El director técnico advierte a los ingenieros: No den por sentado que la IA es segura
Descubre cómo un director técnico utiliza la IA para acelerar la entrega de software mientras mantiene la seguridad, la responsabilidad y la revisión humana en entornos de desarrollo de alto riesgo.
Pedro Thomaz
Fundador y director técnico de Amplified Creations
Impacto-de-la-IA: La IA transformó Amplified Creations al mejorar la eficiencia y consolidarse como la base de sus productos.
Límite-de-seguridad: La IA aumentó tanto la velocidad de desarrollo como los riesgos de seguridad, lo que exige medidas integrales y supervisión humana.
Liderazgo-del-director-técnico: La IA influye en todos los aspectos del desarrollo de productos, pero requiere criterio humano para la gobernanza y la responsabilidad.
Criterio-senior: La contratación ahora se centra en desarrolladores sénior por su criterio y su capacidad para gestionar las complejidades creadas por la IA.
Aceleración-del-desarrollo: La IA ha acortado significativamente los plazos de desarrollo, transformando los ciclos y mejorando la eficiencia de producción de los equipos.
Pedro Thomaz es el fundador y director de tecnología de Amplified Creations, así como de los productos de su cartera.
Nos sentamos con él para hablar sobre las oportunidades de la IA, así como sobre sus amenazas críticas para la seguridad. Esto es lo que nos contó.
Cuando la IA «hizo clic»
Soy Pedro, director de tecnología, creador y desarrollador en recuperación del «lánzalo sin más».
¿Quieres más de The CTO Club?
Crea una cuenta gratuita para terminar de leer este contenido y unirte a una comunidad de CTOs y líderes de ingeniería que comparten marcos, herramientas y conocimientos reales para diseñar, desplegar y escalar tecnología impulsada por IA.
Have an account? Log In
Empecé en el mundo tecnológico como lo hace la mayoría: escribiendo código, entregando proyectos y manteniendo satisfechos a los clientes. Durante años dirigí Amplified Creations, un estudio creativo y tecnológico que cofundé en 2007, creando software personalizado, visitas virtuales y experiencias digitales para empresas de Portugal y otros países. Buen trabajo. Trabajo sólido. Pero, sobre todo, en modo ejecución.
Entonces llegó la IA. No la ola de entusiasmo, sino la parte realmente útil. El cambio se produjo para mí a finales de 2023, mientras trabajaba en RVer, un sistema de atención sanitaria mediante realidad virtual que estamos desarrollando internamente.
Estábamos creando entornos inmersivos para reducir la ansiedad de los pacientes en entornos clínicos: hospitales, residencias de ancianos, etc. Cuando incorporamos la IA al sistema, algo cambió. Los médicos, profesionales clínicos y terapeutas — las personas que trabajan en un entorno verdaderamente complejo y de alto riesgo — se volvieron considerablemente más eficientes.
Fue entonces cuando dejé de pensar en la IA como una funcionalidad y empecé a desarrollarla como la base.
Hoy, a través de Amplified Creations, trabajo con empresas de distintos sectores para ayudarles a aplicar la IA allí donde marca la diferencia: operaciones, contenidos, automatización y entrega.
La necesidad de límites técnicos y operativos
Amplified Creations es una combinación única de estudio creativo, empresa tecnológica y consultoría de IA.
Somos un equipo reducido, pero con mucha experiencia. Dependiendo de la fase de un proyecto, coordinamos a más de 25 personas, una combinación de personal interno y subcontratistas especializados. Nuestra organización prioriza la flexibilidad, no el número de empleados.
Nuestra cartera de productos es variada. Por un lado, RVer — nuestra plataforma interna de atención sanitaria mediante realidad virtual — funciona en una infraestructura privada y aislada. Los datos sanitarios no van a la nube. Punto. Por otro lado, nuestro trabajo de automatización de IA para clientes — pymes portuguesas de los sectores minorista, industrial y de servicios — suele estar diseñado para la nube, se implementa rápidamente y se integra con sus sistemas existentes.
Desde el punto de vista arquitectónico, somos pragmáticos. No seguimos una doctrina sobre la pila tecnológica. Elegimos lo que se adapta al modelo de seguridad, al nivel de madurez del cliente y al calendario de entrega. Esto suele significar utilizar la nube, pero cuando el ámbito lo exige, desarrollamos soluciones para una implementación privada, segura y local.
Cambiar de contexto entre todas estas áreas genera complejidad. Liderar un equipo que entrega un sistema sanitario de realidad virtual fuertemente regulado y una automatización de IA para el comercio minorista en la misma iteración requiere límites muy claros, tanto técnicos como operativos.
Cómo cambia la IA la forma en que los directores de tecnología crean y gobiernan productos
La IA afecta a todo, pero la última palabra siempre la tiene una persona. Especialmente en el ámbito sanitario.
Afecta a cómo desarrollamos, qué implementamos y cómo gobernamos.
La IA informa cada capa: las decisiones de arquitectura, la revisión del código, las pruebas, la priorización de la lista de tareas pendientes, la respuesta a incidentes y la revisión de seguridad. También utilizamos agentes específicos para el desarrollo, la revisión del código, la implementación y los ciclos de comentarios de los clientes.
Por ejemplo, cuando un cliente señala un problema de usabilidad, este pasa directamente a un agente que nos ayuda a identificar la solución e implementarla más rápidamente. El producto se vuelve más complejo, pero, paradójicamente, el equipo avanza más rápido porque los agentes absorben la carga adicional.
Pero la IA funciona como una máquina de borradores muy capaz, no como una encargada de tomar decisiones. Una persona revisa, aprueba o ajusta, y da el visto bueno. Siempre.
En el caso de RVer, esto no es solo una filosofía. Es una realidad normativa. Infarmed — la autoridad portuguesa de productos sanitarios — nos exige un estándar en el que una coma mal colocada en la documentación puede costarnos la licencia. La información incorrecta mostrada por un fragmento de código y una respuesta lenta ante un incidente tienen consecuencias de las que no se puede responsabilizar a ningún agente de IA. Por eso mantenemos a las personas implicadas, no solo por la calidad, sino también por la responsabilidad. Siempre hay alguien que asume la responsabilidad del resultado.
Dicho esto, el límite no siempre está claro.
Cómo funciona un flujo de trabajo de desarrollo impulsado por IA
Así funciona nuestro flujo de trabajo de desarrollo impulsado por IA.
Todo empieza con una idea. A veces surge del equipo, otras veces de los comentarios de los clientes y, cada vez más, de las sugerencias de la IA basadas en patrones identificados. Primero, todas las ideas pasan por nuestro equipo médico. Si no tienen sentido clínico sobre el papel, mueren ahí. No escribimos código.
Si supera ese filtro, creamos un prototipo rápidamente. La IA puede producir un MVP funcional en unas pocas sesiones, así que no debatimos las ideas durante mucho tiempo. Los prototipos se convierten en el centro de la discusión.
Los desarrollamos, los probamos internamente con personal médico y técnico, y dejamos que los resultados decidan. Si el prototipo demuestra tener potencial, pasamos a producción.
La producción significa que el equipo y la IA programan juntos: incorporamos el registro de errores desde el primer día y enviamos esa información a nuestro departamento administrativo en tiempo real. Cuando se lanza una nueva función, la supervisamos en directo. El equipo la revisa, la aprueba y no publica nada hasta que está impecable.
Por qué Claude Code es crucial para el desarrollo de IA
Claude Code es la herramienta más importante de nuestro conjunto de herramientas de desarrollo.
No es solo un asistente de programación; es lo más parecido que tengo a un desarrollador sénior disponible las 24 horas, los 7 días de la semana. Escribe, revisa, hace sugerencias, detecta errores y se integra con todo mediante su ecosistema de complementos.
La mayoría de las herramientas de programación con IA hacen bien una sola cosa. Claude Code se encarga de todo el ciclo, desde «aquí tienes una idea para una nueva función» hasta «aquí tienes el código, estos son los posibles problemas y esto es lo que vigilaría en producción». Eso no es una herramienta. Es un flujo de trabajo.
Si tuviera que reconstruirlo todo desde cero con una sola herramienta a mi lado, elegiría esa.
Cómo crea riesgos de seguridad la IA
La IA lo acelera todo, incluidas las personas que intentan vulnerar tus sistemas.
Lo aprendimos recientemente, cuando la infraestructura de servidores de terceros de un cliente se vio comprometida. Nosotros no gestionábamos su seguridad, pero sus claves de API estaban almacenadas en un sistema de IA que habíamos creado. Las claves se filtraron. Les ayudamos a rotar las credenciales de inmediato, asesoramos a su equipo de servidores sobre los aspectos que debían reforzar y después reconstruimos desde cero la capa de seguridad de nuestro propio sistema. Aunque su infraestructura vuelva a ser atacada, ahora es mucho más difícil acceder a las claves de nuestro sistema.
Esto me enseñó a no confiar en una seguridad que no controlamos. Hay que asumir la responsabilidad de cada capa que se pueda, independientemente de quién gestione los elementos posteriores.
La IA elevó la velocidad del desarrollo a 11. También elevó a 11 la velocidad de los ataques. La misma carrera de antes, solo que mucho más rápida.
Por qué los líderes técnicos deben entender que la seguridad no es la configuración predeterminada de la IA
El ejemplo anterior podría haberse desarrollado de otra manera si hubiera sido un sistema creado exclusivamente por humanos. Quizá. Nunca lo sabremos. Pero lo veo constantemente en proyectos programados de forma improvisada con IA. Y esto refuerza algo importante: la IA acelera la producción y, si las personas que la supervisan no son rigurosas, las brechas se hacen más grandes, no más pequeñas.
Dicho de otra manera, la IA no causó esos problemas. Lo hizo la ausencia de un ingeniero de verdad detrás de la IA.
Porque ahora mismo, todo CTO debe saber que la seguridad no es la configuración predeterminada de la IA.
Cuando la IA se niega a ayudarte a piratear el sitio web de un Gobierno, eso es una decisión basada en valores incorporada al modelo. No lo hará. Punto. Pero ese mismo modelo generará encantado código que exponga claves de API, omita la autenticación multifactor en un formulario de inicio de sesión o publique un archivo .env en un repositorio público porque nadie le indicó que no lo hiciera.
Sinceramente, esa asimetría me preocupa. Si la IA tiene la arquitectura necesaria para imponer límites éticos, también tiene la arquitectura necesaria para imponer unas prácticas básicas de seguridad. Todavía no hemos llegado a ese punto. Un desarrollador que crea su primera aplicación con ayuda de la IA no debería tener que saber de antemano todo lo que desconoce sobre seguridad. El modelo debería gestionar automáticamente el nivel básico: no confirmar nunca secretos en el repositorio, implementar siempre la autenticación multifactor, no exponer nunca configuraciones confidenciales en los archivos compilados, etc.
La misma lógica que impide a la IA causar daño externamente debería impedirle crear daño internamente. Todavía no estamos ahí. Y hasta que lo estemos, un desarrollador júnior con un asistente de IA sigue siendo un desarrollador júnior, solo que publica más rápido y comete errores costosos más rápido.
La IA acelera la producción y, si las personas que la supervisan no son rigurosas, las brechas se hacen más grandes, no más pequeñas. La IA no causó esos problemas. Lo hizo la ausencia de un ingeniero de verdad detrás de la IA. Todo CTO debe saber que la seguridad no es la configuración predeterminada de la IA.
Cómo cambia la IA los plazos de desarrollo
Los resultados de la IA han sido significativos. Pero también lo han sido las lecciones.
Por el lado positivo, las cifras hablan por sí solas. En el trabajo con clientes, hemos reducido hasta en un 85 % el tiempo dedicado a tareas administrativas en algunos casos, y algunas tareas ahora están totalmente automatizadas, lo que hace que la pregunta «¿cuánto tiempo ahorramos?» sea casi filosófica. Los ciclos de desarrollo que antes habrían tardado seis meses ahora se completan en tres o cuatro.
Internamente, nuestra producción de desarrollo es aproximadamente 5 veces mayor que antes de la IA —medida en líneas de código por sesión, confirmaciones de git por día y funcionalidades entregadas por sprint—. El ritmo es realmente difícil de explicar a alguien que no lo ha visto de primera mano.
Y no se despidió a nadie. No somos lo bastante grandes como para hablar de despidos, pero, lo que es más importante, nunca fue ese el objetivo. Lo que cambió es lo que hace la gente. El equipo que antes dedicaba la mayor parte de su tiempo a escribir código ahora lo dedica a revisar, decidir y mejorar. Es un mejor uso de las personas sénior.
Cómo desplaza la IA el foco de la contratación hacia la experiencia sénior
La antigua pregunta en las contrataciones era: «¿Qué lenguajes conoces?». Ahora eso es casi irrelevante. La IA se encarga de la sintaxis. Lo que buscamos hoy al contratar es criterio.
¿Puedes detectar un fallo de seguridad en código generado por IA? ¿Qué haces si tu sistema de IA expone accidentalmente un archivo .env? ¿Entiendes por qué es importante? ¿Cómo revisas un resultado que no escribiste línea por línea?
En la práctica, ya no contratamos desarrolladores júnior. No porque no valoremos a las personas que están al principio de su carrera, sino porque la IA ha absorbido el trabajo júnior. La IA escribe el código. Lo que necesitamos es alguien con suficiente experiencia para saber cuándo está equivocado.
Ahora evaluamos a cada desarrollador que contratamos como si fuera una incorporación sénior. Conciencia de seguridad, revisión crítica y criterio profesional. El listón subió porque la IA elevó el nivel mínimo.
Cómo elimina la IA la ventaja de la complejidad
Los líderes subestiman la rapidez con la que la IA permite a otros replicar lo que tardó años en construirse.
Tomemos como caso de estudio los CRM SaaS. Durante años, la ventaja competitiva fue la complejidad. El tiempo, el coste y la experiencia necesarios para crear algo comparable hacían que la mayoría de las empresas simplemente pagaran la suscripción y siguieran adelante. Ese cálculo ha cambiado. He ayudado a empresas a crear su propio CRM desde cero, adaptado exactamente a sus necesidades, por una fracción del coste a largo plazo. Sin exceso de funcionalidades. Sin funciones que nunca utilizarán. Sin una factura mensual que crece cada año.
Las empresas de SaaS que construyeron su negocio sobre la idea de «esto tardaría años en replicarse» están descubriendo que ya no es cierto. Las acciones lo reflejan.
Este es el riesgo que los CTO subestiman constantemente. No que la IA vaya a alterar su sector desde fuera, sino que proporcione silenciosamente a sus competidores, clientes e incluso a sus propios usuarios las herramientas para crear alternativas a su alrededor.
Si tu capacidad de defensa depende de la complejidad y del tiempo necesario para construir algo, la IA acaba de eliminar tu ventaja competitiva. La cuestión es si te diste cuenta antes que otra persona.
Por qué el apocalipsis laboral de la IA es absurdo
Aquí tienes cuatro consejos. Y me refiero a todos ellos.
Primero: la IA es una herramienta, no un trabajador. Incluso cuando se comporta como tal mediante agentes, automatización o flujos autónomos, alguien es responsable de lo que hace. Es necesario que haya una persona involucrada. No solo por responsabilidad legal, sino porque el resultado es realmente mejor cuando una persona pensante la dirige. Nunca lo olvides.
Segundo: los humanos crearon la IA, así que tiene errores de nivel humano. Alucina. Descuidan aspectos de seguridad. Comete errores con confianza. Trátala como a un miembro brillante pero junior del equipo: resultados increíbles, pero necesita supervisión. En el momento en que dejas de revisar su trabajo, es cuando puede publicar silenciosamente algo de lo que te arrepientas —¡o eliminar toda tu base de datos!
Tercero: cuando está configurada correctamente, la IA es un monstruo absoluto, en el mejor sentido posible. Con los parámetros adecuados, el contexto correcto y las salvaguardas necesarias, puede gestionar tu calendario, responder llamadas, automatizar tus operaciones administrativas, mejorar las fotos de tu familia, llenar tu canal de ventas y mucho más. Si un proceso involucra un ordenador, la IA puede hacerlo o reducir drásticamente el tiempo que lleva. Desde aquí, resulta realmente difícil ver cuál es el límite.
Cuarto: el apocalipsis laboral provocado por la IA es una tontería difundida por personas que nunca estudiaron historia. Ya hemos pasado por esto. La Revolución Industrial. La cadena de montaje. La robótica industrial. Cada vez, la predicción era el desempleo masivo. Cada vez, lo que ocurrió fue que los humanos dejaron de hacer el trabajo aburrido, repetitivo y agotador, y pasaron a tareas más creativas y de mayor valor. La IA hará lo mismo, solo que más rápido.
Sí, algunos puestos desaparecerán. Ya lo he visto. Ahora, un modelo realiza mejor y más rápido tareas que antes requerían la interpretación especializada de datos. Pero esas personas no son prescindibles. Han quedado liberadas.
Piénsalo de esta manera: ¿cuántos niños de 10 años podrían crear hoy una aplicación desde su habitación? Ahora haz la misma pregunta en un mundo sin IA. El niño no ha cambiado. Sus ideas tampoco. La IA simplemente eliminó la barrera entre la imaginación y la creación. Eso no es una amenaza; es la mejor versión posible de hacia dónde se dirige todo esto.
Solo tenemos que cambiar nuestra mentalidad. Adoptarla, explorarla, construir con ella y aprender a convivir con ella. Las máquinas hacen el trabajo pesado. Nosotros las dirigimos.
Sigue la conversación
Puedes obtener más información sobre el trabajo de Pedro en LinkedIn. Y visita Amplified Creations.
¡Próximamente habrá más entrevistas con expertos en The CTO Club!
