OneTrust

Qué es

OneTrust es la plataforma de programas de privacidad que la mayoría de los equipos legales y de privacidad internos heredan: gestión de cookies y consentimiento, mapeo de datos y registros de actividades de tratamiento (RoPA), automatización de solicitudes de titulares (DSAR), evaluaciones de impacto en privacidad, riesgo de terceros y —la parte con la que ahora encabeza su discurso— gobernanza de IA. Se vende como módulos sobre una sola plataforma, no como un producto único, y cada módulo tiene su propio medidor de precio. Fundada en Atlanta por Kabir Barday, fue valuada en $4.5 mil millones en su última ronda con precio (2023) y afirma que más de la mitad del Fortune 500 son clientes. El primer informe de cuota de mercado de IDC sobre software de privacidad le asignó un 29.7%, más del doble que el rival más cercano; ese dato es de 2022, pero nada publicado desde entonces sugiere que el orden se haya invertido.

En 2026 cambiaron dos cosas. John Heyman reemplazó a Barday como CEO el 9 de febrero, y Barday pasó al consejo. Y en TrustWeek (28–30 de septiembre, Las Vegas) OneTrust puso la gobernanza de agentes de IA como titular: CORIE, una capa compartida de razonamiento y evidencia, más un AI Control Plane que evalúa las acciones de los agentes en tiempo de ejecución y un Governance Command Center, todos anunciados como disponibles de forma general. Las piezas que pondrían a OneTrust dentro de las herramientas que la gente realmente usa —un MCP Gateway headless para ChatGPT, Claude, Copilot y Glean, evaluaciones impulsadas por IA y consentimiento conversacional— están en preview privada para el otoño (boreal) de 2026. Gartner la nombró Visionary, no Leader, en su primer Magic Quadrant 2026 para AI Governance Platforms.

Por qué aparece en los stacks de Legal Ops

• Es el sistema de registro que auditores y reguladores ya esperan. Un RoPA, un rastro de DPIA y un registro de consentimiento que una autoridad de control ya ha visto antes valen algo en una investigación de GDPR.
• Un solo inventario alimenta varias obligaciones. El mapa de datos construido para el RoPA es el mismo que delimita una búsqueda DSAR y una evaluación de proveedores. Los equipos que corren el flujo de intake de DSAR o el skill de due diligence de proveedores terminan necesitando ese mapa de todos modos.
• El inventario de IA llega con el EU AI Act. El módulo de gobernanza de IA de OneTrust registra modelos y casos de uso, corre evaluaciones de riesgo contra el AI Act y los marcos del NIST, y los vincula con el inventario de privacidad. Ese vínculo es la razón para comprarlo a OneTrust en lugar de a una herramienta independiente.

Precio real

No hay precio publicado. La página de precios lista paquetes —CMP Base y Suite, Privacy Automation Base y Suite, Third-Party Risk Base y Suite, AI Governance, Tech Risk & Compliance— cada uno medido de forma distinta: usuarios administradores, visitantes diarios del sitio web, perfiles de datos o tamaño del inventario.

Los datos de transacciones de Vendr (unas 309 operaciones) ubican el contrato mediano cerca de $12,000 al año, con un rango de aproximadamente $1,600 a $48,000. Esa mediana corresponde sobre todo a contratos de un solo módulo de consentimiento. Un programa multimódulo en una empresa de 1,000–5,000 empleados cuesta aprox. $40,000–$120,000 al año según estimaciones de terceros, y los programas enterprise llegan a seis cifras. La implementación suma un 20–40% de la suscripción del primer año. Proveedores competidores reportan que OneTrust fijó un mínimo anual de $10,000 desde el Q2 de 2026; OneTrust no lo ha confirmado, así que tómalo como el piso probable, no como una cotización. Vendr reporta descuentos de 20–30% sobre la primera cotización en contratos plurianuales y escaladores anuales de 5–10% como estándar.

Ideal para

Responsables de privacidad y líderes de Legal Ops en empresas de más de 2,000 empleados que operan bajo GDPR y varias leyes estatales de privacidad de EE. UU., que necesitan consentimiento, RoPA, DSAR y evaluaciones de proveedores en un solo sistema auditable y que ahora le deben al consejo un inventario de uso de IA. El retorno de la plataforma mejora con el número de módulos que realmente corres: a partir de dos, el inventario compartido se paga solo.

No lo compres para una empresa de menos de 500 personas cuya necesidad es un banner de cookies y unas pocas DSAR al mes. Ese comprador paga el precio mínimo por una fracción de la plataforma; una herramienta de consentimiento dedicada con tarifa mensual publicada por dominio cubre la misma necesidad.

Frente a las alternativas

TrustArc es el rival más antiguo y la segunda cotización habitual. Elígelo cuando el programa está guiado por evaluaciones y certificaciones y el equipo quiere un proveedor más pequeño que conteste el teléfono; elige OneTrust cuando necesitas el catálogo de módulos más amplio y una capa de gobernanza de IA sobre el mismo inventario.

Securiti es el retador con el desenlace reciente más grande: Veeam lo compró por $1.725 mil millones en diciembre de 2025. Elígelo cuando el trabajo real es el descubrimiento de datos y DSPM en almacenes de datos en la nube y seguridad comparte el presupuesto; elige OneTrust cuando legal y privacidad son dueños del programa.

Transcend encaja en empresas lideradas por ingeniería que quieren DSAR y consentimiento aplicados en el código mediante APIs en lugar de gestionados como tickets.

Vanta gana cuando el motor es la evidencia de SOC 2 o ISO 27001, no la privacidad. Para el control en tiempo de ejecución de qué agentes y herramientas MCP usan los empleados, WitnessAI o Zenity aplican hoy lo que el control plane de OneTrust apenas empieza a hacer. Para compradores guiados por litigios, Exterro comparte el mapa de datos con el legal hold.

Si ninguno encaja, la brecha suele ser de responsabilidad: nadie mantiene el mapa de datos, y cada plataforma aquí está tan actualizada como ese mapa.

Puntos de atención

• La propiedad no está resuelta. The Information reportó en noviembre de 2025 que OneTrust negociaba una venta a private equity con una valuación reportada de más de $10 mil millones; a inicios de octubre de 2026 no se había anunciado ningún acuerdo. Un nuevo dueño puede cambiar los precios de las renovaciones y retirar los módulos más lentos. Protección: pon un tope a los aumentos de renovación en el contrato (5% o menos), agrega una cláusula de cambio de control que permita terminar sin penalidad y evita plazos de más de 24 meses hasta que la venta se resuelva.
• Los aumentos en la renovación son fuertes. Los compradores reportan aumentos propuestos de 20–40% en la renovación, con casos atípicos más altos. Protección: inicia la negociación de renovación 120 días antes, lleva una cotización de TrustArc o Securiti y desglosa cada módulo para poder eliminar los que no se usan.
• El titular de gobernanza de agentes es mayormente preview. MCP Gateway, las evaluaciones impulsadas por IA y el consentimiento conversacional están en preview privada, sin clientes de producción nombrados. Protección: compra el módulo de gobernanza de IA por el inventario y las evaluaciones que funcionan hoy, y convierte cualquier promesa sobre ejecución de agentes en un anexo del contrato con criterios de aceptación.
• La carga administrativa es real. Cada módulo tiene su propia profundidad de configuración; las reseñas califican de forma consistente la capacidad por encima de la facilidad de uso. Protección: nombra a un responsable dedicado de la plataforma antes de firmar y presupuesta horas de un partner de implementación en el primer año.