Vibe coding: dove aiuta, dove morde
Il vibe coding è uno strumento, non un metodo. Il confine passa tra il codice usa e getta e il software che va in produzione.
Traduzione generata automaticamente con IA. La versione tedesca è l'originale verificato dalla redazione.
Il vibe coding è uno strumento, non un metodo. Andrej Karpathy ha coniato il termine all'inizio del 2025, per un modo di programmare in cui ci si abbandona completamente alle vibes e si dimentica che il codice esiste. Per il compito giusto è fantastico. Per quello sbagliato è una responsabilità. La domanda decisiva non è IA sì o no, ma una molto più semplice: state costruendo qualcosa da buttare, o qualcosa che va in produzione e che clienti, revisori e il Cyber Resilience Act vedranno? Su questo confine si decide tutto.
01. Dove aiuta
Il vibe coding brilla ovunque conti la velocità e il codice possa poi sparire. Il prototipo in un pomeriggio, lo strumento interno per un piccolo team, il click-dummy per una presentazione al cliente, il primo 70 percento di un'idea: qui porta valore reale. L'esempio originale di Karpathy era esattamente questo, software usa e getta per un progetto del weekend.
La domanda del mercato lo conferma. Strumenti come Cursor, Claude Code, Lovable e Bolt sono cresciuti a un ritmo record, Lovable verso circa 200 milioni di dollari di fatturato annuo entro fine 2025. Anche nel mio lavoro il beneficio è concreto: una persona esperta di dominio senza background di programmazione può far funzionare da sola un'idea, invece di doverla prima descrivere e poi attendere due settimane. Finché il risultato resta un esperimento e nessuno vi basa il proprio business, si tratta di un guadagno di velocità che non va sminuito.
02. Dove morde
Non appena il codice viene rilasciato, il quadro cambia, e le prove sono scomodamente concrete. Veracode ha esaminato nel 2025 oltre 80 compiti e più di 100 modelli: il 45 percento del codice generato conteneva una vulnerabilità di sicurezza, e i modelli più recenti o più grandi non ottenevano risultati migliori. Uno studio di METR ha rilevato che gli sviluppatori esperti con strumenti IA erano il 19 percento più lenti, ma si ritenevano più veloci.
A ciò si aggiungono gli incidenti che restano impressi. Un agente Replit ha cancellato nel luglio 2025 un database di produzione, ignorando l'istruzione esplicita di non modificare nulla, e ha poi affermato che un ripristino fosse impossibile (non lo era). Circa un pacchetto su cinque suggerito da un'IA non esiste affatto, e il 43 percento di questi nomi inventati riappare ripetutamente, il che apre agli attaccanti una nuova falla nella catena di fornitura. Addy Osmani lo chiama il problema del 70 percento: l'IA vi porta velocemente al 70 percento, l'ultimo 30 percento fatto di casi particolari, sicurezza e integrazione resta lavoro ingegneristico classico. E dal punto di vista legale la situazione è chiara: la responsabilità per il software rilasciato resta in capo all'azienda che lo costruisce e lo vende, non al fornitore dell'IA.
03. Il confine: usa e getta contro rilasciato
La distinzione più utile non riguarda gli strumenti, ma lo scopo. Uno script che una persona usa una sola volta è qualcosa di diverso da un software che i vostri clienti, i vostri revisori e l'EU Cyber Resilience Act, a partire da dicembre 2027, giudicheranno. Persino Gartner, che prevede entro il 2028 una quota del 40 percento di vibe coding nel software aziendale, definisce esplicitamente l'output grezzo codice usa e getta, non pronto per la produzione.
Per le PMI questo significa: la domanda non è se il vostro team possa usare il vibe coding, ma per che cosa. Usa e getta ed esperimento: sì, veloce, senza formalità. Tutto ciò che tocca dati dei clienti, viene rilasciato o deve reggere a una verifica: mai senza revisione. Questa unica distinzione risparmia la maggior parte dei problemi futuri.
04. La via matura: vibe coding controllato
La buona notizia è che la risposta professionale del 2025 e del 2026 esiste già, e non si chiama divieto. Si chiama vibe coding controllato, o sviluppo assistito dall'IA: l'IA come junior molto veloce, con un senior responsabile accanto. È così che lo affrontiamo.
🔸 Specifica prima del prompt. Il contromovimento si chiama Spec-driven Development, con strumenti come GitHub Spec Kit: prima specifica, piano e attività, poi codice. Questo rende il risultato verificabile invece che casuale.
🔸 Revisione e test prima della produzione. Nessun codice IA va in produzione senza essere letto. Code review, test automatizzati e una scansione di sicurezza sono la condizione, non l'opzione, in particolare per tutto ciò che tocca dati o denaro.
🔸 Licenza e catena di fornitura sotto controllo. Codice IA non verificato può introdurre frammenti con licenza GPL o pacchetti inventati. Entrambi vanno nel processo di verifica, prima che diventino un problema di compliance.
Il vibe coding è uno strumento brillante per il compito giusto e un rischio per quello sbagliato. La differenza sta nel sapere, prima del primo prompt, da quale lato del confine ci si trova. Da quale lato si trova il vostro prossimo progetto?
