El dilema del low-code en empresas: velocidad frente a control
Las plataformas low-code y no-code han surgido como respuesta a un problema común en muchas organizaciones: la dificultad para desarrollar soluciones internas con la rapidez que necesitan los equipos de negocio.
Al permitir que aplicaciones y automatizaciones se construyan mediante herramientas visuales y configuraciones simplificadas, estas plataformas reducen la dependencia del departamento de IT para resolver necesidades operativas.
Sin embargo, su adopción también plantea nuevos retos.
En muchas organizaciones empiezan a aparecer herramientas construidas por usuarios de negocio —lo que suele denominarse citizen development— que no siempre siguen los mismos estándares de seguridad, documentación o mantenimiento que las aplicaciones desarrolladas por equipos técnicos.
Esto puede generar situaciones como:
- automatizaciones sin documentación
- aplicaciones sin responsable claro
- accesos a datos sensibles no controlados
- dependencias de herramientas externas desconocidas para IT
Según distintos análisis del sector, el uso de plataformas low-code continuará creciendo en los próximos años. Por ejemplo, Gartner ha estimado en varios informes recientes que una parte creciente de las aplicaciones empresariales se construirá mediante herramientas low-code o no-code durante esta década.
Ante este contexto, muchas organizaciones se enfrentan a una pregunta clave:
cómo aprovechar la velocidad del low-code sin perder control sobre seguridad, datos y mantenimiento.
La experiencia de distintas empresas sugiere que la respuesta no suele ser prohibir estas herramientas, sino definir un marco de gobernanza que permita utilizarlas de forma segura y sostenible.
Por qué el gobierno del low-code es distinto al gobierno IT tradicional
Los modelos tradicionales de gobierno IT parten de una premisa clara: las aplicaciones corporativas son diseñadas, desarrolladas y mantenidas por equipos técnicos especializados.
En este contexto, la organización puede:
- definir estándares técnicos
- formar a los desarrolladores
- controlar el ciclo completo de desarrollo
El citizen development cambia este modelo.
En lugar de ser el único constructor de soluciones, el departamento de IT pasa a desempeñar un rol más cercano al de habilitador y supervisor.
Los propios equipos de negocio pueden crear herramientas que resuelven necesidades concretas, mientras que IT establece el marco técnico y de seguridad.
Esto implica un cambio importante en el enfoque de gobernanza.
En lugar de intentar controlar cada iniciativa individual, muchas organizaciones optan por definir principios y estándares claros, como por ejemplo:
- qué plataformas están aprobadas
- qué prácticas de seguridad son obligatorias
- qué nivel de documentación se requiere
- qué aplicaciones necesitan revisión técnica
Este enfoque suele permitir mantener un equilibrio razonable entre innovación y control.
Un framework práctico de gobernanza low-code
Aunque cada organización debe adaptarlo a su contexto, muchos programas de gobernanza low-code se estructuran alrededor de varios pilares.
1. Clasificación de aplicaciones según criticidad
No todas las herramientas low-code tienen el mismo impacto.
Una práctica habitual consiste en clasificar las aplicaciones según su criticidad para el negocio.
Por ejemplo:
Aplicaciones críticas (Tier 1)
Herramientas que afectan directamente a operaciones clave o a datos sensibles.
Suelen requerir revisiones técnicas más completas, copias de seguridad y responsables designados.
Aplicaciones departamentales (Tier 2)
Herramientas utilizadas por un departamento específico, como dashboards o formularios internos.
Aplicaciones de productividad personal (Tier 3)
Automatizaciones simples o integraciones entre herramientas que afectan solo a pequeños equipos.
Esta clasificación permite aplicar niveles de control distintos según el impacto de cada herramienta.
2. Procesos de aprobación ágiles
Uno de los riesgos más frecuentes en programas de gobernanza es introducir procesos de aprobación demasiado lentos.
Cuando esto ocurre, los equipos de negocio tienden a buscar alternativas fuera del control de IT.
Por este motivo, muchas organizaciones intentan diseñar procesos de validación que sean claros y rápidos, especialmente para herramientas de menor criticidad.
Algunas empresas también implementan iniciativas como sesiones abiertas de consulta técnica (por ejemplo, office hours semanales), donde los equipos pueden validar ideas o resolver dudas con el departamento de IT.
Este tipo de prácticas suele mejorar la colaboración entre tecnología y negocio.
3. Catálogo de herramientas aprobadas
Otro elemento frecuente en programas de gobernanza es la definición de un stack tecnológico aprobado.
En lugar de permitir el uso de cualquier plataforma, la organización define un conjunto limitado de herramientas que cumplen sus requisitos de seguridad y mantenimiento.
Este catálogo puede incluir, por ejemplo:
- herramientas de desarrollo visual
- plataformas de automatización
- bases de datos para aplicaciones internas
- conectores de integración aprobados
Además, algunas empresas crean bibliotecas de componentes reutilizables, como:
- plantillas de formularios
- módulos de autenticación
- integraciones preconfiguradas
Esto facilita que los usuarios construyan soluciones alineadas con los estándares técnicos desde el principio.
4. Estándares mínimos de documentación
Uno de los problemas más comunes en herramientas creadas por usuarios de negocio es la falta de documentación.
Cuando el creador original cambia de rol o abandona la empresa, puede resultar difícil entender cómo funciona la aplicación.
Para evitarlo, muchos frameworks de gobernanza establecen un nivel mínimo de documentación que incluya, por ejemplo:
- qué problema resuelve la herramienta
- quién la utiliza
- qué datos utiliza
- quién es el responsable actual
Con esta información básica, cualquier desarrollador o administrador puede entender la herramienta y asumir su mantenimiento si es necesario.
Seguridad en entornos low-code
El uso de plataformas low-code no elimina la necesidad de aplicar prácticas de seguridad estándar.
En muchas organizaciones se establecen ciertos principios básicos que deben cumplirse en cualquier aplicación.
Entre ellos suelen incluirse aspectos como:
Centralized authentication
Integrate tools with the corporate identity system (for example, SSO).
Role-based access control
Ensure that each user can only access the data that corresponds to them.
Data encryption
Apply encryption both in transit and in storage for sensitive information.
Audit log
Keep track of who accesses or modifies critical data.
Secure Credential Management
Prevent access keys or tokens from being stored directly in the code.
Security reviews for critical applications
Apply additional revisions before putting high-impact applications into production.
Incident Response Plans
Define clear procedures in case of data exposure or security breaches.
These controls are often part of the organization's general security standards and apply equally to low-code tools.
Citizen development: how to enable it in a structured way
El Citizen Development usually it's not just about providing tools to all employees.
In organizations where it works best, there is usually a structured training program and roles.
A typical model includes several levels.
Basic users
They can use existing tools and make simple configurations.
Trained citizen developers
After receiving specific training, they can build less critical applications under certain standards.
Power users or champions
Advanced users who are well aware of the approved stack and act as a reference within their departments.
In addition to formal training, many organizations promote internal communities of practice, where users share solutions, questions and good practices.
These types of communities often reduce direct dependence on the IT department.
A possible implementation plan
Organizations that want to introduce a low-code governance program usually do so gradually.
A common approach may include several phases.
Initial Inventory
Identify what low-code tools already exist in the organization, who uses them and what data they handle.
In many cases, this analysis reveals a larger number of tools than IT had registered.
Framework design
Define levels of criticism, approval processes, catalog of tools and security standards.
Pilot with some departments
Apply the governance framework to one or two teams to validate the model.
Progressive deployment
Extend the framework to the rest of the organization and start measuring indicators such as the number of registered applications or approval time.
This incremental approach usually facilitates the adoption of the model without holding back innovation.
FAQs
Is a specific framework necessary if IT security policies already exist?
Traditional security policies often focus on applications developed by technical teams.
Low-code tools introduce new scenarios—such as applications created by business users—that may require additional controls.
For this reason, many organizations supplement their general policies with specific guidelines for these platforms.
How do you manage regulatory compliance in low-code applications?
Regulatory obligations often depend on the data being processed, not on the technology used.
If a low-code application manages personal or financial data, it must meet the same requirements as any other corporate system.
This may include privacy evaluations, treatment records, and appropriate access controls.
How much effort does it take to maintain the framework?
Once the governance model is established, the operational effort is usually focused on reviewing new applications, updating the tool catalog and supporting teams.
The workload depends on the number of active initiatives, but it is usually lower than that generated by incidents derived from unmanaged tools.
How is this different from a low-code Center of Excellence (CoE)?
A Center of Excellence is a more formal organizational structure dedicated to coordinating automation or low-code development initiatives.
In large organizations it can make sense to create this type of structure.
In medium-sized companies, a well-defined governance framework usually covers a large part of the needs with less organizational complexity.
Heading
Lorem ipsum dolor sit amet, consectetur adipiscing elit. Suspendisse varius enim in eros elementum tristique. Duis cursus, mi quis viverra ornare, eros dolor interdum nulla, ut commodo diam libero vitae erat. Aenean faucibus nibh et justo cursus id rutrum lorem imperdiet. Nunc ut sem vitae risus tristique posuere.
Artículos destacados
Explora nuestros últimos artículos y tendencias.
