La inteligencia artificial está empezando a transformar uno de los pilares tradicionales del negocio de las consultoras de ciberseguridad: la facturación por horas. La automatización de tareas como las evaluaciones de seguridad, los análisis de brechas, las pruebas de controles y la recopilación de evidencias está reduciendo el volumen de trabajo repetitivo que durante años ha sustentado buena parte de los servicios de consultoría y, con ello, está presionando sus márgenes, según un análisis de IDC.
Ante esta situación, un número creciente de consultoras y proveedores de servicios está recurriendo a la adquisición de compañías de software como vía para transformar ingresos basados en horas de trabajo en ingresos recurrentes y potencialmente más rentables. La estrategia también permite diferenciar las propuestas comerciales mediante tecnología y propiedad intelectual propias, en lugar de hacerlo únicamente a través del número de profesionales disponibles.
Los movimientos de grandes compañías con sus adquisiciones ilustran hasta dónde está llegando esta estrategia. Pero la tendencia no se limita a los grandes grupos. Proveedores de servicios de seguridad de menor tamaño también están realizando adquisiciones más pequeñas para incorporar capacidades de software a sus carteras.
El objetivo parece claro, si la IA puede automatizar una parte cada vez mayor del trabajo que tradicionalmente se facturaba por horas, las consultoras necesitan encontrar nuevas fuentes de ingresos. El software ofrece precisamente esa posibilidad, al permitir vender una tecnología de forma recurrente a múltiples clientes sin que los ingresos dependan directamente de las horas trabajadas por los equipos de consultoría.
Sin embargo, IDC advierte de que esta estrategia también entraña riesgos que pueden estar infravalorados. La propiedad y gestión de software queda fuera de las competencias centrales de muchas consultoras, y hacerse cargo de un producto tecnológico implica asumir costes de ingeniería y mantenimiento, gestionar equipos con culturas diferentes y afrontar posibles conflictos con las alianzas existentes con fabricantes. También puede cambiar el nivel de responsabilidad y exposición legal de la compañía frente a sus clientes.
El riesgo, además, funciona en ambas direcciones. Los fabricantes de software de seguridad impulsados por IA están ampliando sus propias capacidades de servicios y avanzando hacia el terreno tradicional de las consultoras. Según IDC, estos proveedores parten de una posición estructuralmente favorable en esta convergencia porque el desarrollo, mantenimiento y comercialización de software forman parte de su actividad principal.
Esta transformación está dando lugar a un mercado en el que las fronteras entre fabricantes de tecnología, consultoras y proveedores de servicios de ciberseguridad son cada vez menos claras. Las empresas pueden combinar software, servicios profesionales y capacidades de automatización para ofrecer soluciones más completas, mientras que los clientes tendrán que valorar qué parte de esas capacidades necesitan adquirir como producto y cuál contratar como servicio.
IDC señala como alternativa el modelo de servicios integrados y despliegue cercano al cliente, en lugar de apostar necesariamente por adquisiciones horizontales. El despliegue de Lightwell por parte de IBM y Red Hat se presenta como ejemplo de cómo la colaboración entre proveedores tecnológicos y servicios puede combinar producto y capacidad de implementación sin que cada compañía tenga que asumir por sí sola toda la cadena de valor.
La conclusión de IDC es que las consultoras mejor posicionadas ante la presión de la IA no serán necesariamente las que acumulen más compañías de software, sino aquellas capaces de aplicar a su propio negocio la misma disciplina estratégica que recomiendan a sus clientes. En un mercado donde la automatización amenaza con reducir las horas facturables, la respuesta pasa por identificar qué servicios siguen aportando valor, qué tareas pueden automatizarse y dónde tiene sentido apoyarse en tecnología de terceros.
