Riesgo de Proveedores con IA: Por Qué el 94 % de las Empresas Sabe que No Evalúa Suficientes Proveedores

Tu empresa trabaja hoy con una media de 286 proveedores externos. Cada uno de ellos tiene acceso a tus datos, tus sistemas o los de tus clientes. Y el 77 % de las empresas que sufrieron una brecha de seguridad en los últimos tres años confirman que empezó en uno de esos proveedores, no en su propia red. El problema no es que las empresas no lo sepan: el 94 % reconoce abiertamente que evaluaría a más proveedores si tuviera el tiempo, la tecnología o el personal para hacerlo. Lo saben y, aun así, aceptan el riesgo porque revisar manualmente cientos de cuestionarios de seguridad ya no es humanamente posible al ritmo que exige el negocio.

El problema de escala: un proveedor más, un cuestionario más

En 2025 el 56 % de las empresas trabaja con más de 100 proveedores, un 6 % más que el año anterior. La media ha subido de 237 a 286 proveedores externos por empresa en solo doce meses. Los equipos de riesgo han crecido para intentar seguir el ritmo —de 5,6 a 8,5 personas de media— pero cada profesional de riesgo de terceros sigue siendo responsable de evaluar 33,6 proveedores él solo, sin contar los que se incorporan durante el año. Contratar a una persona más para el equipo cuesta ya 109.000 $ de media, y el 80 % de las empresas planea seguir contratando este año, aun sabiendo que el problema no es de personas, es de proceso (Whistic, 2025 TPRM Impact Report, encuesta a 525 responsables de seguridad y riesgo).

El coste de no llegar a todos

El 70 % de las empresas encuestadas sufrió una brecha de seguridad en los últimos tres años —frente al 55 % que lo reportaba en 2023— y en el 77 % de esos casos el origen fue un proveedor o un tercero de la cadena de suministro, no un fallo interno. El coste medio de una sola brecha ya alcanza los 4,88 millones de dólares a nivel global, 400.000 $ más que el año anterior (IBM, Cost of a Data Breach Report 2024, citado en el mismo informe de Whistic). Y no es solo cuestión de mala suerte: el 97 % de las empresas admite que haría evaluaciones más profundas si tuviera mejores procesos o tecnología, y el 94 % directamente evaluaría a más proveedores de los que hoy audita. Es decir: la mayoría de las empresas ya sabe, con nombre y apellido, qué proveedores no está revisando lo suficiente.

El cuello de botella real: el cuestionario de seguridad

El motivo no es pereza, es matemático. El proveedor medio responde hoy a 37,3 solicitudes de evaluación de seguridad al mes (frente a 29,5 el año pasado) y dedica 179 horas mensuales a contestarlas: el equivalente a una persona a tiempo completo, solo para rellenar cuestionarios. Del lado comprador, el 58 % de los equipos dedica más de 30 horas semanales a evaluar proveedores (una media de 37,4 horas, 14 más que el año pasado), y la respuesta completa de un proveedor tarda de media 12 días: el 87 % de las empresas espera más de 4 días y el 56 % más de una semana. Para rematarlo, el 84 % de las evaluaciones iniciales necesita una ronda de seguimiento porque la primera respuesta llega incompleta.

A esto se suma el trabajo reactivo: la empresa media sufre 7 incidentes de seguridad al año —como el apagón global de CrowdStrike— que obligan a reabrir la evaluación de los proveedores afectados, con 14,8 horas extra por incidente. Son más de 100 horas al año solo en reevaluaciones de emergencia, antes de tocar el resto del trabajo pendiente.

Dónde encaja de verdad la IA (y dónde todavía no)

El 60 % de los responsables de riesgo ya dice que la inteligencia artificial es la tendencia más importante para el futuro de esta disciplina, frente al 51 % del año pasado, y el 57 % ya la usa en algún punto del proceso de evaluación (otro 40 % la está probando o la probará en los próximos 12 meses). Pero solo el 4 % ha completado la transición a un modelo realmente «IA-first»: la mayoría (49 %) sigue basada en cuestionarios manuales, con planes de modernizarse que aún no se han ejecutado.

Dicho con claridad: la IA en este terreno no sirve para «sonar más seguro» en una llamada, como en el fraude por voz clonada que ya hemos analizado aquí. Sirve para tres cosas muy concretas que hoy se hacen a mano:

• Resumir informes que nadie lee enteros. El 82 % de las empresas pide un informe SOC 2 como parte de la evaluación, pero tiene cientos de páginas: la IA lo reduce a un resumen de 5 páginas con las evidencias concretas de cada control, no un resumen genérico.
• Detectar huecos de control automáticamente, en vez de que una persona lea documento por documento buscando qué falta.
• Monitorizar de forma continua, en lugar de una foto fija una vez al año: cuando aparece un incidente como el de CrowdStrike, la IA puede cruzar en minutos qué proveedores del inventario están expuestos, en vez de revisarlos uno a uno.

Esto no sustituye la gobernanza de acceso de tus propios agentes de IA conectados a herramientas de terceros vía MCP ni los permisos mínimos que cualquier proveedor con acceso a tus sistemas debería tener: es la capa que te dice, antes de dar ese acceso, si el proveedor es de fiar. Tampoco sustituye una arquitectura Zero Trust puertas adentro: ambas cosas conviven, una evalúa quién entra, la otra limita qué puede hacer una vez dentro.

Qué hacer esta semana

• Cuenta cuántos proveedores tienes de verdad (no solo los que recuerdas): la mayoría de las empresas subestima la cifra real hasta que hace el inventario.
• Pide a tu equipo de riesgo cuántas evaluaciones tiene pendientes ahora mismo, no cuántas hace al año: ese número es el que importa.
• Identifica qué proveedores llevan más de 12 meses sin reevaluación: son tu riesgo invisible más probable.
• Antes de comprar una herramienta de IA para esto, pregunta qué hace en concreto: resumir documentación, detectar huecos o monitorizar en continuo son tres cosas distintas, y pocas herramientas hacen las tres bien.
• Exige a tus proveedores críticos un canal de documentación ya preparado (tipo trust center): el 76 % de los proveedores ya lo ofrece y reduce las esperas de semanas a minutos.
• Añade la pregunta que casi ningún cuestionario incluye: en qué país se procesan realmente tus datos una vez el proveedor tiene acceso, no solo dónde se almacenan — ver nuestro análisis de soberanía de datos con IA para empresas.

Cómo te ayudamos

En Optima Quantum no vendemos la promesa de «evaluar proveedores con IA» como una caja negra: hacemos primero una auditoría de ciberseguridad que te dice cuántos de tus proveedores actuales tienen acceso real a tus sistemas y cuáles no se han revisado en el último año, y después diseñamos contigo el proceso de monitorización —con o sin IA, según lo que de verdad necesites— dentro de nuestros servicios de ciberseguridad. Si gestionas proveedores, integraciones o accesos de terceros y no sabes a cuántos de ellos no estás llegando, contáctanos y lo revisamos juntos.

Preguntas frecuentes

¿Cuántos proveedores tiene una empresa media? 286 en 2025, frente a 237 en 2024, según la encuesta de Whistic a 525 responsables de riesgo. El 56 % de las empresas ya trabaja con más de 100.

¿De verdad el riesgo de proveedores causa tantas brechas? Sí: el 77 % de las empresas que sufrieron una brecha en los últimos tres años confirma que se originó en un proveedor o tercero, no en su propia red interna.

¿Basta con mandar un cuestionario de seguridad una vez al año? No. El proveedor medio tarda 12 días en responder completamente y el 84 % de las respuestas iniciales llega incompleta. Una foto anual no refleja lo que cambia en los otros 11 meses.

¿La IA ya resuelve esto de forma estándar? No todavía. Solo el 4 % de las empresas ha completado la transición a un modelo de evaluación «IA-first»; el 57 % la usa en parte del proceso. Es una tecnología en adopción, no una solución ya instalada en la mayoría.