IA fuera de la nube: cinco conclusiones para el Comité de Dirección
Cuando en un comité se habla de inteligencia artificial, la conversación suele girar en torno a grandes modelos alojados en la nube y a su factura mensual. Pero una parte creciente de la IA que llega a producción se ejecuta en otro sitio: en el sensor de una línea de montaje, en el procesador de un vehículo o en el móvil de un empleado.
He preparado un análisis sobre esta transición a partir de dos obras recientes: las actas del congreso NEIAIS 2025 y el volumen Edge Intelligence and Analytics for Internet of Things, ambos publicados por CRC Press en 2026. Lo he contrastado con el informe 2025 State of IoT Report de Eseye y con el marco regulatorio europeo a octubre de 2026. Estas son las cinco conclusiones que considero más útiles para quien tiene que decidir.
1. No es nube contra borde
La Inteligencia en el Borde (Edge Intelligence) consiste en ejecutar los modelos donde se generan los datos. Reduce la latencia, el uso de ancho de banda y la exposición de información sensible. Pero no sustituye a la nube: lo que se impone es un continuo nube-borde, en el que cada carga se ejecuta donde resulta más eficiente. Técnicas como la cuantización, la poda y la destilación permiten que modelos pensados para un centro de datos funcionen en hardware de pocos vatios.
La novedad de 2025 y 2026 es que esto ya incluye la IA generativa. Los modelos de lenguaje pequeños funcionan en móviles, ordenadores y pasarelas industriales con unidades de procesamiento neuronal (NPU), sin enviar datos a la nube. Para la empresa significa dos cosas: asistentes que funcionan sin conexión y sin exponer datos sensibles, y un coste de inferencia que deja de depender del pago por uso de modelos en la nube.
2. Se puede entrenar un modelo sin juntar los datos
El aprendizaje federado permite que varias organizaciones entrenen un modelo común sin que los datos salgan de casa: cada participante entrena con sus datos locales y solo comparte las actualizaciones del modelo. Es especialmente valioso en sectores regulados como la salud o las finanzas.
Su principal dificultad es que los datos de cada participante son distintos, y en ese punto la investigación avanza. En clasificación de imágenes médicas, el método FedDiCoNet mejora en torno a un 3 % las métricas del aprendizaje federado convencional (Panda et al., 2026). Conviene no idealizarlo: en la arquitectura más habitual, el servidor central sigue siendo un punto único de fallo.
3. Blockchain, solo cuando hay varias partes que no confían entre sí
En IoT, blockchain aporta un registro común que no puede modificarse sin el acuerdo de la red y elimina la dependencia de un servidor central. Tiene sentido en redes eléctricas inteligentes o en la trazabilidad de una cadena de suministro con varios actores. Fuera de ese escenario, su coste y su latencia rara vez se justifican.
4. Las cifras de laboratorio no son resultados de negocio
El análisis recoge resultados llamativos, todos de investigación sobre conjuntos de datos concretos:
- Un 91 % de exactitud con Random Forest en la detección temprana del cáncer de ovario, sobre los datos de 349 pacientes (Sarmah, Laskar y Bharadwaj, 2026).
- Un 99,9 % con MobileNetV2 en la clasificación de grietas en imágenes de hormigón (Singh, Laishram y Singh, 2026).
Antes de invertir, hay que contrastarlos con datos propios.
El mercado también corrige el rumbo. En agosto de 2025 Tesla cerró Dojo, su superordenador de entrenamiento, para concentrar el esfuerzo en sus chips AI5/AI6. Y en los despliegues reales, el 76 % de las 1.200 empresas encuestadas por Eseye atribuye la mayoría de los fallos de sus proyectos IoT a problemas en el propio dispositivo.
5. El calendario regulatorio ya corre
El Omnibus de IA (Reglamento (UE) 2026/1744), en vigor desde el 27 de julio de 2026, aplazó las obligaciones de alto riesgo del Reglamento de IA:
- Al 2 de diciembre de 2027 para los sistemas del Anexo III.
- Al 2 de agosto de 2028 para los que son componentes de seguridad de productos regulados, como vehículos, maquinaria o productos sanitarios.
Un aplazamiento no es una exención: es el plazo para preparar la documentación, la gestión de riesgos y la supervisión humana.
Para cualquier producto conectado, la primera fecha ya ha pasado. Desde el 11 de septiembre de 2026, el Cyber Resilience Act obliga a los fabricantes a notificar a ENISA y al CSIRT nacional las vulnerabilidades explotadas activamente y los incidentes graves, con un primer aviso en 24 horas. No es un riesgo teórico: el 75 % de las empresas encuestadas por Eseye sufrió una brecha de seguridad relacionada con IoT en los últimos doce meses.
Qué haría yo
Mi recomendación es empezar por la inferencia en el borde, que es la opción más madura y con retorno más rápido, e integrar el cumplimiento normativo desde el diseño en lugar de añadirlo al final. En concreto:
- Priorizar por madurez:
- La inferencia en el borde y la IA generativa en el dispositivo están listas para producción.
- El aprendizaje federado, en sectores con datos sensibles y suficientes participantes.
- Blockchain, solo si varias partes necesitan un registro común.
- Arquitectura híbrida: decidir caso por caso qué se procesa en el dispositivo y qué en la nube, en función de latencia, coste, privacidad y consumo.
- Calendario regulatorio: incorporar al plan de proyecto los plazos del Reglamento de IA y del Cyber Resilience Act, empezando por la notificación de vulnerabilidades.
- Validación de resultados: contrastar con datos propios las cifras de proveedores y estudios antes de decidir una inversión.
El análisis completo, con la tabla comparativa de arquitecturas, el marco regulatorio detallado, un glosario y todas las referencias, está disponible aquí.
Si tu organización está valorando alguno de estos despliegues y quieres contrastarlo, escríbeme desde la página de contacto.
Comentarios