Van vibe coding naar AI-engineering: hoe breng je een gevibecode app veilig naar productie?
Door Sam Dewaele, Solution Advisor Data & AI bij ConXioN
Met vibe coding bouwen ook medewerkers zonder programmeerkennis in enkele uren een werkende app, door in gewone taal te beschrijven wat ze nodig hebben. Dat een app werkt, betekent nog niet dat hij veilig is. Tijdens ons Beers & Pizza-event toonden we hoe je met een duidelijke aanpak, automatische controles en afspraken over AI governance een gevibecode app veilig naar productie brengt, zonder shadow IT.
In het kort
- Vibe coding is software bouwen in gewone taal: AI schrijft de code, jij stuurt bij.
- Een app zonder plan kan werken zonder dat iemand begrijpt wat hij doet. Begin met een PRD en tests.
- Raakt een app klantgegevens of externe systemen, dan wordt de security extra streng bekeken.
- Een vaste ‘pipeline’ met AI-agents controleert elke wijziging voor ze live gaat.
De avond voor ons Beers & Pizza-event besloot onze marketingcollega Maria-Clara zelf een pollapp te bouwen. Ongeveer twee uur later was die klaar, met live resultaten en een word cloud. We gebruikten de app de hele avond. Niet alles liep vlekkeloos, maar hij werkte. En dat zonder dat Maria-Clara developer is.
Daarmee was de toon gezet. In het ConXioN Experience Center lieten drie collega’s zien hoe snel je vandaag met AI een app kunt bouwen. En waarom een werkende app niet automatisch veilig of makkelijk te onderhouden is.
bouwtijd voor een eigen pollapp, als alternatief voor Mentimeter
marketeer, geen developer, bouwde de app
gebruikt tijdens het event, met echte deelnemers
Snelle links 🔗:
Wat is vibe coding?
Vibe coding (ook vibecoding genoemd) is software bouwen door in gewone taal te beschrijven wat je nodig hebt. Een AI-model schrijft de code, jij test het resultaat en stuurt bij met nieuwe instructies. Je hoeft zelf geen programmeertaal te kennen, waardoor ook medewerkers zonder technische achtergrond een werkende app kunnen maken.
Volgens Sam, Solution Advisor Data & AI bij ConXioN, is vibe coding de vierde golf in hoe we met AI werken. Elke golf blijft bestaan, de volgende komt erbovenop.
Assisteren
Chatten met AI om een mail te schrijven of iets samen te vatten. Iedereen doet het dagelijks.
Delegeren
Meerdere AI-agents werken samen en bepalen zelf hoe het werk gebeurt. Jij geeft de instructies.
Automatiseren
Repetitief werk volledig overnemen, wat vroeger met RPA gebeurde.
Bouwen
Zelf interne productiviteitsapps maken in gewone taal. Dat is vibe coding.
Zijn oproep: denk niet meer automatisch “we steken het in Excel”. Misschien wordt het beter een app waarop meerdere mensen veilig aanmelden.
Vibe coding-tools: welke smaak kies je?
Squanto, Copilot Studio- en Azure AI-consultant bij ConXioN, deelde de tools op in vier families. Het verschil zit in hoeveel infrastructuur je erbij krijgt en waar de app draait.
| Familie | Wat je krijgt |
|---|---|
| v0, Lovable, Bolt | Een app die meteen live staat, met een domein erbij |
| GitHub Copilot | Werkt binnen je Microsoft 365-omgeving |
| Claude Code, Cursor, Codex | Schrijven code in je eigen project, de infrastructuur zet je zelf op |
| Copilot Code | Zoals Lovable, maar de apps draaien binnen je eigen tenant |
Hoe sneller een tool iets live zet, hoe minder je nadenkt over wie erbij kan. Met Lovable heb je op een half uur een CRM, “maar toch niet altijd even veilig”, aldus Sam.
Twee demo's, twee totaal verschillende resultaten
Voor zijn eerste demo gaf Squanto zijn AI één opdracht: bouw mijn CRM. Geen analyse, geen plan. Het resultaat zag er “vrij impressive” uit, tot we onder de motorkap keken. Er zat een database in die nergens gebruikt werd. Labels als warm en koud die hij niet kon verklaren. Een functie die niet werkte. En de CRM stond open voor iedereen.
Het is gemaakt, het staat er, het werkt. Maar ik heb geen idee wat het doet.
De tweede demo begon bij een echt probleem: Squanto heeft moeite met tijdsindeling en opvolging. Hij legde de AI eerst uit wie hij is en waar hij vastloopt. Daarna schreef hij een PRD met de eis dat er overal tests komen. Het resultaat was een to-do-app in de ConXioN-huisstijl, die hij live liet samenwerken met Microsoft Copilot: de AI las zijn mails, stelde taken voor, en na zijn goedkeuring stonden ze in de app.
| Demo 1: CRM | Demo 2: to-do-app | |
|---|---|---|
| Vertrekpunt | "Bouw mijn CRM" | Eigen probleem uitgelegd |
| PRD | Geen | Ja, met tests als eis |
| Huisstijl | Niet meegegeven | Via de ConXioN-huisstijlskill |
| Begrip van de maker | "Geen idee wat het doet" | Begrijpt hij volledig |
| Toekomst | Blijft ergens staan | Dagelijks in gebruik |
Het verschil zit niet meer in de technische capaciteiten, maar puur in hoeveel je nog begrijpt van wat je maakt.
Zo pak je vibe coding wel aan
Squanto werkt in vier stappen.
1. Idee
Alles begint met een idee, hoe breed ook.
2. Verfijnen
Vraag de AI om gaten in je idee te prikken.
3. PRD
Schrijf een Product Requirements Document: wat je bouwt, waarom, voor wie en met welke functies.
4. Testen
AI breekt soms ongemerkt iets ouds terwijl hij iets nieuws bouwt. Unit tests vangen dat op.
Geef de AI ook je context mee, zoals je huisstijl en je projectregels. Anders krijg je de stijl en de aannames van de AI. Daarom herken je zoveel gevibecode websites meteen.
De risico's van vibe coding
Dat iedereen vandaag kan bouwen, is tegelijk de kracht en het gevaar. Squanto zag vier risico’s.
Razendsnel legacy code
Code die niemand begrijpt, omdat niemand ze zelf schreef. Bijsturing: begrijp wat je bouwt, met een PRD en tests.
Beveiligingsgaten
AI laat soms kwetsbaarheden in de code, of kent een recent lek nog niet. Bijsturing: een pijplijn die elke wijziging controleert.
Klantdata en koppelingen
Een zelfgemaakte CRM op je ERP, met een lek erin, kan je hele ERP op straat leggen. Bijsturing: extra strenge security zodra externe systemen meespelen.
Iets dat niemand gebruikt
Zonder duidelijke vraag bouwt AI een generiek product. Bijsturing: eerst je probleem helder, dan een PRD.
De grens van ConXioN. Een prototype bouwen om te tonen wat je nodig hebt? Graag. Maar zodra een app klantgegevens of een extern systeem raakt, wordt de security “extra hard” bekeken.
Van vibe code naar productie: een vangnet met AI
Leandro, engineer Azure, integratie en AI, liet zien hoe dat in de praktijk werkt. Eén app kan je zelf controleren, honderd niet. Daarom loopt bij ConXioN elke wijziging automatisch door een pijplijn met vaste controles, aangevuld met AI-agents. Zo werkt die controlelus:
- Iemand zet een wijziging in de code.
- De pijplijn controleert automatisch en houdt bijvoorbeeld een gelekte API-sleutel tegen.
- Een AI-agent onderzoekt het probleem.
- De agent maakt een ticket met een voorstel van oplossing.
- Een mens beslist.
- De volledige controle loopt opnieuw.
Je hebt weinig kans om iets live te zetten dat niet veilig is. En er is altijd een persoon op de hoogte.
Belangrijk: elke app met een databaseverbinding wordt automatisch afgeschermd met Entra ID. Ook als de maker niet aan veiligheid dacht, doet de pijplijn het wel. Live voegde Squanto op vraag van de zaal een kalender toe aan zijn app, die meteen door alle controles liep. Kostprijs volgens Leandro: ongeveer een euro.
Shadow IT en shadow AI: de kloof tussen business en IT
De scherpste vraag kwam uit de zaal: is het wel efficiënt om iedereen vrij te laten bouwen en pas achteraf te controleren?
Sam vergeleek de situatie met shadow IT: software die in een organisatie draait zonder dat IT ervan weet. Vandaag bouwen medewerkers apps met tools als Lovable, en krijgen AI-agents toegang tot bedrijfssystemen. Dat is shadow AI.
| Business | IT | |
|---|---|---|
| Wie | Operations, marketing, sales | Technische mensen, IT-managers |
| Wil | Morgen een app, zonder veel gedoe rond security | Beheren, veilig houden, onder controle |
| Als het misgaat | Het idee was goed | IT zit met de gevolgen |
Een deelnemer stelde een aanpak voor die Leandro “een hele goede workflow” noemde:
Pioniers
Experimenteren vrij, met testdata in een afgeschermde omgeving.
Builders
Werken bruikbare ideeën verder uit.
IT
Controleert en brengt de app in productie.
Iedereen mag vibecoden, want ideeën moeten naar buiten komen. Maar een bedrijf moet zijn medewerkers een kader geven.
Dit is geen luxe. Dit is het bare minimum.
AI governance begint met vijf vragen
De zaal bestond vooral uit IT-managers. Ze willen repetitief en administratief werk automatiseren, maar security en governance kwamen telkens terug. Veel organisaties hebben nog geen formeel AI-beleid. Volgens Sam begin je daar best nu mee, ook in het licht van de EU AI Act.
Een AI-beleid hoeft niet groot te beginnen. Deze vijf vragen zijn een goed vertrekpunt:
- Met welke tools mogen medewerkers experimenteren?
- Met welke gegevens mogen ze werken?
- Wanneer moet IT aansluiten?
- Wie wordt eigenaar van een app zodra collega's ermee werken?
- Langs welke controles gaat alles wat naar productie gaat?
Of zoals het team de avond samenvatte: laat iedereen ideeën bouwen, maar zorg dat alles wat naar productie gaat door één vangnet passeert.
Zelf aan de slag? Wil je weten waar vibe coding en AI in jouw organisatie waarde opleveren, en hoe je dat veilig organiseert? Met de AI Navigator vertrekken we vanuit je business en werken we stap voor stap naar een gerichte AI-roadmap. ConXioN geeft ook workshops over vibe coding, governance en controle. ConXioN is Microsoft-partner en behaalde onlangs de Microsoft Support Services Designation.
Veelgestelde vragen
Software bouwen door in gewone taal te beschrijven wat je wil. Een AI-model schrijft de code, jij test en stuurt bij.
Niet vanzelf. AI kan beveiligingsgaten laten of geheime sleutels blootstellen. Voor prototypes met testdata is het uitstekend. Zodra klantgegevens meespelen, heb je automatische controles nodig.
Shadow IT is software die draait zonder dat IT ervan weet. Shadow AI is de nieuwe variant: apps die medewerkers met AI bouwen, en AI-agents die buiten het zicht van IT toegang krijgen tot bedrijfssystemen.
Sam Dewaele
Sam Dewaele is Solution Advisor Data & AI bij ConXioN. Hij heeft ruim tien jaar ervaring in data, AI en softwaretrajecten, van in de tijd dat hij machinelearningmodellen nog zelf trainde. Bij ConXioN begeleidt hij onder meer de AI Navigator.
