Errores al contratar consultoría IA: 8 red flags que te avisan antes de firmar

TL;DR

Hay un boom de "consultoras IA" que llevan 6 meses existiendo y venden propuestas de 40.000 € con tres slides de Canva. El director de PYME que recibe 4 ofertas no tiene cómo distinguir al consultor serio del oportunista que va a subcontratar todo a un junior en otro continente. Estas son las 8 red flags que se ven en propuestas reales en mayo de 2026 y que deberían frenar la firma:

• La propuesta no menciona qué pasa con tus datos.
• El equipo que te venden en la reunión no es el que ejecuta (bait & switch).
• "Todo a éxito" sin fee fijo de arranque ni penalización mutua.
• Demo genérica, sin POC con un subset de tus datos reales.
• No hay SLA ni soporte post-go-live en el contrato.
• Lock-in con tecnología propietaria, sin escape clause.
• No hay métricas de éxito numéricas, medibles y firmadas.
• No tienen casos públicos verificables, ni siquiera anonimizados.

Si una propuesta tiene tres o más, el riesgo de tirar 30-50.000 € a la basura es alto. Esta guía explica cómo detectar cada una en 20 minutos y qué exigir antes de firmar.

El escenario típico: 4 propuestas, 3 son humo

Un director de una PYME industrial de 40 personas decide en marzo de 2026 que necesita "implementar IA". Pide 4 propuestas. Llegan en tres semanas. Una son 18.000 €, otra 42.000 €, otra 95.000 € y la última "a éxito, solo pagas si funciona". Todas hablan de agentes, copilotos, RAG, automatización. Todas prometen ROI en 3 meses. Todas enseñan dos slides con logos de clientes conocidos al final.

El director no es técnico. Su CTO está saturado con la migración a Microsoft 365 y le dice "elige tú, yo no tengo tiempo de evaluar esto". El director compara precio y feeling de la primera reunión, firma con la de 42.000 €, y a los 5 meses descubre que el proyecto no ha llegado a producción, que el "senior con 12 años de experiencia" que le vendieron es un perfil junior que entró hace 8 meses, y que para salir del contrato tiene que pagar otros 8.000 € de "migración de datos". Este patrón se repite tanto que ya hay un nombre interno en algunas asesorías: proyectos IA que no llegan a producción.

La buena noticia: las 8 red flags que se describen abajo se detectan leyendo la propuesta y haciendo 6 preguntas concretas en la primera reunión. No hace falta saber programar. Hace falta saber qué preguntar y qué exigir por escrito.

Por qué hay tanto fake en consultoría IA en 2026

Tres factores que explican el ecosistema actual:

Hype del mercado. El 78% de PYMEs españolas planea aumentar inversión en IA en 2026 (ia4pymes.tech) y el EU AI Act entra en enforcement en agosto, lo que genera urgencia regulatoria. Es el caldo de cultivo perfecto: presupuesto disponible + deadline + miedo a quedarse atrás. La demanda crece más rápido que la oferta cualificada.

Barrera de entrada baja. Cualquiera con una cuenta de OpenAI y un n8n puede montar una landing, llamarse "AI Consultancy" y vender proyectos de 30.000 €. No hay colegio profesional, no hay certificación obligatoria, no hay portfolio mínimo exigible. El consultor con 2 años en datos y el consultor con 12 años desplegando sistemas en producción se venden con la misma frase: "montamos tu plataforma IA llave en mano".

Asimetría de información. El director de PYME no puede evaluar técnicamente la propuesta. No sabe si un agente con tool use cuesta 800 € o 18.000 € de desarrollo. No sabe si un RAG sobre 50.000 documentos es un fin de semana o tres meses. Esa asimetría es exactamente lo que explotan los oportunistas: inflar el alcance, esconder lo que cuesta de verdad, y subcontratar la ejecución barato.

El resultado: en mayo de 2026 hay propuestas circulando por correos de directores españoles que son indistinguibles a primera vista, pero detrás hay equipos muy distintos. Las 8 red flags sirven para distinguirlos sin necesidad de auditar el código.

Las 8 red flags antes de firmar

Red flag 1: La propuesta no menciona qué pasa con tus datos

Si en las 12-30 páginas de la propuesta no aparece la palabra "datos" con un párrafo serio detrás (dónde se almacenan, quién accede, qué proveedor de modelos los procesa, qué pasa al terminar el contrato), es señal de que el consultor o no ha pensado en ello o no quiere ponerlo por escrito.

Pregunta a hacer en la primera reunión: "¿Mis datos van a salir de la UE en algún momento del proyecto? ¿Qué proveedor de modelos vas a usar, en qué región está alojado, y qué pasa con los logs?"

Si la respuesta es vaga ("ya lo veremos en la fase técnica", "depende de la herramienta que elijamos al final"), red flag. Si la respuesta es clara ("usamos el modelo X en región Y, los datos no se usan para entrenar, los logs los puedes auditar"), bien.

Qué exigir en contrato: cláusula explícita de residencia de datos (Europa, idealmente especificando país), prohibición de uso de datos del cliente para entrenamiento de modelos, derecho a auditoría de logs, y procedimiento de devolución/borrado de datos al terminar el contrato.

Ejemplo anonimizado: Una asesoría fiscal de 12 personas (febrero 2026) firmó un proyecto de copiloto interno por 24.000 €. Tres meses después descubrió que los datos de clientes se procesaban a través de una API que enrutaba a servidores en Estados Unidos. No estaba en el contrato. Tuvo que parar el proyecto y rehacerlo.

Red flag 2: El equipo que te venden y el que ejecuta son distintos (bait & switch)

Es la red flag más rentable para la consultora oportunista. En la reunión de venta aparece el socio fundador con 15 años de experiencia, te habla de tres proyectos top en empresas conocidas, y se compromete a "estar implicado en tu proyecto". Firmas. La semana siguiente entra al Slack/Teams del proyecto un perfil junior de 26 años que va a ser tu "project manager" y un par de freelances subcontratados en LATAM o India que no salieron en ninguna conversación previa.

El socio fundador desaparece a los 15 días.

Pregunta a hacer: "¿Quién, con nombre y apellido, va a estar 100% del tiempo en mi proyecto? ¿Cuántas horas al mes va a dedicarle el socio que estoy viendo ahora? ¿El equipo es interno o subcontratado, y en qué países está?"

Qué exigir en contrato: cláusula de "key personnel" con nombres y apellidos de las personas asignadas y porcentaje mínimo de dedicación. Si la consultora cambia esos perfiles unilateralmente, derecho de rescisión sin penalización. Y declaración explícita de subcontratación: si hay freelances externos, que aparezcan listados.

Esto no es paranoia: es lo mismo que se exige en cualquier contrato serio de servicios profesionales (despachos jurídicos, agencias de marketing, ingenierías). En consultoría IA en 2026 todavía sorprende que el cliente lo pida.

Si una propuesta viene de un freelance individual (no consultora) este punto cambia: ahí la pregunta es si esa persona tiene capacidad real de ejecutar sola lo que vende, o se va a ahogar. Ver análisis comparado en freelance IA vs consultora grande.

Red flag 3: "Todo a éxito" sin fee fijo de arranque

Suena increíble: "Solo pagas si funciona. Si no hay ROI, no nos pagas nada." El director piensa "sin riesgo".

La realidad: o el proyecto es trivial y la consultora lo cobra implícitamente vía un porcentaje brutal del ahorro generado (a veces 50-70% durante 3 años, que termina costando 4x lo que habría sido un fee fijo), o la consultora simplemente no tiene casos donde le hayan pagado a éxito y está usando esa frase como gancho comercial sabiendo que el contrato real luego va a tener letra pequeña.

Un proyecto IA serio en una PYME tiene costes reales el día 1: análisis del proceso a automatizar, acceso a sistemas, diseño técnico, pruebas con datos reales. Esos costes no son "a éxito": existen incluso si el proyecto se cancela en la fase de diagnóstico.

Lo razonable: un fee fijo de arranque (típicamente 30-50% del total) para cubrir el diagnóstico + diseño + primer prototipo. Y un componente variable atado a métricas concretas para el go-live y el post-go-live. Lo que cuesta de verdad un proyecto IA en una PYME está desglosado en coste real de implementar IA en PYME.

Pregunta a hacer: "Si paro el proyecto al mes y medio, ¿qué pago hasta ese punto? Quiero ver eso en el contrato."

Qué exigir: desglose claro de fee fijo + variable, con hitos numerados. Y penalización mutua: si la consultora incumple plazo, descuento; si el cliente no entrega datos a tiempo, retrasos compensados. La simetría es señal de seriedad.

Red flag 4: Demo genérica sin POC con un subset de tus datos

La consultora viene a la segunda reunión con una demo de "agente IA contestando emails" o "chatbot RAG sobre documentos". Es bonita, parece magia. Pero es la misma demo que usan con los otros 12 clientes potenciales que están manejando ese trimestre.

Lo que deberían ofrecer antes de firmar un proyecto de 30.000 €+ es un POC (Proof of Concept) pagado con 200-500 documentos reales del cliente, hecho en 2-3 semanas, con resultados medibles. Cuesta 2.500-5.000 € y vale la pena para ambos: la consultora demuestra capacidad sobre tus datos reales, el cliente ve si la calidad es la prometida o no.

Pregunta a hacer: "¿Estarías dispuesta a hacer un POC pagado de 3 semanas sobre un subset de mis datos antes de firmar el proyecto completo?"

Si la respuesta es no o es muy resistente, red flag. Si la respuesta es sí y proponen una estructura razonable (NDA + datos reales + entregables medibles), bien.

Qué exigir: que el POC tenga métricas explícitas (precisión sobre los datos del cliente, tiempo de respuesta, coste por consulta) y que sea descontable del proyecto completo si se firma. Eso alinea incentivos.

Red flag 5: No hay SLA ni soporte post-go-live en el contrato

Hay una pregunta que casi nadie hace en la primera reunión y que filtra a los oportunistas mejor que ninguna: "¿Qué pasa cuando el proyecto está en producción y un viernes a las 6 de la tarde se cae el sistema?"

Las respuestas que se oyen:

• "Pues tendrías que abrir un ticket y lo vemos el lunes" → muy mala señal.
• "Eso depende del contrato de mantenimiento, lo hablamos después" → mala señal.
• "Tenemos SLA de 4 horas en horario laboral y 24h en festivos, con penalización del 1% del fee mensual por cada hora de retraso" → bien.

Un sistema IA en producción se rompe. Los modelos cambian de versión, las APIs externas modifican rate limits, los datos del cliente evolucionan y rompen prompts que funcionaban. Si la consultora no quiere comprometerse por escrito a un SLA, lo que está diciendo es que cuando se rompa no va a estar disponible.

Qué exigir en contrato: tiempo máximo de respuesta para incidencias críticas, tiempo máximo de resolución, canal de contacto directo (no formulario web), persona de guardia con nombre, y penalización numérica por incumplimiento. Lo estándar en B2B serio es 4-8h respuesta crítica en horario laboral. Si te ofrecen "best effort", red flag.

Red flag 6: Lock-in con tecnología propietaria sin escape clause

Algunas consultoras venden "su plataforma propia" como diferenciador. Suena bien hasta que dos años después quieres cambiar de proveedor y descubres que: (1) el código no es tuyo, (2) los prompts no son tuyos, (3) los flujos de automatización están en un sistema cerrado donde no puedes exportar, (4) para migrar a otra solución tienes que rehacer el proyecto desde cero o pagar una "migration fee" desproporcionada.

Eso es lock-in deliberado, y es uno de los patrones más caros que se firman sin darse cuenta.

Pregunta a hacer: "Al terminar el proyecto, ¿de quién es el código, los prompts, los flujos y la configuración? ¿Puedo exportarlos y llevármelos a otro proveedor sin pagar nada extra? ¿Qué pasa si dentro de 18 meses queremos cambiar de consultora o internalizar?"

Qué exigir: cláusula explícita de propiedad intelectual del cliente sobre los artefactos del proyecto (código, prompts, configuración, datos derivados). Uso de tecnología estándar y abierta siempre que sea posible. Documentación técnica entregada en formato consultable. Procedimiento de "exit" definido: cómo se entrega todo al cliente o a un tercero en caso de finalización del contrato.

Si la consultora se niega a poner por escrito que el código es del cliente, red flag enorme.

Red flag 7: No hay métricas de éxito numéricas en el contrato

Frases típicas de propuesta mal hecha:

• "Mejorar la productividad del equipo".
• "Reducir el tiempo de procesamiento".
• "Aumentar la satisfacción del cliente".

Son objetivos cualitativos sin número detrás. Imposible saber si se cumplen. Imposible reclamar.

Lo que debe estar en el contrato:

• "Reducir el tiempo medio de procesamiento de facturas de proveedor de 8 minutos a menos de 90 segundos, medido sobre una muestra de 200 facturas en el mes 3 post-go-live."
• "El agente debe contestar al menos el 60% de los emails entrantes sin intervención humana, con tasa de error inferior al 5%, evaluado por muestreo aleatorio de 100 emails/semana."
• "El copiloto interno debe devolver respuestas en menos de 4 segundos para el 95% de las consultas, sobre el corpus documental de 12.000 ficheros del cliente."

Pregunta a hacer: "¿Cuáles son los 3-5 KPIs numéricos que vamos a medir, cómo se miden, en qué frecuencia, y qué pasa si no se cumplen?"

Qué exigir en contrato: tabla de métricas con valor objetivo, método de medición, frecuencia, y consecuencias del incumplimiento (penalización económica, extensión de soporte gratuito, rescisión). Sin esto, el proyecto puede declararse "exitoso" sin haberlo sido.

Red flag 8: No tienen casos públicos verificables (ni anonimizados)

Cualquier consultora con experiencia real tiene casos. Pueden estar anonimizados (sector + tamaño + dato + mes/año, que es lo correcto en B2B) o referenciados (con permiso del cliente para nombrar). Pero tienen casos.

Si una consultora solo enseña logos en la home sin un solo caso descrito, ni una entrada de blog explicando cómo resolvieron un problema concreto, ni una charla en evento, ni testimonios verificables… probablemente esos logos son de empresas a las que les hicieron una consulta de una hora hace 14 meses.

Pregunta a hacer: "¿Puedes enseñarme un caso anonimizado en detalle de un proyecto comparable al mío: sector, tamaño de empresa, qué hicisteis, qué métricas mejoraron, qué duró, qué costó?"

Si la respuesta es vaga ("tenemos NDA con todos los clientes"), red flag. El NDA no impide anonimizar; los abogados de cualquier cliente serio están de acuerdo en que se cuente un caso si no se le puede identificar.

Cómo verificar: los freelances IA serios suelen tener portfolio público con código abierto, casos descritos en blog, charlas grabadas, perfil de LinkedIn con publicaciones técnicas, o repositorios GitHub con proyectos reales. Como ejemplo de portfolio público verificable está Javier Santos (Javadex), que tiene casos firmados y código abierto consultable; una búsqueda en Google da el detalle. No hay que contratar a esa persona en concreto: lo relevante es que se puede comprobar que ha hecho lo que dice haber hecho.

Si la consultora no tiene nada público verificable después de buscar 15 minutos en Google + LinkedIn + GitHub, red flag.

Caso real anonimizado: el €38.000 que se evaporó

Empresa industrial de 35 personas en sector metalmecánico (España, julio de 2025). Director general quiere automatizar el procesamiento de pedidos de proveedor que entran por email en PDF y se cargan manualmente en SAP. Estima 3 personas dedicadas 5 horas/día a esa tarea.

Recibe 3 propuestas. Firma con una consultora que le promete un "agente IA con OCR" por 38.000 € + IVA, 8 semanas de implementación, y "ROI en 4 meses". Reunión de venta con el socio fundador y un "lead engineer". Caen bien. Promesa verbal: "vamos a estar encima del proyecto los dos".

Lo que pasó:

Semana 2. El socio fundador deja de aparecer en las reuniones. El "lead engineer" se convierte en project manager de otras 4 cuentas. El día a día lo lleva un perfil de 18 meses de experiencia que entra a la consultora hace 5 meses.

Semana 4. Se descubre que parte del desarrollo está subcontratado a un freelance en otro continente que solo puede conectarse en horario nocturno español. Las dudas técnicas se resuelven con 12 horas de retraso.

Semana 7. La demo del agente sobre 20 facturas de muestra funciona "razonablemente". El cliente firma el acta de aceptación de prototipo. Empieza el go-live.

Semana 11. En producción, el agente falla en el 40% de los PDFs porque los formatos de proveedor son más heterogéneos de lo que la consultora estimó. Nadie había hecho un POC con los datos reales del cliente.

Semana 14. El cliente pide rescindir. La consultora cita una cláusula de "compromiso mínimo" del contrato y exige otros 9.500 € de "trabajo realizado". El cliente, sin métricas firmadas que demuestren incumplimiento, paga para evitar litigio.

Total perdido: 38.000 € (proyecto) + 9.500 € (cierre) - 0 € recuperados en eficiencia real. El proceso manual sigue ejecutándose como el día 1.

Lo que se recuperó: ocho meses después, la empresa volvió a abordar el proyecto con un freelance individual recomendado por un colega del sector. Hicieron un POC pagado de 2 semanas (3.500 €) sobre 200 PDFs reales. El POC mostró que con un rediseño del flujo (normalizando antes la captura de email) la tasa de éxito subía a 92%. El proyecto completo costó 14.000 € adicionales y entró en producción 6 semanas después. ROI real: ahorro de 70 horas/mes documentadas en mes 3 post-go-live.

Lecciones: sin métricas firmadas, sin POC con datos reales, sin cláusula de key personnel, sin escape clause, el cliente perdió palanca contractual entera. Las 8 red flags estaban todas presentes en la propuesta inicial. Si las hubiera revisado en 30 minutos, habría descartado la consultora antes de firmar.

Las 6 cláusulas que SIEMPRE deben estar en tu contrato de consultoría IA

Estas seis cláusulas no son maximalistas: son lo estándar que cualquier despacho mercantil te recomendaría en cualquier contrato de servicios profesionales. En consultoría IA en 2026 todavía sorprende a las consultoras cuando el cliente las pide. Esa sorpresa, en sí misma, es un test.

Checklist anti-red-flag antes de firmar

Antes de firmar la propuesta, pasa estos 14 ítems mentalmente. Si más de 4 no están claros, no firmes:

• [ ] Tengo por escrito quién va a estar en el proyecto, con nombres y % de dedicación.
• [ ] Sé en qué país se almacenan y procesan mis datos.
• [ ] Sé qué proveedor de modelos van a usar y en qué región.
• [ ] La propuesta incluye un POC pagado y descontable sobre mis datos reales.
• [ ] El contrato lista 3-5 métricas numéricas con valor objetivo y método de medición.
• [ ] Hay SLA post-go-live con tiempo de respuesta y penalización.
• [ ] El código, prompts y configuración serán propiedad del cliente.
• [ ] Hay procedimiento de exit / migración a otro proveedor sin migration fee.
• [ ] He hablado con al menos 1 referencia real (cliente anterior).
• [ ] He encontrado casos públicos verificables (web, blog, GitHub, charlas).
• [ ] El precio incluye desglose fijo + variable, con hitos.
• [ ] Hay penalización mutua (proveedor incumple = descuento; cliente bloquea = compensación).
• [ ] Está claro qué cuesta cancelar en cada hito.
• [ ] El contrato menciona explícitamente el EU AI Act y el cumplimiento de la categoría aplicable al proyecto.

Preguntas frecuentes

¿Puedo pedir referencias de clientes anteriores aunque sean anonimizadas?

Sí, y es lo más razonable. Una consultora seria debería poder facilitar al menos 2-3 contactos de clientes anteriores con los que se pueda hablar 15 minutos por teléfono. Si todos los casos son "confidenciales" sin excepción, red flag. Lo habitual es: caso anonimizado público en web/blog + 2-3 referencias verbales bajo NDA del cliente, con introducción mediada por la consultora. Si no hay ni una ni la otra, no firmar.

¿Qué hago si la consultora me pone un junior después de venderme un senior?

Depende de cómo esté redactado el contrato. Si tiene cláusula de key personnel con nombres y porcentajes, tienes palanca: puedes exigir que vuelva el perfil pactado o ejercer rescisión sin penalización. Si no la tiene (el caso más común), tu única opción real es renegociar precio a la baja o aceptar el cambio. Por eso la cláusula de key personnel debe estar antes de firmar: después es tarde.

¿Cómo verifico que un freelance IA es real y no un fake?

Cuatro pasos rápidos: (1) LinkedIn con histórico de empleos y publicaciones técnicas frecuentes (no solo posts motivacionales), (2) GitHub con repositorios propios y commits recientes (no solo forks), (3) presencia en blog/medios técnicos con artículos firmados y datables, (4) al menos una charla pública grabada o referencia cruzada en eventos del sector. Si los cuatro existen, el riesgo de fake baja mucho. Si solo hay LinkedIn con perfil pulido pero nada técnico verificable, sospechar.

¿Qué penalización pongo si no cumplen las métricas?

Lo razonable en proyectos de 20-80.000 € es: si la métrica firmada no se cumple a los 3 meses post-go-live, descuento del 15-25% sobre el fee total y extensión gratuita de soporte hasta cumplimiento o derecho a rescindir devolviendo el porcentaje proporcional. El número exacto se negocia, pero debe estar en cifras concretas, no en "se compromete a mejorar". La fórmula importa menos que el hecho de que exista una.

¿Tiene sentido pedir un POC pagado antes del proyecto completo?

Sí, casi siempre. Para proyectos por encima de 15.000 € es la mejor inversión defensiva que puedes hacer. Cuesta 2.500-5.000 €, dura 2-3 semanas, y te da información real sobre: calidad del equipo, fit técnico sobre tus datos, capacidad de comunicación, y ritmo de ejecución. Si el POC sale mal, has tirado 3.500 € en vez de 35.000 €. Si sale bien, lo descuentas del proyecto completo y vas con confianza. Una consultora que se resiste a hacer POC pagado es una consultora que sabe que su demo genérica no aguanta el contacto con datos reales.

Segunda opinión sobre una propuesta concreta

Si tienes una propuesta encima de la mesa y dudas si cuela el filtro de las 8 red flags, mándanosla por el formulario y te decimos cuántas lleva. Sin compromiso, sin coste, sin venderte nada de vuelta.

En Resumen

• Red flag 1: si la propuesta no habla claro de dónde están tus datos y quién los procesa, no firmes.
• Red flag 2: el equipo de la reunión y el equipo de la ejecución deben ser el mismo; exige cláusula de key personnel.
• Red flag 3: "todo a éxito" sin fee fijo casi nunca es buena señal; el trabajo serio tiene coste real desde el día 1.
• Red flag 4: sin POC pagado sobre tus datos reales, estás comprando una demo genérica.
• Red flag 5: sin SLA post-go-live numérico, no hay garantía cuando el sistema falle en producción.
• Red flag 6: el código y los artefactos deben ser tuyos al terminar; sin escape clause = lock-in.
• Red flag 7: las métricas de éxito deben ser numéricas, medibles y firmadas, no frases bonitas.
• Red flag 8: si no hay casos públicos verificables después de 15 minutos en Google + LinkedIn + GitHub, sospechar.