Le pides a una inteligencia artificial que te prepare una aplicación para organizar clientes. En unos minutos tienes una interfaz con formularios, tablas y botones. Introduces algunos datos reales, pruebas que todo funciona y compartes el enlace con tus compañeros. Parece que has resuelto un problema sin contratar a un programador.
Pero hay una pregunta que conviene hacerse antes de celebrar el ahorro: ¿quién más puede abrir esa aplicación?
Una investigación de seguridad conocida esta semana ha encontrado decenas de miles de aplicaciones creadas con una herramienta de programación asociada a Grok que podían consultarse sin autenticación. Algunas contenían información confidencial, incluidas contraseñas, datos sanitarios y documentos empresariales.
En Sal de la Matrix hemos hablado muchas veces de los riesgos de entregar información a herramientas de inteligencia artificial. Este caso añade un problema: los datos pueden quedar expuestos a través de la aplicación que la IA ha ayudado a construir.
Qué ha ocurrido con las aplicaciones creadas con Grok
La investigación, atribuida a especialistas en ciberseguridad y recogida por medios tecnológicos el 11 y 12 de noviembre de 2026, examinó miles de direcciones correspondientes a aplicaciones creadas mediante una herramienta de programación con inteligencia artificial.
Los investigadores identificaron 35.578 aplicaciones accesibles sin necesidad de iniciar sesión. La cifra resulta llamativa porque entre los proyectos analizados había herramientas destinadas aparentemente al uso interno de empresas y profesionales.
Muchas aplicaciones eran inofensivas: pequeños juegos, calculadoras o proyectos de prueba. Sin embargo, otras contenían información que no debería encontrarse disponible para cualquier visitante.
Los materiales descritos incluían datos de empleados y pacientes, información comercial y contraseñas almacenadas sin protección suficiente. Los investigadores también localizaron proyectos relacionados con trabajadores de las propias empresas tecnológicas implicadas.
Conviene distinguir entre acceso público y robo de información. Que una aplicación pudiera abrirse sin contraseña demuestra un problema de exposición, pero no acredita automáticamente que sus datos hayan sido utilizados por delincuentes.
Por qué una aplicación puede estar publicada sin que su creador lo comprenda
Las herramientas de programación con IA permiten generar aplicaciones mediante instrucciones escritas en lenguaje natural. Puedes pedir un calendario de reservas, un gestor de tareas o un pequeño sistema para consultar documentos.
La inteligencia artificial produce parte del código y, en algunos servicios, facilita su publicación mediante una dirección web. El usuario obtiene rápidamente algo que parece un programa terminado.
El problema aparece cuando se confunden tres conceptos diferentes: que una aplicación funcione, que tenga una dirección difícil de adivinar y que esté realmente protegida.
Una URL larga y aparentemente aleatoria no sustituye a un sistema de autenticación. Si cualquiera que conozca la dirección puede entrar, el acceso depende únicamente de que nadie encuentre ese enlace.
Un enlace privado puede acabar siendo localizable
Las direcciones de Internet pueden aparecer en distintos registros y servicios técnicos. Los investigadores explicaron que algunas aplicaciones podían descubrirse mediante información de DNS, el sistema utilizado para relacionar nombres de dominio con servidores.
Eso significa que no siempre hace falta recibir un enlace directamente de su propietario para localizar una aplicación publicada.
Una persona puede pensar que su proyecto es privado porque nunca ha compartido la dirección. Sin embargo, la ausencia de publicidad no garantiza la confidencialidad.
Contraseñas y datos personales dentro de aplicaciones de prueba
Entre los ejemplos descritos por los investigadores aparecieron credenciales almacenadas en texto legible, información relacionada con pacientes y herramientas empresariales que mostraban datos internos.
Este tipo de exposición puede tener consecuencias diferentes. Una contraseña reutilizada podría facilitar accesos no autorizados. Una base de datos con información personal podría comprometer la privacidad de trabajadores o clientes.
En el caso de información sanitaria, el riesgo resulta especialmente delicado porque hablamos de datos que reciben una protección reforzada en la legislación europea.
No todos los proyectos analizados tenían ese nivel de sensibilidad. De hecho, el número total de aplicaciones accesibles no debe confundirse con el número de filtraciones confirmadas de datos personales.
La investigación muestra, sobre todo, lo fácil que resulta publicar una herramienta sin haber comprobado adecuadamente qué información contiene y quién puede consultarla.
La IA puede escribir código, pero también cometer errores de seguridad
Una aplicación convencional suele pasar por varias fases antes de utilizarse con datos reales: desarrollo, pruebas, revisión de permisos y comprobaciones de seguridad.
Las herramientas de generación automática aceleran buena parte del trabajo. Esa velocidad resulta atractiva para empresas pequeñas y profesionales que necesitan soluciones sencillas.
Pero el código generado puede incluir errores, configuraciones inseguras o mecanismos de autenticación insuficientes. La facilidad de creación tampoco garantiza que el usuario comprenda cómo se almacenan los datos.
El riesgo aumenta cuando una herramienta experimental termina convirtiéndose en un sistema de trabajo habitual. Un proyecto creado para probar una idea puede acabar almacenando información real de clientes, proveedores o empleados.
En ese momento deja de ser una simple demostración técnica. Ya existe una responsabilidad sobre los datos que contiene.
Qué responsabilidad tiene la empresa que ofrece la herramienta
La investigación también plantea preguntas sobre las opciones de publicación y privacidad disponibles para los usuarios.
Los servicios que permiten crear aplicaciones deben explicar con claridad cuándo un proyecto será accesible públicamente, qué permisos tendrá y cómo restringir su utilización.
Según la información publicada, la empresa responsable de la herramienta defendió que la publicación requería acciones y confirmaciones por parte del usuario. Esa versión debe tenerse en cuenta al analizar las responsabilidades.
Sin embargo, una confirmación no siempre garantiza que la persona comprenda todas sus consecuencias técnicas. Especialmente cuando el servicio está dirigido a usuarios que no necesitan conocimientos de programación para crear aplicaciones.
La cuestión recuerda a otros problemas de privacidad que hemos tratado, como las aplicaciones con funciones ocultas detectadas en plataformas de distribución digital. En ambos casos, la facilidad para utilizar una herramienta obliga a examinar qué ocurre detrás de su interfaz.
Por qué este problema también afecta a España
La investigación conocida esta semana no demuestra que todas las aplicaciones expuestas pertenecieran a usuarios españoles. Tampoco permite calcular cuántas empresas de nuestro país podrían estar afectadas.
Pero el riesgo descrito tiene una aplicación directa para cualquier profesional que utilice herramientas de programación automática.
Una gestoría puede crear un programa para consultar expedientes. Una academia puede desarrollar una aplicación para organizar alumnos. Una pequeña empresa puede generar un panel para gestionar ventas.
Si esos proyectos contienen información personal, sus responsables deben cumplir las obligaciones que correspondan conforme al Reglamento General de Protección de Datos.
Utilizar inteligencia artificial para crear el programa no elimina las responsabilidades sobre la información que se introduce en él. Tampoco convierte automáticamente al proveedor tecnológico en responsable exclusivo de cualquier incidente.
Qué debes comprobar si has creado una aplicación con IA
Revisa quién puede acceder
Entra en la configuración del proyecto y comprueba si está publicado, si requiere autenticación y qué permisos tienen sus visitantes.
No des por hecho que una opción denominada «compartir mediante enlace» significa que el contenido es privado. Comprueba las condiciones concretas del servicio.
Comprueba qué datos has introducido
Revisa si utilizaste contraseñas, claves de API, información bancaria, datos de clientes o documentos internos durante las pruebas.
Si encuentras credenciales que podrían haber estado expuestas, considera sustituirlas y revisar los registros de acceso disponibles.
No utilices datos reales para experimentar
Cuando pruebes una aplicación, utiliza información ficticia siempre que sea posible. Evita introducir historiales médicos, documentos de identidad o bases de datos completas de clientes en proyectos cuyo nivel de seguridad todavía no has comprobado.
La Agencia Española de Protección de Datos ofrece información sobre las obligaciones relacionadas con el tratamiento y la seguridad de los datos personales.
Comprueba las conexiones externas
Algunas aplicaciones utilizan servicios externos para almacenar información, procesar pagos o enviar mensajes. Es importante conocer qué proveedores intervienen y qué permisos tienen.
Si la aplicación se utiliza profesionalmente, conviene realizar una revisión de seguridad antes de ponerla en producción. Una prueba rápida en el navegador puede detectar errores visibles, pero no sustituye una auditoría técnica.
El problema de fabricar software más rápido de lo que podemos revisarlo
La programación mediante inteligencia artificial está reduciendo las barreras para crear herramientas digitales. Personas sin experiencia técnica pueden desarrollar proyectos que hace pocos años habrían necesitado un equipo especializado.
Eso tiene ventajas evidentes. También multiplica el número de aplicaciones creadas por personas que quizá desconocen cómo proteger una base de datos o configurar correctamente los permisos de acceso.
La investigación sobre las aplicaciones asociadas a Grok ilustra esa contradicción. La tecnología facilita construir una herramienta, pero la seguridad continúa exigiendo conocimientos, revisiones y decisiones conscientes.
Resulta bastante curioso que podamos pedirle a una IA que construya una aplicación completa en unos minutos y todavía tengamos que recordar algo tan elemental como cerrar la puerta antes de guardar dentro las contraseñas.
