Quantum-ready: el plan pragmático de un CTO para la próxima disrupción
La computación cuántica ocupa un lugar incómodo en el mapa mental del CTO. Todo el mundo coincide en que será transformadora. Nadie coincide en cuándo. Las estimaciones de gente seria van desde "impacto comercial significativo en 3–5 años" hasta "los ordenadores cuánticos tolerantes a fallos útiles están todavía a una década". La respuesta honesta es, probablemente, que las capacidades cuánticas útiles llegarán de forma desigual — unas aplicaciones antes que otras — y que las organizaciones preparadas capturarán un valor desproporcionado cuando lo hagan.
El problema de ese encuadre es que "estar preparado" suena abstracto. ¿Qué hace hoy, en concreto, un CTO para preparar a su organización ante algo que podría ser transformador dentro de cinco años o de diez?
Hay respuestas reales, y las escribo desde el asiento del operador. He pasado años gestionando infraestructura enterprise donde un cambio criptográfico toca todos los sistemas a la vez — rotaciones de certificados, actualizaciones de TLS, gestión de claves — y "ya migraremos más adelante" es, con una regularidad asombrosa, la forma en que las organizaciones acaban expuestas. Algunas de las respuestas son urgentes (las de criptografía). La mayoría son baratas de empezar ahora y caras de empezar después. Este es el plan de preparación que le daría a un CTO colega — las cosas concretas que haría en 2025 y 2026, sin quemar presupuesto en proyectos de laboratorio que no darán fruto en años.
Qué cambia la cuántica de verdad
Antes del plan, una visión realista de lo que la computación cuántica hará y de lo que no.
Con el tiempo, la cuántica superará con mucho a la computación clásica en:
- Ciertos problemas criptográficos (factorización de números grandes, logaritmos discretos) — este es el modelo de amenaza inmediato para la criptografía de clave pública actual.
- Simulación de sistemas cuánticos — química, ciencia de materiales, descubrimiento de fármacos, física.
- Problemas de optimización específicos — clases concretas de optimización combinatoria donde los algoritmos cuánticos han demostrado ventaja.
- Ciertos problemas de búsqueda y muestreo — el algoritmo de Grover, muestreo con mejora cuántica, aplicaciones específicas de ML.
La cuántica no sustituirá a la computación clásica en:
- La mayoría de las cargas de trabajo de propósito general
- Operaciones de base de datos, servicio web, lógica de negocio estándar
- La mayor parte del machine learning (las cargas de IA/ML seguirán siendo fundamentalmente clásicas en el futuro previsible)
- Almacenamiento y transferencia de datos
La cuántica es un acelerador especializado para clases concretas de problemas — algo análogo a cómo las GPUs aceleran cargas de trabajo específicas. No es un sustituto de propósito general de las CPUs.
Este encuadre importa para el plan. No te estás preparando para "moverlo todo a cuántica". Te estás preparando para aprovechar la cuántica donde aporta valor y protegerte de ella donde amenaza.
La parte urgente: criptografía post-cuántica
La parte de la preparación cuántica que sí es urgente es la criptográfica. La criptografía de clave pública actual (RSA, ECC, Diffie-Hellman) se vuelve vulnerable a ataques cuánticos. Cuando aparezcan ordenadores cuánticos útiles, los datos cifrados quedarán expuestos — incluidos los datos cifrados hoy, que un adversario puede almacenar ahora y descifrar más tarde ("harvest now, decrypt later").
La presión temporal:
- El NIST finalizó en 2024 el primer conjunto de estándares de criptografía post-cuántica (PQC): ML-KEM, ML-DSA y SLH-DSA.
- La presión regulatoria y de la industria para adoptar PQC va en aumento.
- Los sistemas federales de EE.UU. tienen plazos de migración en el entorno de 2030; los requisitos del sector privado vienen detrás.
- Los datos de alto valor cifrados hoy con criptografía clásica ya son cosechables.
El trabajo del CTO en 2025:
1. Inventariar el uso criptográfico
No puedes migrar lo que no sabes que tienes. El primer paso es un inventario sistemático:
- ¿Qué sistemas usan criptografía de clave pública? (TLS, SSH, firma, cifrado)
- ¿Qué librerías implementan esa criptografía? (OpenSSL, BoringSSL, JDK, librerías propias de cada lenguaje)
- ¿Dónde hay datos sensibles de larga vida cifrados? (Backups, archivos históricos, datos de clientes)
- ¿Con qué sistemas externos te integras, y qué criptografía usan?
A la mayoría de las organizaciones les sorprende cuánta superficie criptográfica tienen. El inventario es un proyecto en sí mismo — no es rápido, pero es fundacional.
2. Identificar el déficit de crypto-agility
La crypto-agility es la propiedad de poder cambiar de algoritmo criptográfico sin reescribir las aplicaciones que lo usan. La mayoría del código existente no es crypto-ágil: los algoritmos están hardcodeados, los formatos de clave se dan por supuestos, los protocolos vienen fijados de fábrica.
El trabajo de preparación: refactorizar los sistemas hacia abstracciones que permitan intercambiar algoritmos. Es un trabajo que compensa con independencia de la cuántica — es arquitectura más limpia — pero que se vuelve imprescindible para la migración a PQC.
3. Pilotar criptografía híbrida
La criptografía "híbrida" combina algoritmos clásicos y post-cuánticos. Si cualquiera de los dos aguanta, los datos quedan protegidos. Es el patrón de transición recomendado para el periodo 2025–2028.
Los navegadores ya incorporan TLS híbrido (el intercambio de claves X25519MLKEM768 de Chrome, el sucesor sobre ML-KEM de su anterior híbrido con Kyber). Las grandes plataformas están desplegando soporte. Los CTOs deberían estar pilotando TLS híbrido en sus propios sistemas en 2025, sobre todo para aprender las implicaciones operativas antes de que sea obligatorio.
4. Planificar la hoja de ruta de migración
La migración completa a PQC llevará años. La mayoría de las organizaciones deberían planificar:
- Corto plazo (2025–2026): inventario, crypto-agility, TLS híbrido en sistemas seleccionados
- Medio plazo (2026–2028): despliegue híbrido en la mayoría de los sistemas, PQC puro para casos de uso concretos de alto valor
- Largo plazo (2028–2032): migración completa a PQC a medida que los estándares maduran y el soporte del ecosistema se consolida
El dato clave para la hoja de ruta es la sensibilidad de tus datos: lo que necesita protección durante más de 10 años debe migrarse antes que lo que tiene ventanas de sensibilidad más cortas.
Esta es la parte accionable de la preparación cuántica. El resto es preparación para la oportunidad, no defensa frente a la amenaza.
La parte de oportunidad: aplicaciones cuánticas
Los casos de uso donde la cuántica podría generar valor comercial se concentran en unos pocos dominios. Para la mayoría de los CTOs, la postura correcta es vigilar, no desarrollar activamente. Pero vigilar con criterio gana a ignorar.
Dónde es más probable que la cuántica importe primero
Farmacéuticas y ciencia de materiales: la simulación cuántica de moléculas y materiales es una de las aplicaciones más prometedoras a corto plazo. Si tu empresa se dedica al descubrimiento de fármacos, la ingeniería de materiales o la química, la cuántica ya merece atención estratégica.
Servicios financieros: la optimización de carteras, el análisis de riesgo y la valoración de ciertos derivados son candidatos a ventaja cuántica. Varios grandes bancos han contado públicamente que ejecutan experimentos cuánticos.
Logística y cadena de suministro: ciertos problemas de optimización combinatoria (rutas, planificación, asignación) tienen ventaja cuántica potencial, aunque los algoritmos clásicos también mejoran deprisa.
Aplicaciones específicas de ML: el muestreo con mejora cuántica y algunos métodos de machine learning cuántico pueden aportar ventaja en contextos especializados.
Criptoanálisis (adversarial): la principal "aplicación" a corto plazo que importa a los defensores es que los adversarios usarán la cuántica para romper la criptografía clásica.
Si tu negocio está en uno de estos dominios, la cuántica merece vigilancia activa — no como curiosidad del CTO, sino como capacidad estratégica. Si tu negocio está en SaaS, e-commerce o la mayoría de los sectores tecnológicos generales, las aplicaciones cuánticas son una preocupación de horizonte más largo.
La disciplina de vigilancia
Para la mayoría de los CTOs, "vigilar" la cuántica significa:
- Un responsable designado del seguimiento de capacidad cuántica — una persona (posiblemente a tiempo parcial) que sigue el estado del campo, informa trimestralmente al CTO y hace aflorar las implicaciones para el negocio.
- Una revisión trimestral ligera — ¿qué ha pasado este trimestre? ¿Algún avance? ¿Algún anuncio relevante de proveedor? ¿Alguna implicación para nuestra hoja de ruta?
- Relaciones con el ecosistema cuántico — conexiones informales con proveedores (IBM, Google, IonQ, D-Wave y otros), grupos académicos de tu región o consultoras especializadas. Lo justo para estar al tanto de las novedades, sin que exija inversión continua.
Es un overhead mínimo que te mantiene lo bastante informado para actuar cuando actuar esté justificado.
Qué empezar ya (a bajo coste)
Lo que un CTO debería empezar en 2025 porque hoy es barato y mañana será caro:
Atención al talento
Los ingenieros con experiencia en computación cuántica son escasos. Las universidades y los programas especializados los producen despacio. Si la cuántica llega a ser estratégica para tu negocio, el talento será el cuello de botella.
Acciones de bajo coste:
- Identifica 1–2 ingenieros de tu equipo con interés y dales oportunidades de exposición (hackathons cuánticos, cursos online, programas de proveedores).
- Sigue los programas académicos que producen talento quantum-ready en tus regiones de contratación.
- Mantén vivas las relaciones con consultoras especializadas que puedan complementar la capacidad interna cuando haga falta.
Marco de experimentación
Todavía no necesitas un equipo cuántico dedicado. Sí necesitas la capacidad de ejecutar experimentos pequeños cuando surjan casos de uso.
Acciones de bajo coste:
- Abre cuentas con uno o dos proveedores de cloud cuántico (IBM Quantum, AWS Braket, Azure Quantum) — pago por uso, sin coste recurrente.
- Designa capacidad de experimentación (un pequeño porcentaje del tiempo de un ingeniero) para ejecutar pruebas de viabilidad sobre casos de uso candidatos.
- Cultiva la relación con los programas de asesoría cuántica de los proveedores.
Pensamiento híbrido clásico-cuántico
La mayoría de las aplicaciones cuánticas a corto plazo serán sistemas híbridos clásico-cuánticos. Los patrones de diseño para componer cargas clásicas y cuánticas están emergiendo. Los CTOs que entiendan esos patrones se moverán más rápido cuando llegue el momento.
Acciones de bajo coste:
- Lee la documentación de los proveedores sobre cargas híbridas (IBM Qiskit Runtime, AWS Braket Hybrid Jobs, Azure Quantum Workspace).
- Entiende los patrones de API de los servicios de cloud cuántico — aunque nunca los uses directamente, entender las interfaces importa.
Qué evitar
Dónde malgastan presupuesto los CTOs con la cuántica:
Montar equipos internos de investigación cuántica demasiado pronto
Salvo que la cuántica sea el núcleo de tu negocio, contratar un equipo cuántico dedicado en 2025 es prematuro. El coste es alto, el talento es escaso y, para la mayoría de los sectores, las aplicaciones comerciales que justificarían el equipo siguen lejos.
Caer en el quantum-washing
Algunos proveedores venden como "cuánticos" productos que en realidad son algoritmos clásicos de inspiración cuántica, o donde la capacidad cuántica existe pero no está integrada de forma significativa en el producto. Evalúa las afirmaciones cuánticas con los mismos criterios que cualquier otra afirmación de proveedor: capacidad concreta, resultado medible, madurez para producción.
Sobreinvertir en la migración criptográfica antes de tiempo
Aunque la PQC es urgente, sobredimensionar la migración es contraproducente. Sigue los patrones recomendados por el NIST, adopta la criptografía híbrida en un orden sensato y evita construir soluciones propietarias. Los estándares se están estabilizando; apóyate en ellos.
Confundir computación cuántica con sensórica o redes cuánticas
La sensórica cuántica (medición de precisión) y las redes cuánticas (incluida la distribución cuántica de claves) son campos distintos de la computación cuántica. Tienen niveles de madurez diferentes, aplicaciones diferentes y una relevancia distinta según el sector. No los mezcles.
El modelo de preparación a cinco años
Un modelo realista de preparación para 2025–2030:
2025:
- Inventario criptográfico completado
- Refactorización hacia crypto-agility iniciada en los sistemas críticos
- TLS híbrido pilotado
- Responsable de vigilancia cuántica nombrado
2026:
- Criptografía híbrida desplegada en la mayoría de los sistemas
- Primer experimento de viabilidad cuántica en tu sector (si lo hay)
- Comprensión básica de las implicaciones cuánticas en toda la ingeniería senior
2027:
- PQC puro para las cargas de mayor sensibilidad
- Vigilancia estratégica activa con informes trimestrales a nivel C
- Inversiones selectivas en talento donde el sector lo justifique
2028–2029:
- Migración completa a PQC en marcha
- Si el sector lo justifica: casos de uso cuánticos limitados en producción para cargas concretas
- Patrones de integración establecidos para sistemas híbridos clásico-cuánticos
2030+:
- PQC como base en toda la organización
- Aplicaciones cuánticas comerciales en los casos de uso relevantes del sector
- Talento y capacidad para explotar la ventaja cuántica donde exista
Es una década de trabajo. La mayor parte es barata o gratis. Las partes urgentes (PQC) son las que tocan ahora.
La petición concreta para este trimestre
Si eres un CTO que no ha hecho nada en preparación cuántica, esto es lo que yo haría este trimestre:
- Nombra un responsable del inventario criptográfico. Define el alcance del inventario. Presupuesta el 20% de su tiempo durante 90 días.
- Lee la documentación PQC del NIST. Entiende los tres algoritmos (ML-KEM, ML-DSA, SLH-DSA) y sus casos de uso.
- Identifica los 3 sistemas de tu stack más expuestos al riesgo "harvest now, decrypt later".
- Nombra un responsable de vigilancia cuántica para el seguimiento continuo. Presupuesta el 10% de su tiempo.
- Pilota TLS híbrido en un sistema de producción no crítico para aprender las implicaciones operativas.
Son acciones concretas, alcanzables y baratas. Te posicionan para el trabajo de verdad que vendrá después.
Por qué esto importa más de lo que parece
La computación cuántica está probablemente a más de 5 años de una relevancia comercial amplia. La criptografía post-cuántica ya es urgente. El talento quantum-ready es escaso hoy y seguirá siéndolo. Los patrones de integración de los sistemas híbridos cuántico-clásicos se van a definir en los próximos 24 meses.
Los CTOs que ignoren la cuántica por completo no sufrirán en 2025 ni en 2026. Descubrirán en 2028 o 2029 que su criptografía está estructuralmente expuesta y que su sector ya ha desarrollado una capacidad especializada en aplicaciones cuánticas que ellos no tienen. Para entonces, ponerse al día sale caro.
Los CTOs que hagan ahora una preparación modesta y estructurada estarán listos cuando aparezca la oportunidad. El coste de prepararse es bajo. El coste de no estarlo, cuando importe, es mucho más alto.
¿Estás abordando la migración a criptografía post-cuántica o montando capacidad de experimentación cuántica y necesitas ingenieros con competencias criptográficas modernas? Habla con un CTO sobre desplegar un squad nearshore centrado en el trabajo de modernización criptográfica que tu hoja de ruta necesita.
