Le vibe coding en entreprise, sans perdre le contrôle sur les outils des équipes

Qu’est-ce que le vibe coding en entreprise ?

Le vibe coding consiste à décrire en langage courant ce qu’on veut obtenir et à laisser une IA écrire le logiciel, sans lire le code qu’elle produit. Le terme a été lancé en février 2025 par le chercheur en IA Andrej Karpathy. En entreprise, il change un point : ceux qui créent les outils ne sont plus les informaticiens, mais les gens qui vivent le problème. Une responsable des achats, un chef d’atelier ou une assistante de direction obtiennent en une après-midi un outil qui aurait attendu des mois dans la file des demandes.

Les outils concernés sont modestes mais nombreux : un suivi de congés, un registre de contrats, une demande d’achat avec validation. Ils sont rarement dans le plan de charge de la DSI, c’est pourquoi les équipes les créent elles-mêmes, souvent sans le dire.

Quels sont les risques du vibe coding en entreprise ?

Le premier risque est l’invisibilité : des outils qui touchent des données de l’entreprise sans que la DSI en connaisse l’existence. Viennent ensuite les accès mal réglés, par exemple un lien ouvert à toute personne qui le reçoit, et les données personnelles collées dans des services non choisis par l’entreprise.

Le deuxième risque est la fragilité. Un outil écrit par l’IA peut sembler fonctionner et se tromper dans un cas rare, comme un solde de congés négatif ou un montant arrondi de travers. Si personne ne le teste ni ne le reprend après le départ de son auteur, l’erreur reste en place. En juillet 2025, lors d’un essai public très relayé, l’agent IA d’un service de création d’applications a effacé les données réelles d’un projet, malgré la consigne de ne plus rien modifier : il avait trop de droits et rien ne séparait les essais de l’usage réel.

Où le vibe coding fonctionne-t-il, où faut-il l’éviter ?

Il fonctionne bien pour les outils internes, utilisés par quelques dizaines de personnes, dont l’erreur se voit vite et se corrige sans dégât : suivis, plannings, formulaires, tableaux de bord. Il convient aussi aux prototypes, que l’on montre avant de décider d’un vrai projet.

Évitez-le pour ce qui engage l’entreprise vis-à-vis de l’extérieur ou de la loi : le calcul de la paie, la comptabilité officielle, un site qui encaisse les paiements des clients. Ces systèmes méritent un cahier des charges, une validation formelle et une équipe qui les maintient.

Quelle gouvernance mettre en place ?

Cinq règles suffisent pour démarrer. Un registre de tous les outils, avec leur Propriétaire. Un contrôle avant chaque mise en ligne : tests, droits d’accès, essai dans un vrai navigateur. Des accès par invitation, avec trois rôles simples : lire, modifier, être responsable. Une liste des données interdites à l’IA, par exemple les dossiers de santé ou les salaires nominatifs. Et un suppléant désigné pour chaque outil.

Fournissez aussi un abonnement professionnel à l’IA plutôt que des comptes personnels : chez Anthropic, par exemple, les données des offres professionnelles ne servent pas, par défaut, à entraîner les modèles. Vérifiez ce point dans les conditions de chaque éditeur. Complétez par un rendez-vous trimestriel : on retire les outils inutilisés, on reconfie ceux dont le Propriétaire a changé de poste. Associez le RSSI et le DPO dès le départ, plutôt que de leur présenter des outils déjà installés.