A quién contratar para llevar a producción un MVP hecho con IA en 2026

En la primavera de 2025, un investigador analizó 1.645 apps del escaparate público de Lovable y encontró que 170, una de cada diez, permitían a cualquiera leer o escribir en sus tablas con la clave pública y nada más, porque nadie había activado la seguridad a nivel de fila (CVE-2025-48757; un relato claro del análisis). Lovable discute el CVE y sostiene que proteger los datos de cada aplicación corresponde a su cliente. Las dos lecturas llevan al mismo sitio: alguien tiene que hacerse cargo de esa responsabilidad antes de que lleguen los usuarios, y la herramienta que escribió la app no lo hará.

Ese hueco se ha convertido en un mercado. En 2026, un fundador con un MVP hecho en Claude Code, Cursor, Lovable, Bolt, v0 o Replit puede contratar el «rescate» de su código a decenas de empresas, desde un ingeniero en solitario que vende una auditoría a precio cerrado hasta agencias de cien personas. Esta guía compara cinco. Nos dedicamos a revisar este tipo de código, así que lo decimos de entrada: Conectia es una de las cinco. Las otras cuatro tienen la sede en Estados Unidos, publican una página de servicio dedicada exactamente a este trabajo y las hemos contrastado con sus propias webs en octubre de 2026. Cada ficha dice cuándo esa empresa es mejor opción que nosotros.

Un rescate listo para producción arregla el sistema que rodea al código, no las pantallas

Antes de comparar proveedores, conviene fijar el listón. Cuando nos hacemos cargo de un MVP hecho con IA, las pantallas casi siempre se salvan. Lo que falta es el sistema que las rodea, y cualquier empresa que merezca la pena tiene que entregarlo entero:

1. Autorización en la capa de datos: seguridad a nivel de fila o comprobaciones en el servidor, no botones ocultos.
2. Los secretos fuera del repositorio, y rotada cualquier clave que se haya subido alguna vez.
3. Producción separada de todo lo demás, sin ningún agente con permiso de escritura sobre los datos reales.
4. Un build reproducible: dependencias fijadas, un solo comando para arrancar y una integración continua que falla si falla un test.
5. Tests en los caminos que mueven dinero o datos: alta, pago y permisos.
6. Observabilidad y un techo de gasto: logs por petición, seguimiento de errores y un límite que la capa de LLM no pueda saltarse.
7. Una especificación escrita y los ficheros de contexto (CLAUDE.md, AGENTS.md), para que el siguiente cambio, lo haga una persona o un agente, no deshaga el arreglo anterior.
8. El repositorio y la cuenta de nube a nombre de tu empresa, no del proveedor.

Qué se rompe en un MVP hecho con IA y en qué orden arreglarlo recorre los siete primeros con detalle. Usad la lista como prueba: preguntad a cada proveedor cuáles de los ocho entrega su primer encargo, y pedid la respuesta por escrito.

Cinco empresas que llevan MVP hechos con IA a producción, una al lado de la otra

El orden es alfabético, y resulta que nos pone los primeros. No le deis importancia y leed las columnas.

Cuándo es mejor opción cada una de las cinco

Conectia: la mejor cuando quieres un mismo equipo sénior para el rescate y para lo que viene después. Somos un equipo dirigido por un CTO desde Barcelona y ponemos ingenieros sénior en productos de startup contratados directamente, no sacados de un marketplace. Cada uno pasa una validación dirigida por un CTO en activo, con pair programming en directo, y la supera en torno al 3% de los candidatos. El primer paso es un Diagnóstico y Blueprint: dos semanas para auditar el repositorio sin tocarlo, fijar la arquitectura y escribir el plan, que podéis ejecutar con nosotros, con alguien que contratéis o con el mismo agente que escribió la primera versión. Después, el MVP llega a producción en seis semanas. La asignación es directa, una persona para vuestro contexto, con una garantía de 30 días y sustitución en siete si no encaja. El stack es estrecho a propósito: Node.js y TypeScript, Python, sistemas de IA y DevOps. Cuándo no somos la opción: si la app está en Rails, en PHP o es un cliente nativo de iOS; si necesitas un equipo en tu huso horario de EE. UU. (desde Barcelona coincidimos con sus mañanas, no con sus tardes), o si tratas historiales clínicos bajo HIPAA, donde MEV ha publicado un trabajo más específico.

Intellectsoft: la mejor para un rescate por fases con aprobaciones por escrito. Con sede en Nueva York, Intellectsoft vende su Vibe Code Rescue como un proceso de cinco fases: una semana de auditoría, tres días para definir el rescate, ocho semanas de rescate, dos de estabilización y traspaso y, si se quiere, soporte continuado. Su lista de tecnologías pesa del lado de la infraestructura de IA (LangChain, LlamaIndex, Langfuse, RAGAS, bases de datos vectoriales), así que encaja cuando lo que cojea del MVP es un pipeline de RAG o un agente, y no el CRUD de alrededor. No es la opción si necesitas estar en producción en un mes: las fases que publica suman unos tres meses.

ISHIR: la mejor si tu equipo va a seguir programando con IA. Fundada en Dallas en 1999, ISHIR ofrece un servicio de limpieza de código vibe-coded que va de la evaluación de riesgos a la reordenación de la arquitectura, la refactorización, los tests, la documentación y el endurecimiento de la integración continua, y termina con unas «reglas de desarrollo seguro con IA»: guías para que los desarrolladores sigan usando herramientas de IA sin volver a montar el mismo lío. La limpieza va por fases, de modo que el producto no se apaga. La dirección de producto está en Texas; la ingeniería, en India, con apoyo desde Latinoamérica. No es la opción si tu problema depende de un constructor concreto: la página no nombra ninguna herramienta, así que pregunta directamente por su experiencia con Lovable o Supabase.

metaCTO: la mejor para una startup estadounidense que quiere precio cerrado y equipo en EE. UU. Desde Los Ángeles, el Vibe Code Rescue de metaCTO empieza con una auditoría gratuita de 48 horas (seguridad, deuda de arquitectura, APIs inventadas por el modelo y qué rescatar frente a qué rehacer), sigue con un plan de alcance cerrado y acaba con ingenieros sénior que llevan el código a producción en 30 días. Nombra Cursor, Claude Code, GitHub Copilot, Lovable, v0, Bolt, Replit Agent y Windsurf. Es también la única de la lista que publica el precio del rescate en sí: de 50.000 a 150.000 dólares por rescate, y avisa de que no trabaja por debajo de unos 40.000 ni con productos que aún no tienen usuarios. No es la opción si todavía no facturas o el presupuesto no llega a ese mínimo.

MEV: la mejor para datos regulados y para fundadores que no quieren dejar de construir. MEV trabaja desde 2006 en Walnut Creek (California), y su servicio Vibe-Code to Production tiene el modelo más propio de los cinco: sigues construyendo en Replit, Lovable o Bolt mientras MEV mantiene en AWS una vía paralela de producción, y cada cambio pasa por una revisión de pull request en un ciclo de uno o dos días. Endurece en un orden declarado (autenticación, secretos, integridad de los datos, observabilidad y rendimiento) y llega también a la capa de LLM: límites de gasto, límites de peticiones y defensas contra la inyección de prompts. Ha publicado una lista de comprobación HIPAA para apps vibe-coded y un caso en el que traslada a AWS una app sanitaria hecha con Base44. No es la opción si solo necesitas arreglar un fallo: su propia guía reconoce que un estudio pequeño puede salir más barato para un parche puntual.

Puede que no necesites a ninguna, y también es una respuesta válida

La objeción más seria a toda esta categoría sale de las mismas cifras: nueve de cada diez apps de aquel análisis no tenían ese fallo. Si tu MVP no tiene usuarios de pago, no guarda nada sensible y existe para comprobar si hay demanda, sigue construyendo con la herramienta que te ha traído hasta aquí. Un rescate antes de tener usuarios es dinero invertido en algo que quizá no sobreviva al siguiente giro de producto, y metaCTO, hay que reconocerlo, rechaza esos encargos.

La segunda objeción tiene que ver con el tamaño. Un estudio de una sola persona que vende una auditoría a precio cerrado por unos cientos de dólares es una opción real cuando el problema está acotado, por ejemplo una política de Supabase mal configurada; la guía para llevar una app de Lovable y Supabase a producción enseña hasta dónde llega un fundador por su cuenta. Las empresas de esta guía se ganan lo que cobran cuando el problema atraviesa varias capas a la vez: el modelo de datos, la autenticación, el despliegue y la factura del LLM.

Cuatro preguntas deciden qué empresa te encaja

1. ¿Dependen hoy de la app usuarios o datos reales? Si no, espera. Si sí, la auditoría va antes que cualquier funcionalidad.
2. ¿Vas a seguir construyendo en la herramienta original? Si es así, encajan el modelo de doble vía de MEV o las reglas de ISHIR. Si vas a dejar atrás el constructor, elige una empresa que escriba la especificación que el MVP nunca tuvo.
3. ¿Dónde tiene que estar el equipo? Un contrato solo con EE. UU. o un horario de la costa oeste apuntan a metaCTO. Un perímetro de datos europeo, o un equipo sénior que coincida a la vez con Europa y con las mañanas de EE. UU., apuntan a nosotros.
4. ¿Qué deja por escrito el primer paso? Compáralo con la lista de ocho puntos de arriba. Sea quien sea el proveedor, el informe de auditoría y el repositorio tienen que quedarse en tus manos aunque nunca firmes la segunda fase.

La demo demostró que hay demanda; producción es un compromiso con tus usuarios

Un MVP hecho con IA ya ha conseguido lo más difícil y lo más caro: demostrar que alguien quiere el producto. Lo que no ha hecho es comprometerse con esas personas sobre sus datos, y ese compromiso es lo que de verdad se compra en un rescate. Cualquiera de las cinco empresas puede cumplirlo. Elegid según quién tiene que estar en la sala, con qué rapidez necesitáis estar en producción y qué pone por escrito la primera semana.

Si el código está en Node, TypeScript o Python y queréis que el rescate y la hoja de ruta salgan de las mismas personas, este es el equipo que ponemos en productos de startup.

Preguntas que se hacen los fundadores antes de contratar un rescate de código hecho con IA

¿Cuánto cuesta llevar a producción una app hecha con vibe coding?

Pocas empresas publican precios. De las que salen en esta guía, solo metaCTO publica el precio del rescate: de 50.000 a 150.000 dólares por un rescate de alcance cerrado después de una auditoría gratuita. Nosotros publicamos el precio cerrado del Blueprint y presupuestamos el rescate cuando el Blueprint termina. Los estudios pequeños publican auditorías a precio cerrado desde unos cientos de dólares y sprints de endurecimiento desde unos pocos miles. La variable de verdad es el código: cuántas tablas no tienen reglas de autorización, si el modelo de datos refleja el negocio y si el despliegue funciona en algún sitio además del portátil del fundador.

¿Rehago el MVP hecho con IA o lo rescato?

Casi siempre conviene rescatarlo primero. La interfaz y los flujos suelen salvarse, y el modelo de datos sirve como mínimo de documentación de lo que necesita el negocio. Rehacerlo todo tira a la basura lo único que el MVP ha demostrado. Nuestra prueba para decidir entre conservar y rehacer se reduce a tres preguntas sobre el modelo de datos, el recorrido de las peticiones y el framework.

¿Puedo seguir usando Lovable, Cursor o Claude Code después del rescate?

Sí, siempre que el rescate deje lo que le faltó a la primera versión: una especificación, ficheros de contexto que el agente lea, una integración continua que bloquee los cambios que fallan y un entorno de producción que el agente no pueda tocar. Un rescate que no deja nada de eso habrá que repetirlo en tres meses.