Hay una triple burbuja sobre deuda

 

Hay una triple burbuja
formándose ahora mismo.
Goldman Sachs y el FMI ya la nombraron.Y la mayoría de las personas está mirando hacia otro lado — hacia el ruido del día — mientras el patrón que precede a cada crisis financiera importante se repite con precisión histórica.

La deuda pública global superó $100 billones de dólares en 2025. La suma de deuda pública más privada es más de tres veces el tamaño de toda la producción económica mundial. Los seis bancos más grandes de EE.UU. advirtieron en sus resultados del Q1 2026 que el próximo ciclo de estrés crediticio ya está formándose — en crédito privado, bienes raíces comerciales y las estructuras de préstamo que conectan bancos con capital privado. Esto no es alarmismo. Es lo que dicen los que manejan el dinero.

Cada burbuja financiera importante de la historia tuvo exactamente el mismo período previo: euforia generalizada, desprecio hacia los que advertían, y la narrativa de que "esta vez es diferente". La de los tulipanes en 1637. La del ferrocarril en 1840. La del .com en 2000. La inmobiliaria en 2008. Y ahora hay tres formándose simultáneamente mientras el debate público está en otro lado.

En 2006, Nouriel Roubini — al que Wall Street llamaba "Dr. Doom" — presentó en el FMI un análisis detallado de las condiciones que, según él, producirían el mayor colapso inmobiliario de la historia de EE.UU. La audiencia lo escuchó educadamente y siguió con su día. Dieciséis meses después, Lehman Brothers cayó. Michael Burry — el gestor de fondos al que la película "The Big Short" inmortalizó — documentó el riesgo en 2005 y apostó contra el mercado durante dos años mientras todos a su alrededor le decían que estaba equivocado. No estaba equivocado. El patrón que precede a toda crisis financiera mayor no es que nadie vio las señales. Es que las señales estaban visibles y la narrativa dominante del momento hacía más cómodo ignorarlas que actuar sobre ellas. Hoy, en agosto de 2026, Goldman Sachs, JP Morgan, el FMI, el BIS y el Foro Económico Mundial han publicado advertencias explícitas sobre tres burbujas que se están formando simultáneamente. Esto no es análisis marginal de economistas pesimistas. Es el consenso oficial de las instituciones financieras más grandes del mundo. Y la mayoría de las personas no lo está leyendo porque está ocupada con otra cosa.

$100Bbillones de dólares — deuda pública global acumulada en 2025, subiendo más rápido que antes de la pandemiaFMI / WEF · 2025

3×el tamaño de toda la producción económica global — lo que representa la deuda pública más privada combinadas en 2025WEF · Foro Económico Mundial · dic 2025

2.4%tasa de impago del crédito privado en Q1 2025 — JP Morgan advierte que si supera el 6% (pandemia), el estrés sistémico se intensificaJP Morgan Private Bank · julio 2025

6de los 6 bancos más grandes de EE.UU. advirtieron en Q1 2026 que el próximo ciclo de estrés crediticio ya está formándoseForbes · Q1 2026 Earnings Analysis · abril 2026

$5Tbillones destruidos en el crash .com 2000. $11T en la crisis inmobiliaria 2008. El tamaño de la próxima corrección aún no tiene estimado públicoFMI / BIS Histórico

El patrón que se repite — siempre igual, siempre ignorado

Antes de hablar de las tres burbujas actuales, hay que entender por qué las burbujas son tan difíciles de ver mientras ocurren. No es falta de información. Es algo más básico: durante el período de inflación de una burbuja, los indicadores se ven bien. Los precios suben. Los rendimientos son altos. Los que están adentro ganan dinero. Y los que advierten parecen equivocados durante el tiempo suficiente como para que la mayoría decida que están equivocados.

El Foro Económico Mundial lo documentó con precisión en diciembre de 2025: las burbujas financieras son tan antiguas como la práctica de intercambiar activos. Y tienen un ciclo que el economista Hyman Minsky describió con exactitud en los años 70 — desplazamiento inicial, euforia, apalancamiento, colapso — y que se ha repetido sin excepción en cada crisis financiera mayor de los últimos cuatro siglos.

1637

Tulipomanía, Holanda. Un solo bulbo de tulipán llegó a costar más que una casa en Ámsterdam. El mercado colapsó en semanas. Los que advirtieron el desajuste entre precio y valor intrínseco fueron ignorados durante años mientras los precios seguían subiendo.

1840

Fiebre ferroviaria, Reino Unido. Se construyeron 9,000 millas de vías en cinco años financiadas con deuda masiva. Cuando el crecimiento esperado no llegó, los precios de las acciones ferroviarias colapsaron 85%. El argumento durante la euforia: "el ferrocarril es el futuro y el futuro no tiene precio".

2000

Burbuja .com, EE.UU. Empresas sin ingresos llegaron a valuaciones de miles de millones. Se destruyeron $5 billones de dólares en valor en el crash. El argumento durante la euforia: "internet cambia todas las reglas del negocio tradicional". Correcto en la premisa, equivocado en el precio.

2008

Crisis inmobiliaria subprime, EE.UU. / global. $11 billones de dólares en riqueza familiar destruidos. Millones de hipotecas empacadas en instrumentos que nadie entendía completamente, calificadas como AAA. El argumento durante la euforia: "los precios de las casas nunca han caído a nivel nacional".

2022

Crypto winter. $2 billones de dólares en capitalización de mercado evaporados en meses. Bitcoin cayó de $69,000 a $16,000. El argumento durante la euforia: "el cripto es una cobertura contra la inflación y el nuevo oro digital". En la caída, cayó más que los activos tradicionales.

La progresión es idéntica en todos los casos. El patrón que Michael Burry identificó en 2005 no fue secreto — los datos sobre la calidad de las hipotecas estaban disponibles públicamente. Lo que lo hizo accionable para él fue que estaba dispuesto a leerlos sin el sesgo de quien ya estaba adentro del mercado y tenía incentivos para que los precios siguieran subiendo. Eso es exactamente lo que hace tan difícil ver una burbuja cuando estás dentro de ella.

Los mercados financieros no avisan cuando van a caer. Los indicadores que preceden a cada corrección mayor son visibles en retrospectiva y frecuentemente ignorados en tiempo real — porque durante la fase de euforia, los mismos indicadores que señalan el riesgo parecen evidencia del éxito.

Las tres burbujas de 2025–2026 — nombradas por quienes manejan el dinero

El Foro Económico Mundial publicó en diciembre de 2025 un análisis explícito sobre lo que llamó "el problema de las tres burbujas". No un economista marginal. El WEF. Y lo que describieron no es especulación — son tres fenómenos con características documentables que comparten el mismo perfil que cada burbuja histórica mayor: precios desconectados de fundamentos, apalancamiento creciente y la narrativa de que "esta vez es diferente".

Burbuja #1 — La IA y la infraestructura que nadie sabe si se va a usar

Goldman Sachs · WEF · Jeff Bezos · 2025–2026

Goldman Sachs advirtió explícitamente en enero de 2026 que los máximos históricos de las bolsas impulsados por IA podrían derivar en una burbuja. David Solomon, CEO de Goldman, lo dijo sin eufemismos: "sabemos, como estudiosos de la historia, que tras períodos de entusiasmo generalizado en torno a las nuevas tecnologías, acaba habiendo una divergencia en la que algunas empresas prosperan y otras fracasan". Jeff Bezos — fundador de Amazon — habló públicamente de una "burbuja" que podría provocar pérdidas, enfatizando que la industria es "real" pero reconociendo el riesgo de sobrevaluación.

El WEF señaló que cuatro empresas estadounidenses están construyendo agresivamente la infraestructura de IA — datacenter, energía, hardware — con deuda privada masiva. La pregunta que nadie ha respondido con evidencia: ¿la demanda real de esa infraestructura justificará la inversión? En la burbuja ferroviaria de 1840, el ferrocarril era real, transformador y cambió el mundo. Y aun así los precios colapsaron 85% porque la inversión superó por décadas la demanda real. El argumento de que la IA es real no responde si los precios actuales son reales.

Burbuja #2 — El crédito privado: el mercado que creció sin que nadie mirara

JP Morgan · Reserva Federal · Forbes · 2025–2026

El mercado de crédito privado — préstamos directos de fondos no bancarios a empresas — tiene hoy un tamaño similar al de los préstamos apalancados y bonos de alto rendimiento combinados (JP Morgan 2025). Creció de $400 mil millones en 2012 a más de $1.7 billones en 2025. Las tasas de impago están al 2.4% — por encima del 1.5% de los bonos de alto rendimiento. JP Morgan advierte que si el impago supera el 6% — como en la pandemia — las pérdidas podrían "intensificar el estrés sistémico".

Lo más revelador: la Reserva Federal encuestó a profesionales de inversión sobre posibles crisis económicas, y el crédito privado apareció en la lista de preocupaciones. No es una categoría marginal. Es un mercado de $1.7 billones con opacidad de información — no cotiza en bolsa, no tiene los requerimientos de transparencia de los mercados regulados — y con estructuras de apalancamiento que los seis bancos más grandes de EE.UU. describieron en sus resultados de Q1 2026 como la fuente del próximo ciclo de estrés: "credit conditions today are benign, but the foundations of the next stress cycle are quietly forming" (Forbes, abril 2026).

Burbuja #3 — La deuda pública: la más inquietante de las tres

FMI · WEF · BIS · 2025

La deuda pública global superó los $100 billones de dólares en 2025 — y ha venido aumentando a un ritmo más acelerado que antes de la pandemia. El WEF señaló que Kenia ya destina más de la mitad de sus ingresos solo al pago de préstamos. La carga de deuda de EE.UU. avanza hacia niveles que antes se asociaban con Italia y Grecia. Si se suma la deuda privada, el total supera tres veces el tamaño de toda la producción económica global. Eso no es sostenible indefinidamente. La pregunta no es si habrá ajuste. Es cuándo, qué lo dispara y quién lo absorbe.

El BIS ha advertido consistentemente desde 2023 que la combinación de deuda alta con tasas de interés elevadas produce una "trampa de deuda" donde los gobiernos tienen cada vez menos espacio fiscal para responder a la próxima crisis con los instrumentos que usaron en 2008 y 2020. La siguiente recesión llegará en un momento donde la capacidad de respuesta fiscal global es significativamente más limitada que en recesiones anteriores.

3× PIB

Deuda total mundial vs. producción económica global · WEF · FMI · 2025

Cuando sumas la deuda pública ($100 billones) más la deuda privada global, el resultado supera tres veces el PIB mundial. Para contexto: antes de la crisis de 2008, esa ratio era de aproximadamente 1.8 veces. Antes de la Gran Depresión de 1929, era de 2.1 veces. El nivel actual no tiene precedente en la historia económica moderna. Y a diferencia de 2008 o 2020, los gobiernos llegan a este momento con menos espacio fiscal para responder si algo sale mal.

WEF "El problema de las tres burbujas" dic 2025 · FMI World Economic Outlook 2025 · BIS Annual Report

La deuda global que supera tres veces el PIB mundial no es una abstracción académica. Es la suma de las decisiones de endeudamiento de gobiernos, empresas y hogares en todo el mundo — cada una individualmente justificable, colectivamente sin precedente. Cuando ese nivel de deuda se combina con tasas de interés elevadas, el costo del servicio comprime el espacio de maniobra de todos los actores al mismo tiempo.

Por qué la mayoría no lo ve — la distracción tiene nombre

Hay una razón documentada por la economía del comportamiento para que las burbujas sean tan difíciles de ver mientras ocurren. No es irracionalidad — es racionalidad de corto plazo. Si los precios están subiendo y yo estoy adentro, salir tiene un costo inmediato y real. Quedarme tiene un costo futuro y probabilístico. Los humanos, consistentemente, subestimamos el costo futuro y probabilístico frente al costo inmediato y certero. Robert Shiller — Premio Nobel de Economía — documentó este patrón en cada burbuja que estudió y lo llamó "narrativa económica contagiosa": la historia que explica por qué esta vez los precios altos son justificados se propaga más rápido y más ampliamente que el análisis que los cuestiona, porque es más cómoda de creer.

La narrativa actual tiene tres versiones. "La IA lo va a cambiar todo, así que los precios actuales son razonables." "El crédito privado tiene mejores salvaguardas que los CDOs de 2008." "Los gobiernos siempre pueden monetizar su deuda — no hay límite real." Las tres pueden ser parcialmente ciertas y aun así no explicar por qué los precios actuales están en sus niveles. La IA puede cambiar el mundo y aun así la infraestructura de IA puede estar sobreinvertida. El crédito privado puede ser mejor que los CDOs de 2008 y aun así crear estrés sistémico si los impagos aumentan. La deuda soberana puede ser manejable y aun así comprimir la capacidad de respuesta a la próxima crisis.

"Tras períodos de entusiasmo generalizado en torno a las nuevas tecnologías, acaba habiendo una divergencia en la que algunas empresas prosperan y otras fracasan. Sabemos esto como estudiosos de la historia."— David Solomon · CEO de Goldman Sachs · Presentación de resultados Q3 2025 · enero 2026

Lo que hacen los que no están distraídos

Este no es un artículo catastrofista. Las burbujas no siempre explotan de forma abrupta. A veces se desinflan gradualmente. A veces una de las tres se corrige mientras las otras dos se mantienen. El Banco de Pagos Internacionales y JP Morgan no están diciendo que el colapso es inminente — están diciendo que las condiciones para un ciclo de estrés están formándose y que quien las ignore llegará a ese ciclo sin preparación.

Hay personas y organizaciones que leen estas señales y actúan. No en modo pánico — en modo de gestión de riesgo. Y lo que hacen es específico y documentado.

Lo que hacen los que leen las señales — sin alarmismo, con sentido

Revisan su exposición a activos que dependen de que la narrativa siga siendo verdadera. Las acciones de empresas de IA que cotizan a 80 o 100 veces sus ganancias tienen precio que asume que todo lo que la narrativa promete ocurrirá. Si ocurre el 70% de lo prometido, el precio todavía podría colapsar significativamente. Saber cuánto de tu cartera depende de que el escenario optimista sea exacto es el primer paso.

Construyen liquidez antes de necesitarla. La empresa y la persona que llega a un ciclo de corrección con liquidez disponible tiene opciones que los que llegaron apalancados no tienen. Warren Buffett llegó a 2024 con $325 mil millones en efectivo en Berkshire Hathaway — más del 30% de sus activos totales. No porque crea que el mercado va a caer mañana. Porque sabe que cuando caiga, quien tiene efectivo puede comprar lo que los apalancados tienen que vender.

Distinguen entre la tecnología real y el precio de la tecnología real. El ferrocarril era real en 1840 y los precios colapsaron. Internet era real en 2000 y los precios colapsaron. La IA puede ser real y los precios de algunas empresas de IA pueden estar desconectados de lo que esa realidad produce en ganancias en el tiempo visible. Invertir en la tesis sin pagar por el escenario perfecto es la distinción que los mejores inversores hacen.

No intentan predecir cuándo — sino prepararse para cuando. Michael Burry apostó contra el mercado inmobiliario en 2005 y tuvo que sostener esa posición durante dos años mientras perdía dinero antes de que el mercado le diera la razón. Nadie puede predecir el timing de una corrección. Lo que sí se puede predecir es que quien llega preparado tiene opciones. Quien llega distraído tiene sorpresas.

El WEF terminó su análisis de diciembre de 2025 sobre las tres burbujas con una pregunta que vale más que cualquier respuesta: "¿Podemos sobrevivir a un triple estallido?" La respuesta que dan es matizada — depende de la secuencia, de la política monetaria disponible, de la capacidad fiscal de los gobiernos y de si las tres se corrigen simultáneamente o en diferentes momentos. Lo que no dicen es que el riesgo es marginal o gestionable sin preparación.

Las burbujas no se ven porque nadie tiene los datos. Se dejan de ver porque mirar implica actuar, y actuar implica asumir el costo inmediato de salir de algo que todavía está subiendo. Ese costo inmediato siempre parece mayor que el riesgo futuro — hasta que el riesgo futuro llega y resulta ser mucho mayor de lo que parecía. Goldman Sachs, JP Morgan, el FMI, el BIS y el Foro Económico Mundial ya pusieron los datos sobre la mesa. La pregunta ahora no es si alguien los vio. Es qué va a hacer cada quien con ellos.

Fuentes: Foro Económico Mundial "El problema de las tres burbujas: IA, criptomonedas y deuda" diciembre 2025 · Revista EYN / Goldman Sachs y JPMorgan advierten sobre burbujas enero 2026 · Forbes "Wall Street's Big Banks Signal The Next Credit Risks" abril 2026 · JP Morgan Private Bank LATAM "Crédito privado: ¿prometedor o problemático?" julio 2025 · JP Morgan Asset Management Private Credit Outlook · FMI World Economic Outlook 2024–2025 · BIS Annual Economic Report 2025 · BIS Quarterly Review 2024 · Robert Shiller "Narrative Economics" · Hyman Minsky "Stabilizing an Unstable Economy" · Historical data: Tulip mania / Railway mania / Dot-com crash / 2008 financial crisis / FMI database.

Jorge Mercado · #JMCoach

Your company is held hostage

 

Your company is held hostage.
The ransom is paid every month.
Nobody talks about it.Vendor lock-in. Legacy systems nobody can touch. Power silos that block decisions. Leaders set up to fight each other. These are not IT problems. They are profit problems — with documented price tags.

McKinsey documented that enterprises with high-performing, free-to-evolve IT organizations have up to 35% higher revenue growth and 10% higher profit margins. BCG found that only 35% of digital transformations meet their value targets. And Gartner confirmed that 25% of all SaaS licenses sit unused — while most organizations can only account for 40% of the apps they actually have. The math is not complicated. The courage to face it is.

The company that has been paying the same vendor for six years — not because the vendor is the best option, but because leaving would require someone to own the migration — is not paying for a service. It is paying for the discomfort of having to make a decision nobody wants to take ownership of.

Iwalked into a company where the CEO, in the first five minutes, told me the IT team had been "working on" replacing the core system for three years. I asked to see the project plan. Not a summary — the actual plan. There was none. What I found instead were 47 vendor slide decks, 12 workshop summaries with no decisions recorded, and a contract renewal with the existing provider that someone had quietly signed six months earlier to "buy more time." Three years. No real plan. No decision. The monthly invoice had climbed 34% since the process started — because the vendor's renewal team understood something the company hadn't: the most expensive thing they were selling wasn't software. It was the inertia of staying. That isn't a technology failure. That's a hostage situation where one side stopped negotiating. McKinsey, Gartner, Forrester, and BCG have all put dollar figures on exactly what that costs. The numbers are not comfortable reading.

20–30%of operational expenditure lost annually to rework, miscommunication, fragmented systems, and misaligned processes — across industriesMcKinsey / Crebos Global Research 2025

35%of digital transformations globally meet their value targets — BCG analysis of 850+ companies; 65% do notBCG Digital Transformation Study 2024

25%of SaaS licenses go unused; most organizations only aware of 40% of the apps they have — the invisible spend nobody measuresGartner SaaS Management Platforms MQ · 2024

57%of IT leaders spent more than $1 million on platform migrations in the last year — frequently because the original architecture trapped themSwfte AI / Enterprise IT Survey 2025

35%higher revenue growth in enterprises with high-performing, integrated IT vs. fragmented, locked-in comparablesMcKinsey "New Economics of Enterprise Technology" 2025

The four hostage-takers — and what they actually cost

The word "hostage" is strong. I use it deliberately. Because the companies that stay trapped in bad vendor relationships, legacy systems nobody dares to touch, or organizational structures designed to protect fiefdoms rather than serve customers — they are not choosing freely. They are paying for something they would leave if leaving were easier. And the ones who profit from that inertia know it and price accordingly.

Hostage #1: The vendor who designed the exit to be painful — on purpose

Vendor Lock-In · The most expensive contract nobody read carefully

Over 60% of enterprises report concerns about vendor lock-in risks (Statista / Gartner 2024). The mechanism is not accidental. Proprietary data formats that cannot be exported without transformation. APIs that only work inside the vendor's ecosystem. Egress fees that make moving data to a competitor prohibitively expensive. Training programs that make employees fluent in one platform and unable to function in another. And multi-year contracts with renewal penalties that make the cost of the breakup feel larger than the cost of staying — even when staying is demonstrably more expensive long-term. Unanticipated cloud migration spend added 14% on top of planned exit costs in 2024, according to enterprise IT analysis. The exit tax is real. It was designed to be real. The companies that avoided it are the ones that designed for portability from the start — not as an afterthought.

Hostage #2: The system nobody owns, so nobody dares touch it

Technical Debt · The system held together by tribal knowledge and fear

Every organization has at least one. The system that processes $8 million in transactions a month. The system that only two people understand how to operate — and one of them left in 2021. The system that was supposed to be replaced three years ago but somehow generates a new reason to stay every time someone proposes the migration. Gartner estimates poor data quality alone costs organizations $9.7–15 million annually in operational inefficiencies and flawed decision-making. That number compounds when the system generating the poor data is too fragile to fix. The cost is real — it just appears in slow inventory decisions, in wrong forecasts, in customer service failures that happen at a rate nobody tracks because tracking them would require the system to be reliable.

Organizations average 897 applications but only 29% are integrated (MuleSoft 2025). That fragmentation is not the result of 897 good decisions. It is the result of 897 individual decisions made without an enterprise architecture that asked how each piece connects to the whole.

The legacy system that nobody touches is not a technology problem. It is a leadership problem: nobody decided that the cost of replacing it was smaller than the cost of what it prevents the organization from doing every day it stays in place. Making that decision requires someone willing to own the transition — not just the risk of staying.

Hostage #3: The manager whose power lives in controlling what others can see

Organizational Dysfunction · Data as a political tool

The most expensive form of vendor lock-in is not a software contract. It is the organizational structure where information flows through gatekeepers whose power depends on controlling the data. The department that won't share its customer data with the product team because "it's our list." The IT leader who defines every request as a six-month project to maintain their team's relevance. The manager who sits on performance metrics because good numbers would justify reducing their headcount. Gartner's 2024 survey of 632 B2B buyers found that 74% of buying teams experience unhealthy conflict during internal decision processes. That conflict is not random. It is the predictable output of organizations where departments compete for resources, visibility, and survival instead of collaborating toward shared outcomes. Companies with strong cross-functional integration and shared data access achieve 10.3× ROI from AI initiatives versus 3.7× for those with poor connectivity (MuleSoft 2025). The 2.8× difference is not a technology gap. It is a politics gap.

Hostage #4: Leadership structures designed — accidentally or not — to produce war instead of results

Internal Conflict · The organizational design that produces war instead of results

Some organizations design conflict into their leadership structure without knowing it. Overlapping mandates with no arbiter. OKRs that reward individual team performance at the expense of cross-functional collaboration. Compensation models that create zero-sum competition between divisions. Budget processes where every department's gain is another's loss. The result is what McKinsey's State of Organizations 2026 survey found among n=10,018 respondents: the single biggest barrier to scaling AI across the enterprise is not the technology — it is fragmented workflows, approval layers, and siloed data created by organizational structures that were never designed for integration. Only 23% of organizations surveyed qualify as "AI Pioneers" with clear understanding of how AI reshapes their operations and the organizational alignment to execute on it. The other 77% have the tools. They do not have the structure to use them.

$9.1T

Cost of actively disengaged employees globally · Gallup State of the Global Workplace 2024

Gallup's 2024 study found that only 23% of employees globally are engaged at work. The 77% who are not — who are either disengaged or actively disengaged — represent $9.1 trillion in lost productivity annually. But the number that matters inside a specific organization is not the global one. It is this: disengaged employees produce, on average, 18% less revenue per person than engaged ones. In a 200-person company where the average revenue per employee is $300,000, that gap is $10.8 million annually. Not from bad strategy. From people who decided the organization wasn't worth full effort — usually after watching power games replace merit decisions one too many times.

Gallup State of the Global Workplace 2024 · Gallup Employee Engagement Research

The contrast — what the companies that broke free actually look like

There is a version of this story that is not about dysfunction. It is about the organizations that decided — at some specific moment, with a specific leader, often after a specific crisis that made the cost of staying visible enough to act on — that they were done paying the ransom. The data on what happens after that decision is consistently remarkable.

McKinsey's research on high-performing IT organizations found that enterprises that achieve genuine alignment between technology and business strategy generate up to 35% higher revenue growth and 10% higher profit margins than their comparable peers. That is not a technology investment outcome. It is an organizational design outcome. The difference between a company where the CTO and the CMO are solving the same problem from different angles, and one where they are competing for the same budget to solve different problems, is 35 points of revenue growth.

BCG's analysis of 850+ companies found that organizations implementing comprehensive best practices — integrated teams, clean data, open architectures, genuine ownership — achieve 3× higher success rates in digital transformation regardless of geography or sector. Not 3% higher. Three times. And those practices are not secret. They are documented, replicable, and available to any organization willing to make the organizational decisions they require.

What the breakout companies have in common — the pattern is consistent

They replaced proprietary with portable. Open APIs. Standard data formats. Contracts with explicit exit provisions and data portability clauses. Architecture decisions made with the assumption that the vendor relationship will eventually change — because it always does.

They gave ownership to someone who had authority to match it. The migration happened when someone with real decision-making power decided it was their problem to solve — not the IT department's, not the vendor's, not the next leadership team's.

They unified the data before deploying the intelligence. Every company that successfully scaled AI had the same precondition: clean, integrated, governable data that the models could trust. The companies that tried to deploy AI on top of fragmented, siloed data got fragmented, unreliable outputs. At scale.

They aligned leadership incentives around shared outcomes. The organizations where the sales team, the product team, and the operations team are evaluated on the same top-line outcome — not on competing metrics that make one team's win another's loss — consistently outperform those that don't. Gallup documents that engaged, aligned teams produce 23% higher profitability. That is not a culture initiative. It is a structural design choice.

The team that produces results is not necessarily the most talented or the best-funded. It is the one that is solving the same problem from different angles, with the same data, toward the same definition of success. Building that team is an organizational decision, not a hiring decision.

The companies that become trusted brands — what they did that others didn't

There is a specific category of company that not only broke free from these constraints but emerged as a market reference — the kind of brand that clients actively seek rather than passively accept. The pattern in those companies is not innovation in the Silicon Valley sense. It is something more basic and more difficult: they delivered what they promised, consistently, across every touchpoint, even when delivering it required fixing something internally that was uncomfortable to fix.

Forrester's research found that 81% of B2B buyers express dissatisfaction with the provider they ultimately chose. That is not a market with a shortage of good products. It is a market where execution consistently underdelivers the promise. The company that actually executes — that resolves the customer's problem on first contact, that delivers the product at the price quoted without the surprises that appear in month three, that has the data integrated well enough to know the customer's history before the customer explains it again — that company does not need a bigger marketing budget. It needs customers who tell other customers.

"Breaking free from vendor lock-in, legacy systems, and organizational silos is not a technology project. It is a leadership decision about whether the discomfort of changing is smaller than the cost of staying. The companies that made that decision clearly, early, and with someone willing to own it — those are the ones clients trust. The ones that kept deferring it are still in meetings discussing it."— Jorge Mercado · #JMCoach · CTO · Certified Professional Coach ICF · Enterprise Architecture

The Oracle–Rimini Street litigation — which ran for fifteen years before settling in July 2025 — is the most extreme documented case of what vendor lock-in looks like when it becomes a legal dispute. Organizations that had not properly documented their license rights found themselves unable to demonstrate compliance and unable to operate independently of the vendor's support structure. Fifteen years. The companies that had clean contracts with clearly defined portability rights and documented their license positions from the beginning had options those organizations did not. The difference was not legal sophistication. It was having someone, at the beginning of the relationship, who asked what happens when this ends.

The path out — what breaking free actually looks like in practice

The answer is not always to leave. Sometimes the vendor is genuinely the best option. Sometimes the legacy system runs fine and the cost of replacing it is higher than the cost of the technical debt it carries. The problem is not dependence. The problem is dependence without awareness — without knowing what you are dependent on, what it costs, and what the exit would require if you needed one.

Five questions that will tell you, honestly, how much control your company actually has

Audit what you actually use versus what you pay for. Gartner found 25% of SaaS licenses unused and most organizations aware of only 40% of their apps. Before the next renewal cycle, conduct a complete inventory: every license, every contract, every API dependency, every piece of data that only lives inside a vendor's proprietary format. That inventory is the map of your hostage situation.

Define the exit condition for every critical vendor relationship. Not because you plan to leave. Because knowing what exit costs means you can negotiate from an informed position and design new integrations with portability built in. The contract that doesn't define data export timelines and formats is the contract that will charge you for them when you need them.

Unify the data before scaling the technology. Every AI initiative, every automation project, every advanced analytics capability requires the same foundation: data that is clean, integrated, and trusted. The organizations that achieve 10.3× AI ROI (MuleSoft 2025) versus the ones that achieve 3.7× are separated by data governance, not by model sophistication.

Align leadership on shared outcomes — not competing metrics. The organizational design choice that determines whether departments collaborate or compete is the incentive structure. If the head of sales and the head of operations are evaluated on metrics that pull in opposite directions, they will pull in opposite directions regardless of how many alignment workshops you run.

Find the person who will own the transition — before you need the transition. Every company that successfully migrated from a hostage system to a free one had one thing in common: someone who said "this is my problem to solve" and had the authority to mean it. That person is not always the CTO. Sometimes it is an external architect who has done this before. But it is always someone specific, not a committee.

Companies with strong integration achieve 10.3× ROI from their AI initiatives. Enterprises with high-performing IT generate 35% higher revenue growth. Aligned, engaged teams produce 23% higher profitability. These are not aspirational numbers. They are the documented outcomes of organizational decisions — about architecture, about data, about leadership structure, about vendor relationships — that some companies made and others deferred.

The hostage situation has a price. The ransom compounds. And the ransom is not just the monthly invoice — it is the 35% revenue growth that did not happen, the AI ROI that came in at 3.7× instead of 10.3×, and the clients who would have been loyal advocates if the experience had matched the promise. All of that has a number. And the number is larger than the discomfort of making the decisions that break the lock.

Sources: McKinsey "The New Economics of Enterprise Technology in an AI World" 2025 · McKinsey State of Organizations 2026 Survey (n=10,018) · BCG "Flipping the Odds of Digital Transformation" 2024 · Gartner SaaS Management Platforms Magic Quadrant 2024 · Gartner Data Quality Research 2024 · MuleSoft Connectivity Benchmark Report 2025 · Forrester State of Business Buying 2024–2025 · Gallup State of the Global Workplace 2024 · Flexera State of the Cloud 2024–2025 · Swfte AI Enterprise IT Survey 2025 · Crebos Global Operations Research 2025 · Integrate.io "50 Statistics Every Technology Leader Should Know 2026" · Oracle / Rimini Street settlement July 2025 (public court record) · Springer Nature "Critical Analysis of Vendor Lock-In" · Statista Enterprise Technology Survey 2024 · ITAM Review "Vendor Lock-In: A Beginner's Guide" 2026 · Deloitte "State of Generative AI in the Enterprise 2024".

Jorge Mercado · #JMCoach

Tus datos ya se vendieron

 

Tus datos ya se vendieron.
Y la fuga no fue por un hacker.
Fue por un Excel o la orden de un irresponsable.El 82% de las brechas de datos involucra al elemento humano. La mayoría no se originan en ataques sofisticados — se originan en procesos cotidianos que nadie diseñó para ser seguros y decisiones poco éticas de algunos.

El costo promedio global de una brecha de datos en 2025 es de $4.44 millones de dólares. En EE.UU. llegó a $10.22 millones — récord histórico. El 36% de todas las brechas provienen de terceros: el proveedor que accede a tus datos, la API que nunca se auditó, el contrato que no especificó quién es dueño de qué. Y la mayoría de las empresas todavía cree que sus datos están protegidos porque tiene un antivirus o han blindado el perímetro muy bien, más la brecha es interna, por necedades, malas prácticas, corrupción, sistemas improvisados u otras.

El dato no tiene que ser robado para perderse. Puede enviarse por correo equivocado, exportarse en un Excel sin cifrar, exponerse en una API sin autenticación o transferirse a un proveedor que lo revende a un tercero que el cliente nunca conoció. El perímetro de seguridad más débil de cualquier organización es el proceso cotidiano que nadie diseñó con seguridad en mente.

Cuando una empresa sufre una brecha de datos, la narrativa pública casi siempre menciona a los hackers. Los hackers rusos, el grupo de ransomware, el ataque sofisticado que ningún sistema podía prever. Esa narrativa tiene la ventaja de que distribuye la responsabilidad hacia afuera y hace que la empresa afectada parezca víctima de fuerzas externas imprevisibles. Pero los datos de Verizon, IBM y el Ponemon Institute cuentan una historia diferente. El 82% de las brechas de datos involucra al elemento humano — errores, phishing, uso inadecuado de credenciales, empleados que enviaron información al destinatario equivocado o que usaron el correo corporativo para guardar datos que no debían salir de la red. El hacker sofisticado existe. Pero el Excel con la base de clientes completa enviado por correo a un proveedor externo sin cifrado y sin contrato de confidencialidad existe mucho más.

$4.44Mcosto promedio global de una brecha de datos en 2025 — primer descenso en cinco años, gracias a IA y automatización en detecciónIBM / Ponemon Institute · 2025 · N=600

$10.22Mcosto promedio en EE.UU. en 2025 — récord histórico para cualquier país, impulsado por multas regulatorias y costos de detecciónIBM / Ponemon · 2025

82%de las brechas involucra el elemento humano — error, phishing, credenciales robadas o mal uso internoVerizon DBIR 2024

36%de todas las brechas en 2024 se originaron en terceros — proveedores, APIs, socios — el vector de más rápido crecimientoSecurityScorecard · IBM 2025

241 díasel tiempo promedio para identificar y contener una brecha en 2025 — mínimo de 9 años, pero aún 8 meses de exposición invisibleIBM / Ponemon · 2025

Las fugas reales — no las del thriller de Netflix

La industria de la ciberseguridad tiene un problema de narrativa: vende la amenaza más dramática porque es la que justifica los presupuestos más grandes. Pero las fugas que más afectan a las empresas mexicanas medianas y a los ciudadanos cuyos datos manejan no vienen de grupos de hackers con nombres en código. Vienen de los procesos cotidianos que nadie diseñó con seguridad.

El correo electrónico — el vector más antiguo y más activo

El canal que nadie audita porque "siempre ha funcionado así"

El phishing es hoy el vector de ataque más común — 16% de todas las brechas documentadas, con un costo promedio de $4.8 millones por incidente (IBM 2025). Pero el phishing es solo la mitad del problema del correo. La otra mitad es el correo interno mal usado: bases de datos enviadas a distribuciones masivas de empleados, información de clientes compartida con proveedores externos sin acuerdo de confidencialidad, archivos adjuntos con datos sensibles reenviados por error al contacto equivocado. El correo electrónico es el canal de mayor volumen y menor control en prácticamente toda organización que no ha implementado DLP (Data Loss Prevention) de forma efectiva. Y la mayoría no lo ha hecho.

El Excel — la base de datos sin gobierno que todo el mundo tiene

El repositorio de datos más peligroso de cualquier empresa

En algún servidor compartido o en el escritorio de alguien hay un Excel con el nombre "clientes_completo_2024_v3_FINAL.xlsx". Tiene 15,000 registros. Incluye nombre, correo, teléfono, RFC, historial de compras, nivel de ingresos inferido y en algunos casos datos bancarios. No tiene cifrado. No tiene control de versiones. No tiene registro de quién lo abrió, quién lo modificó o cuántas copias existen. Cuando esa persona deja la empresa, el archivo se va con ella. Cuando se manda a un proveedor "solo para consultar", el proveedor lo guarda. Cuando alguien lo sube a Google Drive para trabajar desde casa, cruza a infraestructura que la empresa no controla. IBM documenta que el costo por registro comprometido es de $173 dólares en promedio. Un Excel con 15,000 registros representa una exposición potencial de $2.6 millones — y la empresa no sabe que existe.

Las APIs sin autenticación — el agujero que los proveedores no mencionan

El vector de más rápido crecimiento en empresas medianas

El 15% de las organizaciones identificó una vulnerabilidad en cadena de suministro como fuente de su brecha — el segundo vector más prevalente después del phishing (IBM 2025). En el contexto de empresas medianas en México y LATAM, eso se traduce con frecuencia en APIs expuestas sin autenticación adecuada, tokens de acceso compartidos entre múltiples proveedores sin rotación, y webhooks que envían datos en texto plano a endpoints de terceros que nadie auditó. La API que el proveedor de marketing usa para "sincronizar contactos" puede estar enviando tu base de clientes completa a su propia infraestructura — con las condiciones de su contrato, no del tuyo.

El dato comprometido no necesita que alguien lo robe activamente. Puede filtrarse a través de un proceso de negocio que nadie consideró que era un vector de exposición. El contrato con el proveedor que "necesita acceso" a la base de clientes para prestar el servicio puede ser la fuente de la fuga que la empresa descubrirá dos años después — o que nunca descubrirá.

Los respaldos — la seguridad que se convirtió en vulnerabilidad

La copia de seguridad que nadie sabe dónde está

La empresa hace respaldos de su base de datos diariamente. Eso es bueno. Los respaldos se guardan en un servidor externo de bajo costo, sin cifrado, con el mismo usuario y contraseña desde hace seis años. El proveedor del servidor nunca fue auditado. El contrato no especifica que los datos del respaldo son propiedad exclusiva de la empresa y no pueden ser accedidos por el proveedor. Eso es una brecha esperando ocurrir. El 40% de las brechas en 2024 involucró datos almacenados en múltiples entornos — nube pública, nube privada y on-premise — precisamente porque los datos migran hacia donde es conveniente sin que nadie diseñe el control de acceso para cada entorno (IBM 2024). El respaldo es parte del dato. Y el dato en el respaldo tiene exactamente la misma sensibilidad que el dato en producción — con la diferencia de que el respaldo frecuentemente tiene menos controles.

Los contratos con terceros — el vector más costoso y menos visible

El dato que cediste sin saber que lo cediste

La empresa contrató un CRM. El CRM tiene acceso a todos los contactos y al historial de interacciones. En los términos de servicio del CRM — los que nadie leyó completamente — hay una cláusula que permite al proveedor usar datos agregados y anonimizados para mejorar sus modelos. La "anonimización" no está definida. El "uso para mejorar modelos" incluye compartir con terceros para entrenamiento de IA. El dato de tu cliente que llegó al CRM para gestionar el servicio terminó en un modelo de IA que pertenece a otro proveedor, entrenado con datos de cientos de empresas, y del que no tienes ningún control. Eso no es un ataque. Es el modelo de negocio del proveedor — correctamente descrito en los términos que aceptaste sin leer.

$173

Costo por registro comprometido · IBM / Ponemon · 2025 · Promedio global

A $173 dólares por registro comprometido, la base de clientes de una empresa mediana con 50,000 registros representa una exposición financiera potencial de $8.65 millones. Una con 200,000 registros: $34.6 millones. Esos números no son el costo de un ataque sofisticado — son el costo de un Excel sin cifrado que llegó al lugar equivocado, multiplicado por cada registro que contenía. El dato tiene un valor económico. Y ese valor se materializa en la factura del incidente si no se gobernó correctamente desde el inicio.

IBM Cost of a Data Breach Report 2025 · Ponemon Institute · N=600 organizaciones

El tráfico de información — el negocio que nadie nombra

Hay una economía paralela que opera con los datos que las empresas no protegen. No es una economía clandestina accesible solo para grupos criminales sofisticados. Es un mercado estructurado con precios documentados, vendedores especializados y compradores que incluyen desde spammers hasta plataformas de publicidad programática, corredores de datos, compañías de seguros y fondos de cobertura que usan datos alternativos para sus modelos de inversión.

Según el Foro Económico Mundial, el valor del mercado global de datos personales en 2025 supera los $250 mil millones anuales. Una combinación de nombre, correo, número de teléfono, historial de compras y nivel de ingresos se vende en mercados legítimos de datos por entre $0.50 y $5 dólares por registro. Los mismos datos en mercados de la dark web, obtenidos de brechas, cuestan entre $10 y $100 dólares por conjunto completo dependiendo de la calidad y actualidad. La diferencia de precio no es de ilegalidad — es de exclusividad. El dato que sale de una brecha está disponible para quien lo compre. El dato que se vende legalmente también lo está — con la diferencia de que alguien firmó un términos de servicio que lo permitía.

El modelo de negocio que tus datos financian sin que lo sepas

La aplicación gratuita que usas para gestionar tus finanzas personales no es gratuita. El costo que no ves es tu comportamiento financiero, tus hábitos de gasto, tu nivel de ingresos inferido y tus patrones de ahorro — que se venden a aseguradoras que ajustan sus primas, a bancos que calibran sus ofertas de crédito, y a fondos que modelan comportamiento del consumidor. Meta fue multada con €1.2 mil millones por la Unión Europea en 2023 — la multa más grande bajo el GDPR hasta esa fecha — precisamente por transferir datos de usuarios europeos a servidores en EE.UU. sin las salvaguardas adecuadas. El modelo de negocio que la multa intentó corregir no es un accidente. Es el diseño.

El mercado de datos personales tiene precio de mercado, compradores documentados y vendedores que operan tanto en el espacio regulado como fuera de él. La diferencia entre el dato que se vende legalmente y el que se vende ilegalmente con frecuencia es solo la claridad del consentimiento que alguien dio — o creyó que no estaba dando.

México y el INAI — la regulación que existe y no alcanza

México tuvo al INAI como autoridad de protección de datos personales desde 2010. El INAI fue extinto el 20 de marzo de 2025, mediante decreto publicado en el DOF, como parte de la reforma constitucional que eliminó varios organismos autónomos. Sus funciones fueron transferidas a la Secretaría de Anticorrupción y Buen Gobierno (SABG), bajo la cual opera ahora el organismo desconcentrado "Transparencia para el Pueblo". La nueva Ley Federal de Protección de Datos Personales en Posesión de los Particulares (NLFPDPPP) entró en vigor ese mismo día.

El marco jurídico de protección de datos personales en México se mantiene — los derechos ARCO (Acceso, Rectificación, Cancelación y Oposición) siguen vigentes. Lo que cambió es la autoridad que los supervisa: ahora es la SABG, una Secretaría de Estado que depende del Ejecutivo Federal, no un organismo autónomo. Especialistas de la CIDH, académicos de la UAM y organizaciones de transparencia han señalado el riesgo de pérdida de autonomía regulatoria en esta transición — porque la entidad que ahora supervisa la privacidad de los ciudadanos ante el gobierno es parte del mismo gobierno. Las multas máximas bajo la NLFPDPPP pueden llegar a $52 millones de pesos por infracción grave, y las resoluciones ahora se impugnan vía amparo ante Tribunales especializados. El cumplimiento sigue siendo ampliamente reactivo en el sector privado — la mayoría de las empresas medianas nunca ha recibido una auditoría de privacidad.

Este cambio institucional tiene una implicación directa para las empresas: la incertidumbre sobre la robustez de la supervisión doméstica hace más relevante, no menos, el cumplimiento proactivo. La empresa que espera que la nueva autoridad la notifique de un problema antes de resolver sus procesos de privacidad está asumiendo un riesgo que la regulación de GDPR en Europa — donde sí hay supervisores con autonomía y dientes regulatorios — ya materializó en €4.5 mil millones en multas acumuladas.

El contraste con Europa es revelador. El GDPR ha generado más de €4.5 mil millones en multas desde su entrada en vigor en 2018. La multa a Meta de €1.2 mil millones. Los $1.3 mil millones a Amazon en 2021. Los €746 millones a WhatsApp. Esas multas no son castigos a empresas malas — son el costo de modelos de negocio que la regulación europea decidió que no eran compatibles con los derechos de privacidad de los ciudadanos. México camina en esa dirección. El costo de no prepararse hoy es la multa regulatoria de mañana más el daño reputacional que el regulador no necesita imponer porque el mercado ya lo hizo.

€4.5B

Multas GDPR acumuladas desde 2018 · Unión Europea · La señal más clara de hacia dónde va la regulación global

Las multas del GDPR no son noticias distantes para empresas mexicanas. Las empresas que operan con clientes o empleados en Europa están sujetas al GDPR independientemente de dónde están incorporadas. Y la dirección regulatoria global — CCPA en California, LGPD en Brasil, LFPDPPP en México — converge hacia estándares más exigentes, plazos más cortos de notificación y sanciones más significativas. La empresa que construye sus prácticas de privacidad para cumplir el GDPR no solo está protegida en Europa — está lista para cualquier evolución regulatoria que llegue en los próximos cinco años.

GDPR Enforcement Tracker 2024–2025 · CNIL · ICO · AEPD · DPC

El dato como activo — la otra cara que la mayoría no ve

Todo lo anterior puede sonar como una lista de amenazas. Y es importante entenderlo así — porque las amenazas son reales y los costos son documentados. Pero hay otra cara del gobierno de datos que las empresas que lo hacen bien experimentan directamente: cuando los datos están bien gobernados, bien protegidos y bien estructurados, se convierten en el activo más valioso de la empresa — no en su principal vulnerabilidad.

McKinsey documenta que las organizaciones con madurez de datos obtienen entre 2.6x y 3.1x mayor retorno de sus inversiones tecnológicas. Las que tienen gobierno de datos real — con clasificación de datos, linaje documentado, acceso por roles y auditoría de uso — pueden hacer algo que las que no lo tienen no pueden: usar sus propios datos para crear ventaja competitiva sin exponer a sus clientes. Personalización que no viola privacidad. Modelos de riesgo entrenados sobre datos propios sin compartirlos con terceros. Inteligencia de negocio que llega a tiempo real porque los datos son confiables, no porque se invirtió en más herramientas.

La IA es el multiplicador de esta ecuación. IBM documentó que las organizaciones con uso extensivo de IA en seguridad reducen su costo de brecha en $2.22 millones promedio — más de la mitad del costo promedio global. La misma IA que detecta anomalías en el comportamiento del dato antes de que ocurra la fuga también puede identificar oportunidades de negocio en los patrones de uso que ningún analista humano podría encontrar en el volumen disponible. El gobierno de datos no es solo defensa. Es la infraestructura sobre la que cualquier capacidad de IA produce valor real en lugar de riesgo escondido.

La diferencia entre el dato como pasivo y el dato como activo

El dato que no sabes que tienes es un pasivo. Si no conoces qué datos personales maneja tu empresa, dónde están almacenados, quién tiene acceso, con qué proveedores se comparten y bajo qué condiciones contractuales — ese dato es una obligación regulatoria que no cumples, una vulnerabilidad que no controlas y un pasivo financiero que puede materializarse cuando menos lo esperas.

El dato que conoces, clasificas y gobiernas es un activo. Sabes exactamente qué tienes, qué vale para el negocio, cómo protegerlo y cómo usarlo para generar valor sin violar la privacidad de las personas que te lo confiaron. Esa diferencia no está en la tecnología — está en el proceso de gobierno que alguien decidió construir.

La empresa que gobierna bien sus datos no solo está protegida regulatoriamente — está mejor posicionada para usar la IA de forma que genere valor real, porque tiene la base de datos limpios, bien clasificados y con linaje documentado que cualquier modelo requiere para producir resultados confiables.

Las cinco preguntas que revelan si tu empresa gobierna sus datos — o solo cree que lo hace

¿Puedes listar en menos de 24 horas todos los repositorios donde tu empresa almacena datos personales de clientes? No los que están en el sistema principal — todos: bases de datos, excels en servidores compartidos, correos con adjuntos, respaldos externos, herramientas SaaS de terceros. Si esa lista requiere más de un día, tienes datos que no controlas.

¿Tienes un inventario de todos los proveedores que tienen acceso a datos de clientes — con el contrato específico que define qué pueden hacer con esos datos? Si algún proveedor tiene acceso sin contrato de procesamiento de datos firmado, estás cediendo control sobre información que la ley te obliga a proteger.

¿Cuánto tiempo tardarías en notificar a todos los afectados si descubrieras hoy una brecha de datos? La LFPDPPP y el GDPR establecen plazos específicos. Si no tienes el proceso documentado y probado, la respuesta real es "más de lo que la ley permite".

¿Qué pasa con los datos de un cliente cuando este solicita su eliminación? No solo en el sistema principal — en todos los sistemas, respaldos, logs, herramientas de análisis y bases de datos de terceros donde pueda existir. Si la respuesta no es un proceso documentado con pasos verificables, el derecho al olvido que la ley garantiza es teórico en tu empresa.

¿El equipo que procesa datos personales recibió capacitación sobre privacidad en los últimos 12 meses? El 82% de brechas involucra el elemento humano. La capacitación no elimina el riesgo humano — lo reduce significativamente. La empresa que no invierte en esa capacitación está pagando una prima de riesgo que no aparece en ningún presupuesto pero que sí aparece en la factura del incidente.

Los 241 días promedio para identificar y contener una brecha son el indicador más revelador de todo el reporte de IBM. Son más de ocho meses de exposición invisible — ocho meses durante los cuales los datos comprometidos pueden haber sido vendidos, replicados, usados para fraude, o comercializados en formas que la empresa nunca sabrá completamente. Ese período no se reduce con más tecnología — se reduce con gobierno de datos que hace visible lo que ocurre con el dato en tiempo real, con procesos que detectan el uso anómalo antes de que la brecha se consolide, y con controles que hacen que la fuga por Excel o por correo sea técnicamente imposible en lugar de simplemente desaconsejada.

El dato de tus clientes les pertenece a ellos. Lo gestionas en nombre de ellos. Y el costo de no cuidarlo — $173 dólares por registro, multiplicado por cada registro que alguna vez confiaron en que protegerías — es el costo de haber decidido que el gobierno de datos era un proyecto de "cuando haya tiempo". Ese tiempo ya pasó.

Fuentes: IBM / Ponemon Institute "Cost of a Data Breach Report" 2024 y 2025 · Verizon "Data Breach Investigations Report 2024" · SecurityScorecard "Third-Party Cyber Risk" 2025 · GDPR Enforcement Tracker 2025 · Zscaler IBM 2024 Analysis · DeepStrike "Data Breach Statistics 2025–2026" · Secureframe "110+ Data Breach Statistics 2026" · Morgan Lewis "Cost of Data Breach 2025" · WEF Global Data Economy Report · ITGRC Advisory "Cost of a Data Breach 2025" · McKinsey "The Data-Driven Enterprise" · INAI México Informe Anual · LFPDPPP Diario Oficial de la Federación.

Jorge Mercado · #JMCoach