Wat kan vibecoden niet?

Een AI bouwt eerst het pad dat je beschrijft: de gebruiker meldt zich aan, vult iets in en ziet het resultaat. Dat heet in de softwarewereld het "gelukkige pad". Als dat werkt, voelt de app af.

Maar echte gebruikers doen dingen die je niet hebt bedacht. Ze vullen een veld leeg in, klikken twee keer op betalen, openen de app op een oude telefoon of proberen een adres uit dat niet voor hen bedoeld is. Een prototype dat daar niet op gebouwd is, gaat dan mis.

Een voorbeeld: je bouwt een boekingsapp voor een kapsalon. De afspraak maken werkt prima. Maar wat gebeurt er als twee klanten op hetzelfde moment hetzelfde tijdslot kiezen? Dat test je niet als je alleen bent, en de AI vraagt er niet naar.

De AI doet wat je vraagt. Wat je niet vraagt, wordt vaak niet of half geregeld. De punten die het vaakst ontbreken:

• Beveiliging. Een geheime sleutel in de front-end, het deel van je app dat in de browser van de bezoeker draait, is voor iedereen leesbaar (opent in een nieuw tabblad)¹. Een database zonder regels over wie wat mag zien, staat in feite open (opent in een nieuw tabblad)². Zie Is mijn app veilig?
• Privacy. Welke gegevens sla je op, waar en hoe lang? De AVG stelt daar eisen aan. Zie Privacy en de AVG.
• Back-ups. Gaat er iets mis met je database, kun je dan terug? Bij sommige gratis abonnementen, zoals dat van Supabase, worden er geen automatische back-ups gemaakt. Zie Waar staat je data?
• Foutmeldingen. Wat ziet een gebruiker als iets misgaat, en merk jij het?
• Kosten bij groei. Een app die AI gebruikt, betaalt per gebruik. Tien gebruikers kosten weinig, duizend gebruikers misschien veel. Zie Wat kost het draaien?

Een AI kan maar een beperkte hoeveelheid tekst (opent in een nieuw tabblad)³ tegelijk overzien. Bij een klein project past alles erin. Bij een groot project ziet de AI maar een deel van de code, en dan gebeuren er dingen als:

• een fout wordt opgelost, maar elders ontstaat een nieuwe;
• de AI bouwt iets opnieuw dat al bestond, op een andere manier;
• je komt in een kringetje: "los dit op" levert steeds een variant van dezelfde fout op.

Teruggaan naar een versie die wel werkte en de vraag kleiner maken helpt soms. Blijft het misgaan, dan is dat vaak een teken dat de opbouw van de code zelf rommelig is geworden. Dat los je niet op met nog een prompt. Dan is het tijd dat iemand die de code kan lezen ernaar kijkt.

Niet elk idee is even geschikt. Extra voorzichtig moet je zijn bij:

• Gevoelige gegevens, zoals medische informatie, gegevens over kinderen of financiële gegevens. Fouten hebben daar grote gevolgen, en voor medische gegevens en gegevens van kinderen stelt de AVG strengere eisen.
• Geld, zoals betalingen, abonnementen of tegoeden. Een fout kost je direct geld of vertrouwen. Lees Betalingen ontvangen.
• Koppelingen met andere systemen, zoals een boekhoudpakket of een oud systeem van een klant. Die werken vaak anders dan de AI verwacht.
• Veel gebruikers tegelijk, bijvoorbeeld een chat of een live-overzicht dat iedereen tegelijk ziet.

Dat betekent niet dat het niet kan. Het betekent dat je hier eerder iemand laat meekijken die de code kan lezen.

Vibecoden is een goede manier om een idee te testen en een eerste versie te maken, zoals beschreven in Van idee naar eerste versie. Daarna moeten de dingen die je niet ziet bewust geregeld worden: beveiliging, back-ups, privacy en tests. Wat dat inhoudt, lees je in Van prototype naar product.

Wees eerlijk tegen jezelf: als je niet weet of iets veilig is, ga er dan niet van uit dat het veilig is. Laat het nalopen door iemand die de code kan lezen. Dat doen wij: we kijken je project na en zetten op een rij wat er moet gebeuren voordat je echte gebruikers toelaat.