En este artículo
- ¿Qué es el vibe coding según la definición de SDAIA?
- La regla clave: lo que produce la IA es un borrador
- 4 riesgos que nombra la guía y cómo aparecen en tu proyecto
- 6 cosas que la IA no garantiza
- 5 controles humanos antes de que el código llegue a tus clientes
- Preguntas para tu desarrollador o proveedor esta semana
- La visión de Origami
- Fuentes
Si tu app, tu web o tu sistema interno se construyó con herramientas de IA, o tu desarrollador las usa, la guía «Vibe Coding» publicada por la Autoridad Saudí de Datos e Inteligencia Artificial (SDAIA) en abril de 2026 fija una regla clara: todo lo que genera la IA es un borrador no aprobado hasta que una persona lo revisa, lo verifica y lo aprueba formalmente. La guía tiene 57 páginas, está dirigida a los equipos técnicos tanto del sector público como del privado, nombra 4 riesgos principales y 6 limitaciones esenciales, y define 5 puntos en los que una persona debe intervenir antes de que el código llegue a tus clientes. En este artículo la convertimos en preguntas prácticas para tu equipo o tu proveedor esta misma semana.
¿Qué es el vibe coding según la definición de SDAIA?
La guía define el vibe coding (en árabe «al-barmaja al-tawlidiya», programación generativa) como un enfoque en el que el usuario describe lo que quiere en lenguaje corriente y las herramientas de IA escriben el código. Va más allá de escribir, hacia lo que llama IA agéntica: herramientas que construyen código, ejecutan pruebas y gestionan el despliegue por sí solas, mientras una persona dirige las decisiones clave.
La guía divide el uso en 3 frentes: diseño y experiencia de usuario (ideas y prototipos), programación (escribir y mejorar código) y pruebas (planes de prueba, datos de prueba y análisis de fallos). Cita a Microsoft, que afirma que estas herramientas generan cerca del 30% del código que produce internamente, y a Google, que afirma que cerca del 25% de su código nuevo lo genera la IA y luego lo revisan personas antes de fusionarlo. El mensaje es claro: las mayores empresas usan estas herramientas a diario, pero dentro de un sistema de revisión.
La regla clave: lo que produce la IA es un borrador
La primera definición de la guía es el «borrador generado por IA»: cualquier resultado que genera el sistema sigue siendo un primer borrador no aprobado hasta que pasa por revisión humana, verificación y aprobación. Describe el principio «Human-in-the-loop» (la persona en el circuito) como un principio de gobernanza obligatorio dentro de su metodología. Añade que la intervención humana pasa a ser obligatoria cuando las herramientas de IA reciben permisos de ejecución que pueden tener un impacto operativo, legal o comercial importante.
En términos de dueño de negocio: si una herramienta de IA puede publicar una actualización de tu app o cambiar tu base de datos de clientes sin que nadie lo apruebe, eso es exactamente lo que la guía advierte. Para ser claros, la guía es orientativa, no una norma con sanciones, pero es la referencia oficial saudí más clara hasta ahora sobre qué se considera «uso responsable» de estas herramientas, y complementa el Marco Nacional de Gestión de Riesgos de la IA.
4 riesgos que nombra la guía y cómo aparecen en tu proyecto
- Alucinación: código que parece correcto pero llama a API que no existen, o recomienda paquetes y bibliotecas ficticios o sin soporte. El resultado son errores de integración con tus otros sistemas, y posiblemente un agujero de seguridad si alguien instala por su nombre un paquete sugerido sin comprobarlo.
- Exceso de confianza: aceptar código generado sin revisión de seguridad ni funcional, o pasarlo directamente al entorno en vivo que usan tus clientes.
- Cobertura superficial: un análisis de seguridad genérico que deja pasar vulnerabilidades, y pruebas incompletas, que te dan la falsa sensación de que todo va bien.
- Resultados no deterministas: la misma instrucción produce código distinto cada vez, lo que hace que los resultados sean difíciles de reproducir y auditar.
6 cosas que la IA no garantiza
La guía enumera 6 limitaciones esenciales: la IA entiende la intención de tu negocio solo en la medida en que la hayas puesto por escrito; no puede valorar los riesgos ni las prioridades propios de tu organización; no sustituye el pensamiento de arquitectura ni las decisiones de diseño; no garantiza que el código sea correcto o apto para el uso real; no siempre produce resultados idénticos; y su resultado no es una prueba formal ni un sustituto de las pruebas reales. La guía lo dice sin rodeos: la responsabilidad de verificar, probar y aprobar es «enteramente humana».
5 controles humanos antes de que el código llegue a tus clientes
- Revisar cada cambio de código antes de fusionarlo en la rama principal.
- Evaluar si cada versión está lista antes de desplegarla.
- Supervisar la decisión de desplegar o de dar marcha atrás.
- Explicar cualquier comportamiento inesperado en producción.
- Aprobar los planes de desarrollo y la hoja de ruta técnica a largo plazo.
Preguntas para tu desarrollador o proveedor esta semana
- ¿Quién revisa el código escrito por IA antes de fusionarlo, y hay una revisión registrada de cada cambio?
- ¿Las pruebas se ejecutan de verdad contra el sistema, o la herramienta simplemente «dijo» que el código funciona?
- ¿Qué permisos tienen las herramientas de IA? ¿Pueden desplegar o acceder a la base de datos real? (Mira lo que pasó con los agentes de programación que ejecutaron la orden de un atacante.)
- ¿Los datos de prueba son sintéticos? La guía pide datos de prueba que cumplan las reglas de privacidad e impidan el uso de cualquier dato real o sensible, algo importante para los datos personales de tus clientes.
- ¿Quién da el visto bueno a una versión antes de publicarla, y quién decide la marcha atrás si algo falla?
Si no obtienes una respuesta clara a tres de estas cinco preguntas, el problema no es la herramienta de IA sino la forma de trabajar. Si estás eligiendo un nuevo socio de desarrollo, añade estas preguntas a tus criterios para elegir una empresa de software.
La visión de Origami
Usamos herramientas de IA en diseño, programación y pruebas porque ahorran tiempo real a nuestros clientes. Pero tratamos lo que escriben exactamente como lo describe la guía de SDAIA: como un borrador. Cada cambio pasa por la revisión de un desarrollador, las pruebas se ejecutan de verdad, los datos reales de los clientes nunca entran en el entorno de pruebas y una persona toma la decisión de desplegar. La velocidad sin revisión se paga después en caídas y agujeros de seguridad. Si construiste un prototipo con IA y quieres convertirlo en un sistema en el que tus clientes puedan confiar, habla con nosotros.
Fuentes
Preguntas frecuentes
¿Es obligatoria la guía de vibe coding de SDAIA para mi empresa?
La guía es orientativa, no una norma con sanciones, y está dirigida a los equipos técnicos del sector público y del privado. Aun así, es la referencia oficial saudí más clara sobre el uso responsable de las herramientas de programación con IA, y describe la revisión humana como un principio de gobernanza obligatorio dentro de su metodología.
¿Puedo crear una app completa con IA y sin desarrollador?
Puedes crear un prototipo rápido para probar una idea. Para un sistema del que dependen tus clientes, la guía dice que la IA no garantiza que el código sea correcto ni apto para su uso, y que la responsabilidad de verificar, probar y aprobar es enteramente humana, así que necesitas un desarrollador que lo revise antes del lanzamiento.
¿Cuál es el mayor riesgo del código escrito por IA?
La guía nombra 4 riesgos: la alucinación, como sugerir bibliotecas o API que no existen; el exceso de confianza, al pasar código a producción sin revisión de seguridad; la cobertura superficial en análisis y pruebas; y resultados que cambian cada vez.
¿Cómo me aseguro de que mi desarrollador revisa el código generado por IA?
Pregúntale por los 5 puntos de control de la guía: revisar cada cambio antes de fusionarlo, evaluar si la versión está lista, aprobar el despliegue o la marcha atrás, explicar el comportamiento inesperado y aprobar el plan de desarrollo. Pide que las revisiones y las pruebas queden registradas, no solo prometidas.
