobre IA son novedades desde la última actualización de la mayoría de las plantillas de solicitudes de propuestas empresariales. Los proveedores que operan en mercados regulados deben demostrar su preparación para el cumplimiento normativo, no solo contar con las certificaciones existentes.
Las 40 preguntas de la solicitud de propuestas: por categoría
Categoría 1: Seguridad y privacidad de los datos (Preguntas 1–8)
- ¿Dónde se procesan exactamente nuestros datos?
Se requiere una respuesta específica: región de la nube, proveedor de infraestructura (AWS, Azure, GCP) y si el procesamiento es de un solo inquilino o de múltiples inquilinos. "Los datos son seguros" no es una respuesta válida. - ¿Qué API de LLM de terceros reciben nuestros datos?
Si el proveedor utiliza OpenAI, Anthropic, Google Gemini o cualquier otra API de modelos externos, sus datos saldrán de la infraestructura del proveedor. Confirme qué API se utilizan, qué datos se envían y bajo qué condiciones. - ¿Cuál es su política de retención de datos para los datos de consulta y los resultados de la IA?
¿Durante cuánto tiempo conserva el proveedor las consultas introducidas por sus usuarios, los resultados generados por la IA y los metadatos asociados? ¿Es esto configurable? - ¿Se utilizan nuestros datos para entrenar o ajustar sus modelos?
Exija una respuesta por escrito. Muchos proveedores incluyen opciones para no participar en la capacitación, ocultas en la configuración; usted necesita una confirmación explícita de que sus datos comerciales no se utilizan para mejorar el modelo sin su consentimiento. - ¿Qué estándares de cifrado utiliza tanto en tránsito como en reposo?
Se requieren especificaciones: versión de TLS, algoritmo de cifrado y método de gestión de claves. El cifrado estándar de la industria no es suficiente. - ¿Cuál es su proceso de eliminación de datos al finalizar el contrato?
¿En qué plazo se eliminan sus datos tras la finalización del contrato? ¿Qué comprobante de eliminación se proporciona? ¿Esto incluye las copias de seguridad? - ¿Puede proporcionarnos una lista completa de los subprocesadores?
El RGPD exige que los responsables del tratamiento de datos conozcan a los subencargados del tratamiento de sus encargados del tratamiento. Un proveedor que cumpla con la normativa dispondrá de esta lista y la facilitará si se le solicita. - ¿Cuál es su acuerdo de nivel de servicio (SLA) para la notificación de violaciones de seguridad?
¿Con qué rapidez nos notificarán en caso de una violación de datos? El RGPD establece un plazo mínimo de 72 horas para las violaciones que deben notificarse. Confirmen que esto está garantizado en el contrato, no solo en la documentación de la política.
Categoría 2: Cumplimiento y Certificaciones (Preguntas 9–14)
- ¿Posee la certificación SOC 2 Tipo II?
El requisito empresarial básico es la certificación SOC 2 Tipo II (no solo la Tipo I). Solicite el informe más reciente y tenga en cuenta el período de cobertura y el alcance. - ¿Puede facilitarnos un Acuerdo de Procesamiento de Datos del RGPD firmado?
Es obligatorio por ley contar con un Acuerdo de Protección de Datos (APD) antes de procesar datos personales de residentes de la UE. Si el proveedor no dispone de un APD estándar, esto constituye una señal de alerta en materia de cumplimiento normativo. - ¿Existe un Acuerdo de Asociado Comercial de HIPAA disponible?
Requerido para cualquier implementación que procese información de salud protegida. Algunos proveedores de IA ofrecen acuerdos de asociación comercial (BAA) solo en los niveles de contrato más altos; confirme la disponibilidad y el costo antes de preseleccionar. - ¿Cuál es su estado de autorización FedRAMP?
Los despliegues gubernamentales federales o estatales de EE. UU. generalmente requieren autorización FedRAMP. Solicite el nivel específico (Bajo, Moderado, Alto) y confirme que esté vigente, no "en proceso". - ¿Dispone de la documentación que acredite el cumplimiento de la Ley de IA de la UE?
La Ley de IA de la UE entró en vigor por fases a partir de 2024. Para las implementaciones reguladas por la UE, pregunte a qué clasificación de riesgo de IA pertenece el producto del proveedor y qué documentación de cumplimiento puede proporcionar. - ¿Con qué frecuencia realiza pruebas de penetración?
Las pruebas de penetración anuales son el estándar mínimo. Solicite el resumen de la prueba más reciente (generalmente un resumen ejecutivo) y confirme que la prueba la realiza un tercero independiente.
Categoría 3: Arquitectura de despliegue (Preguntas 15-19)
- ¿Ofrecen alguna opción de implementación autogestionada o en las instalaciones del cliente?
Fundamental para las industrias reguladas. El alojamiento propio implica que el software se ejecuta completamente dentro de su infraestructura. Confirme que esto significa que no hay transferencia de datos a sistemas de proveedores o terceros. - ¿Existe alguna opción de implementación aislada de la red?
Las implementaciones aisladas de la red no tienen conexión a internet pública. Son necesarias para ciertos entornos gubernamentales, de defensa y financieros de alta seguridad. - ¿Qué regiones de la nube están disponibles para implementaciones alojadas?
Los requisitos de residencia de datos suelen especificar que los datos deben permanecer en un país o región determinados. Confirme qué regiones están disponibles y si la selección de región está garantizada en el contrato. - ¿Quién es su proveedor de infraestructura y qué nivel de redundancia tiene?
Comprenda el proveedor de nube subyacente, la arquitectura de redundancia (multizona, multirregión) y cómo esto afecta a los compromisos de tiempo de actividad. - ¿Su arquitectura es multiusuario o de un solo usuario?
El modelo multiusuario implica que sus datos comparten infraestructura con otros clientes. El modelo de usuario único aísla su entorno. Para implementaciones de alta seguridad, generalmente se requiere el modelo de usuario único, lo cual debe confirmarse por escrito.
Categoría 4: Modelo de IA y resultados (Preguntas 20-25)
- ¿Qué versiones de este modelo se encuentran actualmente en producción?
Se debe documentar la información específica de la versión (no solo "clase GPT-4" o "modelo de lenguaje grande"). Esto es importante para los registros de auditoría y para comprender cuándo puede cambiar el comportamiento. - ¿Cómo se comunican y gestionan las actualizaciones del modelo?
¿Con cuánta antelación se notifica a los clientes antes de un cambio de versión del modelo? ¿Existe la opción de mantener una versión anterior? ¿Quién aprueba las actualizaciones del modelo en el proceso de control de cambios del proveedor? - ¿Qué documentación sobre la explicabilidad está disponible?
En los sectores regulados donde los resultados de la IA influyen en las decisiones (crédito, contratación, sanidad), la explicabilidad es un requisito de cumplimiento. Pregunte qué ofrece el proveedor para respaldar las obligaciones de explicabilidad. - ¿Cuáles son sus parámetros de referencia para falsos positivos y falsos negativos?
Si la IA se utiliza para clasificación, detección o recomendación, solicite datos documentados sobre su precisión. "Altamente precisa" no es un dato de referencia. - ¿Existen puntos de control de revisión humana para las acciones impulsadas por IA?
Si la IA puede activar acciones automatizadas (enviar correos electrónicos, actualizar registros, crear tareas), confirme que existen mecanismos de aprobación humana disponibles y configurables, y no solo ajustes opcionales ocultos en la configuración avanzada. - ¿Está habilitado el registro completo de auditoría de salida?
Cada resultado generado por IA debe registrarse con la fecha y hora, la atribución del usuario, la consulta de entrada y el texto de salida. Confirme el período de retención de los registros y si estos se pueden exportar para su revisión de cumplimiento.
Categoría 5: Integración y conectividad (Preguntas 26-30)
- ¿Qué sistemas CRM y ERP admiten de forma nativa?
Distinga entre “integración nativa” (desarrollada y mantenida por el proveedor) y “a través de un conector” (Zapier, middleware de terceros). Las integraciones nativas son más fiables y fáciles de mantener. - ¿Está disponible la documentación completa de la API?
Las implementaciones empresariales suelen requerir integraciones personalizadas. Confirme que existe documentación completa de la API, ya sea de acceso público o bajo un acuerdo de confidencialidad, y qué métodos de autenticación son compatibles. - ¿Admiten webhooks y cómo están protegidos?
Los webhooks son un mecanismo de integración común, pero también una superficie de ataque frecuente. Pregunte cómo se autentican los puntos finales de los webhooks y qué validación de carga útil se aplica. - ¿Cuál es la frecuencia de sincronización de datos y es configurable?
¿Con qué frecuencia la IA sincroniza los datos de los sistemas CRM o ERP conectados? ¿Está disponible la sincronización casi en tiempo real? ¿Se puede ajustar la frecuencia de sincronización por motivos de rendimiento o cumplimiento normativo? - ¿Quién se hace cargo del mantenimiento de la integración cuando fallan los conectores?
Cuando tu proveedor de CRM lanza una actualización de API que daña un conector, ¿quién es responsable de solucionarlo: el proveedor de IA, tu equipo de TI o un tercero? Asegúrate de que quede constancia por escrito.
Categoría 6: Precios y Contrato (Preguntas 31–35)
- ¿El precio es por usuario o en función del uso?
El precio por usuario es predecible, pero resulta caro para grandes organizaciones con usuarios ocasionales. El precio basado en el uso puede generar sorpresas presupuestarias. Comprenda el modelo y calcule el costo previsto para el 50 %, el 100 % y el 150 % del uso proyectado. - ¿Existen límites en el volumen de datos y cuáles son los cargos por exceso de consumo?
Algunas plataformas de IA limitan el volumen de registros sincronizados, consultas procesadas o datos almacenados. Confirme estos límites y el costo de superarlos antes de firmar. - ¿Cuál es el SLA de tiempo de actividad y cuáles son las soluciones para el tiempo de inactividad?
Un tiempo de actividad del 99.9 % implica hasta 8.7 horas de inactividad al año. Un tiempo de actividad del 99.5 % implica hasta 43.8 horas. Solicite el acuerdo de nivel de servicio (SLA) exacto, cómo se mide y qué compensaciones o medidas correctivas se aplican en caso de incumplimiento. - ¿Qué es la cláusula de salida y el proceso de portabilidad de datos?
Debería poder exportar sus datos en un formato estándar entre 30 y 90 días después de la finalización del contrato. Confirme que esto esté estipulado en el contrato, y no solo en un documento de política que el proveedor pueda modificar unilateralmente. - ¿Cuáles son las condiciones de aumento de precio para la renovación?
Los aumentos de precio anuales del 5 al 10 % son comunes en el software como servicio (SaaS) empresarial. Pregunte si los aumentos de precio tienen un límite y, de ser así, cuál es el porcentaje máximo, para evitar sorpresas en el presupuesto al momento de la renovación.
Categoría 7: Soporte e implementación (Preguntas 36–40)
- ¿El soporte para la implementación está incluido o tiene un precio aparte?
Muchos proveedores de IA empresarial cobran aparte por los servicios de implementación. Confirme qué incluye el contrato base, qué servicios adicionales se ofrecen y si se le asignará un gestor de implementación dedicado. - ¿Cuál es el plazo medio de implementación para un cliente similar?
Pregunte por el cronograma típico para clientes de tamaño y complejidad similares, y pregunte cuánto tiempo ha durado la implementación más larga y por qué. Esto permite comparar las expectativas realistas con las proyecciones de ventas. - ¿Se asigna un gestor de éxito del cliente exclusivo tras el lanzamiento?
Un gestor de éxito del cliente (CSM) dedicado es estándar para los contratos empresariales que superan un determinado umbral de precio. Confirme si recibirá un CSM dedicado o un modelo de soporte compartido, y cuál es el procedimiento para la resolución de problemas. - ¿Cuál es el SLA de escalamiento para problemas de soporte críticos?
¿Con qué rapidez responde el proveedor a los problemas críticos (P1)? ¿Qué se considera un problema P1? ¿Está garantizado en el contrato o solo en la política de soporte? Solicite el tiempo promedio de resolución de problemas P1 de los últimos 12 meses. - ¿Podría proporcionarnos 3 clientes de referencia en nuestro sector?
Las referencias deben ser clientes reales de su sector o con requisitos de cumplimiento similares, no estudios de caso aprobados por el departamento de marketing. Hable directamente con un colega, no a través de un sistema de llamadas de referencia gestionado por el proveedor.
Señales de alerta a tener en cuenta en las respuestas de los proveedores
Las respuestas que recibes son tan importantes como las preguntas que formulas. Estas son las señales de alerta más comunes en las respuestas a las solicitudes de propuestas (RFP) de proveedores de IA empresarial.
Cómo calificar y comparar las respuestas a las solicitudes de propuestas (RFP)
Utilice un modelo de puntuación ponderada para comparar las respuestas de los proveedores en las siete categorías. Ajuste las ponderaciones según las prioridades de su organización. Para sectores regulados, asigne mayor peso a las categorías 1 y 2. Para organizaciones que priorizan la obtención de valor en poco tiempo, asigne mayor peso a la categoría 7.
| Categoría | PREGUNTAS | Peso sugerido (regulado) | ¿Descalificación en caso de fracaso? |
|---|---|---|---|
| Seguridad y privacidad de datos | 8 | un 25% | Sí |
| Cumplimiento y certificaciones | 6 | un 20% | Sí (para organizaciones reguladas) |
| Arquitectura de implementación | 5 | un 15% | Sí (si se requiere alojamiento propio) |
| Modelo de IA y resultados | 6 | un 15% | No |
| Integración y conectividad | 5 | un 10% | No |
| Precios y contrato | 5 | un 10% | No |
| Soporte e implementación | 5 | 5% | No |
| Total | 40 | un 100% |
Cómo Worqlo Responde a estas 40 preguntas
Worqlo Está diseñado específicamente para equipos empresariales en industrias reguladas donde estas 40 preguntas no son opcionales. Aquí le mostramos cómo Worqlo Aborda las categorías más críticas para los despliegues regulados.
- Seguridad y privacidad de los datos: Worqlo Ofrece una implementación totalmente autogestionada: sus datos se procesan completamente dentro de su infraestructura. No se enrutan datos a API LLM de terceros. No se requiere ninguna opción de exclusión de capacitación del proveedor porque Worqlo nunca tiene acceso a tus datos.
- Compliance: Las certificaciones SOC 2 Tipo II, GDPR DPA y HIPAA BAA están disponibles para contratos empresariales. Se proporciona documentación de cumplimiento con la Ley de IA de la UE para implementaciones en la UE.
- Despliegue: Disponemos de opciones de alojamiento propio y sin conexión a internet. La residencia de los datos está totalmente controlada por su equipo de infraestructura.
- Gobernanza del modelo de IA: Las versiones del modelo se documentan y comunican antes de las actualizaciones. El registro completo de auditoría de salida está habilitado de forma predeterminada.
- Integraciones: Integraciones nativas con Salesforce, HubSpot, Zoho, Odoo, Slack y Power BI. Documentación completa de la API disponible bajo contrato empresarial.
Ver como Worqlo Gestiona las adquisiciones empresariales.
WorqloNuestro equipo empresarial está acostumbrado a procesos de RFP detallados. Respondemos a cada pregunta de esta lista de verificación por escrito, con la documentación correspondiente. Solicite una demostración para conocer la plataforma y recibir nuestro paquete estándar de respuesta a RFP para empresas.
Preguntas frecuentes
¿Qué preguntas debo hacer a los proveedores de IA empresarial?
Las preguntas más importantes abarcan dónde se procesan y almacenan sus datos, qué sistemas de gestión de la vida del cliente (LLM) de terceros los reciben, si existe una opción de implementación autogestionada o aislada de la red, qué certificaciones posee el proveedor, cómo se comunican las actualizaciones del modelo y cuáles son las cláusulas de rescisión y los términos de portabilidad de datos. Los proveedores que evaden estas preguntas por escrito merecen un análisis más exhaustivo antes de ser preseleccionados.
¿Qué es una solicitud de propuestas (RFP) para proveedores de IA?
Una solicitud de propuestas (RFP) para proveedores de IA es un documento estructurado que los equipos de compras y TI de las empresas utilizan para evaluar a los proveedores de software de IA. A diferencia de una RFP de TI estándar, una RFP para proveedores de IA incluye preguntas específicas sobre áreas de riesgo de la IA: gobernanza del modelo, enrutamiento de datos a sistemas de gestión del lenguaje natural (LLM) de terceros, explicabilidad, registro de resultados y documentación de cumplimiento normativo que las herramientas SaaS estándar no requieren.
¿Qué certificaciones deberían tener los proveedores de IA empresarial?
Como mínimo, los proveedores de IA empresarial deben contar con la certificación SOC 2 Tipo II y proporcionar un Acuerdo de Procesamiento de Datos del RGPD firmado. Según su sector: Acuerdo de Asociado Comercial HIPAA (sector sanitario), autorización FedRAMP (gobierno federal o estatal de EE. UU.) y documentación de cumplimiento de la Ley de IA de la UE (sectores regulados por la UE). Los informes de pruebas de penetración deben estar disponibles bajo solicitud y, por lo general, son realizados anualmente por un tercero independiente.
¿Cómo puedo comparar proveedores de IA para empresas?
Evalúe las respuestas de los proveedores a la solicitud de propuestas (RFP) en siete dimensiones: seguridad y privacidad de datos, certificaciones de cumplimiento, arquitectura de implementación, gobernanza del modelo de IA, capacidades de integración, precios y términos contractuales, y soporte e implementación. Asigne un peso a cada dimensión según las prioridades de su organización; para las industrias reguladas, las puntuaciones de seguridad y cumplimiento deben tener mayor peso. Descarte a los proveedores que no puedan responder por escrito a las preguntas de las categorías 1 y 2 con documentación verificable.
¿Cuáles son las señales de alerta en la evaluación de un proveedor de IA empresarial?
Entre las principales señales de alerta se incluyen: que el proveedor no pueda confirmar por escrito dónde se procesan sus datos; que no cuente con la certificación SOC 2 Tipo II; que no pueda confirmar si sus datos se utilizan para entrenar modelos; que no exista una cláusula de rescisión ni una opción de portabilidad de datos; que el SLA de disponibilidad sea inferior al 99.5 %; que se ofrezcan servicios de soporte para la implementación con precios excesivamente altos; y que no haya clientes de referencia disponibles o que todos pertenezcan a sectores ajenos al suyo. Cualquier señal de alerta de las categorías 1 o 2 justifica la descalificación para implementaciones reguladas.
¿Cuánto tiempo debería durar un proceso de solicitud de propuestas (RFP) para IA empresarial?
Un proceso exhaustivo de solicitud de propuestas (RFP) para IA empresarial suele durar entre 6 y 10 semanas: de 1 a 2 semanas para elaborar y distribuir la RFP, de 2 a 3 semanas para que los proveedores respondan, de 1 a 2 semanas para evaluar las respuestas y preseleccionar a los finalistas, y de 2 a 3 semanas para demostraciones, verificación de referencias y negociación del contrato. Acelerar este proceso es una causa común de problemas de seguridad y cumplimiento normativo posteriores a la implementación, y suele resultar más costoso solucionarlos que el tiempo ahorrado al acortar la evaluación.
¿Deberían los proveedores de IA para empresas ofrecer implementaciones autogestionadas?
Para sectores regulados —sanidad, servicios financieros, gobierno, sector legal— la implementación autogestionada o en las instalaciones suele ser un requisito, no una opción. La implementación autogestionada implica que sus datos nunca salen de su infraestructura ni se envían a una nube de terceros ni a una API de LLM. No todos los proveedores de IA ofrecen esta opción; los que sí la ofrecen suelen incluirla en su plan empresarial. Si la implementación autogestionada es un requisito para su organización, confirme la disponibilidad y el precio antes de preseleccionar a cualquier proveedor.
¿Qué debe incluir la cláusula de rescisión en un contrato con un proveedor de IA?
La cláusula de salida debe especificar un formato y un plazo definidos para la exportación de datos (normalmente de 30 a 90 días después de la rescisión), la confirmación de que sus datos se eliminan de los sistemas del proveedor tras la exportación, un proceso para exportar los datos de ajuste fino del modelo, si procede, y que no existe ninguna cláusula de dependencia del proveedor que le impida migrar a otro sistema. Los proveedores que se resisten a incluir condiciones de salida claras están indicando una estrategia de dependencia a largo plazo que debería tenerse en cuenta en su evaluación.
Artículos relacionados
