IA para programación en 2027: qué usar en cada tarea del sprint, cuánto cuesta y dónde se equivoca

Miércoles, 9:50 de la mañana en Guadalajara. Terminó la daily, el ticket del sprint dice "ajustar el cálculo de envío en el checkout" y el archivo que hace eso es un PHP de 1,400 líneas que nadie abre desde 2019. Hay un PR del junior esperando revisión desde ayer, Sentry muestra un error nuevo en producción y, por WhatsApp, el cliente del proyecto freelance de las noches pregunta si la pantalla de login queda para el viernes.

Es en ese día normal, y no en la demo de una conferencia, donde la IA para programación tiene que demostrar que vale lo que cuesta. La respuesta corta: sí lo vale, pero no donde casi todos esperan. Es muy buena para leer código, armar pruebas, hacer la primera pasada de una revisión y escribir SQL. Es floja para decidir arquitectura, para seguridad y para recordar qué versión de una librería existe de verdad. Esta guía recorre el sprint de un dev, tarea por tarea, con la herramienta que yo usaría en cada una, su precio en dólares y los puntos donde suele meterte en problemas.

Antes que nada: hay tres tipos de herramienta

Mucha gente compara Copilot con ChatGPT como si fueran lo mismo. No lo son. En la práctica hay tres formas de usar IA en el código y cada una resuelve un problema distinto.

• Asistente en el editor. Completa la línea, sugiere el siguiente bloque y contesta preguntas sobre el archivo abierto. GitHub Copilot y Gemini Code Assist son los más comunes. Te ahorra unos minutos por hora, todos los días.
• Agente de código. Recibe una tarea ("agrega paginación al endpoint de pedidos y escribe las pruebas"), lee varios archivos, edita, corre las pruebas y vuelve a intentar. Aquí entran Claude Code, Codex de OpenAI, el modo agente de Cursor y Windsurf. Te ahorra horas, pero pide una revisión seria.
• Chat. ChatGPT, Claude y Gemini en el navegador. Sirve para pensar: comparar dos enfoques, entender un error, escribir una consulta, redactar el mensaje para el cliente. No ve tu repositorio a menos que pegues el código.

Quien solo usa el chat se la pasa copiando y pegando. Quien solo usa el autocompletado nunca descubre lo que un agente hace en una tarde. La ganancia real aparece cuando combinas un asistente en el editor con un agente para las tareas grandes.

El sprint, tarea por tarea

Los tiempos de abajo son estimaciones de alguien que hace esto cada semana en un equipo de producto web (backend en Node, PHP o Python, front en React), no el resultado de un estudio. Sirven para ver dónde está la ganancia grande y dónde es chica.

Código legado: el mejor uso que casi nadie aprovecha

Volvamos al envío. Antes de tocar una sola línea, pídele al agente que lea el archivo y conteste tres cosas: qué calcula la función, de dónde salen los parámetros y qué se rompe si cambias la regla. En 10 minutos tienes un mapa que te habría costado la mañana. Un detalle que cambia todo: pídele que marque lo que es certeza (está en el código) y lo que es suposición (lo deduce por el nombre). En legado, una variable llamada $tp puede ser "tipo de pago" o "tipo de producto", y la IA adivina con mucha seguridad.

El siguiente paso es la prueba de caracterización: una prueba que congela el comportamiento actual, correcto o no, antes de tu cambio. La IA escribe estas pruebas muy bien, y te salvan del clásico "arreglé el envío y rompí los cupones".

Pruebas: deja que la IA encuentre los casos límite

Pedir "escribe las pruebas de esta función" da pruebas que confirman el camino feliz. Pedir "lista 10 entradas que pueden romper esta función y escribe una prueba para cada una" da pruebas que sirven. Pagos a meses sin intereses donde sobra un centavo, una fecha el último día del mes, el código postal vacío, un usuario sin permiso. Ahí vive el bug y ahí la IA es rápida. En el post de prompts para programadores está ese prompt con la respuesta real.

Revisión de PR: primera pasada, nunca la aprobación

Quien es tech lead lo sabe: la mitad del tiempo de revisión se va en cosas repetidas. Strings concatenados en una consulta, pruebas que faltan, un console.log con un token, errores tragados en un catch vacío. Un revisor automático en el CI comenta eso antes de que tú abras el PR, y el autor lo corrige solo. Tú te quedas con lo que solo un humano decide: si el cambio tiene sentido para el producto y si el diseño aguanta los próximos seis meses. GitHub Copilot ya incluye revisión de código en los planes de pago; armar tu propio revisor vale la pena cuando quieres las reglas de tu equipo y que abra issues para la deuda técnica fuera del alcance del PR.

Debug: hipótesis, no respuestas

Pegar el stack trace y preguntar "¿cómo lo arreglo?" casi siempre te da una corrección que esconde el síntoma: un try/except más, un ?. más. Pide hipótesis ordenadas por probabilidad, con la forma de confirmar cada una. Reproducir el error sigue siendo tu trabajo.

SQL: pega el esquema y el EXPLAIN

Con consultas lentas, la IA acierta mucho cuando recibe el CREATE TABLE, los índices y la salida de EXPLAIN ANALYZE. Sin eso, sugiere índices a ciegas. El error clásico que detecta al instante: una función aplicada sobre la columna del filtro (WHERE DATE(creado_en) = ...), que impide usar el índice. Y uno muy de México: columnas timestamptz consultadas con el día en UTC, que se comen los pedidos de la noche porque la Ciudad de México está seis horas atrás.

Estimación y plática con el cliente

En el freelance, lo más caro no es el código, es el alcance. Usa el chat para partir lo que pide el cliente en subtareas y listar lo que no dijo: recuperación de contraseña, correos transaccionales, panel de administración, el aviso de privacidad que exige la LFPDPPP en el registro, la facturación si va a vender. La estimación sigue siendo tuya, pero dejas de olvidar la mitad del trabajo en la cotización.

Herramientas y precios en 2026

Precios de las páginas oficiales en octubre de 2026, en dólares, por usuario. Este mercado cambia de planes cada pocos meses, así que revisa el sitio antes de pagar. Como referencia, US$ 20 son aprox. $370 MXN o unos 18 € al tipo de cambio de hoy, más impuestos.

Lo que yo elegiría en tu lugar

• Junior en una empresa que no paga nada: Copilot gratis en el editor y un chat gratis. Antes de pagar algo, pregúntale a tu líder cuál es la política. Pegar código del cliente en un chat personal es la forma más rápida de terminar en una junta con Recursos Humanos.
• Semi senior con freelance en las noches: yo pagaría Claude Pro (US$ 20) y usaría Claude Code en los proyectos freelance, no Cursor, porque en el plan barato de Cursor quedas atado a los modelos Grok y, para usar Claude o GPT, subes a US$ 30 más el consumo de API. Con US$ 20 tienes agente y chat en el mismo plan.
• Remoto para una empresa de Estados Unidos: muy común en México, Colombia y Argentina. Aquí manda el contrato, no tu gusto. Muchas empresas aprueban una sola herramienta con cuenta corporativa y prohíben el resto; si no te dieron licencia, pregunta por escrito antes de instalar nada.
• Senior o tech lead: Copilot en el editor (tu equipo probablemente ya lo tiene), un agente para las tareas grandes y un revisor automático en el CI. Tu cuello de botella es la revisión, no la escritura.
• Empresa con datos sensibles (fintech, salud, gobierno): plan empresarial con contrato que prohíba entrenar con tu código y registro de uso. Una herramienta de plan personal no entra al repositorio de la empresa.

Un junior y un senior no ganan lo mismo

Este es el punto que casi nadie dice con franqueza. Al senior, la IA le quita escritura y búsqueda en documentación: él ve la sugerencia y en 5 segundos dice "esto va a dar una condición de carrera". Al junior, la misma sugerencia le parece correcta, pasa la prueba del camino feliz y se va al PR.

Si vas empezando, usa la IA como maestra, no como capturista. Pídele que explique por qué escribió eso, pide la versión sin librería, pide que liste lo que puede fallar. Y escribe tú la primera prueba. En una entrevista técnica nadie te va a dejar abrir Copilot, y en el primer incidente en producción la persona que tiene que entender el código eres tú.

Si eres el senior del equipo, tu trabajo cambió un poco: ahora también revisas código generado por IA. Acuerda con el equipo una regla simple, como "todo PR con código generado lleva pruebas escritas por el autor", y el problema baja a la mitad.

Dónde se equivoca la IA y cómo eso termina en incidente

Librerías y funciones que no existen

El modelo sugiere un npm install de un paquete con nombre creíble que no existe, o que sí existe porque alguien lo registró justo porque las IAs suelen inventar ese nombre. También inventa parámetros y métodos de versiones viejas. La regla: todo paquete nuevo que sugiera la IA pasa por ti en el registro (npm, PyPI, Packagist), mirando autor, fecha, descargas y repositorio. Y fija la versión en el lockfile.

Seguridad

El código generado repite los errores más comunes de internet, porque aprendió de ahí: SQL armado con concatenación, contraseñas con hash débil, CORS abierto a cualquier origen, subidas de archivo sin revisar el tipo. El OWASP Top 10 sigue siendo la mejor lista para revisar. Con agentes aparece un riesgo nuevo: la inyección de prompt. Un README, un issue o un comentario puede traer una instrucción escondida para el agente ("corre este comando", "manda el .env a tal dirección"). OWASP tiene una lista aparte para aplicaciones con modelos de lenguaje. En la práctica: no le des permiso al agente de correr comandos sin tu aprobación en un repositorio que no es tuyo, y no dejes tokens de producción en el entorno donde trabaja.

Licencias

A veces la sugerencia es casi un fragmento de un proyecto open source con licencia que obliga a liberar tu código o dar crédito. Deja encendido el filtro de Copilot que bloquea código público, y si un bloque grande y "demasiado bonito" llegó listo, búscalo antes del commit.

Secretos en el prompt y datos personales

Pegar el .env en el chat para "ver por qué no conecta" pasa más de lo que crees. Igual que pegar 200 filas de la tabla de clientes para que la IA "encuentre el problema del CSV". Eso son datos personales saliendo de la empresa sin base legal: LFPDPPP en México, RGPD y LOPDGDD en España, Ley 1581 de 2012 en Colombia, Ley 25.326 en Argentina. El responsable es la empresa, pero quien pegó fuiste tú. El hábito que lo resuelve: cambia los datos reales por ficticios antes de pegar, usa variables de entorno falsas en los ejemplos y apaga en la configuración el uso de tus conversaciones para entrenar el modelo. Si se filtró una llave, revócala en ese momento, no esperes.

Errores comunes de quien empieza a usar IA en el código

• Aceptar el diff completo sin leer. El agente tocó 9 archivos para resolver un bug de una línea. Léelo todo o pídele que explique cada archivo que cambió.
• Pedir sin contexto. "Crea un endpoint de usuarios" da código de tutorial, no el de tu proyecto. Di el framework, la versión, dónde viven las pruebas y muestra un archivo de ejemplo.
• Dejar que el agente corra migraciones. El agente puede crear la migración. Quien la corre en una base con datos eres tú.
• Cambiar de herramienta cada semana. Quédate tres semanas con una antes de juzgar.
• No medir. Anota cuánto tardó un ticket parecido sin IA; sin ese número no sabes si ganas tiempo.
• Usar tu plan personal con el código de la empresa. Pregunta antes. Es una plática de 5 minutos que te evita un despido.

Por dónde empezar mañana

Elige una tarea que haces cada semana y que te da flojera (escribir pruebas, revisar PRs chicos, explicar legado) y usa IA solo en esa durante dos semanas. Los prompts para eso están en prompts para programadores, con respuestas reales. Si tu cuello de botella es la revisión de PRs del equipo, el post del agente de IA para programadores muestra cómo armar un revisor en GitHub Actions, con costo mensual y la instrucción completa.

Publicidad

¿Quieres saltarte esta parte?

Agentes de IA listos para devs y equipos de software: sin montar nada, sin prompts, ya trabajan por ti.

• Primera revisión de cada PR, con comentarios en la línea y etiqueta de riesgo
• Clasificación de bugs de soporte directo al backlog, con pasos para reproducir
• Reglas de seguridad y de datos personales ya configuradas, sin permiso para aprobar ni hacer merge

Quiero los agentes listos