La inversión en startups de IA en 2026 avanza a un ritmo que comprime la due diligence (DD) en plazos para los que los procesos de DD tradicionales nunca se diseñaron. OpenAI superó los 25.000 millones de dólares de ARR, Anthropic se acercó a los 19.000 millones, y el mercado secundario previo a la salida a bolsa de las empresas de infraestructura de IA ha creado dinámicas competitivas en las que las decisiones se toman en semanas en lugar de meses. El riesgo: las startups de IA suelen valorarse a partir de afirmaciones de capacidad que no resisten una due diligence técnica estructurada, de supuestos sobre los datos de entrenamiento que pueden no resistir un litigio de derechos de autor, y de afirmaciones sobre preparación regulatoria que fallan cuando se contrastan realmente con la Ley de IA de la UE, la Privacy Act australiana o las obligaciones específicas de cada sector. Esta lista de verificación está pensada para los fondos de capital riesgo (VC), los adquirentes de private equity (PE), los equipos de desarrollo corporativo y las family offices que invierten en startups de IA o las adquieren en la actualidad.

1. Afirmaciones de capacidad y validación mediante benchmarks

Las startups de IA suelen citar resultados de benchmarks, resultados de clientes y afirmaciones de capacidad que requieren una verificación independiente. Las preguntas que hay que hacer: ¿qué benchmarks se utilizaron, quién los ejecutó y frente a qué líneas base? Los benchmarks públicos (MMLU, HumanEval, GSM8K, SWE-bench) tienen problemas de contaminación conocidos, los modelos pueden rendir bien en benchmarks para los que fueron entrenados. Las afirmaciones sobre resultados de clientes deben ser verificables, hay que solicitar referencias con resultados cuantitativos concretos y confirmarlas con al menos tres clientes de referencia. La evaluación independiente de capacidades puede encargarse a terceros (los principales laboratorios de evaluación de IA incluyen METR, Apollo Research y los AI Safety Institutes de Estados Unidos, el Reino Unido y Australia). En cuanto a las capacidades de IA de frontera, el Centro de Normas e Innovación en IA de Estados Unidos (CAISI) ya cuenta con acuerdos de evaluación previa al despliegue con los principales laboratorios, las startups de categorías similares deberían avanzar hacia una evaluación equivalente por parte de terceros.

2. Procedencia de los datos de entrenamiento y pasivos contingentes

La procedencia de los datos de entrenamiento es el mayor pasivo contingente en la inversión en startups de IA. Las preguntas: ¿de dónde proceden los datos de entrenamiento, cuál fue la base legal para utilizarlos y qué indemnizaciones existen? El derecho de autor estadounidense en materia de entrenamiento de IA aún está en evolución, Bartz contra Anthropic (Distrito Norte de California) resolvió a mediados de 2025 que entrenar con libros adquiridos legalmente constituía un uso legítimo transformador (fair use), mientras que Thomson Reuters contra Ross (Delaware) determinó que usar el contenido de un competidor para entrenar una herramienta de IA competidora no era fair use. El Tribunal Supremo de Estados Unidos denegó el certiorari en Thaler contra Perlmutter (2 de marzo de 2026), confirmando que las obras generadas puramente por IA no son susceptibles de derechos de autor. El artículo 53 de la Ley de IA de la UE exige a los proveedores de IA de propósito general (GPAI) que publiquen un resumen de las fuentes de los datos de entrenamiento. Australia analizó una exención de minería de textos y datos (TDM) en materia de derechos de autor para el entrenamiento de IA en 2025-2026 y la rechazó en abril de 2026, explorando en su lugar un sistema de licencias remuneradas. Pasos prácticos de DD: solicitar un inventario de los datos de entrenamiento, evidencia de licencias o dictámenes jurídicos sobre fair use, cobertura de indemnización y una cuantificación de la exposición bajo escenarios razonables de riesgo en materia de derechos de autor. Para consultar las fuentes: véanse las resoluciones de la Oficina de Derechos de Autor de EE. UU. sobre IA y el texto de la Ley de IA de la UE.

3. Exposición en materia de propiedad intelectual: tres categorías

La propiedad intelectual de una startup de IA se divide en tres frentes. Primero, la propiedad intelectual de los datos de entrenamiento: qué se utilizó, qué estaba licenciado, qué se obtuvo mediante scraping y qué indemnización existe. Segundo, la propiedad intelectual de los resultados generados: qué es lo que poseen los clientes de la startup cuando generan contenido con la plataforma, y qué derechos residuales conserva la startup. Tercero, la propiedad intelectual que la startup realmente posee: los pesos del modelo, los conjuntos de datos de ajuste fino (fine-tuning), los corpus de RAG, los marcos de evaluación personalizados, las bibliotecas de prompts y las herramientas propias. Hay que preguntar: qué es patentable, qué constituye secreto comercial, qué es de código abierto y bajo qué licencias, y qué depende de modelos o API de terceros que podrían revocarse. En el caso de las startups construidas sobre las API de OpenAI, Anthropic o Google, la relación con el proveedor subyacente es en sí misma un activo crítico, y un único punto de fallo.

4. Preparación regulatoria por jurisdicción

La exposición regulatoria varía notablemente según la jurisdicción. Ley de IA de la UE: si la startup opera en la UE o su IA afecta a residentes de la UE, la clasificación es determinante. La mayor parte de la IA B2B se encuadra como adyacente a GPAI (obligaciones del artículo 53 desde el 2 de agosto de 2025) o de alto riesgo (Anexo III, cuya entrada en vigor se ha retrasado al 2 de diciembre de 2027 en virtud del Digital Omnibus). Estados Unidos: la estrategia de prevalencia federal (preemption) está activa (orden ejecutiva de Trump de diciembre de 2025, Ley de IA de Colorado prácticamente paralizada por litigios federales y por la SB 189), pero continúa la actuación de la EEOC, la FTC, la CFPB, el HHS y la SEC en virtud de la legislación vigente. Australia: transparencia en la toma de decisiones automatizada (ADM) de la Privacy Act a partir del 10 de diciembre de 2026; las expectativas de supervisión de la APRA (Autoridad Australiana de Regulación Prudencial), la ASIC (Comisión Australiana de Valores e Inversiones) y la OAIC (Oficina del Comisionado de Información de Australia), vigentes desde abril-mayo de 2026, se aplican a las startups con clientes regulados. Reino Unido: regulación basada en principios, con reguladores sectoriales (FCA [Autoridad de Conducta Financiera], ICO) que orientan de forma activa. Singapur, India, Japón y Corea del Sur cuentan cada uno con sus propios marcos normativos. La prueba de la DD: ¿puede la startup relacionar su producto con las obligaciones aplicables en cada jurisdicción relevante y demostrar su nivel de cumplimiento o un plan de subsanación?

5. Madurez de gobernanza acorde a la etapa

Lo razonable a esperar varía según la etapa. Las startups en fase semilla y Serie A deberían contar con políticas documentadas de tratamiento de datos, controles básicos de seguridad (SOC 2 Tipo I, o en proceso de obtenerlo) y una postura articulada sobre las fuentes de datos de entrenamiento y el uso de los datos de clientes. Las startups en Serie B deberían contar con una política de IA, un inventario de casos de uso de IA, una gestión formal de proveedores para sus propias dependencias de IA, y pruebas de sesgo para cualquier decisión con consecuencias relevantes que tome su IA. Las de Serie C en adelante deberían estar avanzando hacia la certificación ISO/IEC 42001 o la implementación del NIST AI RMF, con evaluaciones de riesgo documentadas, procedimientos de supervisión humana y planes de respuesta ante incidentes. No cumplir con la madurez de gobernanza propia de cada etapa no es necesariamente un motivo para descartar la operación, es un coste de subsanación y una señal de cuán en serio se toma el equipo fundador la dimensión operativa de la IA.

6. El resultado de la DD: una evaluación de gobernanza, no solo señales

El resultado más útil de la DD es una evaluación de gobernanza por escrito, no solo un resumen con señales verde/amarilla/roja. La evaluación debe identificar las carencias materiales, cuantificar el coste y el tiempo necesarios para subsanarlas, y traducir todo ello en condiciones del acuerdo (condiciones de cierre, compromisos posteriores al cierre, límites de indemnización, cuentas en depósito o escrow). Esto es lo que distingue la DD de IA de la DD técnica genérica: el resultado del trabajo es operativo, no meramente descriptivo.

Recursos útiles de terceros

Lecturas relacionadas en AIRiskAware

Lecturas relacionadas