Kod pisany przez AI to już codzienność, także poza działami IT. Co to oznacza dla zarządu, gdzie leżą ryzyka i jakie zasady warto wprowadzić, zanim prototyp trafi na produkcję.
Czym jest vibe coding
Termin „vibe coding” spopularyzował w lutym 2025 r. Andrej Karpathy. Opisał nim sposób pracy, w którym zamiast pisać kod linijka po linijce, opisujesz modelowi AI, czego chcesz, akceptujesz to, co wygeneruje, i poprawiasz efekt kolejnymi poleceniami. Pierwotnie chodziło o szybkie eksperymenty i prototypy. Półtora roku później to podejście jest już w firmach — i to nie tylko w działach IT.
Z perspektywy dyrektora IT to jednocześnie dobra i niepokojąca wiadomość.
Dlaczego to temat dla zarządu, a nie tylko dla programistów
Skala jest już duża. Według Stack Overflow Developer Survey 2025 84% programistów używa narzędzi AI lub planuje ich użycie, a mniej więcej co drugi korzysta z nich codziennie (za: ITwiz).
Ważniejsze jest jednak to, kto dziś pisze kod. Platformy, które z opisu słownego budują działającą aplikację, sprawiły, że narzędzie do raportowania, prosty system zgłoszeń czy automatyzację potrafi zbudować analityk, księgowa albo kierownik zmiany. To ogromna wartość — ludzie, którzy najlepiej znają proces, mogą sami go usprawnić.
Ale to również nowa odsłona znanego problemu: shadow IT. Tym razem nie jest to arkusz Excela z makrem, tylko aplikacja z dostępem do danych klientów, wystawiona w internecie, o której istnieniu dział IT nie wie.
Gdzie leży ryzyko
Bezpieczeństwo
Kod wygenerowany przez AI wygląda poprawnie i zwykle działa — co nie znaczy, że jest bezpieczny. W raporcie Veracode 2025 GenAI Code Security Report modele w 45% zadań wprowadzały podatność z listy OWASP Top 10. Najsłabiej wypadała ochrona przed atakami XSS i wstrzykiwaniem do logów. Co istotne, według kolejnej edycji raportu nowsze i większe modele nie poprawiły wyraźnie tego wyniku (za: ITwiz).
Jakość i dług techniczny
AI pisze dużo i szybko. Bez wspólnej architektury powstaje kod nadmiarowy, zduplikowany i niespójny, który działa dziś, ale jest drogi w utrzymaniu za rok. Problem pojawia się przy pierwszej poważnej zmianie — gdy nikt w firmie nie rozumie, jak aplikacja naprawdę działa.
Testy, które dają fałszywe poczucie bezpieczeństwa
Testy wygenerowane przez ten sam model, który napisał kod, zwykle sprawdzają „szczęśliwe ścieżki”. Zielony pasek nie mówi nic o tym, co się stanie przy błędnych danych, nietypowym użytkowniku czy celowym ataku.
Niedeterminizm
Ten sam opis zadania może dać za każdym razem trochę inny kod. Modele potrafią też „halucynować” — używać nieistniejących bibliotek albo funkcji — i iść na skróty, żeby formalnie osiągnąć cel.
Dane i własność intelektualna
Każde polecenie wysłane do zewnętrznego narzędzia AI to dane, które opuszczają firmę. Jeśli pracownik wkleja do niego fragmenty bazy klientów albo kod systemu ERP, warto wiedzieć, gdzie te dane trafiają i na jakich warunkach. Do tego dochodzą otwarte pytania o licencje i prawa do wygenerowanego kodu.
Odpowiedzialności nie da się zdelegować na model
To najważniejsza myśl w całej dyskusji. Vibe coding obniża próg wejścia w tworzenie oprogramowania, ale nie przenosi odpowiedzialności. Klient, audytor czy regulator nie pyta, czy kod napisał człowiek, czy model. Pyta, kto podpisał się pod produktem.
W wielu firmach dochodzi do tego kontekst regulacyjny. Ustawa o krajowym systemie cyberbezpieczeństwa wdrażająca NIS2 wprost czyni kierownictwo odpowiedzialnym za bezpieczeństwo — pisałem o tym w artykule NIS2 w średniej firmie: od czego zacząć. Aplikacja zbudowana „na szybko” przez AI, która przetwarza dane w kluczowym procesie, jest częścią tego obszaru tak samo jak system kupiony od dostawcy.
Warto też zachować dystans do wizji w pełni autonomicznych agentów. Badanie Capgemini Research Institute Rise of agentic AI (lipiec 2025) pokazało, że zaufanie menedżerów do w pełni autonomicznych agentów AI spadło w ciągu roku z 43% do 27% (za: ITwiz).
Zasady, które warto wprowadzić
Zakazywanie vibe codingu nie ma sensu — ludzie i tak będą z niego korzystać, tylko poza kontrolą. Lepiej ustalić proste reguły gry:
- Rozróżnij prototyp od produkcji. Prototyp, wewnętrzne narzędzie dla jednego zespołu czy jednorazowa analiza mogą powstać szybko. Wszystko, co dotyka pieniędzy, danych osobowych, klientów albo kluczowych systemów, przechodzi normalną ścieżkę wytwórczą.
- Najpierw wymagania, potem kod. Kilka zdań o tym, co aplikacja ma robić, dla kogo i na jakich danych, oszczędza tygodnie poprawek.
- Przegląd kodu i automatyczne skanowanie. Każdy kod idący na produkcję — niezależnie od autora — przechodzi code review i skanowanie bezpieczeństwa (SAST, analiza zależności).
- Testy negatywne. Sprawdzaj błędne dane, brak uprawnień i próby ataku, a nie tylko scenariusz, w którym wszystko idzie dobrze.
- Zatwierdzone narzędzia i zasady dla danych. Jasna lista narzędzi AI, z których wolno korzystać, i jasna informacja, jakich danych nie wolno do nich wklejać.
- Właściciel każdego rozwiązania. Każda aplikacja ma osobę, która za nią odpowiada, rozumie, co robi, i wie, komu zgłosić problem.
- Szkolenie. Nie z promptowania, tylko z podstaw: bezpieczeństwa, danych i tego, kiedy zawołać IT.
Gdzie vibe coding naprawdę się sprawdza
W mojej ocenie największą wartość daje tam, gdzie liczy się szybkość, a koszt błędu jest niski: przy prototypach do rozmowy z biznesem, wewnętrznych narzędziach, automatyzacji powtarzalnych zadań, analizie danych i proof of concept przed większą inwestycją. Tam, gdzie w grę wchodzą pieniądze, reputacja albo zgodność z przepisami, AI jest świetnym wsparciem dla zespołu — ale nie zastępuje inżynierii i kontroli człowieka.
Podsumowanie
Vibe coding to nie moda, która minie. To zmiana sposobu tworzenia oprogramowania, która daje firmom realną przewagę — pod warunkiem, że idzie w parze z jasnymi zasadami. Szybciej nie znaczy bez odpowiedzialności. Znaczy, że odpowiedzialność trzeba dobrze zorganizować.
Źródła
- Vibe coding podbija rynek, ale odpowiedzialność człowieka jest ważniejsza niż kiedykolwiek — ITwiz, 14.10.2026 (materiał partnera — Capgemini Polska); za tym artykułem przytoczono dane Stack Overflow Developer Survey 2025, Veracode GenAI Code Security Report oraz Capgemini Research Institute Rise of agentic AI.
✦ Ten tekst przygotował agent AI. Przed publikacją przeszedł recenzję autora.