En algun racó del teu negoci probablement hi ha una petita eina que ningú recorda haver construït amb cura. Un formulari de reserves. Un full d'inscripció per a un curs. Un petit portal on un client puja un document. Algú, potser tu, va demanar a una IA que la fes: descrius què vols, apareix davant teu, publiques l'enllaç i segueixes amb el dia. Va funcionar a la primera, cosa que va semblar un petit miracle. Ningú es va fer la pregunta òbvia després: qui més pot veure què hi ha a dins?
Aquesta pregunta importa molt més del que sembla, i la resposta, per a moltes eines fetes així, és "qualsevol que tingui l'enllaç". Això és el que passa realment, explicat sense tecnicismes, i el que val la pena revisar aquesta setmana a les teves pròpies eines.
El que ha trobat una anàlisi real
Al maig de 2026, l'empresa de ciberseguretat RedAccess va analitzar unes 380.000 aplicacions construïdes amb plataformes populars de creació d'apps amb IA, entre elles Lovable, Base44, Replit i Netlify. Quatre de cada deu, en paraules dels mateixos investigadors, no tenien pràcticament cap seguretat ni pantalla d'accés. No una seguretat feble. Cap. Qualsevol que tingués l'adreça web, no la propietària, no una clienta registrada, qualsevol, podia obrir les dades que hi havia al darrere. Les fuites que van verificar els investigadors no eren abstractes: els horaris de vaixells d'una naviliera, l'estat intern d'assajos clínics d'una empresa sanitària, registres financers d'un banc, converses reals d'atenció al client d'una botiga de mobles. Negocis reals, construïts per gent que intentava avançar ràpid, igual que podries fer-ho tu.
Per què passa això, i no és descuit
Això no és una història sobre un grapat de persones poc curoses. Veracode, una empresa de seguretat que prova codi escrit per IA en més de cent models diferents, va descobrir que al voltant del 45 per cent del codi generat per IA conté una fallada de seguretat real, més del doble que el codi escrit a mà per una persona. El motiu és mecànic, no és culpa de ningú. Quan demanes a una IA que construeixi un formulari d'inscripció, descrius què ha de fer: recollir un nom, un correu, desar-ho en algun lloc. Gairebé mai no especifiques qui no hauria de poder veure aquesta llista, així que el model no té cap instrucció que li digui que l'ha de protegir. Moltes d'aquestes plataformes, a més, publiquen per defecte qualsevol projecte nou en una adreça web pública, sense pantalla de contrasenya, perquè tota la proposta consisteix a tenir alguna cosa funcionant davant teu en trenta segons. Protegir-ho bé requereix una instrucció més que gairebé ningú pensa a donar, perquè res en el procés t'hi convida.
Un formulari d'inscripció, sis mesos després
Imagina una acadèmia d'idiomes. La propietària demana a una IA un formulari senzill: nom, correu, telèfon, quin curs, l'incrusta a la web de l'acadèmia i se sent legítimament orgullosa d'haver-ho fet ella sola, sense contractar ningú. Funciona perfectament. Ningú hi torna a tocar. Res no anuncia que aquella mateixa adreça web, encara activa, segueix recollint silenciosament noms d'un curs que va acabar a la primavera, i que lliurarà tota aquesta llista a qui l'obri: un competidor curiós, un desconegut avorrit, un rastrejador automàtic que mai no deixa de buscar. El formulari no fa mala pinta. Li funciona bé a ella i li funciona exactament igual de bé a qualsevol altra persona, i precisament això és el que fa tan fàcil que aquest tipus d'escletxa passi mesos sense notar-se.
Límits honestos
Res d'això és un argument per tornar als fulls de paper i els fulls de càlcul enviats per correu, que tenen el seu propi historial, normalment pitjor, amb aquest mateix problema. Els desenvolupadors professionals cometen el mateix error, les pròpies dades de Veracode ho confirmen, només que amb menys freqüència, perquè comprovar qui pot veure què forma part de com se'ls va ensenyar a pensar un projecte, no perquè les eines d'IA siguin especialment descurades. I no pots delegar aquesta comprovació a la mateixa IA que va construir l'eina: preguntar-li "això és segur?" sol produir un paràgraf segur de si mateix i tranquil·litzador, no una prova real, pel mateix motiu que no es va plantejar la pregunta pel seu compte la primera vegada.
Què revisar avui
Obre el que vas construir, o el que et van construir, en una finestra de navegació privada, totalment desconnectada de qualsevol sessió. Si pots veure els enviaments d'altres persones, no només l'entrada de prova que vas escriure tu, això és exactament el forat que descriu l'anàlisi de RedAccess, es digui com es digui l'eina que vas fer servir. Si de debò no ho saps distingir, fes a qui la va construir una pregunta directa: "si envio aquest enllaç a un desconegut, pot veure la informació d'altres persones, no només afegir-hi la seva?". Un sí es mereix un arranjament aquesta mateixa tarda abans que qualsevol altra cosa de la llista d'aquesta setmana.
És una pregunta justa també en sentit contrari: Està la IA Entrenant-se amb les Dades del teu Negoci? Mecanisme diferent, mateix instint: pregunta, no donis res per fet.