03 Nov Las IAs pueden leer a las empresas de ciberseguridad de Latinoamérica. Casi nunca las citan.

Estudio de rastreo y citación por IA en 23 sitios de ciberseguridad de Latinoamérica. Sandra Marín, Neat Project. Mediciones del 29 y 30 de octubre de 2026.

Revisé 23 sitios de empresas de ciberseguridad de Colombia, México, Chile, Perú y Argentina. Ninguno le cierra la puerta a los bots de búsqueda de las IAs: la puerta está abierta. Pero cuando le hice a ChatGPT y a Gemini 15 preguntas de compra (“qué empresas hacen pentesting en México”, por ejemplo), 12 de los 23 no aparecieron en ninguna de las 30 respuestas. Y de las 319 páginas que las IAs usaron como fuente, alrededor del 95 % no eran de estas empresas: eran listados, directorios, medios y guías de otras compañías.

Los hallazgos del estudio de citación por IA

1. La puerta está abierta en todos los sitios

De los 23 sitios con respuesta válida, ninguno bloquea a los bots de búsqueda o citación de OpenAI, Anthropic o Perplexity, ni en el servidor ni en el robots.txt. Cinco restringen bots de entrenamiento, que no deciden si una IA cita a una empresa.

Qué encontré	Sitios (de 23)
Bloquean algún bot de búsqueda o citación	0
Restringen algún bot de entrenamiento	5
Restringen Google-Extended, que también limita las respuestas de Gemini	2
Dejan entrar a todo, sin ninguna restricción	18

De los cinco que restringen el entrenamiento, tres lo hacen en el servidor (uno responde 403 a GPTBot y ClaudeBot; dos responden 429 solo a GPTBot) y dos solo en el robots.txt. Las tres respuestas del servidor se repitieron en tres pruebas, en fechas distintas.

2. Aun así, la mitad no aparece

El 30 de octubre de 2026 medí 15 consultas de compra en ChatGPT y Gemini, con el país configurado en cada una: 30 respuestas en total.

Qué pasó en las 30 respuestas	Sitios (de 23)
Aparecen de alguna forma (nombrados o como fuente)	11
Su página fue usada como fuente	9
Nombrados en la respuesta	al menos 9
No aparecen en ninguna respuesta	12

En ChatGPT, el motor que coincide directamente con la prueba de acceso (su bot de búsqueda, OAI-SearchBot, recibió respuesta correcta en los 23 sitios), solo 6 fueron nombrados y 5 usados como fuente.

3. Las IAs leen sobre las empresas, más que a las empresas

ChatGPT y Gemini usaron 319 páginas como fuente. Solo 16 eran de los 23 sitios de la muestra: alrededor del 95 % de las fuentes fueron otras páginas. Directorios de proveedores aparecieron como fuente en los cinco países, junto con medios, listados generados automáticamente y guías publicadas por otras empresas de ciberseguridad.

4. Qué tipo de página propia sí usaron

De las 16 páginas de la muestra usadas como fuente:

Tipo de página	Veces
Guías de “mejores empresas de X en [país]” o páginas de un servicio por ciudad o país	7
Página de inicio	6
Página de un servicio o de socios	3

Fuera de la muestra se ve lo mismo: varias de las empresas que más aparecen tienen publicadas guías como “las mejores empresas de pentesting en México” o “los mejores proveedores de SOC”. Esto es una observación, no una causa: con 30 respuestas no se puede afirmar que el formato explique la aparición.

5. Una configuración de Cloudflare que saca a Gemini sin que se note

Los dos sitios que restringen Google-Extended no lo escribieron a mano: su robots.txt lo genera Cloudflare a partir de una opción de su panel para frenar el entrenamiento de IA. En los dos casos, la opción se activó entre septiembre y octubre de 2026 (en la primera prueba, del 22 de septiembre, ninguno de los dos lo tenía).

Según la documentación de Google, Google-Extended no solo controla el entrenamiento: también decide si Gemini puede usar el contenido para responder con fuentes. Es decir, al marcar “no entrenamiento”, estas empresas también le pidieron a Gemini que no use su sitio como fuente. Ninguno de los dos apareció como fuente en Gemini en esta medición, pero con 15 respuestas no se puede atribuir a esa configuración.

Qué significa para una empresa de ciberseguridad

• Revisar el acceso es necesario, pero no es lo que falta. En esta muestra, el problema casi nunca es que la IA no pueda entrar. Si su sitio está en el grupo de 18 sin restricciones, el siguiente paso no es técnico.
• Lo que decide es qué hay escrito, dentro y fuera del sitio. Las IAs arman la respuesta a “qué empresa contrato” con lo que encuentran sobre la categoría: guías, listados, directorios. Una empresa que no aparece en esas páginas, ni tiene una propia que responda la pregunta, queda fuera.
• Si usan Cloudflare, revisen el robots.txt publicado. Si la opción de frenar el entrenamiento escribió Disallow para Google-Extended, su sitio quedó fuera de las fuentes de Gemini. Para restringir solo el entrenamiento, Cloudflare tiene la opción “Disallow AI Training”. (anuncio de Cloudflare)

Método

Muestra. 27 sitios de empresas de ciberseguridad con sede en Latinoamérica, tomados de una lista de prospección depurada con dos criterios: que la ciberseguridad sea su actividad principal, y que el propio sitio declare país, dirección o razón social en Latinoamérica (un dominio de país solo no basta). Cuatro quedaron inconclusos: uno no respondió en dos intentos, dos bloquean también a un navegador común, y uno respondió con error al navegador de control en dos pruebas, aunque dejó entrar a los bots. Quedan 23 sitios: 9 de Colombia, 7 de México, 5 de Chile, 1 de Perú y 1 de Argentina. No es una muestra aleatoria: los resultados describen a estos 23 sitios, no al sector completo.

Prueba de acceso (29 de octubre de 2026). Desde una computadora en Colombia, una petición a la página de inicio de cada sitio con el nombre de un navegador común y con el de cinco bots: GPTBot y OAI-SearchBot (OpenAI), ClaudeBot y Claude-SearchBot (Anthropic) y PerplexityBot. Se registró el código de respuesta, si el sitio está detrás de Cloudflare y el robots.txt completo. Los casos con errores se repitieron en otra fecha (primera prueba: 22 de septiembre de 2026). Para Gemini, que lee los sitios con el rastreador del buscador de Google, se revisó el permiso Google-Extended en el robots.txt.

Medición de citas (30 de octubre de 2026). Ubersuggest (AI Search Visibility), con 15 consultas de compra en español escritas antes de medir y con el país configurado: 5 de Colombia, 5 de México, 3 de Chile, 1 de Perú y 1 de Argentina, repartidas según la muestra. Motores: ChatGPT y Gemini (los resúmenes de IA de Google no entregaron datos en esta medición). Se revisaron las 30 respuestas y sus fuentes una por una, buscando cada empresa por sus variantes de nombre y de dominio.

Las consultas:

• Colombia y México: ¿Cuáles son las mejores empresas de ciberseguridad en [país]? / ¿Qué empresas hacen pruebas de penetración (pentesting) en [país]? / ¿Qué proveedores de SOC gestionado recomiendas en [país]? / ¿Qué empresa puede hacer un ethical hacking a mi compañía en [país]? / ¿Qué consultoras de seguridad de la información recomiendas para una empresa en [país]?
• Chile: las tres primeras.
• Perú y Argentina: la primera.

Límites

• La prueba de acceso simula el nombre de cada bot. No detecta bloqueos que verifican la dirección IP del rastreador real, así que un sitio puede tratar distinto al bot verdadero.
• Motores distintos en cada parte. El acceso se probó con bots de OpenAI, Anthropic y Perplexity, más el permiso de Gemini; las citas, en ChatGPT y Gemini. El contraste directo vale para ChatGPT.
• Una sola medición de citas. Las respuestas de las IAs cambian entre sesiones. La medición se repetirá en dos semanas y el estudio se actualizará.
• “Nombrados” es un mínimo. La herramienta recorta el texto de algunas respuestas largas; las fuentes, en cambio, vienen completas.
• Sin causas. El estudio reporta lo observado. No afirma que una configuración o un tipo de página explique que una empresa aparezca o no.

Transparencia

Dos de los 23 sitios son de empresas con las que trabajé: una fue cliente de Neat Project hasta 2026 y la otra lo es al momento del estudio. Se incluyeron como cualquier otro sitio de la muestra y no se comentan por separado. Los resultados se publican agregados, sin nombrar empresas.

¿Quiere saber dónde está su empresa? El diagnóstico gratuito toma dos minutos. Y si quiere ver qué dicen ChatGPT y Gemini cuando su comprador pregunta por su categoría, escríbame.