Llevar un prototipo hecho con IA a producción exige bastante más trabajo del que parece desde fuera, y este checklist sirve para saber qué pedir antes de firmar con una agencia. El punto de partida suele ser parecido. Alguien con una idea de negocio monta en unos fines de semana, con Lovable, Bolt, Replit o un asistente de código, una aplicación que funciona: tiene registro, panel, pagos de prueba. Se la enseña a diez clientes, a ocho les gusta, y entonces llama a una agencia para «terminarla». La agencia abre el proyecto y descubre que terminar, en este caso, puede significar rehacer.
Si estás en esa situación, esto es lo que conviene revisar, en tu lado y en el de la agencia que contrates.
Por qué un prototipo de IA no está listo tal cual
Tres datos públicos explican la prudencia. En mayo de 2025 se publicó la vulnerabilidad CVE-2025-48757: de 1.645 aplicaciones hechas con Lovable que se analizaron, 170 tenían mal configurados los permisos de su base de datos y dejaban expuestos datos de usuarios. En julio, Veracode probó más de cien modelos de lenguaje y vio que el 45 % del código generado introducía fallos de seguridad de la lista OWASP Top 10. Y ese mismo mes, un agente de programación borró la base de datos de producción del fundador de SaaStr pese a tener orden de no tocar nada.
En los tres, lo que falló estaba fuera de la pantalla, en permisos y límites que nadie había revisado.
Checklist para llevar un prototipo hecho con IA a producción
Seguridad
- Las claves de servicios externos (pagos, correo, base de datos) no están escritas dentro del código ni en el repositorio.
- Cada tabla de la base de datos tiene reglas de acceso: un usuario solo puede leer y modificar lo suyo. En proyectos sobre Supabase, esto es la seguridad a nivel de fila.
- Los formularios están protegidos frente a inyecciones y frente a envíos masivos.
- Hay copias de seguridad automáticas y alguien ha probado a restaurar una.
- El agente de IA, si se sigue usando, no tiene permisos de escritura sobre producción.
Pruebas
- Existen pruebas automáticas de los recorridos que dan dinero: registro, pago, cancelación.
- Una persona ha leído esas pruebas y sabe qué comprueban, porque un modelo puede ajustar una prueba para que pase.
- Se han probado los casos raros: conexión que se corta, doble clic en pagar, sesión que caduca a mitad de proceso.
Mantenibilidad
- No hay duplicados: una sola forma de guardar usuarios, una sola pantalla para cada cosa.
- Existe un documento que explica qué hace el sistema y cómo está montado. Si el prototipo nació a base de peticiones sueltas, lo habitual es escribir esa especificación ahora, antes de tocar código.
- Hay alguien, en tu equipo o en la agencia, capaz de explicar cada parte importante del código. El programador Simon Willison lo usa como frontera: si puedes explicarlo, ya no es vibe coding sino desarrollo de software.
Propiedad
- El repositorio, el dominio, el alojamiento y la base de datos están a tu nombre, no al de la herramienta ni al de quien te ayudó.
- Puedes exportar el código y desplegarlo fuera de la plataforma donde nació.
- Sabes qué parte del código es tuya legalmente. En Estados Unidos, la Oficina de Derechos de Autor concluyó en enero de 2025 que lo generado por IA solo se protege cuando una persona ha determinado elementos expresivos suficientes, y que dar instrucciones no basta. En España, la Ley de Propiedad Intelectual considera autor a la persona natural que crea la obra, así que conviene que el contrato con la agencia deje clara la cesión de lo que sí es obra suya.
Qué preguntar a la agencia antes de pedir presupuesto
- ¿Vais a auditar el prototipo antes de presupuestar? Una agencia seria no puede decirte si se aprovecha o se rehace sin abrirlo. Si te da precio cerrado sin mirarlo, desconfía.
- ¿Cómo trabajáis con IA? Casi todas la usan ya. La diferencia está en si escriben una especificación antes, si una persona decide la arquitectura y si revisan cada cambio. Pide que te lo enseñen en un proyecto anterior.
- ¿Qué entregáis además del código? Documentación, pruebas y accesos. Si solo entregan código, el siguiente proveedor empezará de cero.
- ¿Qué pasa si conviene tirarlo y empezar de nuevo? Con IA, rehacer un proyecto pequeño desde una buena definición puede salir más barato que parchearlo. Una agencia honesta te lo dirá aunque el presupuesto le salga más bajo.
Aprovechar o rehacer: cómo se decide
| Señal en el prototipo | Suele indicar |
|---|---|
| Estructura clara, pocos duplicados, base de datos con reglas | Se aprovecha y se refuerza |
| Funciona, pero nadie sabe por qué ni dónde está cada cosa | Auditoría primero; decisión después |
| Datos de usuarios accesibles sin permiso, claves en el código | Rehacer la base y migrar lo que sirva |
| Cada cambio rompe otra cosa | Rehacer desde una especificación nueva |
El prototipo no se pierde aunque se rehaga. Ha servido para validar la idea con clientes reales y para descubrir qué querías construir, que es la parte más cara de averiguar. Lo que se paga a la agencia es convertir eso en algo que aguante a los usuarios número cien y número mil.