Desarrollo seguro asistido por IA
Hoy la IA produce buena parte del código y, en el tipo de trabajo adecuado, multiplica la velocidad de desarrollo. Pero un prototipo que funciona todavía no es un sistema sobre el que una empresa pueda apoyarse. Preparamos un entorno en el que puede desarrollar rápido con agentes de IA sin que un cambio sin verificar llegue a producción.
Tres modalidades de colaboración
Se diferencian en cuánto desarrolla usted y cuánto desarrollamos nosotros. Se puede cambiar de modalidad durante el proyecto.
Usted plantea un problema, un proceso o una necesidad de negocio. Hacemos el análisis, diseñamos la arquitectura, elegimos las tecnologías, construimos la aplicación, la probamos, la desplegamos y la evolucionamos y operamos según lo acordado.
Mantenemos la arquitectura, el modelo de datos y de seguridad, la infraestructura y las partes críticas del sistema. Su equipo construye funcionalidades concretas, con agentes de IA si le conviene. Todos los cambios pasan por las mismas pruebas y la misma revisión.
Usted desarrolla mayoritariamente por su cuenta. Nosotros preparamos un esqueleto seguro, reglas para los agentes de IA, pruebas automatizadas, un entorno de previsualización aislado y un proceso de release. Según lo contratado añadimos revisión de código, resolución de conflictos o la gestión de producción.
El desarrollo a medida completo no desaparece. Las otras dos modalidades son un complemento, no un sustituto.
La IA acelera el desarrollo, pero no asume la responsabilidad
Usamos agentes de IA de forma habitual y lo decimos abiertamente. Pero cada resultado se valora en el contexto del proyecto concreto. La IA no conoce sus procesos, ni el histórico de sus datos, ni qué ocurre cuando se rompe una integración con un sistema vecino.
Análisis e investigación técnica, implementación, creación y ampliación de pruebas, revisión de código, búsqueda de errores, documentación y, cuando tiene sentido, migraciones y refactorización.
La arquitectura, las decisiones técnicas, el modelo de seguridad, la revisión y la calidad del código resultante, el alcance de las pruebas y el criterio sobre si un cambio está listo para producción.
La IA no es un sustituto barato de un junior ni un proveedor autónomo. Es una herramienta potente en manos de un desarrollador senior. No afirmamos que la IA nunca se equivoque. Afirmamos que su resultado no llega a producción sin revisión.
Qué preparamos para usted
El alcance se acuerda según el proyecto y su nivel de riesgo. Los puntos siguientes son piezas de un mecano, no un paquete obligatorio.
- Un esqueleto arquitectónico estable de la aplicación
- Modelo de datos y de seguridad
- Repositorio y estrategia de ramas
- Instrucciones y límites para los agentes de IA
- Convenciones de desarrollo y estructura del proyecto
- Pruebas automatizadas y quality gates
- Entorno de pruebas o previsualización aislado
- Pipeline de CI/CD
- Imágenes Docker versionadas u otros artefactos de release
- Despliegue controlado, monitorización y copias de seguridad
Opcionalmente con supervisión senior, revisión de código, desarrollo propio y gestión de la infraestructura.
El camino de un cambio hasta producción
La forma concreta varía según el proyecto. El principio no: a producción no llega nada que no haya pasado las pruebas y la aprobación.
Nadie hace push directo a la rama principal. Ni usted, ni el desarrollador, ni un agente de IA.
Cada tarea o ejecución de un agente tiene su propia rama. Un cambio pequeño es más fácil de revisar y de deshacer.
El cambio se abre como pull request, con una descripción de qué cambia y por qué.
Sobre cada pull request se ejecutan las pruebas, el análisis estático y los controles acordados.
Usted abre el cambio y lo prueba en una versión separada de la aplicación, no sobre datos reales.
Tras su prueba y aprobación se genera un artefacto de release inmutable, normalmente una imagen Docker versionada.
A producción va exactamente el artefacto que pasó las pruebas y la aprobación. Nada se reempaqueta por el camino.
No promovemos un único modelo de ramas universal. Un proyecto pequeño admite un flujo más simple; un sistema con datos sensibles, uno más estricto.
Qué ocurre cuando los cambios entran en conflicto
Cuando varias personas y agentes trabajan a la vez, aparecen conflictos. No prometemos que una herramienta los resuelva siempre. Prometemos que no se resolverán en silencio y mal.
Dos modificaciones en el mismo punto del código sin relación de significado. Este lo puede intentar resolver un agente de IA. Tras la fusión deben volver a ejecutarse todas las pruebas relevantes.
Los cambios afectan a la misma lógica de negocio, modelo de datos, migraciones, permisos o arquitectura. El código se fusiona sin error, pero el resultado hace algo distinto de lo previsto. Esto lo valora y lo aprueba un desarrollador senior.
La resolución de conflictos y la supervisión senior continua se pueden contratar dentro de un paquete de soporte. La rama de producción no se puede esquivar con un push directo de un agente de IA.
Despliegue, versiones y vuelta atrás
Según el alcance del proyecto puede recibir una interfaz sencilla desde la que controlar los despliegues sin saber Git ni administrar servidores:
- Abrir la versión de pruebas de la aplicación
- Ver el estado de los controles y pruebas automáticos
- Aprobar una release concreta
- Desplegar a producción el artefacto aprobado
- Restaurar la versión compatible anterior
En sistemas diseñados adecuadamente se puede restaurar con seguridad la versión compatible anterior. Precisamente por eso se despliega un artefacto inmutable: sabemos con exactitud a qué volvemos.
La vuelta atrás depende de la compatibilidad de los cambios en base de datos, de las integraciones externas, de las operaciones irreversibles y del carácter de cada release. Por eso los cambios de base de datos e irreversibles se tratan con un procedimiento propio de migración y recuperación.
Seguridad y fiabilidad
La seguridad no es una revisión que se añade sobre una aplicación ya terminada. El alcance de las medidas responde al riesgo del proyecto y al alcance acordado del servicio. Una herramienta interna para cinco personas necesita algo distinto de un sistema con datos personales de miles de clientes.
Diseño de autenticación y permisos, separación de roles y de tenants, gestión de secretos y un entorno de pruebas seguro sin datos reales.
Gestión de dependencias, análisis estático automático, comprobación de vulnerabilidades conocidas, secret scanning y análisis de contenedores.
Pruebas de escenarios de aplicación y de API, security scanning automatizado continuo y, si se acuerda, un test de penetración.
Monitorización, registro y alertas, copias de seguridad y recuperación, diseño de infraestructura y consultoría sobre el uso seguro de la IA en el desarrollo.
No afirmamos que todos estos controles formen parte automáticamente de cada proyecto. Lo que aplicamos en concreto siempre figura en la propuesta.
Para qué sirven las pruebas automatizadas
Las pruebas no son una cifra de cobertura para marketing. Existen para proteger los escenarios cuyo fallo dolería de verdad:
- Inicio de sesión y gestión de cuentas
- Permisos y visibilidad de los datos
- Tratamiento de datos importantes
- Reglas de negocio clave
- Integraciones con sistemas del entorno
- Migraciones de base de datos
- Flujos de usuario esenciales
- Smoke test tras el despliegue
El alcance de las pruebas responde al proyecto. No prometemos de antemano un porcentaje concreto de cobertura. Una cifra alta por sí sola no significa que la aplicación esté bien.
Tests de penetración
Realizamos tests de penetración, pero no forman parte automática de cada proyecto.
- Pueden formar parte de la entrega de un esqueleto seguro si figuran expresamente en la propuesta
- Se pueden contratar por separado en cualquier momento con coste adicional
- El alcance del test se define siempre de antemano
- Junto a ellos ofrecemos security scanning automatizado continuo
No llamamos test de penetración a un escaneo automático de vulnerabilidades. El escaneo busca vulnerabilidades conocidas en una base de datos; el test de penetración es trabajo humano dirigido.
Quién opera la infraestructura
Hay tres variantes y ninguna es obligatoria. Elegimos según sus normas internas y según dónde deben permanecer los datos.
Operamos la aplicación en nuestra propia infraestructura Docker, incluyendo monitorización, copias y actualizaciones. Usted no se ocupa de servidores.
El sistema se ejecuta en su entorno o en su proveedor de nube. La operación y el mantenimiento los asumimos nosotros según lo acordado.
Entregamos documentación, proceso de release y configuración. La operación queda en su casa y nosotros seguimos disponibles para desarrollo y consultoría.
Qué modelos de IA usamos
No usamos un único modelo para todo. Según el tipo de tarea elegimos un modelo en la nube o de ejecución local: uno para tareas agénticas largas y otro para implementación rápida, revisión de código o procesamiento auxiliar de datos. Entre los modelos en la nube trabajamos actualmente, por ejemplo, con Claude y OpenAI GPT-5.6.
Para tareas auxiliares, de baja latencia o sensibles en cuanto a datos podemos recurrir a modelos open-weight de ejecución local, por ejemplo de las familias Qwen, Gemma, GPT-OSS o Llama. Según el proyecto se ejecutan en nuestra infraestructura o en la suya. No los usamos en todos los proyectos y, para el trabajo más exigente, siguen estando los modelos en la nube más potentes. Ejecutar un modelo localmente tampoco garantiza por sí solo la seguridad: sigue necesitando accesos bien configurados, aislamiento, registro, actualizaciones y reglas de tratamiento de datos.
Tome la lista como el estado actual de nuestras herramientas, no como un compromiso tecnológico permanente. Los modelos cambian rápido y el motivo para trabajar con nosotros debería ser nuestra forma de trabajar, no el nombre de un modelo.
Preguntas frecuentes sobre el desarrollo asistido por IA
¿Van a sustituir a los desarrolladores por inteligencia artificial?
¿Qué pasa si los cambios creados por la IA entran en conflicto?
¿El test de penetración forma parte de todos los proyectos?
¿Podemos volver a la versión anterior si algo falla?
¿Pueden desarrollar con IA personas que no son programadores?
¿Significa esto que ya no hacen desarrollo a medida completo?
¿Usan también modelos de IA locales?
Escríbanos y repasamos su objetivo, sus procesos y cuánto desarrollo quiere mantener en casa. La consulta es gratuita y sin compromiso. Si el desarrollo seguro con IA no le encaja, se lo diremos directamente.