Ahora construimos en tres meses lo que antes nos llevaba tres años. Ahí es donde empieza la parte difícil.

Algo ha cambiado este año en nuestro equipo de desarrollo, y todavía me estoy acostumbrando. En los últimos tres meses, un puñado de personas en Guardian360 ha reconstruido nuestra plataforma Lighthouse y la ha ampliado con más funcionalidad nueva de la que solíamos entregar en más de tres años. No contratamos a un equipo más grande ni encontramos un presupuesto mayor. El desarrollo de software asistido por IA simplemente eliminó la limitación que dio forma a cada decisión de hoja de ruta que hayamos tomado: la escasez de personas y herramientas.

Eso suena a buenas noticias, y en gran parte lo es. Pero ha dejado al descubierto una nueva limitación, y no está donde esperaba encontrarla. Cuando construir ya no es escaso, lo escaso es la implementación. Nuestros partners, los proveedores de servicios gestionados (MSPs) que llevan nuestra plataforma de ciberseguridad a sus clientes, no pueden absorber funcionalidad nueva al ritmo al que ahora podemos producirla. Y hay dos preguntas más que me mantienen ocupado. ¿Es realmente seguro el software construido tan rápido? ¿Y podría más funcionalidad erosionar la simplicidad que siempre nos ha distinguido?

¿Qué cambia cuando construir deja de ser el cuello de botella?

Durante la mayor parte de la historia de Guardian360, nuestra hoja de ruta era una lista de cosas que queríamos construir, ordenadas por lo que podíamos permitirnos construir. Los partners pidieron ciertas funciones durante años, y muchos de ellos tuvieron que esperar.

Hoy nuestros desarrolladores trabajan junto a la IA para la generación de código, las pruebas y la documentación. Empezamos con Claude, el modelo de Anthropic, y cada vez trasladamos más ese trabajo a Hermes. Hermes no es un modelo, sino una capa que construimos nosotros mismos. Utiliza grandes modelos de lenguaje de código abierto para impulsar lo que llamamos un cerebro de empresa, y facilita los agentes de IA que nos ayudan con una amplia variedad de tareas. Hermes, y los modelos de código abierto que utiliza, se ejecutan en nuestro propio clúster de servidores en los Países Bajos, y eso es tanto una cuestión de principios como de practicidad. Claude nunca ha tenido acceso a los datos de los clientes en nuestra plataforma, porque nuestros acuerdos con los partners no permiten que esos datos salgan de la EU. Trasladar más de nuestro trabajo a una infraestructura que controlamos sigue la misma lógica.

Estamos lejos de ser una excepción. Según el 2026 GenAI Code Security Report de Veracode, la IA genera ahora aproximadamente la mitad de todo el código confirmado. La pregunta ya no es si los equipos de software usan IA, sino qué pasa después.

¿Es realmente seguro el software construido con IA?

Esta es la preocupación que me tomo más en serio, y sospecho que es la primera pregunta que muchos lectores se harán. La investigación da pocos motivos para la tranquilidad. Veracode encontró que aproximadamente el 44 por ciento de las tareas de generación de código con IA introdujeron una vulnerabilidad de riesgo, con una tasa media de aprobación de seguridad del 56 por ciento, apenas distinta del 55 por ciento de su primer informe. El estudio de abril de 2026 de IOActive analizó cerca de 20.000 muestras de código y encontró que el 31,6 por ciento de las muestras generadas por IA eran totalmente explotables; ningún modelo produjo una salida completamente segura.

Lo que me preocupa aún más es la brecha entre percepción y realidad. La Cloud Security Alliance informa de que más del 75 por ciento de los desarrolladores de una encuesta creían que el código generado por IA es más seguro que el escrito por humanos, mientras que el 56 por ciento admitió que con frecuencia introduce problemas de seguridad. La velocidad se siente como competencia. No lo es.

La conclusión de IOActive es que las organizaciones deben tratar la salida de la IA como entrada no confiable e imponer una revisión de seguridad obligatoria antes del despliegue. Así es exactamente como trabajamos: la IA puede escribir el código, pero cada cambio es revisado por una persona que lo entiende antes de que llegue a producción. Ahora vamos un paso más allá al volver nuestro propio pentesting con IA contra nosotros mismos, incluido el análisis de caja de cristal de nuestro propio código fuente, donde los agentes de prueba tienen acceso total al código. Ejecutamos ese análisis con varios modelos distintos, de modo que es menos probable que los puntos ciegos de un modelo pasen desapercibidos.

El mismo principio da forma al pentesting con IA que llevamos a nuestros partners, donde la IA realiza la prueba y el consultor del partner la firma. Los desarrolladores parecen compartir este instinto. En la Developer Survey de 2026 de Stack Overflow, casi la mitad de los encuestados dijeron que confían en la salida de la IA cuando pueden verificarla, mientras que solo el 6,6 por ciento confiaría a la IA una decisión importante.

¿Por qué más funciones no significan automáticamente más valor?

La segunda preocupación es menos técnica, pero igual de real. No Jitter describió recientemente una “inundación de funciones” en el software de comunicaciones, donde los proveedores lanzan cientos de funciones nuevas cada año mientras la adopción se queda atrás. Los parámetros de referencia de Pendo sugieren que alrededor del 80 por ciento de las funciones construidas nunca logran una adopción significativa, y que el 6,4 por ciento de las funciones generan el 80 por ciento de todos los clics. Ese patrón existía mucho antes de la IA. La IA simplemente hace más barato repetirlo.

Guardian360 siempre ha intentado ofrecer una plataforma que un MSP pueda explicar a un miembro de un consejo en unos pocos minutos. Cada función que añadimos lo hace más difícil. El coste de construir una función se ha desplomado; el coste de entenderla no.

Nuestros partners ya cargan con bastante complejidad. Una investigación de CRN, publicada por el proveedor de seguridad Coro, encontró que los MSPs gestionan entre 6 y 20 o más proveedores para prestar servicios de seguridad, valoran la integración entre esas herramientas en apenas 6,2 sobre 10, y que solo el 7 por ciento está satisfecho con el retorno de sus herramientas de seguridad. Lo último que necesitan de nosotros es otra capa de complejidad, por bien intencionada que sea.

¿A dónde se ha desplazado el cuello de botella?

La investigación DORA de Google ofrece una lente útil. Su informe de 2025 encontró, por primera vez, una relación positiva entre la adopción de IA y el rendimiento de entrega, pero la adopción de IA todavía se correlacionaba con una menor estabilidad de entrega: más fallos de cambios, más retrabajo y una recuperación más lenta. DORA también concluyó que la IA tiende a reflejar y amplificar los rasgos organizativos existentes, para bien y para mal.

Yo extendería esa observación más allá del equipo de desarrollo. Una función solo crea valor cuando un partner la entiende, la configura, se la explica a un cliente y construye un servicio a su alrededor. Esa cadena corre a velocidad humana. La IA acelera el primer eslabón y deja el resto intacto, lo que significa que la cola simplemente se desplaza aguas abajo, hacia nuestros partners y sus clientes.

La encuesta de Stack Overflow apunta en la misma dirección: la gente confía en lo que puede verificar. Un partner que nunca ha visto funcionar una función no puede verificarla, no puede explicarla y no la venderá.

¿Deberíamos simplemente ir más despacio?

Algunos partners defenderían exactamente eso: parad un tiempo, estabilizad, dejadnos ponernos al día. Es un argumento justo y en parte estoy de acuerdo. Un proveedor que lanza más rápido de lo que su canal puede seguir está optimizando para su propia satisfacción, no para la de sus partners.

Sin embargo, frenar de forma artificial desperdiciaría una oportunidad que los pequeños proveedores europeos rara vez consiguen. La respuesta, creo, es disciplina en lugar de freno. Eso significa decidir qué no lanzar, tratar la simplicidad como un requisito de diseño y no como una ocurrencia tardía, e involucrar a los partners antes de que una función esté terminada y no después.

Parte de esa disciplina está integrada en la propia plataforma. Estamos introduciendo los workspaces: en lugar de presentar cada función en una sola pantalla, agrupamos la funcionalidad por tarea, de modo que un partner solo ve lo que el trabajo en cuestión requiere. La interfaz impulsada por IA va más allá. Las páginas, los informes y la navegación pasan a ser definiciones en lugar de código, y un agente construye la vista que un usuario pide dentro de los límites de su rol. Esto ya no es un concepto. Lo mostraremos funcionando el 3 de noviembre, y queremos feedback honesto de nuestros partners sobre si realmente les ayuda.

Hay una segunda manera de mantener a raya la complejidad: dejar que la plataforma haga más del trabajo. Hoy Lighthouse te dice qué se podría mejorar. En el futuro también lo corregirá, cuando el partner y su cliente lo permitan. Cada tarea que la plataforma asume es una tarea que un partner ya no tiene que aprender, explicar ni programar.

Por qué abrimos las puertas de la sala de control

El logotipo de Guardian360 contiene un faro, y la metáfora nunca ha resultado tan certera. Un faro solo es útil si su luz llega a la orilla. Podemos construir la luz más brillante del mundo, pero son nuestros partners quienes la llevan hasta sus clientes.

Por eso organizamos “Una mirada desde la sala de control” el martes 3 de noviembre de 2026, de 09:30 a 13:00 en el Van der Valk Hotel de Woerden. Mostraremos lo que hemos construido, funcionando en vivo en lugar de en diapositivas, y daremos un primer vistazo a lo que Guardian360 entrega en 2027. La asistencia es gratuita, hay sitio para unos 50 invitados, y la inscripción está abierta hasta el 30 de octubre. Más que las demostraciones, valoro la conversación. Prefiero oír el 3 de noviembre que algo es demasiado complejo a descubrirlo en las cifras de adopción dentro de un año.

Entonces, ¿cuál es tu limitación ahora?

Si construir ya tampoco es tu limitación, y para muchos MSPs ese momento está más cerca de lo que parece, ¿cuál lo es? Para nosotros, la respuesta es clara. Cuando construir ya no es escaso, lo escaso es la implementación. Ahí es donde empieza la parte difícil, y es un trabajo que solo podemos hacer junto con nuestros partners.

Fuentes

• Veracode: 2026 GenAI Code Security Report: AI Is Writing More of Your Code but Security Hasn’t Caught Up (July 2026)
• IOActive: The Security Gap in AI-Generated Code (April 2026)
• Cloud Security Alliance: Vibe Coding Security Debt: AI-Generated Vulnerabilities at Scale (April 2026)
• IT Brief UK: Stack Overflow survey finds developers wary of AI tools (October 2026)
• Google Cloud / DORA: Announcing the 2025 DORA report: State of AI-assisted Software Development
• No Jitter: Vendors ship thousands of features, users adopt dozens (July 2026)
• Coro / CRN: Your Tool Stack Is Eating Your Margins (August 2026)
• Guardian360: A view from the control room, event 3 November 2026