Auditoría de prototipo IA: de lo que has construido a un sistema del que tu empresa puede depender

Es un diagnóstico independiente del software que has construido tú mismo con herramientas de inteligencia artificial (Claude Code, Cursor, Lovable, Bolt o ChatGPT), para saber con exactitud si aguanta el uso real de tu empresa y qué falta para que lo haga.

En una semana de trabajo revisamos tu sistema con los ojos con los que lo miraría un auditor y te entregamos un informe en lenguaje de negocio, no de código. La pregunta que responde no es "¿está bien programado?", sino algo mucho más útil:

• ¿Qué pasa si alguien borra un dato por error?
• ¿Quién puede ver y hacer qué dentro del sistema?
• ¿Cómo entran los datos que ya tienes en tus Excel o en tu programa actual?
• ¿Cumple con la normativa de protección de datos?
• ¿Qué ocurre cuando lo usen quince personas a la vez en lugar de una?
• ¿Qué parte de lo que has construido se conserva y qué parte hay que rehacer?

En Dediez Software llevamos más de 15 años construyendo software a medida, y esta auditoría es exactamente la conversación que tendríamos contigo antes de empezar un proyecto, solo que con tu prototipo ya delante en lugar de con un documento de intenciones.

El alcance está cerrado por escrito antes de empezar, para que sepas exactamente qué recibes.

Qué incluye:

• Revisión de código y arquitectura: qué se ha construido, cómo, con qué dependencias y hasta dónde puede crecer.
• Revisión de seguridad: autenticación, permisos por rol, claves expuestas, exposición de la base de datos y vulnerabilidades conocidas en las librerías que usas.
• Revisión de datos: modelo, integridad, copias de seguridad, recuperación probada de verdad y plan de migración de lo que ya tienes.
• Revisión legal y técnica: datos personales, RGPD, trazabilidad de cambios y dónde están alojados tus datos.
• Prueba de carga básica: qué ocurre con el volumen real de tu empresa, no con los cuatro registros de prueba.
• Qué se conserva y qué hay que rehacer, con porcentajes honestos.
• Plan por fases ordenado por riesgo, con el presupuesto cerrado de la primera fase.
• Una sesión de una hora para explicarte el informe y responder a todo.

Qué no incluye: no corregimos ni desarrollamos nada durante la auditoría, y no es una certificación formal de seguridad ni un test de intrusión. Es un diagnóstico.

Consejo Dediez: Un informe que solo enumera defectos no está evaluando tu sistema, está justificando un presupuesto. El nuestro abre siempre con el apartado de qué se conserva, porque en un prototipo hecho con IA suele ser bastante más de lo que el propio autor teme.

Mientras el prototipo lo usas solo tú, es un experimento y no pasa nada. El momento de auditarlo llega cuando cruza alguna de estas líneas, casi siempre sin que nadie lo decida formalmente:

• Lo usa alguien que no lo ha construido: en cuanto entra la segunda persona aparecen los permisos, los errores de uso y las preguntas que solo tú puedes responder.
• Ha habido un susto con los datos: alguien borró algo, se duplicó un registro o desapareció un campo, y descubriste que no hay copia o que nunca se ha probado restaurarla.
• Cada cambio rompe otra cosa: es la señal de que el sistema ha crecido más de lo que cabe en una conversación con la IA y ya nadie tiene la foto completa.
• Alguien de fuera lo ha mirado: un asesor, un cliente grande o el responsable de IT del grupo ha hecho preguntas que no sabes contestar.
• Quieres facturar con ello o dárselo a tus clientes: en cuanto el sistema toca dinero o toca a terceros, el listón sube de golpe.
• Te lo han pedido por escrito: una auditoría externa, un cliente corporativo o un inversor necesitan un informe que tú no puedes redactar.

Si has cruzado dos o más de esas líneas, tu prototipo ya está en producción aunque nadie lo haya declarado. Y un sistema en producción sin copias, sin permisos y sin nadie que responda es un riesgo de negocio, no un asunto de informática.

Hay situaciones en las que gastarte el dinero aquí no tiene sentido, y preferimos decírtelo antes que después:

• Sigue siendo una prueba personal: si lo usas solo tú, no hay datos de terceros dentro y su desaparición no afectaría a nadie, todavía es un experimento. Sigue jugando.
• Ya has decidido tirarlo: si el prototipo te ha servido para descubrir que la idea no era buena, ha cumplido su función perfectamente y no hay nada que auditar.
• Tienes equipo técnico propio: si cuentas con desarrolladores en plantilla con experiencia, esta revisión la pueden hacer ellos. Lo que sí te recomendamos es que la hagan con una lista cerrada de puntos y por escrito.
• Vas a contratar a alguien en plantilla igualmente: es una opción perfectamente válida. Si ya la tienes decidida, contrata primero y que sea esa persona quien evalúe el sistema; el sueldo de un mes te cunde más.
• Lo que necesitas es otra cosa: si el problema no es el estado del software sino que te falta funcionalidad concreta y sabes exactamente cuál, lo que buscas es un desarrollo a medida, no un diagnóstico.

En Dediez Software preferimos perder una venta a colocarte un servicio que no te hace falta. Si al hablar contigo vemos que estás en alguno de estos casos, te lo diremos en la primera llamada.

Para añadir funcionalidades nuevas, probablemente sí te compense seguir tú. La IA es muy buena en todo lo que tiene forma visible: una pantalla, un formulario, un listado, un informe. Se lo puedes pedir con palabras y comprobar de un vistazo si está bien.

El problema es el otro lado. Un prototipo construido con IA suele estar al 80 % de lo que se ve y al 20 % de lo que lo sostiene, y esa segunda parte no aparece porque no sabes que existe hasta que te falla:

• Permisos por rol de verdad, no un acceso que funciona contigo delante.
• Migración de los datos que ya tienes, que casi nunca está resuelta y sin la cual el sistema no arranca en serio.
• Copias de seguridad restauradas y probadas. Una copia que nunca se ha restaurado no es una copia, es una suposición.
• Trazabilidad: quién cambió qué y cuándo, que es lo primero que te preguntarán el día que haya un problema.
• Cumplimiento del RGPD: consentimientos, derecho de supresión y dónde están alojados los datos.
• Alguien que responda cuando falle. Hoy el departamento de informática de tu herramienta eres tú.

La cuestión no es si funciona, porque funciona. Es qué ocurre el día que falle y tú estés de viaje, o cuando lo use gente que no lo ha construido. Eso es lo que la auditoría te dice en una semana y con un precio cerrado.

Sí, todos los días, y nos ha hecho más rápidos. Conviene decirlo claro porque este servicio podría leerse como un alegato en contra de la IA, y no lo es en absoluto.

No tenemos nada contra la herramienta: tenemos muy claro cuál es su punto ciego y cómo se cubre. Lo que aportan más de 15 años de oficio no es escribir código más deprisa, es saber qué preguntas hay que hacerse antes de escribirlo y responder de que el sistema siga funcionando dentro de tres años. Ese es exactamente el límite de cualquier herramienta que trabaja a partir de lo que se le pide, porque el problema de fondo del que construye solo es que no sabe qué pedir.

Por eso el enfoque de la auditoría nunca es "has hecho mal en usar IA". Es justo el contrario: has validado tu idea de la forma más fiable que existe, construyéndola y usándola, y te has ahorrado la fase más cara e incierta de cualquier proyecto a medida, que es averiguar qué necesita de verdad la empresa. Lo que falta ahora no es empezar de cero, es terminarlo bien.