Dónde gastar en 2025: un framework de CTO para repartir el presupuesto de TI con criterio
La mayoría de las conversaciones presupuestarias de los CTOs en Q1 suenan igual. Finanzas pide un Excel. Ingeniería pide más headcount. El CEO pregunta por la IA. Alguien del consejo pregunta por qué las partidas de ciberseguridad no dejan de crecer. Y se espera que el CTO traduzca todo eso en un plan defendible: técnicamente sólido, comercialmente justificado y capaz de sobrevivir a la política interna.
He vivido esta conversación desde la silla del CTO, y el problema no es que los CTOs no sepan gastar el dinero. Es que el panorama ha cambiado tan rápido que la lógica de asignación del año pasado ya está obsoleta. El manual de 2023 — montar un squad de cloud, contratar a dos ingenieros de ML, comprar un SIEM — no encaja en un mundo donde la GenAI reescribe las decisiones de build-vs-buy cada trimestre y los agentes autónomos son una partida presupuestaria, no un proyecto de laboratorio.
Casi todos los CTOs y CIOs con los que hablo tienen algo en común este año: el presupuesto sube. Las previsiones del sector sitúan el crecimiento del gasto global de TI en torno al 4% interanual. Pero la subida es desigual, y la historia real está en hacia dónde se desplaza ese dinero.
Por qué 2025 es diferente de 2024
Tres cambios estructurales han roto los frameworks de asignación antiguos:
La GenAI pasó de experimento a coste operativo. En 2023, la IA generativa era una partida exploratoria — proyectos piloto, formación de equipos, algunos créditos de API. En 2025, es un coste recurrente de infraestructura: gasto en APIs de LLM, hosting de bases de datos vectoriales, herramientas de desarrollo aumentadas con IA (Copilot, Cursor, Claude Code), plataformas de gobernanza y, cada vez más, fine-tuning de modelos propios. Lo que era I+D ahora es OpEx.
La ciberseguridad se volvió estructuralmente más cara. Las estimaciones sitúan el coste del cibercrimen en torno al 1% del PIB mundial. El coste de protegerse crece más rápido que el coste de atacar porque los defensores necesitan sistemas en capas mientras que a los atacantes les basta una sola vía de explotación. El presupuesto de seguridad ya no es un porcentaje fijo del gasto de TI — escala con la superficie de ataque, que crece cada vez que lanzas una nueva integración, API o agente de IA.
La deuda técnica se acumuló durante la expansión de la era ZIRP. Los equipos que entregaron rápido entre 2020–2023 ahora están pagando la factura. La refactorización, la modernización y la retirada de sistemas legacy están pasando de "cosas que haremos cuando tengamos tiempo" a "cosas que bloquean nuestro roadmap de IA". La deuda técnica ya es una categoría presupuestaria, no un elemento aspiracional del backlog.
Si tu asignación de 2025 se parece a la de 2024, o estás invirtiendo poco en IA, o estás infrafinanciando la seguridad, o estás ignorando una deuda que costará más el año que viene. Normalmente, las tres cosas a la vez.
Un framework es una disciplina para forzar trade-offs, no un reparto porcentual
El framework correcto no es una división porcentual rígida — es un conjunto de categorías, una lógica de ponderación que se ajusta a la etapa de la empresa y una disciplina para forzar trade-offs. Esta es la estructura que uso en la mayoría de contextos de startup y scale-up.
Cinco categorías, ponderadas por madurez
| Categoría | Etapa temprana (pre-Serie A) | Etapa de crecimiento (Serie A–B) | Mid-market |
|---|---|---|---|
| Run-the-business (infra, SaaS, plataforma) | 25–30% | 30–35% | 35–40% |
| Talento de ingeniería (salarios, contractors, nearshore) | 40–50% | 35–45% | 30–35% |
| IA y tecnología emergente (GenAI, agentes, infra) | 10–15% | 15–20% | 15–20% |
| Ciberseguridad y cumplimiento | 5–10% | 8–12% | 10–15% |
| Deuda técnica y modernización | 5–10% | 5–10% | 10–15% |
Son cifras orientativas, no prescriptivas. Lo que importa es la disciplina de meter cada partida en uno de estos buckets y defender su porcentaje frente a los otros cuatro.
Las preguntas que fuerzan una asignación honesta
Antes de fijar cualquier número, pasa cada bucket por las mismas tres preguntas:
- ¿Qué gastamos aquí en 2024, y qué obtuvimos? Si no puedes describir el resultado, no estás midiendo bien — y probablemente gastaste de más.
- Si lo recortamos un 25%, ¿qué deja de funcionar exactamente? Si la respuesta es vaga, el presupuesto está inflado. Si la respuesta da miedo, la categoría está estructuralmente infrafinanciada.
- Si lo duplicamos, ¿adónde iría el siguiente dólar? Esto revela si la categoría tiene oportunidad real de expansión o solo consumo latente.
No son preguntas de finanzas. Son preguntas de CTO — y las respuestas suelen ser lo bastante incómodas como para que la mayoría de equipos directivos las esquive.
Categoría 1 — Run-the-business: el mayor riesgo oculto
Esta es la categoría donde el presupuesto se infla en silencio. Facturas de cloud, suscripciones SaaS, plataformas de observabilidad, infraestructura de CI/CD, licencias — estas partidas crecen con el headcount y el uso, pero rara vez se reevalúan.
La disciplina de 2025:
- FinOps no es opcional. Si gastas más de $20K/mes en cloud y no tienes un responsable designado de FinOps (aunque sea el 20% del tiempo de una persona), estás perdiendo un 15–30% por despilfarro. Reserved instances sin optimizar. Recursos huérfanos. Entornos no productivos sobredimensionados.
- Auditoría de SaaS cada seis meses. Las herramientas se compran y se olvidan. Plataformas de analytics redundantes, infraestructura de test abandonada, herramientas de gestión de proyectos que perdieron la batalla interna. Elimínalas.
- Consolida la observabilidad. Datadog + New Relic + PagerDuty + tres plataformas de logs + un stack de Grafana suma. Elige una principal y negocia.
La heurística: Run-the-business debería crecer más despacio que los ingresos. Si crece más rápido, hay una fuga en alguna parte.
Categoría 2 — Talento de ingeniería: donde la lógica de asignación se rompe
Salarios, beneficios, contractors, colaboraciones nearshore, consultoría — este suele ser el bucket más grande, y el más difícil de optimizar sin quedarte corto de recursos o pagar de más.
El patrón malo es tratar el talento como un coste fijo que escalas linealmente con la ambición de producto. El patrón bueno es ajustar el modelo de talento a la forma de la carga de trabajo:
- Contrataciones senior permanentes para el trabajo de plataforma central — decisiones de arquitectura, sistemas críticos de seguridad, el código del que nadie más debería ser dueño.
- Extensión de equipo nearshore para velocidad sostenida — entrega de features, servicios de soporte, flujos de trabajo escalables que necesitan criterio senior pero no exigen permanencia en plantilla.
- Squads dedicados para iniciativas acotadas — una nueva línea de producto, un proyecto de modernización, un programa de integración de IA de seis meses. Un equipo completo que se despliega, coge ritmo y se retira cuando termina.
- Expertise fraccional para huecos especializados — seguridad, cumplimiento, dominios concretos de ML — que no justifican una contratación a tiempo completo.
El cambio en 2025: más CTOs están combinando estos modelos de forma deliberada en lugar de caer por defecto en "contratar a todos in-house". En mi experiencia, una mezcla bien diseñada reduce el coste total un 30–50% mientras aumenta la capacidad de entrega, porque dimensionas cada colaboración a la carga de trabajo real en lugar de mantener capacidad fija para una demanda variable.
El contraargumento honesto: un modelo mixto añade sobrecarga de coordinación, y una mezcla mal gestionada cuesta más que el equipo in-house al que sustituyó. La mezcla solo gana si alguien es dueño de las costuras — interfaces, guardias, propiedad del código. Si nadie lo es, contrata in-house y asume el sobreprecio.
La heurística: Si no puedes justificar por qué cada rol es permanente en lugar de flexible, probablemente no debería serlo.
Categoría 3 — IA y tecnología emergente: la categoría en la que todos gastan de más o de menos
Esta es la categoría más volátil de 2025. Algunas empresas están gastando $500K/año en infraestructura de GenAI para features que los usuarios no han pedido. Otras siguen tratando la IA como un problema ajeno mientras sus competidores lanzan productos AI-native.
El framework que separa el gasto útil en IA del teatro:
Tier 1 de gasto: productividad del desarrollador (mayor ROI, menor riesgo).
- Asistentes de coding con IA en toda la organización de ingeniería (Copilot, Cursor, Claude Code, Codeium)
- Herramientas aumentadas con IA para testing, review y documentación
- Coste típico: $20–$80 por desarrollador al mes
- Resultado esperado: ganancia de velocidad del 20–40% en tareas bien definidas, medible en 60 días
Tier 2 de gasto: integración en producto (riesgo medio, ROI variable).
- Presupuesto de APIs de LLM para features de cara al usuario
- Base de datos vectorial, retrieval e infraestructura de RAG
- Plataformas de gestión y evaluación de prompts
- Coste típico: muy variable, pero debería tener un impacto medible en los unit economics
- Resultado esperado: features concretas y acotadas que mejoran métricas core de producto
Tier 3 de gasto: trabajo con modelos propios (mayor riesgo, ROI especulativo).
- Fine-tuning, pre-entrenamiento propio, modelos específicos de dominio
- Talento especializado de ML
- Reservas de GPU
- Coste típico: $100K+ como mínimo, a menudo 7 cifras
- Resultado esperado: indefinido salvo que estés construyendo un moat concreto
La disciplina es tier 1 primero, tier 2 cuando hay un caso de uso probado, tier 3 solo cuando tienes el caso de negocio y el talento para ejecutarlo. La mayoría de empresas debería asignar el 60% del presupuesto de IA al tier 1, el 30% al tier 2, y o bien el 10% o bien el 0% al tier 3.
La heurística: Si tu presupuesto de IA es mayoritariamente tier 3 y no eres una empresa de IA, estás construyendo proyectos de laboratorio, no producto.
Categoría 4 — Ciberseguridad: la conversación presupuestaria que nadie gana
El presupuesto de seguridad es ese en el que cada stakeholder tiene un modelo mental distinto. El CEO quiere "lo suficiente para dormir tranquilo". El CFO quiere un porcentaje fijo. El consejo quiere cero incidentes. El equipo de seguridad quiere más. Ninguno de esos es un framework de asignación.
El encuadre útil para 2025:
- Suelo: controles base que cualquier empresa con más de 10 ingenieros debe tener. Gestión de identidad y accesos, protección de endpoints, escaneo de vulnerabilidades, SIEM o equivalente, plan de respuesta a incidentes, pentests trimestrales. Esto es innegociable y suele costar entre $50K y $200K al año según la complejidad del stack.
- Escala: controles que crecen con la superficie de ataque. Gestión de secretos, seguridad de APIs, cloud security posture management, DLP, gestión de riesgo de terceros, automatización de compliance. Escalan con tu superficie de integración.
- Estratégico: inversiones en defensa AI-native frente a amenazas. Detección basada en comportamiento, herramientas de SOC potenciadas por IA, sistemas de respuesta autónoma. Aquí es donde más rápido crecen los presupuestos de 2025 — y donde mucho gasto sigue siendo teatral en lugar de efectivo.
Antes de comprar cualquier herramienta de seguridad AI-native, hazte dos preguntas: (1) qué ataque previene que tu stack actual no previene, y (2) cuál es su tasa de falsos positivos sobre tus datos. Una herramienta que grita "que viene el lobo" 200 veces al día te costará más en horas de SOC de las que ahorra.
La heurística: El presupuesto de seguridad debería escalar con la superficie de ataque, no con el headcount. Nueva API = más presupuesto. Nueva integración de IA = más presupuesto. Nuevo régimen de cumplimiento = más presupuesto.
Categoría 5 — Deuda técnica: el bucket que nadie quiere defender
Pregunta a diez CTOs cuál es su mayor obstáculo y nueve te dirán que la deuda técnica. La mayoría no asigna nada específico para abordarla. Esa brecha es la razón más común por la que los roadmaps se retrasan en 2025.
El enfoque de 2025 que funciona:
- Dedica un porcentaje de la capacidad de ingeniería, no un presupuesto aparte. Un 15–25% de la capacidad del equipo en modernización, refactoring y retirada de deuda funciona mejor que un "sprint de deuda" cada seis meses.
- Mide el coste compuesto. Cada deploy bloqueado por deuda, cada pipeline lento, cada incidente con origen en código legacy es un número. Sígueles la pista y la deuda dejará de parecer una preocupación abstracta.
- Financia el trabajo de deuda igual que financias las features. Ingenieros asignados, resultados con seguimiento, impacto medible en velocidad o fiabilidad. El trabajo de deuda que no se mide no se hace.
La IA ha cambiado la economía de todo esto. Los asistentes de código modernos pueden acelerar el trabajo de deuda entre 2 y 4x en refactoring rutinario, mejoras de cobertura de tests y migraciones de lenguaje. Retirar deuda es más barato en 2025 que nunca. Pero eso no sirve de nada si no asignas tiempo para hacerlo.
La heurística: Si tu presupuesto de 2025 no tiene capacidad explícita para reducir deuda, tu presupuesto de 2026 va a ser más feo.
La disciplina de asignación que la mayoría de CTOs se salta
Una asignación presupuestaria vale lo que valga la disciplina de revisarla. El modo de fallo habitual es aprobar un plan en enero y no volver a mirarlo hasta noviembre.
La práctica que separa a los buenos CTOs de los grandes: revisiones trimestrales de reasignación con tres reglas.
- Vuelve a hacerte cada pregunta. ¿Qué gastamos aquí el trimestre pasado, y qué obtuvimos? Corta lo que no funcionó. Redobla la apuesta en lo que sí.
- Fuerza un re-ranking. Ordena las cinco categorías por retorno marginal esperado. Desplaza un 5–10% del presupuesto de abajo hacia arriba.
- Documenta los trade-offs. Cada movimiento tiene un coste. Decir sí a ciberseguridad significa decir no a otra cosa. Escribe qué sacrificaste, para recordar por qué cuando la conversación vuelva.
Esto no es burocracia financiera — es disciplina ejecutiva. Los CTOs que lo hacen son los que pueden defender su asignación ante cualquier stakeholder en cualquier trimestre. Los que no, son los que en Q4 explican por qué el presupuesto no entregó lo que prometieron en Q1.
Dónde importa de verdad el dinero en 2025
Si estás atascado en la parálisis de asignación, estas son las apuestas que yo haría primero:
- Asistentes de coding con IA en todo el equipo de ingeniería. No un piloto — un estándar. La ganancia de velocidad es medible y el coste es trivial comparado con los salarios de los ingenieros.
- Una función de FinOps, aunque sea fraccional. Si gastas más de $250K/año en cloud, se paga sola en un trimestre.
- Capacidad para deuda técnica, asignada de forma explícita. No una etiqueta en el backlog — un porcentaje real del tiempo del equipo, con seguimiento.
- Capacidad de ingeniería nearshore o flexible para picos de trabajo. El mercado de talento es demasiado caro y demasiado competitivo como para contratar solo plantilla permanente.
- Gestión de postura de seguridad que escale con tu superficie de integración. Las mayores brechas de 2025 no vendrán de ataques directos — vendrán de una integración de terceros o de una herramienta de IA que olvidaste incluir en tu modelo de amenazas.
El resto es ejecución.
¿Estás planificando tu asignación de 2025 y quieres una segunda opinión sobre la parte de talento de ingeniería? Habla con un CTO que pueda modelar la mezcla in-house vs. nearshore vs. flexible para tu etapa concreta.
