Dónde Gastar en 2025: Un Framework de CTO para la Asignación Inteligente del Presupuesto de TI
La mayoría de las conversaciones presupuestarias de los CTOs en Q1 suenan igual. Finanzas pide un Excel. Ingeniería pide más headcount. El CEO pregunta por la IA. Alguien del consejo pregunta por qué las partidas de ciberseguridad siguen creciendo. Y se espera que el CTO traduzca todo eso en un plan defendible que sea técnicamente sólido, comercialmente justificado y políticamente sobrevivible.
El problema no es que los CTOs no sepan cómo gastar el dinero. Es que el panorama ha cambiado lo suficientemente rápido como para que la lógica de asignación del año pasado ya sea obsoleta. El manual de 2023 — montar un squad de cloud, contratar a dos ingenieros de ML, comprar un SIEM — no encaja en un mundo donde la GenAI reescribe las decisiones de build-vs-buy cada trimestre y los agentes autónomos son una partida presupuestaria, no un proyecto de laboratorio.
Esto es lo que el 90% de los CTOs y CIOs tienen en común este año: están aumentando su presupuesto. La previsión de la industria es un incremento interanual del 8% en el gasto global de TI. Pero el incremento es desigual, y la historia real está en dónde se desplaza ese dinero.
Por Qué 2025 Es Diferente de 2024
Tres cambios estructurales han roto los frameworks de asignación antiguos:
La GenAI pasó de experimento a coste operativo. En 2023, la IA generativa era una partida exploratoria — proyectos piloto, formación de equipos, algunos créditos de API. En 2025, es un coste recurrente de infraestructura: gasto en APIs de LLM, hosting de bases de datos vectoriales, herramientas de desarrollo aumentadas con IA (Copilot, Cursor, Claude Code), plataformas de gobernanza y, cada vez más, fine-tuning de modelos propios. Lo que era I+D ahora es OpEx.
La ciberseguridad se volvió estructuralmente más cara. El cibercrimen se acerca al 1% del PIB mundial. El coste de protegerse crece más rápido que el coste de atacar porque los defensores necesitan sistemas en capas mientras que los atacantes solo necesitan una vía de explotación. El presupuesto de seguridad ya no es un porcentaje fijo del gasto de TI — escala con la superficie de ataque, que crece cada vez que lanzas una nueva integración, API o agente de IA.
La deuda técnica se acumuló durante la expansión de la era ZIRP. Los equipos que entregaron rápido entre 2020–2023 ahora están pagando la factura. Refactorización, modernización y retirada de sistemas legacy están pasando de "cosas que haremos cuando tengamos tiempo" a "cosas que bloquean nuestra roadmap de IA". La deuda técnica ahora es una categoría presupuestaria, no un elemento aspiracional del backlog.
Si tu asignación de 2025 se parece a la de 2024, o estás infrainvirtiendo en IA, o estás infrafinanciando seguridad, o estás ignorando deuda que costará más el año que viene. Normalmente, las tres cosas.
El Framework de Asignación
El framework correcto no es una división porcentual rígida — es un conjunto de categorías, una lógica de ponderación que se ajusta según la etapa de la empresa y una disciplina para forzar trade-offs. Esta es la estructura que funciona en la mayoría de contextos de startup y scale-up.
Cinco categorías, ponderadas por madurez
| Categoría | Etapa temprana (pre-Serie A) | Etapa de crecimiento (Serie A–B) | Mid-market |
|---|---|---|---|
| Run-the-business (infra, SaaS, plataforma) | 25–30% | 30–35% | 35–40% |
| Talento de ingeniería (salarios, contractors, nearshore) | 40–50% | 35–45% | 30–35% |
| IA y tech emergente (GenAI, agentes, infra) | 10–15% | 15–20% | 15–20% |
| Ciberseguridad y cumplimiento | 5–10% | 8–12% | 10–15% |
| Deuda técnica y modernización | 5–10% | 5–10% | 10–15% |
Son direccionales, no prescriptivas. Lo que importa es la disciplina de forzar cada partida a uno de estos buckets y defender el porcentaje frente a los otros cuatro.
Las preguntas que fuerzan una asignación honesta
Antes de fijar cualquier número, pasa cada bucket por las mismas tres preguntas:
- ¿Qué gastamos aquí en 2024, y qué obtuvimos? Si no puedes describir el resultado, no estás midiendo correctamente — y probablemente gastaste de más.
- Si lo recortamos un 25%, ¿qué específicamente deja de funcionar? Si la respuesta es vaga, el presupuesto está inflado. Si la respuesta es aterradora, la categoría está estructuralmente infrafinanciada.
- Si lo duplicamos, ¿dónde iría el siguiente dólar? Esto expone si la categoría tiene oportunidad real de expansión o solo consumo latente.
No son preguntas de finanzas. Son preguntas de CTO — y las respuestas suelen ser lo bastante incómodas como para que la mayoría de equipos directivos las esquiven.
Categoría 1 — Run-the-Business: El Mayor Riesgo Oculto
Esta es la categoría donde el presupuesto se infla silenciosamente. Facturas de cloud, suscripciones SaaS, plataformas de observabilidad, infraestructura de CI/CD, licenciamiento — estas partidas crecen con el headcount y el uso, pero rara vez se reevalúan.
La disciplina de 2025:
- FinOps no es opcional. Si gastas más de $20K/mes en cloud y no tienes un responsable designado de FinOps (aunque sea el 20% del tiempo de una persona), estás perdiendo un 15–30% por despilfarro. Reserved instances no optimizadas. Recursos huérfanos. Entornos no productivos sobredimensionados.
- Auditoría SaaS cada seis meses. Las herramientas se compran y se olvidan. Plataformas de analytics redundantes, infraestructura de test abandonada, herramientas de gestión de proyectos que perdieron la guerra interna. Córtalas.
- Consolida observabilidad. Datadog + New Relic + PagerDuty + tres plataformas de logs + un stack de Grafana suma. Elige una principal y negocia.
La heurística: Run-the-business debería crecer más lento que el revenue. Si crece más rápido, hay una fuga en alguna parte.
Categoría 2 — Talento de Ingeniería: Donde la Lógica de Asignación se Rompe
Salarios, beneficios, contractors, colaboraciones nearshore, consultoría — este suele ser el bucket individual más grande, y el más difícil de optimizar sin infrarecursar o pagar de más.
El patrón malo es tratar el talento como un coste fijo que escalas linealmente con la ambición de producto. El patrón mejor es hacer coincidir el modelo de talento con la forma de la carga de trabajo:
- Contrataciones senior permanentes para trabajo de plataforma central — decisiones de arquitectura, sistemas críticos de seguridad, el código del que nadie más debería ser dueño.
- Extensión de equipo nearshore para velocidad sostenida — entrega de features, servicios de soporte, flujos de trabajo escalables que requieren juicio senior pero no requieren antigüedad interna.
- Squads dedicados para iniciativas acotadas — una nueva línea de producto, un proyecto de modernización, un programa de integración de IA de seis meses. Equipo completo desplegado, rampado y retirado según necesidad.
- Expertise fraccional para huecos especializados — seguridad, cumplimiento, dominios específicos de ML — que no justifican una contratación a tiempo completo.
El cambio en 2025: más CTOs están mezclando estos modelos intencionalmente en lugar de caer por defecto en "contratar a todos in-house". Una mezcla bien diseñada reduce el coste total un 30–50% mientras aumenta la capacidad de entrega, porque estás dimensionando cada colaboración a la carga de trabajo real en lugar de mantener capacidad fija para demanda variable.
La heurística: Si no puedes justificar por qué cada rol es permanente en lugar de flexible, probablemente no debería serlo.
Categoría 3 — IA y Tech Emergente: La Categoría Donde Todos Gastan de Más o de Menos
Esta es la categoría más volátil en 2025. Algunas empresas están gastando $500K/año en infraestructura de GenAI para features que los usuarios no han pedido. Otras siguen tratando la IA como el problema de otro mientras sus competidores lanzan productos AI-native.
El framework que separa el gasto útil en IA del teatro:
Tier 1 de gasto: Productividad del desarrollador (mayor ROI, menor riesgo).
- Asistentes de coding con IA en toda la organización de ingeniería (Copilot, Cursor, Claude Code, Codeium)
- Herramientas aumentadas con IA para testing, review y documentación
- Coste típico: $20–$80 por desarrollador al mes
- Resultado esperado: ganancia de velocidad del 20–40% en tareas bien definidas, medible en 60 días
Tier 2 de gasto: Integración de producto (riesgo medio, ROI variable).
- Presupuesto de APIs de LLM para features orientadas al usuario
- Base de datos vectorial, retrieval e infraestructura de RAG
- Plataformas de gestión y evaluación de prompts
- Coste típico: altamente variable, pero debería tener un impacto medible en la unit economics
- Resultado esperado: features específicas y acotadas que mejoran métricas core de producto
Tier 3 de gasto: Trabajo con modelos propios (mayor riesgo, ROI especulativo).
- Fine-tuning, pre-entrenamiento propio, modelos específicos de dominio
- Talento especializado de ML
- Reservas de GPU
- Coste típico: $100K+ mínimo, a menudo 7 cifras
- Resultado esperado: indefinido a menos que haya un moat específico que se está construyendo
La disciplina es tier 1 primero, tier 2 cuando hay un caso de uso probado, tier 3 solo cuando tienes el caso de negocio y el talento para ejecutarlo. La mayoría de empresas debería asignar el 60% del presupuesto de IA al tier 1, el 30% al tier 2, y el 10% o el 0% al tier 3.
La heurística: Si tu presupuesto de IA es mayoritariamente tier 3 y no eres una empresa de IA, estás construyendo proyectos de laboratorio, no producto.
Categoría 4 — Ciberseguridad: La Conversación Presupuestaria Que Nadie Gana
El presupuesto de seguridad es aquel donde cada stakeholder tiene un modelo mental distinto. El CEO quiere "suficiente para dormir tranquilo por la noche". El CFO quiere un porcentaje fijo. El consejo quiere cero incidentes. El equipo de seguridad quiere más. Ninguno de esos es un framework de asignación.
El encuadre útil para 2025:
- Suelo: controles base que cualquier empresa con más de 10 ingenieros debe tener. Gestión de identidad y accesos, protección de endpoints, escaneo de vulnerabilidades, SIEM o equivalente, plan de respuesta a incidentes, pentests trimestrales. Esto es innegociable y típicamente cuesta $50K–$200K al año según la complejidad del stack.
- Escala: controles que crecen con la superficie de ataque. Gestión de secretos, seguridad de APIs, cloud security posture management, DLP, gestión de riesgo de terceros, automatización de compliance. Escalan con tu superficie de integración.
- Estratégico: inversiones en defensa AI-native frente a amenazas. Detección basada en comportamiento, herramientas de SOC potenciadas por IA, sistemas de respuesta autónoma. Aquí es donde los presupuestos de 2025 crecen más rápido — y donde mucho gasto sigue siendo teatral en lugar de efectivo.
Antes de comprar cualquier herramienta de seguridad AI-native, haz dos preguntas: (1) qué ataque está previniendo que tu stack actual no previene, y (2) cuál es la tasa de falsos positivos sobre tus datos. Una herramienta que grita "que viene el lobo" 200 veces al día te costará más en horas de SOC de las que ahorra.
La heurística: El presupuesto de seguridad debería escalar con la superficie de ataque, no con el headcount. Nueva API = más presupuesto. Nueva integración de IA = más presupuesto. Nuevo régimen de cumplimiento = más presupuesto.
Categoría 5 — Deuda Técnica: El Bucket Que Nadie Quiere Defender
El 91% de los CTOs cita la deuda técnica como su mayor obstáculo. La mayoría no asigna nada específico para abordarla. Esa brecha es la causa más común de que las roadmaps se retrasen en 2025.
El enfoque de 2025 que funciona:
- Dedica un porcentaje de la capacidad de ingeniería, no un presupuesto separado. El 15–25% de la capacidad del equipo en modernización, refactoring y retirada de deuda funciona mejor que un "sprint de deuda" cada seis meses.
- Mide el coste compuesto. Cada deploy bloqueado por deuda, cada pipeline lento, cada incidente con origen en código legacy es un número. Sígueles la pista y la deuda deja de sentirse como una preocupación abstracta.
- Financia el trabajo de deuda igual que financias las features. Ingenieros asignados, outcomes trackeados, impacto medible en velocidad o fiabilidad. El trabajo de deuda que no se trackea no se hace.
La IA ha cambiado la economía aquí. Los asistentes de código modernos pueden acelerar el trabajo de deuda entre 2 y 4x en refactoring rutinario, mejoras de cobertura de tests y migraciones de lenguaje. El coste de retirar deuda es más bajo en 2025 que nunca. Eso no ayuda si no asignas tiempo para ello.
La heurística: Si tu presupuesto de 2025 no tiene capacidad explícita para reducir deuda, tu presupuesto de 2026 va a ser más feo.
La Disciplina de Asignación Que la Mayoría de CTOs Se Salta
Una asignación presupuestaria es tan buena como la disciplina para revisarla. El modo de fallo común es aprobar un plan en enero y no volver a mirarlo hasta noviembre.
La práctica que separa a los buenos CTOs de los grandes: revisiones trimestrales de reasignación con tres reglas.
- Vuelve a hacer cada pregunta. ¿Qué gastamos aquí el trimestre pasado, y qué obtuvimos? Corta lo que no funcionó. Duplica apuesta en lo que sí.
- Fuerza un re-ranking. Clasifica las cinco categorías por retorno marginal esperado. Desplaza un 5–10% de presupuesto de abajo hacia arriba.
- Documenta los trade-offs. Cada desplazamiento tiene un coste. Decir sí a ciberseguridad significa decir no a otra cosa. Escribe qué cambiaste, para recordar por qué cuando vuelva la conversación.
Esto no es burocracia financiera — es disciplina ejecutiva. Los CTOs que hacen esto son los que pueden defender su asignación ante cualquier stakeholder en cualquier trimestre. Los que no lo hacen son los que explican en Q4 por qué el presupuesto no entregó lo que prometieron en Q1.
Dónde Importa Realmente el Dinero en 2025
Si estás atascado en la parálisis de asignación, estas son las apuestas con mayor confianza del año:
- Asistentes de coding con IA en todo el equipo de ingeniería. No un piloto — un estándar. La ganancia de velocidad es medible y el coste es trivial comparado con los salarios de los ingenieros.
- Una función de FinOps, aunque sea fraccional. Si gastas más de $250K/año en cloud, se paga sola en un trimestre.
- Capacidad de deuda técnica, asignada explícitamente. No una etiqueta del backlog — un porcentaje real del tiempo del equipo, trackeado.
- Capacidad de ingeniería nearshore o flexible para picos de trabajo. El mercado de talento es demasiado caro y demasiado competitivo como para contratar solo in-house permanente.
- Gestión de postura de seguridad que escale con tu superficie de integración. Las mayores brechas de 2025 no vendrán de ataques directos — vendrán de una integración de terceros o una herramienta de IA que olvidaste incluir en tu modelo de amenazas.
El resto es ejecución.
¿Planificando tu asignación de 2025 y quieres una segunda opinión sobre la parte de talento de ingeniería? Habla con un CTO que pueda modelar la mezcla in-house vs. nearshore vs. flexible para tu etapa específica.
