Vibe coding: Zo houdt uw kmo zelfgebouwde AI-apps veilig

1. Wat is vibe coding?

Vibe coding is software bouwen door in gewone taal te beschrijven wat u wilt, waarna een AI-tool de code schrijft. U hoeft die code niet te lezen of te begrijpen: u test het resultaat, vraagt aanpassingen en herhaalt tot het werkt.

De term werd in februari 2025 gelanceerd door AI-onderzoeker Andrej Karpathy. Collins Dictionary koos vibe coding later tot woord van het jaar 2025. Wat begon als een fenomeen onder ontwikkelaars, is intussen doorgedrongen tot gewone kantoren: ook medewerkers in sales, boekhouding of planning bouwen vandaag in een namiddag een werkende tool.

2. Hoe werkt vibe coding in de praktijk?

Vibe coding verloopt in drie stappen: u beschrijft wat u nodig heeft, de AI genereert een werkende app en met één klik staat die online.

Een typisch voorbeeld uit de kmo-praktijk: een projectleider wil sneller offertes maken. Hij vraagt een AI-tool om een calculator die prijzen uit een gedeelde Excel leest en meteen een pdf maakt. Na een uur werkt het. Een week later gebruikt het hele team de tool, en kan die via een publieke link aan de prijslijst en klantgegevens. Niemand bij IT weet dat de app bestaat.

3. Waarom kiezen medewerkers voor vibe coding?

Medewerkers kiezen voor vibe coding omdat het hun werk sneller en aangenamer maakt, zonder te wachten op een ontwikkelaar of een budget. Dat is een echte meerwaarde, zolang u weet wat de technologie wel en niet voor u doet.

4. Waarom is vibe coding de nieuwe shadow IT?

Vibe coding is de nieuwe shadow IT omdat medewerkers er software mee bouwen en gebruiken buiten het zicht van hun IT-afdeling of IT-partner. Shadow IT is alle IT-gebruik waar uw organisatie geen overzicht of afspraken over heeft: een gratis clouddienst om bestanden te delen, een persoonlijk AI-account, en nu ook een zelfgebouwde app.

Het verschil met vroeger is de schaal. Een app bouwen die rechtstreeks aan uw mailbox, cloudopslag of boekhouding hangt, kost vandaag een halfuur. Die apps duiken niet op in uw softwareoverzicht, niet in uw licentiebeheer en niet in uw back-up.

5. Wat zijn de risico's van vibe coding voor uw kmo?

De grootste risico's van vibe coding zijn onveilige code, gelekte toegangssleutels en apps die onbedoeld publiek toegankelijk zijn. Daarbovenop komen vragen over persoonsgegevens en de afhankelijkheid van één medewerker.

Hoe zo'n gelekte sleutel eruitziet? Dit is een vereenvoudigd voorbeeld van wat we in zelfgebouwde apps tegenkomen: de toegangssleutel tot een externe dienst staat gewoon in de code, leesbaar voor iedereen die de app kan openen.

// Zelfgebouwde offertetool
const API_KEY = "sk-live-4f9a...";   // sleutel met volledige toegang
const MAILBOX = "info@uwbedrijf.be";
const WACHTWOORD = "Zomer2026!";     // wachtwoord in platte tekst

Een veilige app bewaart zulke gegevens in een afgeschermde kluis, en nooit in de code zelf. Waarden als API_KEY of WACHTWOORD in de broncode zijn een duidelijk alarmsignaal.

6. Wat zeggen de AVG, NIS2 en de AI-verordening over vibe coding?

Geen enkele wet verbiedt vibe coding, maar de AVG, NIS2 en de Europese AI-verordening maken u wel verantwoordelijk voor wat er met uw data en systemen gebeurt. Een zelfgebouwde app valt gewoon onder dezelfde regels als elke andere software in uw bedrijf.

7. Stappenplan: vibe coding veilig organiseren in 6 stappen

U organiseert vibe coding veilig door eerst overzicht te maken, daarna duidelijke afspraken vast te leggen en tot slot een veilige omgeving te voorzien. Deze zes stappen volgen we ook met onze klanten.

1. 1. Breng in kaart wat er al is

   Welke AI-tools worden gebruikt, welke apps zijn er gebouwd en aan welke data hangen ze? Met AI Discovery maken we dat overzicht voor u in een kort, afgebakend traject.

2. 2. Schrijf een AI- en appbeleid

   Leg op één pagina vast wat mag, wat niet mag en bij wie medewerkers terechtkunnen. Bijvoorbeeld: nooit persoonsgegevens, wachtwoorden of klantdocumenten in een zelfgebouwde app zonder goedkeuring.

3. 3. Kies goedgekeurde tools

   Werk met AI-tools die een zakelijke licentie hebben, uw data niet gebruiken voor training en via uw bedrijfsaccount aanmelden. Blokkeer ongewenste diensten met DNS-filtering.

4. 4. Voorzie een veilige testomgeving

   Geef medewerkers een plek om te experimenteren met fictieve testdata en beperkte toegangsrechten. Zo blijft de creativiteit, zonder dat echte data in gevaar komt.

5. 5. Laat apps nakijken voor ingebruikname

   Werkt een app met bedrijfsdata of gebruiken meerdere collega's ze, dan laat u ze eerst controleren door uw IT-partner: toegang, opslag van sleutels, publicatie en back-up.

6. 6. Leg eigenaarschap en onderhoud vast

   Elke app heeft een eigenaar, een korte beschrijving en een plan voor wanneer die eigenaar vertrekt. Apps die niemand meer gebruikt, worden uitgezet.

8. Veelgemaakte fouten bij vibe coding

De meeste problemen met vibe coding ontstaan niet bij het bouwen, maar bij het gebruik daarna. Dit zijn de fouten die we het vaakst zien.

9. Veelgestelde vragen over vibe coding