Webs hechas con IA: por qué tu pyme sigue necesitando un técnico

4 de noviembre de 2026 · Rafael Medina González

Una pyme puede crear hoy una web con IA en una tarde, pero sigue necesitando a un profesional que la revise antes de exponerla a clientes y datos reales. El informe de Veracode difundido en julio de 2026 sitúa en el 56 % la tasa media de código generado que supera sus pruebas de seguridad.

¿Qué ha pasado?

Dos publicaciones de este año apuntan en la misma dirección:

Veracode publicó su informe de 2026 sobre seguridad del código generado por IA. Los modelos fallan casi el 44 % de las veces cuando no reciben instrucciones específicas de seguridad, y la tasa de acierto apenas ha cambiado respecto al año anterior. Por lenguajes, el resultado va del 63 % de Python al 30 % de Java.
El NCSC, el centro nacional de ciberseguridad del Reino Unido, publicó el 18 de junio de 2026 una guía sobre cuánta supervisión necesita el software creado con IA. Ya en marzo, su director ejecutivo, Richard Horne, había presentado estas herramientas como una «enorme oportunidad», aunque no exenta de riesgos.

Conviene leer la cifra de Veracode con cautela. Es una prueba de la propia empresa, que vende herramientas de seguridad, y se hizo sobre modelos en bruto, no sobre agentes ni sistemas en producción. Sirve como señal, no como medida de cualquier web hecha con IA.

¿Qué es el vibe coding?

El vibe coding es crear software describiéndole a una IA lo que quieres y evaluando el resultado, sin revisar a fondo el código. El NCSC no lo trata como un todo o nada, sino como una escala en la que cada proyecto se coloca según su riesgo:

 MENOS RIESGO                       MÁS RIESGO
 ◀────────────────────────────────────────▶
 IA con autonomía             Control humano

 Prototipos                  Accesos y permisos
 Demostraciones              Datos personales
 Herramientas internas       Claves y contraseñas
 sin datos sensibles         Fallos de gran impacto

La conclusión del NCSC es equilibrada: «El riesgo no está en usar IA. El riesgo está en no aplicar las salvaguardas adecuadas cuando hay mucho en juego» (traducción propia).

¿Por qué una web que funciona puede no ser segura?

Porque son dos pruebas distintas. En el informe de Veracode, el código es sintácticamente correcto en torno al 100 % de los casos, pero solo el 56 % supera las pruebas de seguridad. Que una web cargue y funcione no dice nada de lo segundo:

 Pides una web a la IA
        │
        ▼
 ¿Carga y funciona? ── sí ──▶ Parece terminada
        │
        ▼
 ¿Quién puede ver los datos?
 ¿Quién puede modificarlos?
 ¿Dónde están las claves?
        │
        ▼
 Esto no se ve al navegar: hay que comprobarlo

Hay un caso documentado que lo ilustra. El registro CVE-2025-48757 describe cómo una política insuficiente de seguridad en la base de datos de una plataforma de creación de webs con IA permitía a atacantes sin credenciales leer o escribir en tablas de los sitios generados, hasta el 15 de abril de 2025.

El proveedor disputa el registro con un argumento que toda pyme debería leer dos veces: cada cliente de la plataforma acepta la responsabilidad de proteger los datos de su aplicación. Dejando a un lado quién tenga razón en ese caso, la pregunta práctica es quién asume esa tarea en tu empresa.

¿Qué aporta un profesional que la IA no asume?

La IA escribe y propone. Lo que no hace por ti es responder del resultado:

Decidir qué importa. Saber qué datos manejas, quién debe acceder a ellos y qué pasaría si se filtran.
Revisar con criterio. El NCSC pide, en el código sensible, revisar lo que produce la IA, entenderlo, buscar vulnerabilidades y comprobar que hace lo esperado.
Diseñar el conjunto. Según el NCSC, también hay que preparar el sistema alrededor del código para limitar el daño si alguien lo explota.
Mantenerlo vivo. Una web publicada necesita actualizaciones, copias de seguridad, vigilancia y a alguien que responda cuando falla.
Cumplir la ley. El RGPD exige medidas técnicas y organizativas apropiadas (artículo 32) y, salvo que sea improbable que exista riesgo, notificar una brecha a la autoridad en 72 horas (artículo 33). Que el código lo haya escrito una IA no traslada esa obligación a la herramienta.

¿Y para resolver problemas del día a día?

La IA es muy útil para entender un error, redactar un procedimiento o preparar una consulta técnica. Su límite es que solo conoce lo que le cuentas: no ve tu red, tus copias ni tus permisos.

Antes de aplicar lo que proponga, párate si la solución implica desactivar el antivirus o el cortafuegos, abrir puertos, cambiar permisos, borrar datos o ejecutar comandos que no entiendes. Y no pegues contraseñas ni datos de clientes en la conversación.

¿Qué debe hacer una pyme?

Usa la IA donde el riesgo es bajo. Prototipos, maquetas, textos y herramientas internas sin datos sensibles son un buen punto de partida.
Clasifica cada proyecto antes de publicarlo. Inicios de sesión, formularios, pagos o datos personales lo colocan en la zona que requiere revisión.
Pide una revisión independiente de permisos, base de datos y claves antes de exponerlo.
Comprueba qué se ve desde fuera. Prueba a acceder a datos y páginas internas sin iniciar sesión.
Nombra a un responsable. Alguien debe encargarse de actualizaciones, copias de seguridad, dominio y avisos.
Conserva una copia del código fuera de la plataforma con la que lo creaste, si esta lo permite.

¿Cómo saber si te afecta?

 ¿Tu web o app se hizo con IA?
 ├─ No ──▶ Revisa igualmente su mantenimiento
 └─ Sí
    ├─ ¿Guarda datos o tiene inicio de sesión?
    │  ├─ No ──▶ Riesgo menor: actualiza y vigila
    │  └─ Sí
    │     ├─ ¿La ha revisado alguien? ── Sí ──▶ Bien
    │     └─ No ──▶ Revísala antes de seguir

Zet-IT presta servicios de desarrollo web y de IA, así que somos parte interesada; por eso los datos de este artículo enlazan a sus fuentes. Si tienes una web hecha con IA y nadie la ha revisado, cuéntanos qué tienes y lo vemos.