The Japan Times - El auge de las apps no-code y el riesgo del 'app-slop' digital

El crecimiento exponencial de las aplicaciones desarrolladas mediante herramientas que no requieren conocimientos de programación ha desencadenado una alerta generalizada entre expertos en ciberseguridad y analistas del sector tecnológico. Esta tendencia, que promete democratizar la creación de software, está generando lo que algunos críticos denominan "app-slop" o basura digital, una masa de servicios con baja calidad, interfaces genéricas y vulnerabilidades de seguridad significativas.

Las principales plataformas de distribución de aplicaciones, Google Play Store y la App Store de Apple, han respondido a este fenómeno con medidas drásticas. Google ha bloqueado aproximadamente un millón de aplicaciones que violaban sus políticas de uso y ha establecido normativas restrictivas específicas para las apps creadas con inteligencia artificial generativa. Por su parte, Apple ha endurecido aún más los requisitos, prohibiendo la publicación de aplicaciones que no ofrezcan un valor añadido duradero y limitando estrictamente las variaciones de servicios web realizadas mediante técnicas de "vibecoding" o desarrollo sin código por parte de un mismo creador.

A pesar de estas barreras, el fenómeno es visible en numerosas páginas web y aplicaciones que comparten patrones de diseño idénticos, con colores apagados e interfaces estandarizadas que sugieren una generación automatizada. Los expertos advierten que es crucial no confundir las aplicaciones "no-code" con las "low-code". En el segundo caso, existe un desarrollador humano detrás que utiliza la IA como herramienta para acelerar el proceso, mientras que en el primero, la creación puede depender casi exclusivamente de modelos de inteligencia artificial sin supervisión técnica especializada.

El mercado de estas herramientas está experimentando una expansión sin precedentes desde 2023, año del despegue de la inteligencia artificial generativa. Según datos de la consultora Gartner, el valor total del mercado alcanzó los 13.200 millones de dólares en ese periodo inicial y se proyecta que llegue a los 52.000 millones de dólares en tres años, con una tasa de crecimiento anual compuesta superior al 25%. Esta proyección incluye un escenario para 2026 donde aproximadamente el 80% de los productos y servicios tecnológicos estarán construidos por usuarios que no son desarrolladores profesionales ni especialistas en seguridad.

Esta democratización del desarrollo, aunque accesible para quienes pueden pagar los tokens de los modelos de IA, plantea graves riesgos. La Open Web Application Security Project (OWASP) ha elaborado un listado con los diez riesgos específicos de seguridad asociados al low-code y no-code. Entre las amenazas destacadas se encuentran la conexión insegura de bases de datos, el uso de claves API con permisos globales por parte de usuarios sin conocimientos técnicos, y errores de autenticación derivados de configuraciones por defecto en estas plataformas.

Los analistas señalan que cuando una persona sin formación técnica crea una aplicación no-code y delega completamente la lógica en un modelo de IA, el riesgo de pérdida de datos personales se multiplica. La automatización de flujos mediante conexiones a bases de datos corporativas sin cifrar o validación adecuada puede comprometer información sensible. Además, estas aplicaciones son vulnerables a ataques de inyección SQL e inyección de prompts.

En un nivel más estratégico, algunas compañías que han externalizado la programación a la IA se han visto obligadas a recontratar programadores humanos para corregir errores. Este fenómeno ha dado lugar a lo que la industria denomina "deuda técnica". Si un modelo de IA entra en un bucle de errores, la revisión del código por parte de un humano puede requerir analizar miles de líneas de código ininteligibles o mal estructuradas, especialmente en proyectos grandes.

Otro riesgo crítico es la dependencia de terceros. Si la compañía que mantiene el Modelo de Lenguaje Grande (LLM) utilizado cierra sus operaciones, el creador de la aplicación podría perder la capacidad de mantener su proyecto, incurriendo en pérdidas económicas significativas. La falta de transparencia sobre quién posee el código generado por IA también complica el acceso a rondas de financiación, ya que los inversores requieren identificar a las personas responsables detrás del negocio.

La situación se agrava por las estrictas regulaciones sobre el almacenamiento de datos personales, como el Reglamento General de Protección de Datos (RGPD) en la Unión Europea. Muchas aplicaciones no-code pueden alojarse en servidores fuera de estas regiones jurisdiccionales o operar en un terreno de ilegalidad, ya que la legislación actual aún no contempla plenamente este tipo de servicios automatizados. Si un algoritmo no auditado por un ser humano identificable genera el código, la responsabilidad legal y operativa queda en una zona gris.

A pesar de las dudas y los riesgos señalados por programadores y analistas humanos, el vibecoding y sus derivados continúan creciendo como una tendencia imparable. Sin embargo, la industria advierte que la falta de supervisión técnica y la masificación de servicios de baja calidad podrían tener consecuencias duraderas en la seguridad digital y la calidad del software disponible para los usuarios.

M.Ito--JT