Los Tres Cuellos de Botella que Anulan las Ganancias de Generación de Código

El informe identifica un patrón claro: las herramientas de IA aceleran la escritura de código, pero esa velocidad crea puntos de presión en todos los demás frentes. Nueve de cada diez equipos reportaron problemas con el código generado por IA en algún punto de su flujo de trabajo . Esos problemas no surgen al azar. Se concentran en tres actividades posteriores que, en conjunto, absorben el tiempo ahorrado en la etapa inicial:

• Revisión manual de código (52%) — los revisores ahora procesan un mayor volumen de código generado por IA que de código escrito por humanos, y ese volumen sigue creciendo .
• Pruebas de seguridad (51%) — el código generado por IA introduce nuevas clases de vulnerabilidades que no estaban presentes en el equivalente escrito a mano, particularmente en torno a la inyección de dependencias, secretos codificados y recomendaciones de librerías desactualizadas .
• Retrabajo del código generado (48%) — casi la mitad de los equipos dedica un tiempo considerable a arreglar, refactorizar o reescribir el resultado de la IA antes de que pueda ser implementado .

Este patrón ya tiene nombre: desplazamiento de trabajo operativo o "toil shift". En lugar de eliminar el trabajo, la IA lo está moviendo de la fase de creación a las fases de verificación, prueba y corrección . El encuadre de Black Duck es directo: "la mayoría de las organizaciones están produciendo código generado por IA más rápido de lo que pueden revisarlo, asegurarlo o gobernarlo" .

Gobernanza: El Verdadero Multiplicador del ROI

Si hay un hallazgo del informe que los líderes de ingeniería deberían tomar en cuenta, es este: la gobernanza es el multiplicador del retorno de la inversión (ROI) . La diferencia entre los equipos que gobiernan el uso de la IA y los que no lo hacen no es marginal: es la diferencia entre capturar las ganancias de eficiencia y ver cómo se esfuman.

Black Duck encontró que las organizaciones con marcos de gobernanza completos reportaron ganancias de eficiencia significativas del 90% gracias a las herramientas de programación con IA. ¿Y los equipos sin supervisión estructurada? La cifra cae al 44% .

Gobernanza en este contexto no significa burocracia. Significa tener políticas definidas sobre qué herramientas se utilizan, cómo se revisa el código generado por IA, qué controles de seguridad debe pasar y quién es el responsable del resultado. Es la diferencia entre "los desarrolladores usan lo que quieren" y "los desarrolladores usan herramientas aprobadas dentro de un proceso estructurado y auditable".

El Problema de la "IA en la Sombra"

Complicando la gobernanza está el auge de la "Shadow AI" — desarrolladores que usan herramientas de IA en contra o al margen de la política de la empresa. Black Duck encontró que el 18% de las organizaciones reporta la "Shadow AI" como un riesgo significativo no gestionado . Cuando herramientas como Cursor, Windsurf o Claude Code son adoptadas a nivel individual por un desarrollador sin pasar por compras o revisión de seguridad, la organización pierde visibilidad sobre su superficie de ataque .

Riesgos en la Cadena de Suministro: Lo que el Código de IA Hereda

Las implicaciones para la cadena de suministro son donde las brechas de gobernanza se convierten en vulnerabilidades concretas. El trabajo de Black Duck — incluyendo su informe relacionado OSSRA 2026 — saca a la luz tres riesgos interconectados particulares de los asistentes de codificación con IA:

"Lavado" de licencias. Los asistentes de IA entrenados en repositorios de código abierto pueden generar fragmentos de código de fuentes con restricciones de copyleft sin retener la información de licencia original . El informe OSSRA 2026 encontró que dos tercios de las bases de código auditadas contienen conflictos de licencia — la tasa más alta en la historia del informe . Las organizaciones pueden estar distribuyendo código que no tienen derecho a usar, sin saberlo.

Explosión de dependencias. Los componentes de código abierto por base de código aumentaron un 30% interanual, y las vulnerabilidades promedio por base de código se dispararon un 107% . Los asistentes de IA aceleran esta tendencia porque componen soluciones más rápido y desde corpus de entrenamiento más amplios — lo que significa que cada función generada por IA puede incorporar dependencias que el desarrollador no eligió explícitamente.

La brecha de cumplimiento. Solo el 24% de las organizaciones realiza evaluaciones exhaustivas de propiedad intelectual (PI), licencias, seguridad y calidad del código generado por IA . Esto significa que tres cuartas partes de las organizaciones no pueden responder de manera fiable a la pregunta: "¿A qué obligaciones legales y de seguridad nos acabamos de comprometer?".

Confianza del Desarrollador: la Adopción Sube Mientras la Confianza Baja

Los hallazgos de Black Duck no existen de manera aislada. Múltiples encuestas independientes publicadas en el mismo período refuerzan y amplían la imagen de la confianza con datos detallados:

• Encuesta a Desarrolladores "State of Code" 2026 de Sonar (más de 1.100 desarrolladores) encontró que el 96% de los desarrolladores no confía plenamente en la precisión funcional del código generado por IA . Sin embargo, solo el 48% siempre lo verifica antes de confirmarlo — lo que significa que el código del que los propios desarrolladores desconfían se envía habitualmente a producción .
• Encuesta a Desarrolladores 2025 de Stack Overflow (49.009 encuestados) mostró que la confianza en la precisión de la IA cayó del 40% al 29% en un año. La desconfianza activa aumentó al 46%, mientras que la favorabilidad positiva se desplomó del 72% al 60% .
• Estado de los Lanzamientos de Software Impulsados por IA 2026 de Harness (500 líderes de ingeniería) encontró que el 57% aún requiere una revisión con "humano en el circuito" para cada línea de código generada por IA, y el 29% dedica más tiempo a la revisión de código ahora que antes de adoptar asistentes de IA .

El consenso de estas encuestas es notablemente consistente: los desarrolladores no pueden trabajar sin herramientas de IA, pero tampoco pueden confiar plenamente en ellas. La brecha entre la generación y la verificación se ha convertido en el nuevo cuello de botella.

Diana Kelley, CISO de Noma Security, capturó la tensión central: "Un código más rápido no es lo mismo que un código más seguro" .

Cómo se Ve la Gobernanza en la Práctica

La receta de Black Duck no es abstracta. El informe señala un conjunto de medidas concretas que distinguen al 30% con gobernanza completa del resto:

1. Marcos de gobernanza de IA estructurados — no directrices informales, sino políticas documentadas y aplicadas que cubran la aprobación de herramientas, la revisión del resultado y la responsabilidad .
2. Controles de revisión integrados en el proceso — alejándose de las transferencias manuales a la cola de pruebas de seguridad, que el 46% de las empresas aún utiliza, hacia verificaciones automatizadas de calidad y seguridad que se ejecutan en cada "commit" asistido por IA .
3. Monitoreo continuo post-implementación — Black Duck señala que "una estrategia de 'shift-left' únicamente ya no es suficiente" porque el riesgo se introduce, descubre y debe gestionarse a lo largo de todo el ciclo de vida del desarrollo de software .
4. Racionalización de las herramientas de seguridad — más del 71% de los encuestados reportó la proliferación descontrolada de herramientas como una fuente principal de fricción, y la consolidación en menos herramientas y mejor integradas es un prerrequisito para escalar la IA de forma segura .

En Conclusión

El informe de Black Duck no argumenta en contra del uso de asistentes de programación con IA. Argumenta que usarlos sin la gobernanza correspondiente es contraproducente. Cuando el 97% de los equipos genera código a una velocidad sin precedentes, pero solo el 30% tiene la infraestructura de supervisión para gestionarlo, la industria está firmando colectivamente cheques que no puede cobrar.

La correlación entre gobernanza y ganancias de eficiencia — 90% frente a 44% — hace que el caso de negocio sea inequívoco. Las organizaciones que construyan primero las barandillas de seguridad capturarán la productividad que la IA promete. Aquellas que no lo hagan descubrirán, repetidamente, que el tiempo ahorrado en el teclado se gasta en la cola de revisión.

Los Tres Cuellos de Botella que Anulan las Ganancias de Generación de Código

El informe identifica un patrón claro: las herramientas de IA aceleran la escritura de código, pero esa velocidad crea puntos de presión en todos los demás frentes. Nueve de cada diez equipos reportaron problemas con el código generado por IA en algún punto de su flujo de trabajo . Esos problemas no surgen al azar. Se concentran en tres actividades posteriores que, en conjunto, absorben el tiempo ahorrado en la etapa inicial:

• Revisión manual de código (52%) — los revisores ahora procesan un mayor volumen de código generado por IA que de código escrito por humanos, y ese volumen sigue creciendo .
• Pruebas de seguridad (51%) — el código generado por IA introduce nuevas clases de vulnerabilidades que no estaban presentes en el equivalente escrito a mano, particularmente en torno a la inyección de dependencias, secretos codificados y recomendaciones de librerías desactualizadas .
• Retrabajo del código generado (48%) — casi la mitad de los equipos dedica un tiempo considerable a arreglar, refactorizar o reescribir el resultado de la IA antes de que pueda ser implementado .

Este patrón ya tiene nombre: desplazamiento de trabajo operativo o "toil shift". En lugar de eliminar el trabajo, la IA lo está moviendo de la fase de creación a las fases de verificación, prueba y corrección . El encuadre de Black Duck es directo: "la mayoría de las organizaciones están produciendo código generado por IA más rápido de lo que pueden revisarlo, asegurarlo o gobernarlo" .

Gobernanza: El Verdadero Multiplicador del ROI

Si hay un hallazgo del informe que los líderes de ingeniería deberían tomar en cuenta, es este: la gobernanza es el multiplicador del retorno de la inversión (ROI) . La diferencia entre los equipos que gobiernan el uso de la IA y los que no lo hacen no es marginal: es la diferencia entre capturar las ganancias de eficiencia y ver cómo se esfuman.

Black Duck encontró que las organizaciones con marcos de gobernanza completos reportaron ganancias de eficiencia significativas del 90% gracias a las herramientas de programación con IA. ¿Y los equipos sin supervisión estructurada? La cifra cae al 44% .

Gobernanza en este contexto no significa burocracia. Significa tener políticas definidas sobre qué herramientas se utilizan, cómo se revisa el código generado por IA, qué controles de seguridad debe pasar y quién es el responsable del resultado. Es la diferencia entre "los desarrolladores usan lo que quieren" y "los desarrolladores usan herramientas aprobadas dentro de un proceso estructurado y auditable".

El Problema de la "IA en la Sombra"

Complicando la gobernanza está el auge de la "Shadow AI" — desarrolladores que usan herramientas de IA en contra o al margen de la política de la empresa. Black Duck encontró que el 18% de las organizaciones reporta la "Shadow AI" como un riesgo significativo no gestionado . Cuando herramientas como Cursor, Windsurf o Claude Code son adoptadas a nivel individual por un desarrollador sin pasar por compras o revisión de seguridad, la organización pierde visibilidad sobre su superficie de ataque .

Riesgos en la Cadena de Suministro: Lo que el Código de IA Hereda

Las implicaciones para la cadena de suministro son donde las brechas de gobernanza se convierten en vulnerabilidades concretas. El trabajo de Black Duck — incluyendo su informe relacionado OSSRA 2026 — saca a la luz tres riesgos interconectados particulares de los asistentes de codificación con IA:

"Lavado" de licencias. Los asistentes de IA entrenados en repositorios de código abierto pueden generar fragmentos de código de fuentes con restricciones de copyleft sin retener la información de licencia original . El informe OSSRA 2026 encontró que dos tercios de las bases de código auditadas contienen conflictos de licencia — la tasa más alta en la historia del informe . Las organizaciones pueden estar distribuyendo código que no tienen derecho a usar, sin saberlo.

Explosión de dependencias. Los componentes de código abierto por base de código aumentaron un 30% interanual, y las vulnerabilidades promedio por base de código se dispararon un 107% . Los asistentes de IA aceleran esta tendencia porque componen soluciones más rápido y desde corpus de entrenamiento más amplios — lo que significa que cada función generada por IA puede incorporar dependencias que el desarrollador no eligió explícitamente.

La brecha de cumplimiento. Solo el 24% de las organizaciones realiza evaluaciones exhaustivas de propiedad intelectual (PI), licencias, seguridad y calidad del código generado por IA . Esto significa que tres cuartas partes de las organizaciones no pueden responder de manera fiable a la pregunta: "¿A qué obligaciones legales y de seguridad nos acabamos de comprometer?".

Confianza del Desarrollador: la Adopción Sube Mientras la Confianza Baja

Los hallazgos de Black Duck no existen de manera aislada. Múltiples encuestas independientes publicadas en el mismo período refuerzan y amplían la imagen de la confianza con datos detallados:

• Encuesta a Desarrolladores "State of Code" 2026 de Sonar (más de 1.100 desarrolladores) encontró que el 96% de los desarrolladores no confía plenamente en la precisión funcional del código generado por IA . Sin embargo, solo el 48% siempre lo verifica antes de confirmarlo — lo que significa que el código del que los propios desarrolladores desconfían se envía habitualmente a producción .
• Encuesta a Desarrolladores 2025 de Stack Overflow (49.009 encuestados) mostró que la confianza en la precisión de la IA cayó del 40% al 29% en un año. La desconfianza activa aumentó al 46%, mientras que la favorabilidad positiva se desplomó del 72% al 60% .
• Estado de los Lanzamientos de Software Impulsados por IA 2026 de Harness (500 líderes de ingeniería) encontró que el 57% aún requiere una revisión con "humano en el circuito" para cada línea de código generada por IA, y el 29% dedica más tiempo a la revisión de código ahora que antes de adoptar asistentes de IA .

El consenso de estas encuestas es notablemente consistente: los desarrolladores no pueden trabajar sin herramientas de IA, pero tampoco pueden confiar plenamente en ellas. La brecha entre la generación y la verificación se ha convertido en el nuevo cuello de botella.

Diana Kelley, CISO de Noma Security, capturó la tensión central: "Un código más rápido no es lo mismo que un código más seguro" .

Cómo se Ve la Gobernanza en la Práctica

La receta de Black Duck no es abstracta. El informe señala un conjunto de medidas concretas que distinguen al 30% con gobernanza completa del resto:

1. Marcos de gobernanza de IA estructurados — no directrices informales, sino políticas documentadas y aplicadas que cubran la aprobación de herramientas, la revisión del resultado y la responsabilidad .
2. Controles de revisión integrados en el proceso — alejándose de las transferencias manuales a la cola de pruebas de seguridad, que el 46% de las empresas aún utiliza, hacia verificaciones automatizadas de calidad y seguridad que se ejecutan en cada "commit" asistido por IA .
3. Monitoreo continuo post-implementación — Black Duck señala que "una estrategia de 'shift-left' únicamente ya no es suficiente" porque el riesgo se introduce, descubre y debe gestionarse a lo largo de todo el ciclo de vida del desarrollo de software .
4. Racionalización de las herramientas de seguridad — más del 71% de los encuestados reportó la proliferación descontrolada de herramientas como una fuente principal de fricción, y la consolidación en menos herramientas y mejor integradas es un prerrequisito para escalar la IA de forma segura .

En Conclusión

El informe de Black Duck no argumenta en contra del uso de asistentes de programación con IA. Argumenta que usarlos sin la gobernanza correspondiente es contraproducente. Cuando el 97% de los equipos genera código a una velocidad sin precedentes, pero solo el 30% tiene la infraestructura de supervisión para gestionarlo, la industria está firmando colectivamente cheques que no puede cobrar.

La correlación entre gobernanza y ganancias de eficiencia — 90% frente a 44% — hace que el caso de negocio sea inequívoco. Las organizaciones que construyan primero las barandillas de seguridad capturarán la productividad que la IA promete. Aquellas que no lo hagan descubrirán, repetidamente, que el tiempo ahorrado en el teclado se gasta en la cola de revisión.