The productivity promise is real, but it is not universal. A controlled JavaScript task finished 55.8% faster with Copilot. Experienced open-source developers took 19% longer with early-2025 tools. The tool matters less than the full work around it.
La promesa de productividad es real, pero no universal. Una tarea controlada de JavaScript terminó 55,8% más rápido con Copilot. Desarrolladores experimentados de código abierto tardaron 19% más con herramientas de comienzos de 2025. La herramienta importa menos que todo el trabajo que la rodea.
The checklist crosses product, security, infrastructure, and operations. These terms recur because each prevents a different failure. Knowing the label matters less than knowing where the control belongs.
La lista cruza producto, seguridad, infraestructura y operaciones. Estos términos se repiten porque cada uno evita una falla distinta. Conocer la etiqueta importa menos que saber dónde pertenece el control.
Generated code may take center stage, but a complete product depends on everything built around it.
El código generado puede ocupar el centro, pero un producto completo depende de todo lo construido a su alrededor.
Framework choice is not a syntax preference. Vasco rebuilt one production agent on a different framework four times in 16 months. The surrounding architecture must absorb churn without forcing the whole product to restart.
Elegir un framework no es una preferencia de sintaxis. Vasco reconstruyó un agente en producción sobre un framework distinto cuatro veces en 16 meses. La arquitectura debe absorber esos cambios sin obligar a reiniciar todo el producto.
Generated syntax cannot choose the right system boundary. One production migration reduced generation from 30 to 40 seconds to under 10 seconds. Cost fell from about $0.50 to roughly $0.08. Architecture changed the product's economics.
La sintaxis generada no puede elegir por sí sola el límite correcto del sistema. Una migración en producción redujo la generación de 30 a 40 segundos a menos de 10 segundos. El costo bajó de unos US$0,50 a cerca de US$0,08. La arquitectura cambió la economía del producto.
AI coding tools sit on top of a much longer investment cycle. China's research expenditure rose from 0.88% to 2.58% of GDP between 2000 and 2023. More investment can expand the tool frontier, but it cannot guarantee a gain in every coding task.
Las herramientas de programación con IA descansan sobre un ciclo de inversión mucho más largo. El gasto de China en investigación subió de 0,88% a 2,58% del PIB entre 2000 y 2023. Más inversión puede ampliar la frontera, pero no garantiza una mejora en cada tarea.
Database design shapes the cost of every future change. Bolt reported reducing one schema change from over a week to 22 minutes after migrating to TiDB. It also reported completing a 60-TB backup in 75 minutes. Generated queries cannot repair the wrong storage architecture.
El diseño de datos define el costo de cada cambio futuro. Bolt informó que redujo un cambio de esquema de más de una semana a 22 minutos tras migrar a TiDB. También informó que completó un respaldo de 60 TB en 75 minutos. Las consultas generadas no reparan una arquitectura de almacenamiento equivocada.
Both countries expanded secure-server capacity rapidly after 2016. Yet the 2024 levels remained separated by more than two orders of magnitude. Code quality matters, but so do certificates, networks, servers, and the infrastructure that carries the product.
Ambos países ampliaron rápidamente su capacidad de servidores seguros después de 2016. Sin embargo, los niveles de 2024 siguieron separados por más de dos órdenes de magnitud. La calidad del código importa, pero también los certificados, redes, servidores y la infraestructura que transporta el producto.
Security cannot rely on every user making every decision correctly. Verizon found a human element in 68% of studied breaches in 2024. Authentication, authorization, session protection, recovery, and warnings must work as separate layers.
La seguridad no puede depender de que cada usuario tome siempre la decisión correcta. Verizon encontró un elemento humano en 68% de las brechas estudiadas en 2024. La autenticación, autorización, protección de sesiones, recuperación y alertas deben funcionar como capas separadas.
Internet access moved from a small minority to mass use in both countries. Brazil reached 84.5% in 2024 and Colombia reached 79.3%. Accessibility, privacy, compatibility, and performance therefore shape services used at national scale.
El acceso a Internet pasó de una minoría pequeña al uso masivo en ambos países. Brasil alcanzó 84,5% en 2024 y Colombia 79,3%. La accesibilidad, privacidad, compatibilidad y rendimiento afectan servicios usados a escala nacional.
These are mature attack classes, not obscure new failures. MITRE ranked cross-site scripting 2nd and SQL injection 3rd in 2024. Safe APIs, context-aware encoding, parameterized queries, and least-privilege accounts remain basic release gates.
Estas son clases de ataque conocidas, no fallas nuevas y extrañas. MITRE ubicó el cross-site scripting en el puesto 2 y la inyección SQL en el 3 durante 2024. Las APIs seguras, la codificación según el contexto, las consultas parametrizadas y las cuentas con mínimo privilegio siguen siendo controles básicos.
Both countries expanded secure-server density sharply. Germany reached 152,114 per million people in 2024, more than twice the UK's 68,395. The surrounding network boundary remains a real architectural variable.
Ambos países ampliaron con fuerza su densidad de servidores seguros. Alemania llegó a 152.114 por millón de habitantes en 2024, más del doble que los 68.395 del Reino Unido. La red que rodea al producto sigue siendo una variable arquitectónica real.
Passwords are not stored like API keys. OWASP's Argon2id baseline uses 19 MiB of memory, two iterations, and parallelism one. The goal is to make guessing expensive while keeping legitimate authentication usable.
Las contraseñas no se almacenan como claves de API. La base de Argon2id de OWASP usa 19 MiB de memoria, dos iteraciones y paralelismo uno. El objetivo es encarecer los intentos de adivinación sin volver inutilizable la autenticación legítima.
One filter cannot cover the web attack surface. OWASP groups major application risks into 10 broad categories. Its XSS guidance distinguishes five major output contexts. Security review must move from system design down to the exact place where data is rendered.
Un solo filtro no cubre la superficie de ataque web. OWASP agrupa los riesgos principales en 10 categorías amplias. Su guía de XSS distingue cinco contextos principales de salida. La revisión debe ir desde el diseño del sistema hasta el lugar exacto donde se presenta cada dato.
Software services carry major economic weight in both economies. ICT services represented 57.4% of Ireland's service exports in 2024 and 48.6% of India's in 2025. The work after launch supports an export engine, not a side activity.
Los servicios de software tienen un gran peso económico en ambas economías. Los servicios TIC representaron 57,4% de las exportaciones de servicios de Irlanda en 2024 y 48,6% de las de India en 2025. El trabajo posterior al lanzamiento sostiene un motor exportador.
TLS does more than place a lock icon in the browser. A normal TLS 1.3 full handshake uses one round trip, compared with two for a typical TLS 1.2 handshake. Protocol choices affect both the security boundary and connection performance.
TLS hace más que colocar un candado en el navegador. Un handshake completo normal de TLS 1.3 usa un viaje, frente a dos en uno típico de TLS 1.2. Las decisiones de protocolo afectan la seguridad y el rendimiento de la conexión.
Internet use in Mexico rose from 5.1% in 2000 to 83.1% in 2024. Software performance, accessibility, and privacy therefore affect a mass market. These qualities belong in requirements before code generation begins.
El uso de Internet en México subió de 5,1% en 2000 a 83,1% en 2024. El rendimiento, la accesibilidad y la privacidad del software afectan a un mercado masivo. Estas cualidades deben entrar en los requisitos antes de generar código.
A release can move quickly while payment events keep arriving for days. DORA's fastest bands have used lead time below one day. Stripe documentation states that live webhook deliveries can retry for up to three days. Payment handlers need authentication, idempotency, reconciliation, and recovery.
Un lanzamiento puede avanzar rápido mientras los eventos de pago siguen llegando durante días. Las bandas más rápidas de DORA han usado tiempos inferiores a un día. La documentación de Stripe indica que los webhooks de producción pueden reintentarse hasta por tres días. Los manejadores necesitan autenticación, idempotencia, conciliación y recuperación.
Email authentication has protocol limits, not just configuration screens. SPF permits at most 10 terms that trigger DNS lookups before returning a permanent error. Adding one more vendor can break delivery if the record is already at the limit.
La autenticación de correo tiene límites de protocolo, no solo pantallas de configuración. SPF permite como máximo 10 términos que generan consultas DNS antes de devolver un error permanente. Añadir otro proveedor puede romper la entrega si el registro ya alcanzó el límite.
Brazil's secure-server density rose from 28.5 per million people in 2010 to 6,941 in 2024. The sharpest acceleration began after 2016. Infrastructure assumptions that looked reasonable at launch can become obsolete while the product is still operating.
La densidad de servidores seguros de Brasil subió de 28,5 por millón de habitantes en 2010 a 6.941 en 2024. La aceleración más fuerte comenzó después de 2016. Los supuestos de infraestructura pueden quedar obsoletos mientras el producto sigue funcionando.
Generating the app is only one part of mobile delivery. Apple has generally charged 30% on standard transactions and 15% for qualifying small businesses. Google Play has offered a 15% tier on the first $1 million of annual revenue for enrolled developers.
Generar la aplicación es solo una parte de la distribución móvil. Apple generalmente ha cobrado 30% en transacciones estándar y 15% a pequeñas empresas que califican. Google Play ha ofrecido un nivel de 15% sobre el primer US$1 millón de ingresos anuales para desarrolladores inscritos.
India moved from 0.5% Internet use in 2000 to 70% in 2025. The United States reached 94.7% in 2024. As reach expands, performance, compatibility, accessibility, privacy, and recovery stop being optional polish.
India pasó de 0,5% de uso de Internet en 2000 a 70% en 2025. Estados Unidos alcanzó 94,7% en 2024. Cuando el alcance crece, el rendimiento, la compatibilidad, la accesibilidad, la privacidad y la recuperación dejan de ser detalles opcionales.
Email infrastructure changes as volume grows. Google's 2024 bulk-sender requirements applied at approximately 5,000 messages per day to personal Gmail accounts. Authentication, reputation, unsubscribe handling, and monitoring must be ready before the product crosses that threshold.
La infraestructura de correo cambia cuando crece el volumen. Los requisitos de Google de 2024 para remitentes masivos aplicaban cerca de 5.000 mensajes diarios a cuentas personales de Gmail. La autenticación, reputación, gestión de bajas y monitoreo deben estar listos antes de cruzar ese umbral.
Production failures have business consequences. IBM estimated an average studied breach cost of $4.88 million in 2024. Uptime reported that 60% of surveyed outage incidents caused at least $100,000 in total losses in 2022. Backups, redundancy, recovery, alerts, and privacy controls are product requirements.
Las fallas en producción tienen consecuencias de negocio. IBM estimó un costo promedio de US$4,88 millones por brecha estudiada en 2024. Uptime informó que 60% de los incidentes de caída encuestados causaron al menos US$100.000 en pérdidas en 2022. Los respaldos, redundancia, recuperación, alertas y controles de privacidad son requisitos del producto.
Colombia and Mexico began within four percentage points of each other in 2005. By 2025, Colombia's ICT service share reached 11.8%, compared with Mexico's 5.1%. Sustainable software delivery increasingly supports export performance.
Colombia y México comenzaron con menos de cuatro puntos de diferencia en 2005. Para 2025, la participación de servicios TIC de Colombia alcanzó 11,8%, frente a 5,1% en México. La entrega sostenible de software sostiene cada vez más el desempeño exportador.
Accessibility failures are not edge cases. WebAIM detected WCAG failures on 95.9% of one million high-traffic home pages in 2024. Teams that postpone accessibility inherit a broad repair job across design, content, components, and testing.
Las fallas de accesibilidad no son casos extremos. WebAIM detectó fallas WCAG en 95,9% de un millón de páginas de inicio de alto tráfico en 2024. Los equipos que posponen la accesibilidad heredan una reparación amplia en diseño, contenido, componentes y pruebas.
Germany's research expenditure rose from 2.39% of GDP in 2000 to 3.15% in 2023. It crossed 3% in 2018 and stayed near that level. The capability behind AI coding tools reflects years of accumulated investment.
El gasto de Alemania en investigación subió de 2,39% del PIB en 2000 a 3,15% en 2023. Superó 3% en 2018 y se mantuvo cerca de ese nivel. La capacidad detrás de las herramientas de IA refleja años de inversión acumulada.
The US ICT service export share rose from 4.11% in 2005 to 8.30% in 2025. The largest jump came around 2019 and 2020. Software creates durable value only when teams can maintain dependencies, infrastructure, operating systems, and third-party APIs.
La participación de servicios TIC en las exportaciones de Estados Unidos subió de 4,11% en 2005 a 8,30% en 2025. El mayor salto ocurrió alrededor de 2019 y 2020. El software crea valor duradero solo cuando los equipos pueden mantener dependencias, infraestructura, sistemas operativos y APIs externas.
Japan crossed 3% research intensity in 2005 and remained above that level through 2023. The series ended at a high of 3.44%. AI capability may arrive as a product feature, but the system behind it is built over decades.
Japón superó 3% de intensidad de investigación en 2005 y permaneció por encima de ese nivel hasta 2023. La serie terminó en un máximo de 3,44%. La capacidad de IA puede llegar como función del producto, pero el sistema que la sostiene se construye durante décadas.
AI can accelerate bounded coding, but production software still demands architecture, contracts, data design, security, testing, infrastructure, accessibility, and maintenance. This is the checklist that begins where code generation ends.
Key findings
A 2025 METR trial estimated that experienced open-source developers took 19% longer when allowed to use early-2025 AI tools. metr.org
WebAIM detected WCAG failures on 95.9% of the one million high-traffic home pages tested in 2024. webaim.org
Bolt reduced a schema change from over one week to 22 minutes and completed a 60-TB backup in 75 minutes after migrating to TiDB. pingcap.com
Microsoft reported that MFA blocked more than 99.9% of automated account-compromise attacks observed in its 2019 identity telemetry. microsoft.com
Uptime Institute reported that 60% of surveyed outage incidents caused at least US$100,000 in total losses in 2022.
IBM reported a global average breach lifecycle of 277 days in 2023, combining identification and containment.
IBM estimated that the global average cost of a studied data breach reached US$4.88 million in 2024. newsroom.ibm.com
Vasco rebuilt one production AI agent on a different framework four times within 16 months. engineering.vasco.app
A Pydantic-to-DSL migration cut dashboard generation from 30–40 seconds and about $0.50 to under 10 seconds and roughly $0.08. cloudthinker.io
In one controlled GitHub Copilot experiment, participants completed a bounded JavaScript task 55.8% faster with AI assistance. doi.org
Verizon's 2024 breach study identified a human element in 68% of breaches, including error and social engineering. verizon.com
SQL injection was ranked 3rd in MITRE's 2024 CWE Top 25 list of dangerous software weaknesses. cwe.mitre.org
The argument
AI made one bounded task 55.8% faster but made experienced maintainers 19% slower.
One architecture migration cut dashboard cost from about $0.50 to $0.08.
Bolt reduced a schema change from over one week to 22 minutes.
A human element appeared in 68% of breaches studied by Verizon.
XSS and SQL injection ranked 2nd and 3rd among MITRE's 2024 weaknesses.
WebAIM found WCAG failures on 95.9% of one million home pages.
Operational failures can produce losses measured in millions of dollars.
This research is published in English and Spanish. Ver en español
La investigación detrás de esta presentación
La IA puede acelerar tareas acotadas de programación, pero el software en producción aún exige arquitectura, contratos, datos, seguridad, pruebas, infraestructura, accesibilidad y mantenimiento. Esta es la lista que comienza donde termina la generación de código.
Hallazgos clave
Un ensayo de METR de 2025 estimó que desarrolladores experimentados tardaron 19% más cuando podían usar herramientas de IA de comienzos de 2025. metr.org
WebAIM detectó fallas WCAG en 95,9% del millón de páginas de inicio de alto tráfico analizadas en 2024. webaim.org
Bolt redujo un cambio de esquema de más de una semana a 22 minutos y completó un respaldo de 60 TB en 75 minutos tras migrar a TiDB. pingcap.com
Microsoft informó que MFA bloqueó más del 99,9% de los ataques automatizados contra cuentas observados en su telemetría de identidad de 2019. microsoft.com
Uptime Institute informó que 60% de los incidentes de caída encuestados causaron al menos US$100.000 en pérdidas totales en 2022.
IBM informó un ciclo promedio global de brecha de 277 días en 2023, combinando identificación y contención.
IBM estimó que el costo promedio global de una brecha estudiada alcanzó US$4,88 millones en 2024. newsroom.ibm.com
Vasco reconstruyó un agente de IA en producción sobre un framework distinto cuatro veces en 16 meses. engineering.vasco.app
Una migración de Pydantic a un DSL redujo la generación de tableros de 30–40 segundos y unos US$0,50 a menos de 10 segundos y cerca de US$0,08. cloudthinker.io
En un experimento controlado de GitHub Copilot, los participantes completaron una tarea acotada de JavaScript 55,8% más rápido con asistencia de IA. doi.org
El estudio de Verizon de 2024 identificó un elemento humano en 68% de las brechas, incluidos errores e ingeniería social. verizon.com
La inyección SQL ocupó el puesto 3 en la lista CWE Top 25 de debilidades peligrosas de MITRE de 2024. cwe.mitre.org
El argumento
La IA aceleró 55,8% una tarea acotada, pero frenó 19% a mantenedores experimentados.
Una migración de arquitectura redujo el costo de un tablero de US$0,50 a US$0,08.
Bolt redujo un cambio de esquema de más de una semana a 22 minutos.
Un elemento humano apareció en 68% de las brechas estudiadas por Verizon.
XSS y la inyección SQL ocuparon los puestos 2 y 3 entre las debilidades de MITRE de 2024.
WebAIM encontró fallas WCAG en 95,9% de un millón de páginas de inicio.
Las fallas operativas pueden producir pérdidas medidas en millones de dólares.
Esta investigación se publica en inglés y español. Read in English
