Vibe-coding: wanneer werkende software een bedrijfsrisico wordt

Deze manier van werken wordt vaak aangeduid als vibe-programming. De gebruiker beschrijft wat de software moet doen, accepteert de gegenereerde code grotendeels zoals die is en stuurt bij zolang het resultaat functioneel klopt. Voor de conceptfase is dit een krachtig hulpmiddel. Het wordt problematisch wanneer deze software zo maar wordt doorgezet naar productie.

Software lijkt goed, zolang je niet onder de motorkap kijkt

In de praktijk zien we dat software vooral wordt beoordeeld op zichtbare eigenschappen. Werkt de applicatie zoals bedoeld? Is de gebruikerservaring prettig? Sluit de functionaliteit aan bij wat de business nodig heeft?. Als die vragen positief worden beantwoord, ontstaat al snel het gevoel dat de software helemaal “af” is.

Wat daarbij vaak onderbelicht blijft, is hoe de software technisch is opgebouwd. Hoe wordt data opgeslagen en beveiligd? Hoe is authenticatie ingericht? Welke externe libraries en diensten worden gebruikt? Hoe wordt omgegaan met fouten, uitzonderingen en onverwachte belasting? Deze aspecten zijn voor gebruikers en opdrachtgevers niet zichtbaar, maar bepalen wel of een applicatie echt veilig en betrouwbaar is!

Juist bij vibe-programming blijft deze onderliggende laag vaak buiten beeld. Niet uit onwil, maar omdat de kennis ontbreekt om de gegenereerde code inhoudelijk te beoordelen.

AI maakt software dat functioneert, geen software die verantwoordelijkheid draagt

Generatieve AI is bijzonder goed in het produceren van software-code die logisch oogt en doet wat er gevraagd wordt. De output is overtuigend en sluit vaak naadloos aan op het beoogde doel. Wat AI niet doet, is afwegen welke risico’s acceptabel zijn binnen een specifieke organisatiecontext.

AI houdt geen rekening met dreigingsmodellen, compliance-eisen of de impact van datalekken. Het herkent geen subtiele beveiligingsfouten en weegt geen toekomstige schaalbaarheid of onderhoudbaarheid mee. Zonder inhoudelijke supervisie sluipen daardoor risico’s in de software die pas zichtbaar worden wanneer het misgaat.

Voor iemand met een gedegen development-achtergrond zijn dit bekende aandachtspunten. Voor gebruikers zonder die achtergrond blijven ze onzichtbaar, terwijl de gevolgen wel degelijk zeer reëel zijn.

Van prototype naar productie zonder bewuste keuze

Het echte risico ontstaat wanneer een AI-gegenereerd prototype ongemerkt en zonder inhoudelijke supervisie als productie-software wordt ingezet. Wat begint als een snelle manier om een idee te testen, wordt stap voor stap onderdeel van de bedrijfsvoering. Klanten gaan de applicatie gebruiken. Er wordt data opgeslagen. Soms zelfs gevoelige of persoonsgebonden informatie.

Op dat moment verandert een technische keuze in een bedrijfsrisico. De recente casus rond de Amerikaanse Tea-app laat dit duidelijk zien. Door fundamentele beveiligingsproblemen in de software werden duizenden selfies en identiteitsbewijzen buitgemaakt. Niet omdat er bewust roekeloos is gehandeld, maar omdat snelheid en functionaliteit belangrijker werden gevonden dan inzicht in de technische risico’s.

Vibe-programming lijkt een neutrale ontwikkelstijl. Maar zonder de echte technische check op de programmeercode, is vibe-programmning feitelijk een vorm van impliciete risicoacceptatie.

Geen toezicht betekent onbewust risico accepteren

Wanneer softwareontwikkeling volledig wordt overgelaten aan AI, zonder dat iemand de code inhoudelijk kan beoordelen, accepteert een organisatie risico’s zonder dat daar een expliciete afweging aan voorafgaat. Dat is zelden een bewuste keuze. Vaak gaat men ervan uit dat “het wel goed zit”, omdat de software werkt en er nog geen problemen zijn geweest.

Beveiligingsproblemen manifesteren zich echter niet tijdens normaal gebruik. Ze worden zichtbaar wanneer er misbruik van wordt gemaakt. Tegen die tijd is de schade vaak al aangericht, zowel voor de organisatie als voor haar klanten.

Daarom is vibe-programming zonder technische toetsing geen innovatievraagstuk, maar een vraagstuk van verantwoordelijkheid. Wie is eigenaar van de risico’s die in de software besloten liggen.

Verantwoord gebruik van AI vraagt om inzicht

AI kan een waardevolle rol spelen binnen softwareontwikkeling, mits het wordt ingezet als hulpmiddel en niet als vervanging van inhoudelijke controle. Voor applicaties die in productie draaien betekent dit dat organisaties inzicht moeten hebben in de manier waarop hun software is opgebouwd en welke risico’s daarbij horen.

Dat vraagt niet per se om alles zelf te ontwikkelen, maar wel om te begrijpen wat er in productie wordt genomen. Het onderscheid tussen een conceptfase en een productieomgeving is daarbij cruciaal.

Van functionaliteit naar beheersing

Bij Securide zien we regelmatig organisaties met eigen software die functioneel uitstekend presteert, maar waar onder de motorkap risico’s zijn ontstaan door snelheid, aannames of gebrek aan inhoudelijke beoordeling. Zeker bij AI-ondersteunde ontwikkeling komt dit steeds vaker voor.

Met de softwaremodule van onze CyberCheck analyseren we applicaties onder andere op veiligheid, schaalbaarheid en compliancy. Niet om code af te keuren, maar om inzicht te geven in welke risico’s binnen de software worden geaccepteerd. Bewust of onbewust.

Voor organisaties met eigen software biedt dit een realistisch beeld van wat geschikt is voor een conceptfase en wat verantwoord is voor productie. Het helpt ondernemers en ontwikkelteams om keuzes te maken op basis van inzicht, in plaats van op basis van vertrouwen alleen.

Tot slot

Vibe-programming laat zien hoe krachtig AI kan zijn in softwareontwikkeling. Tegelijkertijd maakt het duidelijk hoe snel risico’s onzichtbaar worden wanneer snelheid en functionaliteit de boventoon voeren.

De relevante vraag is daarom niet of software werkt, maar of u begrijpt wat er technisch gebeurt en welke risico’s u daarmee accepteert. Juist daar begint verantwoord gebruik van AI binnen softwareontwikkeling.