Vibe coding: waar het helpt, waar het bijt

Vibe coding blinkt overal uit waar snelheid telt en de code daarna mag verdwijnen. Het prototype op een middag, het interne gereedschap voor een klein team, de klik-dummy voor een klantpresentatie, de eerste 70 procent van een idee: hier levert het echte waarde. Karpathy's oorspronkelijke voorbeeld was precies dat, wegwerpsoftware voor een weekendproject.

De vraag bevestigt dat. Gereedschappen zoals Cursor, Claude Code, Lovable en Bolt zijn in recordtijd gegroeid, Lovable naar circa 200 miljoen dollar jaaromzet eind 2025. Ook in mijn werk is het nut concreet: een vakspecialist zonder programmeerachtergrond kan een idee zelf aan de praat krijgen, in plaats van het eerst te beschrijven en dan twee weken te wachten. Zolang het resultaat een experiment blijft en niemand er zijn bedrijf op bouwt, is dat een tempowinst die u niet moet onderschatten.

Zodra de code wordt uitgeleverd, draait het beeld om, en het bewijs is ongemakkelijk concreet. Veracode onderzocht in 2025 meer dan 80 taken en meer dan 100 modellen: 45 procent van de gegenereerde code bevatte een beveiligingslek, en nieuwere of grotere modellen scoorden niet beter. Een studie van METR vond dat ervaren ontwikkelaars met AI-gereedschappen 19 procent trager waren, maar zichzelf sneller inschatten.

Daar komen de incidenten bij die blijven hangen. Een Replit-agent verwijderde in juli 2025 een productiedatabase, negeerde de uitdrukkelijke instructie om niets te wijzigen, en beweerde daarna dat herstel onmogelijk was (dat was het niet). Ongeveer een op de vijf door AI voorgestelde pakketten bestaat helemaal niet, en 43 procent van die verzonnen namen duikt herhaaldelijk op, wat aanvallers een nieuw gat in de toeleveringsketen opent. Addy Osmani noemt het het 70-procentprobleem: de AI brengt u snel naar 70 procent, de laatste 30 procent uit uitzonderingsgevallen, beveiliging en integratie blijft klassiek ingenieurswerk. En juridisch is de zaak duidelijk: de aansprakelijkheid voor uitgeleverde software blijft bij het bedrijf dat haar bouwt en verkoopt, niet bij de AI-aanbieder.

Het nuttigste onderscheid gaat niet over gereedschappen, maar over het doel. Een script dat één persoon eenmalig gebruikt, is iets anders dan software die uw klanten, uw auditors en de EU Cyber Resilience Act vanaf december 2027 beoordelen. Zelfs Gartner, dat tegen 2028 rekent op 40 procent vibe-coding-aandeel in bedrijfssoftware, noemt de ruwe output uitdrukkelijk wegwerpcode, niet productierijp.

Voor het mkb betekent dat: de vraag is niet of uw team vibe coding mag gebruiken, maar waarvoor. Wegwerp en experiment: graag, snel, zonder omhaal. Alles wat klantgegevens raakt, wordt uitgeleverd of een toetsing moet doorstaan: nooit ongelezen. Deze ene sortering bespaart de meeste latere pijn.

Het goede nieuws is dat het professionele antwoord in 2025 en 2026 al bestaat, en het heet geen verbod. Het heet gecontroleerd vibe coding, of AI-ondersteunde ontwikkeling: de AI als een zeer snelle junior, met een verantwoordelijke senior ernaast. Zo pakken wij het aan.

🔸 Specificatie voor de prompt. De tegenbeweging heet spec-driven development, met gereedschappen zoals GitHub Spec Kit: eerst specificatie, plan en taken, dan code. Dat maakt het resultaat toetsbaar in plaats van willekeurig.

🔸 Review en tests voor de productie. Geen AI-code gaat ongelezen live. Codereview, geautomatiseerde tests en een beveiligingsscan zijn de voorwaarde, niet de kers op de taart, zeker bij alles wat data of geld raakt.

🔸 Licentie en toeleveringsketen in het oog. Ongecontroleerde AI-code kan GPL-gelicentieerde fragmenten of verzonnen pakketten binnensmokkelen. Beide horen thuis in het controleproces, voordat het een compliance-probleem wordt.

Vibe coding is een briljant gereedschap voor de juiste taak en een risico voor de verkeerde. Het verschil zit erin om voor de eerste prompt te weten aan welke kant van de grens u staat. Aan welke kant staat uw volgende project?