Shelmia: la startup uruguaya que filtra ciberalertas con IA

Una alerta pequeña, un incidente gigante: el problema que resolvió Shelmia

Más del 60% de las alertas que reciben las grandes empresas sobre ciberataques quedan sin revisar, según el estudio de la consultora Intezer sobre más de 25 millones de casos que cita El Observador. Para una empresa mediana sin equipo dedicado, ese porcentaje no es una estadística: es la descripción exacta de su operación de seguridad.

Rodrigo Aguillón vivió esa realidad desde dentro. Como hacker ético en la Universidad de la República tuvo que responder a un «incidente gigante» que golpeó la Comisión Académica de Posgrados en 2023. La conclusión que sacó de esa crisis es la tesis de su startup: los ataques casi nunca empiezan con una alarma evidente, sino con una señal mínima que se pierde entre el ruido.

De ahí nació Shelmia, la empresa que fundó junto a tres socios para poner la inteligencia artificial al servicio de la defensa. El diagnóstico del fundador es simple y brutal: «Las grandes corporaciones pagan equipos enteros para revisar todo. La empresa mediana de América Latina no puede», y aun así enfrenta los mismos ataques con una fracción del presupuesto.

Leíste lo que hace la IA. ¿Y en tu negocio?

Un agente de IA puede quedarse con parte de tu día: ordenar lo pendiente y pedirte el OK antes de actuar. El Kit «tu mano derecha con IA» trae un video de 11 minutos y una ficha para dejar al tuyo trabajando. CAR está cerrada por ahora; al anotarte, te avisamos cuando abra.

👥 Quiero el Kit →

¿Qué hace distinto a Shelmia frente a un antivirus o un SIEM?

La plataforma no reemplaza las herramientas de seguridad que la empresa ya tiene instaladas. Se conecta a ellas, escanea el universo de alertas y aplica dos decisiones.

Las falsas alarmas se cierran solas. El sistema resuelve el ruido sin intervención humana.
Las alertas relevantes llegan explicadas. No como un código técnico, sino como un caso con contexto para que el responsable de seguridad sepa qué está pasando y qué hacer.

El punto que conviene retener es que Shelmia no vende detección: vende triaje. Es una distinción estratégica. En un mercado saturado de sensores, el cuello de botella no está en generar alertas sino en decidir cuáles merecen la primera hora del día. Ese es el trabajo cognitivo que la startup automatiza, y por eso se define como «el equipo de seguridad que muchas organizaciones no pueden pagar».

La idea pasó a ser negocio en febrero de 2026 y hoy tiene clientes medianos en Uruguay, Argentina y México. La hoja de ruta suma forensia digital, es decir, rastrear y decodificar la raíz de un ataque en los distintos dispositivos, y un módulo de «caza de amenazas» (threat hunting) para más adelante.

¿Cuánto cuesta un SOC y por qué el precio es el verdadero producto?

Aguillón usa una referencia concreta de mercado: las grandes corporaciones pagan más de US$20.000 al mes por un equipo de SOC (Centro de Operaciones de Seguridad), y su solución puede llegar a costar 15 veces menos.

El modelo de negocio es una suscripción que escala según el volumen de investigaciones anuales. El ejemplo que da el fundador: un plan de 12.000 investigaciones al año por US$25.000. A eso se suma, a futuro, el módulo de caza de amenazas.

Para un founder, la lectura más útil no es el descuento sino la unidad de cobro. Cobrar por investigación equivale a cobrar por unidad de trabajo cognitivo automatizado, no por asiento ni por licencia. Es un enfoque que alinea el precio con el valor real: cuanto más ruido tenga el cliente, más investigaciones consume y más paga. Si estás diseñando un SaaS de IA para un proceso operativo, ese esquema de precios es replicable y merece estar en tu pizarra antes de definir tarifas planas.

La IA también ataca: el contexto que vuelve urgente esta categoría

El problema de las alertas sin revisar se agrava porque el adversario también se automatizó. Según el informe «Coste de una brecha de datos 2026» del Instituto Ponemon, patrocinado por IBM y publicado por El Español, uno de cada cinco ciberataques maliciosos registrados en América Latina en el último año fue facilitado por inteligencia artificial, principalmente mediante suplantación de identidad con deepfakes y malware potenciado con modelos generativos.

El mismo informe pone cifras al daño: el costo promedio de una filtración de datos en América Latina alcanzó US$4,65 millones, con un promedio de 40.300 registros expuestos por incidente. Y aporta el argumento más directo a favor de la automatización defensiva: las organizaciones que usan IA y automatización en sus operaciones de seguridad reportaron un costo promedio de US$4,04 millones por brecha, frente a US$5,64 millones de las que no lo hacen, una diferencia de US$1,6 millones por incidente.

El 64% de las empresas encuestadas en América Latina dijo que planea incrementar su inversión en seguridad tras sufrir una brecha. En la región, además, la adopción es desigual: a nivel global más de la mitad de las organizaciones ya usa agentes de IA para detectar y contener amenazas, pero solo el 18% los aplica a la gestión de vulnerabilidades.

¿Las pymes están preparadas para defenderse solas?

Los datos de mercado dicen que no. El Mastercard 2026 SME Cybersecurity Outlook, realizado con 2.400 propietarios y responsables de pymes en 12 mercados de América Latina y el Caribe durante el segundo trimestre de 2026 y difundido por El País, muestra que entre las pymes que reportaron incidentes, el 24% había sufrido uno de ciberseguridad en los últimos 12 meses. Solo el 18% se siente muy preparada para proteger su negocio y una de cada cinco no cuenta con un plan de respuesta o recuperación.

El impacto no es solo técnico. El 48% de las pymes encuestadas considera que los problemas de ciberseguridad afectan de forma significativa o considerable la confianza de sus clientes. En Colombia, según Portafolio, el 62% de las pymes identifica el fraude y los ciberataques como una de las principales barreras para ampliar el uso de pagos digitales, por encima del 51% regional, y apenas el 34% cuenta con un plan formal y escrito de respuesta.

La escala del segmento explica el tamaño de la oportunidad: de acuerdo con reportes del PNUD LAC citados por El País, las pymes generan cerca del 60% del empleo formal productivo y cerca del 25% del PIB regional. Es un mercado enorme, fragmentado y sin presupuesto para un SOC propio. Que Shelmia apunte a la mediana empresa latinoamericana no es una limitación: es una decisión de posicionamiento.

Nueve meses en vez de tres años: cómo se construyó sin inversores

Aguillón y sus socios financiaron Shelmia con las ganancias de sus primeros clientes, sin inversores. La reflexión del fundador sobre el desarrollo del producto es la parte más citable para cualquier equipo técnico: «Pudimos hacer una plataforma en nueve meses que quizás, sin inteligencia artificial, nos hubiera llevado tres años».

El apoyo institucional también fue no dilutivo: el programa VIN de la Agencia Nacional de Investigación e Innovación (ANII) y la Agencia Nacional de Desarrollo (ANDE), la incubación en el Centro de Innovación y Emprendimientos de la Universidad ORT y el programa AWS for Startups. En las últimas semanas la startup fue seleccionada para la Startup Zone de Ekoparty, uno de los principales encuentros de ciberseguridad de América Latina, y quedó segundo entre 26 startups del rubro de la región.

Entre sus referencias locales aparece Strike, la startup de ciberseguridad defensiva creada por Santiago Rosenblatt, además de los consejos del cofundador de PedidosYa, Ruben Sosenke. La expansión sigue el mismo criterio de caja: apalancarse en fondos propios para crecer en Latinoamérica y, más adelante, buscar inversión para competir a gran escala en Europa y Estados Unidos. El primer piloto en Estados Unidos está previsto para diciembre y el siguiente mercado objetivo es Chile.

¿Qué pasa cuando el capital global descubre el mismo problema?

La tesis de Shelmia no es una rareza local. En agosto de 2026, la compañía de telemetría Cribl adquirió los activos de tecnología de IA para SOC de Radiant Security, una startup cuyo software también se conecta a las herramientas que el cliente ya opera para clasificar, investigar y resolver alertas por su cuenta, según reportó SiliconANGLE. El fundador de Cribl, Clint Sharp, lo justificó así: «Demasiado de un mercado de seguridad de US$121.000 millones está atrapado en silos de datos».

Los números de escala que maneja el sector van en la misma dirección. El 2026 Agentic Security Operations Report de Arctic Wolf, basado en datos de más de 11.000 organizaciones en más de 100 países, reporta que la IA agéntica ya resuelve el 60% de las investigaciones de seguridad de forma autónoma. Hace aproximadamente un año, el 81% de las investigaciones se hacía sin asistencia de IA; hoy las investigaciones exclusivamente humanas representan solo el 2% del volumen total. En paralelo, el volumen de alertas cayó 19% aunque el volumen de investigaciones subió 21%, y el tiempo promedio desde el evento que genera una alerta hasta un ticket accionable se redujo 36%.

El dinero confirma la categoría. En el recuento de rondas de septiembre de 2026 de CRN, la seguridad con IA aparece como uno de los destinos favoritos del capital de riesgo: Cyera sumó una extensión de US$400 millones a su Serie G, con una valoración de US$12.000 millones tras la ronda de US$600 millones de junio, e Island cerró una Serie F de US$400 millones que llevó su valoración a US$6.400 millones.

La consecuencia estratégica para una startup bootstrapped es incómoda pero clara: si el capital global ya valida la categoría, el diferencial de una empresa chica no puede ser la tecnología, porque estará replicada en un trimestre. Tiene que ser distribución local, conocimiento del cliente mediano y costo total de propiedad. Eso es exactamente lo que Shelmia está construyendo al venderle a la pyme corporativa de la región en lugar de competir por cuentas globales.

Qué significa esto para tu startup

Calcula tu ratio de alertas por persona. Si tu equipo de TI o seguridad no sabe cuántas alertas recibe por mes ni cuántas cierra, no puede automatizar nada: no hay línea base. Empieza por medir cuántas horas semanales se van en descartar eventos que no eran nada.
Inventaría el stack antes de comprar IA. Las soluciones que se conectan a las herramientas que ya usas tienen un costo de adopción mucho menor que las que exigen reemplazar todo. Exige esa integración como requisito de compra, no como extra.
Escribe el plan de respuesta, aunque sea de una página. Solo el 34% de las pymes colombianas encuestadas por Mastercard tiene un plan formal y escrito. Un documento con quién llama a quién, cómo se aísla un equipo y cómo se comunica a clientes cuesta cero y reduce el tiempo de reacción más que cualquier licencia.
Usa el financiamiento no dilutivo para el producto, no para el marketing. Shelmia llegó a producto en nueve meses con apoyo de ANII, ANDE, una incubadora universitaria y créditos de nube. En LATAM y España ese tipo de respaldo existe y no consume equity.
Diseña el precio sobre la unidad de valor real. Si tu producto ahorra trabajo cognitivo, cobra por trabajo resuelto y no por usuario. Alinea el ingreso con el dolor del cliente.

Conclusión

Shelmia es un caso poco frecuente en el ecosistema latinoamericano: una startup de ciberseguridad profunda, bootstrapeada, con clientes en tres países y un segundo puesto regional en Ekoparty como aval de producto. Su apuesta es que el mercado más grande de la región no es el corporativo que ya paga un SOC de más de US$20.000 mensuales, sino la mediana empresa que hoy opera sin nadie mirando las alertas.

El riesgo también es visible. La validación global de la categoría, con rondas de cientos de millones de dólares y adquisiciones de tecnología equivalente, presiona a los jugadores chicos a moverse rápido en distribución y a sostener precios bajos. La ventana existe, pero no es indefinida.