La mitad de los proyectos de IA generativa ya muere tras el POC. Solo una de las cuatro causas es de seguridad.

En julio de 2024 Gartner previó que al menos el 30 % de los proyectos de IA generativa se abandonaría tras la prueba de concepto antes de acabar 2025. Cerrado el año, la cifra que publicó fue al menos el 50 %. Las cuatro causas no habían cambiado en dieciocho meses: mala calidad de los datos, controles de riesgo insuficientes, costes crecientes y valor de negocio poco claro. La mitad de los proyectos, las mismas cuatro causas, y todavía no he conocido a nadie en un banco, una aseguradora o una administración autonómica española a quien el número le sorprendiera.

Construyo y opero sistemas de IA para empresas que tienen que defenderlos ante un regulador. Este verano estuve en una sala donde una administración pública nos hizo siete preguntas antes de dejarnos tocar una línea de su código. Ninguna de las siete era sobre el modelo. Las siete eran sobre el perímetro: adónde va el código, dónde corre la inferencia, quién aprueba un cambio, qué queda registrado. Desde ese asiento escribo, y por eso leo las cuatro causas de Gartner de otra manera que como circulan por las presentaciones. Solo una de las cuatro es de seguridad. Las cuatro se pagan en el perímetro.

El 30 % de Gartner se convirtió en un 50 % en dieciocho meses, y las cuatro causas no se movieron

La trayectoria está documentada con palabras de Gartner. La nota de prensa de julio de 2024 preveía el 30 % y citaba «poor data quality, inadequate risk controls, escalating costs or unclear business value». La continuación de 2026, «Why Half of GenAI Projects Fail», informa de que al final de 2025 al menos la mitad había sido abandonada tras la fase de prueba de concepto, y enumera las mismas cuatro causas, en el mismo orden.

Un número que se duplica mientras sus causas siguen fijas habla de dónde se construyen los proyectos, no de la tecnología. Los modelos mejoraron en esos dieciocho meses más que en cualquier periodo comparable que yo haya trabajado, y la tasa de abandono subió igualmente. Una prueba de concepto que funciona técnicamente y aun así hay que abandonar se construyó en un sitio donde no podía quedarse. Ya he contado la versión americana de esta historia — el 95 % del MIT y el forward-deployed engineer —, donde el piloto muere en el despliegue porque nadie estaba dentro del flujo de trabajo. La versión española y regulada tiene una dirección más concreta.

En España, el 96 % considera «clave» la IA privada y soberana. El 29 % está haciendo algo al respecto.

El Informe global de IA 2026 de NTT DATA, publicado el 31 de agosto de 2026 a partir de una encuesta a unos 5.000 decisores, 75 de ellos directivos españoles, lo resume en dos cifras: el 96 % de las organizaciones en España considera que la IA privada y soberana es clave en su estrategia, y el 97 % afirma estar valorando trasladar infraestructuras de IA a ubicaciones geográficas concretas por motivos geopolíticos. A escala global, solo el 29 % prioriza la IA soberana a corto plazo y toma medidas concretas. Las barreras que citan los encuestados españoles son la regulación (28 %), la inversión necesaria (27 %), la complejidad técnica (24 %) y la falta de talento especializado.

«El estado de la IA en las empresas 2026» de Deloitte España (más de 3.200 directivos de 24 países) dice lo mismo desde el lado del cumplimiento: el 49 % de las empresas españolas identifica la regulación y la gobernanza como una de sus principales barreras, y el 70 % muestra una preocupación alta o muy alta por el uso de sus datos propietarios.

El sector financiero lo dice con sus palabras. En un desayuno ejecutivo de AI-Network en Madrid, el 10 de junio de 2026, con Santander, CaixaBank Tech, Bankinter, Singular Bank y MásOrange Seguros en la mesa, la conclusión compartida fue que «el gran reto ya no es probar la tecnología, sino llevarla a producción de forma segura, eficiente y alineada», y que la nube privada y los entornos on-premise «vuelven a ganar protagonismo» por control de costes, seguridad desde el diseño y soberanía del dato. Dos meses después, un directivo de Mapfre contaba a Cinco Días que la aseguradora había descartado casos de IA «por seguridad de la información o sesgos del modelo», y prefería no dar ejemplos.

La distancia entre el 96 y el 29 no es indecisión. Es una cola: casos de uso que ya han terminado su prueba de concepto y esperan una entrada que no consiguen. La entrada tiene nombre. En una empresa regulada española, el perímetro es el conjunto de cosas que tienes que poder enseñar: identidad y accesos de cada componente; datos que no salen de la jurisdicción ni de las condiciones del DPO; claves de cifrado que custodias tú; un registro que un supervisor pueda leer; una entrada en el registro de proveedores — el registro de información de DORA en las entidades financieras, el ENS en las administraciones —; un techo de coste; y una salida documentada.

Solo una de las cuatro causas es de seguridad. Las cuatro se pagan en el perímetro.

Esta es mi lectura, desde el asiento del que construye, de lo que significan las cuatro etiquetas de Gartner cuando el proyecto es español y regulado. Gartner no hace este argumento; no puedo demostrarlo con sus datos, y lo digo. Pero he visto ocurrir cada una de las cuatro, y ocurrieron en el mismo sitio.

• Calidad de los datos. La demo corrió con los datos que te dejaron exportar: una muestra, un extracto anonimizado, el CSV del trimestre pasado. Producción corre con el sistema de registro que no puedes exportar. Lo que se archiva como «mala calidad de datos» es, en la mayoría de las salas donde he estado, «los datos que la prueba de concepto nunca vio».
• Controles de riesgo. La que todo el mundo cita: prompts que salen del país, un proveedor con derecho contractual a entrenar con tus entradas, ningún rastro de auditoría en un formato que el supervisor acepte.
• Costes crecientes. Una prueba de concepto tarificada por token sobre una API pública parece barata al volumen de una demo. Al ritmo de un banco, la factura crece con el uso y queda fuera de tu control. La encuesta de VMware de junio de 2026 a 1.800 decisores de TI — investigación de un fabricante, así que descuéntala — sitúa al 56 % ejecutando o planificando inferencia en producción en una nube privada, al 62 % preocupado por los costes y al 51 % repatriando cargas de IA por seguridad (The Next Platform, 1 de septiembre de 2026).
• Valor de negocio poco claro. El valor se mide donde corre el flujo de trabajo. Una prueba de concepto que nunca tocó el flujo real no puede producir un número que alguien ya reporte, y un número que nadie reporta es un valor que nadie se cree.

Le pondría nombre al patrón, porque una cosa con nombre es una cosa que un comité de dirección puede meter en el orden del día: deuda de perímetro, el trabajo que aplazas cuando construyes la prueba de concepto fuera de los controles dentro de los que tendrá que vivir. Como la deuda técnica, genera intereses. A diferencia de la deuda técnica, vence en un solo plazo: el día en que alguien pide el pase a producción. El 50 % de Gartner es, desde donde yo lo veo, deuda de perímetro que se está cobrando.

La residencia ya se compra con un pedido. El perímetro sigue siendo ingeniería.

Si el perímetro fuera solo dónde viven los bytes, 2026 lo habría resuelto. La European Sovereign Cloud de AWS entró en servicio el 15 de enero, operada exclusivamente por residentes en la UE. La Sovereign Private Cloud de Microsoft sobre Azure Local añadió a principios de 2026 la operación totalmente desconectada, air-gapped. Telefónica Tech y Google Cloud lanzaron el 28 de mayo una oferta soberana para España con las claves de cifrado en manos de Telefónica. La Comunidad de Madrid empezó a desplegar el 20 de agosto su propia nube soberana de IA en Alcalá de Henares. VMware lanzó Private AI Cloud el 1 de septiembre. «Nuestros datos se quedan en la UE» es hoy una línea de pedido que compras puede cerrar en una tarde.

Lo que el pedido no compra es el resto de la lista: el caso de uso reconstruido dentro de esos controles, la inferencia operada con tus claves, las evals como suite de regresión que un supervisor pedirá ver, la entrada en el registro, el runbook, la salida. El argumento largo lo hice al leer el paper de soberanía de Sergio Cruzes: la residencia es la capa legal, y la capa legal es la fácil. Ocho meses de lanzamientos la han hecho todavía más fácil. No han tocado la capa operativa, y ahí es donde se expide la entrada.

La cifra que juega en contra: parte de esos proyectos tenía que morir

Una prueba de concepto existe para poder matarla. El 50 % de Gartner incluye proyectos abandonados con razón por datos, coste o valor, y abandonar una prueba de concepto sobre criterios escritos es el proceso funcionando, no fallando. Otras dos cifras juegan contra mi tesis y tienen que estar en la sala. El 95 % del MIT mide una ventana de cuenta de resultados que las tecnologías maduras incumplen con frecuencia. Y el State of AI 2026 de McKinsey (agosto de 2026) sitúa en el 37 % a los encuestados que atribuyen algún impacto en el EBIT a la IA y en el 6 % a los de alto rendimiento, ambos sin cambios respecto al año anterior, lo que dice que los ganadores son pocos hayan resuelto o no el perímetro. El perímetro no es toda la historia. Es la parte de la historia que una empresa regulada en España controla.

Una aclaración antes de las recomendaciones: Conectia vende producción dentro del perímetro — inferencia privada en tu región con tus claves, pruebas de concepto con criterios de éxito escritos —, así que el diagnóstico y la oferta apuntan en la misma dirección. Descuéntalo, y después comprueba las fuentes de arriba, que no son mías.

El fallo que señalo es más estrecho que «la mitad de los proyectos de IA generativa fracasa». Es la prueba de concepto que no se puede juzgar porque nunca corrió dentro: la que se mata por una sensación, porque los números que habría necesitado vivían al otro lado del muro.

Qué haría este trimestre con un caso de uso en una empresa regulada

1. Escribir el perímetro antes que el prompt. Una página: qué datos, en qué sistema, bajo qué condiciones; dónde corre la inferencia y qué claves la cifran; quién aprueba un cambio; qué se registra y en qué formato; qué dirá la entrada del registro de proveedores (el artículo 28 de DORA si eres entidad financiera, el ENS si eres administración).
2. Ejecutar la prueba de concepto dentro desde el primer día. Identidad y accesos reales, datos reales bajo las reglas del DPO, inferencia en tu región con tus claves. Si un proveedor no puede correr ahí, eso es un hallazgo de la prueba, no un obstáculo.
3. Acotarla en el tiempo con los criterios escritos antes del primer commit. Tres semanas, criterios de éxito en papel, una fecha de cierre. Una prueba de concepto sin fecha de cierre no espera producción: espera la revisión de presupuesto.
4. Medir donde corre el flujo de trabajo. Un número que alguien ya presenta al consejo. O la causa «valor poco claro» se disuelve o se confirma, y los dos resultados valen las tres semanas.
5. Escribir la salida en el arranque. Código y runbooks tuyos, cláusula de no entrenamiento, salida documentada. Son los mismos campos que pide el registro, así que los vas a escribir igualmente: mejor en la primera semana que en la auditoría.

Cinco cifras para llevar a la sala

• Al menos el 50 % de los proyectos de IA generativa se abandonó tras la prueba de concepto antes de acabar 2025, frente al 30 % previsto, por las mismas cuatro causas (Gartner, 2024 y 2026).
• El 96 % de las organizaciones españolas considera clave la IA privada y soberana; el 29 % a escala global actúa a corto plazo (NTT DATA, Informe global de IA 2026, 31 de agosto de 2026).
• El 49 % de las empresas españolas cita la regulación y la gobernanza como barrera principal; el 70 % muestra una preocupación alta o muy alta por el uso de sus datos propietarios (Deloitte España, 2026).
• El 56 % de los decisores de TI ejecuta o planifica inferencia en producción en una nube privada; el 51 % repatría cargas de IA por seguridad (encuesta de VMware, junio de 2026; investigación de fabricante).
• El 37 % atribuye algún impacto en el EBIT a la IA y el 6 % es de alto rendimiento, sin cambios interanuales (McKinsey, State of AI, agosto de 2026).

El número se duplicó y las causas no se movieron porque las causas nunca fueron el modelo. Fueron el muro entre la sala donde corre la demo y la sala donde vive la empresa, y quién hace la ingeniería para cruzar el caso de uso al otro lado. Si tienes un caso de uso esperando en ese muro, habla con un CTO: trae la página del paso uno y empezamos por ahí.