Hace tres años, hablar de IA en Compras te hacía parecer pionero. Hoy, no hablar de IA empieza a hacerte parecer desconectado. La diferencia es importante porque lo primero podía funcionar como una ventaja competitiva, mientras que lo segundo ya empieza a convertirse en un coste reputacional para cualquier proveedor tecnológico del sector.

La IA ha pasado de ser un argumento diferencial a convertirse en una expectativa mínima. Igual que ocurrió en su momento con el cloud, las integraciones, los portales de proveedor o la firma digital, llega un punto en el que el mercado deja de preguntar si una solución lo tiene y empieza a asumir que debería tenerlo. La cuestión ya no es solo si una plataforma incorpora IA, sino qué hace exactamente con ella y cómo la gobierna.

El problema es que muchos Directores de Compras que evalúan proveedores con capacidades de IA todavía no tienen un marco común para hacerlo. Cada organización improvisa sus propias preguntas, cada RFP recoge el tema de forma distinta y muchas evaluaciones siguen quedándose en una capa demasiado superficial: funcionalidades, demos, promesas de eficiencia y alguna referencia genérica a seguridad.

Esto genera una asimetría clara. El proveedor llega con una narrativa comercial muy pulida, mientras que el comprador no siempre tiene un cuestionario suficientemente preciso para separar capacidades reales de promesas aspiracionales. Y cuando el RFP no pregunta por transparencia algorítmica, gobernanza del dato, trazabilidad, límites de decisión o uso de información confidencial, el proveedor rara vez lo explica por iniciativa propia con el nivel de detalle necesario.

Este artículo propone una guía práctica para auditar la IA de cualquier proveedor en 30 minutos. No sustituye una due diligence técnica, legal o de seguridad más profunda, pero sí permite al CPO detectar rápidamente si está ante una IA madura, una IA decorativa o una promesa que todavía vive más en la presentación comercial que en la producción real.

Auditar IA de proveedores en Compras: por qué ya no basta con preguntar si tienen IA

La pregunta “¿tenéis IA?” ha perdido gran parte de su utilidad. Hoy, casi todos los proveedores dirán que sí. Algunos tendrán capacidades reales en producción, otros estarán desarrollándolas y otros estarán usando el término IA para describir automatizaciones, reglas de negocio, OCR, búsquedas mejoradas o funcionalidades que no siempre encajan con lo que el comprador imagina cuando escucha inteligencia artificial.

El problema no es que esas tecnologías sean malas. De hecho, algunas pueden aportar mucho valor. El problema es la falta de precisión. No es lo mismo un modelo generativo que responde preguntas en lenguaje natural que un sistema OCR que lee facturas. No es lo mismo una automatización basada en reglas que un modelo predictivo. No es lo mismo una funcionalidad ya desplegada en clientes que una capacidad que aparece en una demo pero todavía no está disponible en producción.

Por eso, la auditoría debe empezar cambiando la pregunta. En lugar de preguntar si el proveedor tiene IA, conviene preguntar qué hace exactamente esa IA, en qué punto del proceso interviene, qué datos utiliza, qué resultados genera, qué límites tiene y qué decisiones no puede tomar.

Esa conversación obliga al proveedor a bajar del eslogan a la operativa. Y ahí es donde se ve la diferencia entre una IA útil y una IA decorativa.

La pregunta correcta para evaluar IA en plataformas de Compras

La pregunta correcta no es una sola. Es una combinación de tres preguntas que cambian por completo la conversación con cualquier proveedor tecnológico.

La primera es: qué hace exactamente vuestra IA. Esta pregunta busca concreción funcional. No acepta respuestas genéricas como “optimiza procesos”, “mejora la eficiencia” o “ayuda a tomar mejores decisiones”. El proveedor debe explicar en qué módulo interviene la IA, qué tarea realiza, qué input necesita, qué output genera y si esa capacidad está en producción o en roadmap.

La segunda es: qué decide y qué propone sin decidir. Esta pregunta separa asistencia de autonomía. En Compras, la diferencia es crítica. Una IA puede informar, recomendar, priorizar o alertar, pero no debería asumir determinadas decisiones sin validación humana. Homologar un proveedor, aprobar una excepción, validar una factura crítica o recomendar una estrategia de negociación no son tareas neutras. Requieren criterio, responsabilidad y contexto organizativo.

La tercera es: qué pasa con mi dato. Esta es probablemente la pregunta más importante y la que más respuestas evasivas genera. Una plataforma de Compras trabaja con información sensible: proveedores, contratos, precios, condiciones comerciales, históricos, documentos, datos fiscales, datos bancarios y valoraciones internas. El CPO debe saber qué datos llegan al modelo, cuáles no, dónde se procesan, si se usan para entrenar modelos, si se comparten entre clientes y qué trazabilidad queda.

Si un proveedor no puede responder estas tres preguntas con precisión técnica, sin rodeos y por escrito, merece una sesión adicional de due diligence antes de firmar.

Marco para auditar la IA de un proveedor en 30 minutos

Una auditoría inicial de IA no tiene que ser larga para ser útil. En 30 minutos, un Director de Compras puede detectar señales muy claras sobre la madurez del proveedor si estructura bien la conversación.

La clave es dividir la evaluación en cinco bloques: funcionalidad real, tratamiento de datos, nivel de decisión, transparencia de limitaciones y cláusulas contractuales. Cada bloque responde a un riesgo distinto y permite descubrir si la IA del proveedor está realmente gobernada o si se está comunicando de forma demasiado genérica.

Este marco no pretende resolver todos los detalles técnicos en media hora. Su utilidad está en otra parte: permite identificar rápidamente si el proveedor tiene respuestas maduras o si su discurso depende demasiado del marketing.

Bloque 1: qué hace exactamente la IA del proveedor

El primer bloque debe centrarse en entender qué hace la IA de forma concreta. No conviene aceptar respuestas amplias ni explicaciones basadas solo en beneficios esperados. La conversación debe aterrizar funcionalidad por funcionalidad.

Una buena forma de empezar es pedir al proveedor que enumere todos los puntos de la plataforma donde interviene IA. Después, para cada punto, debe explicar si la capacidad está ya en producción, si está en piloto, si pertenece al roadmap o si solo se ha mostrado en una demo conceptual. Esta distinción es crítica porque muchas decisiones de compra se contaminan cuando el comprador cree que está contratando una funcionalidad disponible y, en realidad, está comprando una promesa futura.

También es importante preguntar qué tipo de tecnología se está utilizando. A veces el proveedor llama IA a cosas muy distintas: modelos generativos, modelos predictivos, OCR, motores de reglas, automatizaciones, scoring estadístico o búsquedas semánticas. Cada una de estas tecnologías puede ser útil, pero sus riesgos, límites y requisitos de datos son diferentes.

El objetivo de este bloque no es exigir una explicación excesivamente técnica, sino evitar ambigüedades. Si una IA analiza contratos, debe quedar claro si extrae cláusulas, resume documentos, compara versiones, detecta riesgos o responde preguntas. Si procesa facturas, debe quedar claro si solo lee datos, si vincula con órdenes de compra, si valida importes o si gestiona excepciones. Si asiste a compradores, debe quedar claro si responde dudas operativas, si sugiere acciones o si puede ejecutar cambios dentro del sistema.

Preguntas clave sobre funcionalidades de IA en Compras

• ¿Qué funcionalidades de IA están hoy en producción?
• ¿Qué funcionalidades están en roadmap?
• ¿Qué se ha probado en piloto pero todavía no está disponible para todos los clientes?
• ¿Qué tipo de tecnología utiliza cada funcionalidad: IA generativa, modelo predictivo, OCR, reglas de negocio o automatización?
• ¿En qué paso del proceso de Compras interviene la IA?
• ¿Qué input necesita para funcionar?
• ¿Qué output concreto genera?
• ¿Cuál es la tasa de error, excepción o revisión humana observada en producción?
• ¿Qué casos de uso no están todavía suficientemente maduros?
• ¿Podemos ver la funcionalidad en un entorno realista, no solo en una demo preparada?

La respuesta madura diferencia claramente lo que existe de lo que se está desarrollando. La respuesta inmadura mezcla todo en una misma narrativa de innovación.

Cómo detectar una IA decorativa en la demo del proveedor

Una demo de IA puede ser muy atractiva y, aun así, decir poco sobre su utilidad real. El comprador debe prestar atención a varios indicadores: si el proveedor trabaja con datos perfectamente limpios, si el flujo no muestra excepciones, si no aparece ningún caso de error, si todas las respuestas son demasiado fluidas o si la funcionalidad parece desconectada del proceso operativo real.

En producción, una IA debe convivir con datos incompletos, documentos mal estructurados, proveedores duplicados, permisos distintos, usuarios con niveles de experiencia diferentes y procesos que no siempre siguen el camino ideal. Si la demo no muestra nada de eso, probablemente esté enseñando el mejor escenario posible, no la realidad que encontrará el cliente después de firmar.

La demo debe ser el inicio de la auditoría, no el final.

Bloque 2: qué pasa con tus datos cuando usas IA en Compras

El segundo bloque es el más crítico. También suele ser el que genera más respuestas evasivas. La razón es sencilla: hablar de IA es cómodo cuando se habla de eficiencia, pero se vuelve mucho más exigente cuando se habla de datos confidenciales.

En Compras, la información que alimenta la IA puede ser extremadamente sensible. Una base de proveedores no es solo un listado. Es un activo competitivo. Incluye condiciones negociadas, históricos de relación, incidencias, documentación, certificaciones, datos bancarios, contratos y valoraciones internas. Si esa información se procesa sin suficiente control, el riesgo no es solo técnico o normativo, sino también comercial y estratégico.

Por eso, el proveedor debe explicar con precisión qué dato llega al modelo y qué dato no llega. No basta con decir que se aplican buenas prácticas de seguridad. Tampoco basta con decir que la plataforma cumple con GDPR. Cumplir normativa es imprescindible, pero no responde por sí solo a la pregunta de qué ocurre con la información competitiva de Compras.

El CPO debe entender si los datos confidenciales se encriptan antes de cualquier interacción con modelos, si la información se queda dentro de la base de datos del cliente, si viaja a modelos públicos, si se utiliza para entrenar o mejorar sistemas del proveedor, si hay aislamiento entre clientes y si queda trazabilidad completa de cada procesamiento.

Preguntas clave sobre datos e IA en Compras

• ¿Qué datos concretos llegan al modelo?
• ¿Qué datos no llegan nunca al modelo?
• ¿Los datos confidenciales se encriptan antes de cualquier interacción con IA?
• ¿La información se queda dentro de la base de datos del cliente?
• ¿Los datos viajan a modelos públicos o externos?
• ¿Se usa mi dato para entrenar modelos públicos?
• ¿Se usa mi dato para mejorar modelos del proveedor?
• ¿Existe aislamiento real entre clientes?
• ¿Mi información de proveedores puede compartirse o cruzarse con otras empresas del sistema?
• ¿Qué trazabilidad queda de qué procesó la IA, cuándo, con qué finalidad y con qué resultado?
• ¿Qué ocurre con los datos al finalizar el contrato?
• ¿Qué ocurre si el proveedor es adquirido por otra empresa?

Estas preguntas deben responderse por escrito. Si la respuesta solo aparece en una conversación comercial, no es suficiente.

Evaluar proveedores con IA: señales de alerta sobre el tratamiento del dato

Hay respuestas que deberían activar una alerta inmediata durante la evaluación. No siempre significan que el proveedor sea inseguro, pero sí indican que la organización debe profundizar antes de avanzar.

La evaluación de datos no puede quedarse en la seguridad general. Debe entrar en propiedad, uso, reutilización, aislamiento y trazabilidad.

Bloque 3: quién decide cuando interviene la IA

El tercer bloque se centra en la toma de decisiones. Uno de los mayores riesgos de la IA en Compras es la delegación excesiva. No porque la tecnología no pueda ayudar, sino porque determinadas decisiones no deberían desplazarse a un sistema automático sin validación humana.

En Compras, decidir no es solo procesar información. Homologar un proveedor, aprobar una excepción, validar una factura, aceptar una cláusula o recomendar una estrategia de negociación implica entender contexto, riesgo, relación comercial, prioridades internas y consecuencias operativas. La IA puede preparar mejor esa decisión, pero no debe apropiarse de ella sin límites claros.

Por eso, conviene preguntar directamente si la IA aprueba, propone o informa. Esta distinción debe estar muy clara. Informar significa aportar datos o contexto. Proponer significa sugerir una acción o recomendación. Aprobar significa ejecutar o validar una decisión con impacto en el proceso. Cada nivel implica un riesgo diferente.

También es importante saber si la IA puede ejecutar acciones dentro del sistema. Por ejemplo, avanzar estados, aprobar pedidos, homologar proveedores, rechazar documentos o activar comunicaciones. Si puede hacerlo, debe quedar claro bajo qué permisos, con qué validación y con qué registro de auditoría.

Preguntas clave sobre decisiones asistidas por IA

• ¿La IA informa, propone, recomienda, aprueba o ejecuta?
• ¿Puede la IA aprobar un pedido sin validación humana?
• ¿Puede homologar o rechazar un proveedor?
• ¿Puede modificar datos maestros?
• ¿Puede enviar comunicaciones a proveedores?
• ¿Puede validar documentación sensible?
• ¿Puede bloquear o desbloquear un proceso?
• ¿Qué acciones requieren siempre revisión humana?
• ¿Qué líneas rojas de decisión están fuera del alcance de la IA por diseño?
• ¿Puede configurarse el nivel de autonomía por cliente o proceso?
• ¿Qué trazabilidad queda cuando una persona acepta una recomendación de la IA?

Una IA madura debe explicar sus límites de decisión con claridad. Un proveedor que evita concretar este punto está trasladando un riesgo al cliente.

Matriz para clasificar el nivel de autonomía de la IA

Una forma útil de evaluar el riesgo es clasificar cada funcionalidad según el nivel de autonomía que tiene la IA.

En Compras, no todas las funcionalidades deberían pasar de los niveles 1 o 2. Y si alguna llega al nivel 3, debe contar con controles claros. El nivel 4 debe reservarse, si existe, para procesos muy acotados, de bajo riesgo y con reglas bien definidas.

Bloque 4: transparencia y limitaciones de la IA del proveedor

El cuarto bloque es breve, pero muy revelador. Un proveedor maduro no solo habla de capacidades. También habla de limitaciones. De hecho, cuando un proveedor explica sus límites antes de que se los pregunten, suele ser una buena señal.

La IA tiene riesgos conocidos: alucinaciones, errores de interpretación, dependencia de la calidad del dato, sesgos del entrenamiento, falta de contexto, exceso de confianza en respuestas plausibles y dificultad para gestionar excepciones. Un proveedor serio no debería negar estos riesgos. Debería explicar cómo los gestiona.

En este bloque, la pregunta central es qué hace la IA cuando el dato de entrada es incompleto, incorrecto o contradictorio. Esta situación es muy habitual en Compras. Los maestros de proveedores pueden tener duplicados, contratos mal vinculados, documentos desactualizados, condiciones obsoletas o campos críticos incompletos. Si la IA responde igualmente sin marcar incertidumbre, puede generar una falsa sensación de seguridad.

También conviene preguntar cómo se gestionan las alucinaciones. En un asistente aplicado a Compras, una respuesta plausible pero falsa puede tener consecuencias relevantes. Por eso, es mejor un sistema que reconozca “no tengo información suficiente” que uno que complete los huecos con seguridad aparente.

Preguntas clave sobre limitaciones de IA en Compras

• ¿Qué hace vuestra IA cuando el dato de entrada está incompleto?
• ¿Qué ocurre si dos fuentes de datos se contradicen?
• ¿Cómo avisa cuando no tiene suficiente información?
• ¿Cómo gestionáis las alucinaciones?
• ¿Qué mecanismos existen para evitar respuestas inventadas?
• ¿Qué limitaciones reconocéis hoy en producción?
• ¿Qué casos de uso habéis decidido no automatizar?
• ¿Qué no haréis nunca con IA por diseño?
• ¿Qué riesgos explicáis al cliente antes de implementar?
• ¿Cómo se reportan errores o respuestas incorrectas?

La transparencia sobre limitaciones no debilita al proveedor. Lo fortalece. En IA, la honestidad es parte de la madurez.

Bloque 5: cláusulas contractuales para proveedores con IA

El quinto bloque puede parecer el más breve, pero es decisivo. Todo lo que el proveedor explique sobre IA, datos y decisiones debe poder aterrizarse contractualmente. Si no aparece por escrito, el cliente queda expuesto a interpretaciones futuras.

El contrato debe recoger de forma clara la propiedad de los datos, la prohibición de uso para entrenar modelos no autorizados, el aislamiento entre clientes, la trazabilidad, los derechos de auditoría y la responsabilidad ante errores o incidentes relacionados con el sistema de IA.

Esto no significa que todas las plataformas deban asumir los mismos compromisos en los mismos términos, pero sí que el cliente debe saber exactamente qué acepta. Las cláusulas ambiguas sobre mejora del servicio, entrenamiento de modelos, datos agregados o reutilización de información deben revisarse con especial cuidado.

Cláusulas que deberían revisarse antes de firmar

• Propiedad de los datos del cliente.
• Prohibición de usar datos del cliente para entrenar modelos públicos.
• Prohibición o limitación expresa de usar datos para mejorar modelos del proveedor.
• Aislamiento entre clientes.
• No compartición de información de proveedores entre empresas.
• Trazabilidad de interacciones con IA.
• Derechos de auditoría.
• Responsabilidad en caso de error del sistema de IA.
• Gestión de incidentes de seguridad.
• Eliminación o devolución de datos al finalizar el contrato.
• Condiciones aplicables si el proveedor es adquirido por otra empresa.
• Identificación de subprocesadores o modelos externos utilizados.

Un proveedor que tiene una IA madura debería poder acompañar la explicación funcional con garantías contractuales razonables.

Qué diferencia a un proveedor con IA madura

Un proveedor con IA madura no se limita a decir que tiene inteligencia artificial. Sabe explicar dónde encaja, dónde no encaja, qué hace hoy, qué hará más adelante y qué no hará nunca por diseño.

La madurez se nota especialmente en la capacidad de decir “aquí no”. No todo proceso debe automatizarse. No toda decisión debe delegarse. No todo dato debe llegar a un modelo. No toda funcionalidad en desarrollo debe comunicarse como si estuviera disponible. No todo benchmark justifica cruzar información entre clientes.

Un proveedor maduro también sabe hablar de riesgos sin esperar a que el cliente los plantee. Reconoce que la calidad del dato condiciona el resultado. Explica cómo se gestionan errores. Distingue entre IA generativa, reglas de negocio y automatización. Puede enseñar trazabilidad. Puede responder qué ocurre cuando no hay suficiente información. Y, sobre todo, entiende que la confianza en IA se construye con límites, no solo con capacidades.

La autoridad sectorial no la gana quien más promete. La gana quien mejor demuestra criterio.

Plantilla de cuestionario para auditar IA de proveedores

La auditoría de IA no debería depender de la intuición de cada comprador ni de la habilidad comercial del proveedor. Conviene trabajar con un cuestionario común que permita comparar respuestas entre proveedores, detectar vacíos y documentar decisiones.

La plantilla completa debería incluir, como mínimo, estos apartados:

1. Identificación de funcionalidades de IA.
2. Estado de cada funcionalidad: producción, piloto o roadmap.
3. Tipo de tecnología utilizada.
4. Datos necesarios para cada caso de uso.
5. Tratamiento de datos confidenciales.
6. Uso o no uso de datos para entrenamiento.
7. Aislamiento entre clientes.
8. Trazabilidad de interacciones.
9. Nivel de autonomía de la IA.
10. Decisiones que requieren validación humana.
11. Gestión de errores, alucinaciones e incertidumbre.
12. Limitaciones reconocidas por el proveedor.
13. Cláusulas contractuales sobre IA y datos.
14. Derechos de auditoría.
15. Responsabilidad ante errores o incidentes.

Este cuestionario permite transformar una conversación comercial en una evaluación comparable. También ayuda a involucrar mejor a Legal, IT, Seguridad y Compliance, porque convierte el debate sobre IA en preguntas concretas que pueden revisarse y documentarse.

La IA es condición mínima, el criterio es la diferencia

La IA en Compras ya no es una rareza ni una ventaja reservada a unos pocos proveedores. Se está convirtiendo en una capa funcional que cualquier plataforma tendrá que incorporar de una forma u otra. Por eso, preguntar simplemente si un proveedor tiene IA ya no ayuda demasiado.

La diferencia real está en otra parte. Está en entender qué hace exactamente la IA, qué decisiones no toma, qué datos procesa, qué límites respeta, qué trazabilidad deja y qué garantías contractuales ofrece. Está en saber si el proveedor habla de producción o de roadmap. Está en comprobar si reconoce riesgos antes de que el cliente tenga que forzar la conversación.

Un proveedor con IA madura sabe dónde encaja la tecnología y dónde no. Sabe decir “aquí no”. Muestra con honestidad lo que ya funciona y lo que todavía no. Y tiene criterio para hablar de privacidad, alucinaciones, calidad del dato, decisión humana y límites de automatización sin esconderse detrás de una presentación comercial.

La IA es condición mínima. La autoridad sectorial la gana quien explica con honestidad lo que su IA hace, lo que no hará y qué pasa con los datos del cliente.

Descarga la plantilla para auditar IA de proveedores en Compras

Para facilitar esta evaluación, puedes descargar la plantilla completa en PDF con el cuestionario de auditoría de IA para proveedores. Está pensada para que cualquier Director de Compras pueda usarla en procesos de selección, RFPs, reuniones de due diligence o comparativas entre plataformas tecnológicas.

La plantilla ayuda a formular las preguntas correctas antes de firmar, documentar respuestas y detectar riesgos que una demo comercial no siempre muestra.