Cuando la IA escribe código, ¿quién responde?

La IA ya escribe software, pero el reto no es solo producir código más rápido, sino poder entenderlo, confiar en él y responder por sus efectos.

Según el Developer Survey 2025 de Stack Overflow, el uso de IA entre desarrolladores ha subido al 84%, mientras la confianza en sus resultados ha caído al 29%, frente al 40% del año anterior. Cuanto más se usa, menos se confía.

No es solo seguridad

El riesgo no está solo en el código que un equipo ve generar, sino en el que ya ha entrado en sistemas, librerías, dependencias o desarrollos subcontratados sin visibilidad suficiente sobre su origen ni sus controles.

Solo el 24% de las organizaciones evalúa a fondo la propiedad intelectual, las licencias, la seguridad y la calidad del código que genera la IA, según OSSRA 2026 de Black Duck. Sin control real, la trazabilidad falla cuando llega una auditoría.

También hay un riesgo legal: un asistente puede incorporar código sujeto a licencias no aceptadas por la empresa y convertirlo en un pasivo en una due diligence, una demanda o una auditoría.

Además, el código generado por IA introduce vulnerabilidades en el 45% de los casos, según Veracode, y los CVE atribuibles a IA que rastrea Georgia Tech se dispararon en 2026.

De programar a poder responder

«La primera ola de la IA en el desarrollo de software fue una cuestión de velocidad. La siguiente es una cuestión de confianza. No se trata de frenar la IA, sino de poder responder por lo que produce: saber de qué regla nace cada cambio, qué normativa cumple y cuálno. En un entorno regulado, eso no es un lujo; es la condición para poder desplegar», afirma Carlos Gutiérrez, Director de Go-to-market de h&k.

Para h&k, la clave es incorporar trazabilidad y gobierno desde el origen: saber de dónde nace cada línea, qué normativa cumple y quién responde de ella.

En 2026, el Reglamento de IA de la UE, el Cyber Resilience Act y, en finanzas, DORA refuerzan esa exigencia: la trazabilidad del software y el control sobre proveedores ya son una obligación.

La cuestión de fondo es cómo medir la calidad del código que genera la IA: no solo si compila o pasa tests, sino si cada decisión puede trazarse hasta su origen y mantenerse bajo control.

La pregunta ya no es si la IA puede escribir el código, sino si la empresa puede responder por él.