Ressource gratuite · Kit Word + Excel

Kit Vibe coding : laisser les métiers construire leurs outils avec l’IA, sans shadow IT

Avec Claude Code, Copilot, Cursor ou Lovable, un expert métier construit en une après-midi l’outil qu’il attendait depuis deux ans. Ce kit donne aux directions métier, aux DSI et aux RSSI le cadre pour l’autoriser en confiance : feu tricolore des projets, charte builders en 14 articles, checklist de revue en 20 points et plan pilote sur 30 jours.

📄 Word, 14 pages📊 Classeur Excel, 7 outils🗓️ Vérifié le 12 octobre 2026🆓 Gratuit

Télécharger le kitVoir le feu tricolore

Le vibe coding consiste à faire écrire un logiciel par une IA en lui décrivant ce que l’on veut, plutôt qu’en écrivant soi-même le code. Le terme, lancé par Andrej Karpathy en février 2025, a été désigné mot de l’année 2025 par le dictionnaire Collins. En entreprise, il désigne désormais tout outil construit par une personne qui n’est pas développeur : un tableau de bord, un formulaire, un script qui consolide des exports, parfois une véritable application.

C’est une chance et un risque nouveau. Les applications créées ainsi sont souvent publiées sans authentification, contiennent des secrets en clair, traitent des données personnelles hors de tout registre et dépendent d’une seule personne. Interdire ne marche pas : les outils sont gratuits ou intégrés à la suite bureautique. Ce kit propose une voie praticable : laisser faire ce qui est personnel, relire ce qui est partagé, valider ce qui est critique.

1. Le vibe coding en 2026 : trois familles d’outils

Famille	Exemples	Ce qu’il faut savoir
Agents de code	Claude Code, OpenAI Codex, GitHub Copilot en mode agent, Cursor, Mistral Vibe	Ils travaillent sur des fichiers et peuvent lancer des commandes sur le poste. Puissants et encadrables par la DSI, à condition de savoir ce qu’on leur laisse faire.
Plateformes de génération d’applications	Lovable, Replit, Bolt, Base44	L’application est construite et hébergée en ligne en quelques minutes. C’est là que se concentrent les expositions de données publiées.
Fonctions intégrées aux suites	App Builder dans Microsoft 365 Copilot, artefacts de Claude	Restent dans l’environnement de l’entreprise et héritent de ses droits. Le risque devient la prolifération d’outils non documentés.

2. Pourquoi l’encadrer : ce que montrent les études

Constat	Source
Dans 45 % des tâches testées, les modèles ont introduit une vulnérabilité du Top 10 OWASP.	Veracode, juillet 2025, 80 tâches et plus de 100 modèles
Sur 380 000 applications et bases publiques créées avec Lovable, Base44, Replit ou Netlify, environ 5 000 exposaient des informations sensibles d’entreprise.	RedAccess, rapporté par VentureBeat, mai 2026
Plus de 170 applications Lovable concernées par une faille de contrôle d’accès aux données (CVE-2025-48757).	Cloud Security Alliance, juin 2026
Un agent de génération d’applications a effacé une base de production malgré une consigne de gel des modifications.	Incident Replit, juillet 2025

Ces chiffres ne disent pas que le code produit par l’IA est mauvais par nature, mais qu’il reproduit des failles connues quand personne ne vérifie. Le kit retient cinq risques : l’exposition sur internet, les secrets en clair, les données hors registre, les actions irréversibles et la dépendance à une seule personne.

3. Ce que disent l’ANSSI, le RGPD et l’AI Act

• ANSSI et BSI : leur document commun d’octobre 2024 sur les assistants de programmation demande de n’utiliser ces outils qu’avec l’accord explicite de l’entreprise, de relire et tester le code produit, de maîtriser ce qui est envoyé à l’éditeur et de garder un esprit critique, car un code défectueux peut avoir l’air parfaitement écrit.
• RGPD : peu importe qui a écrit l’outil ; dès qu’il traite des données personnelles, c’est un traitement, avec finalité, base légale, registre, minimisation, sécurité et, si besoin, analyse d’impact.
• AI Act : l’obligation de maîtrise de l’IA de l’article 4 s’applique depuis le 2 février 2025 et concerne aussi les builders. Une application qui intègre elle-même de l’IA, par exemple pour trier des candidatures, peut relever d’un usage à haut risque et doit être qualifiée avant mise en service.

4. Le feu tricolore des projets

	Vert : on laisse faire	Orange : un référent relit	Rouge : la DSI valide
Qui l’utilise	Son créateur seul	Une équipe identifiée, en interne	Plusieurs équipes, des clients, des partenaires ou le public
Quelles données	Fictives, publiques ou non sensibles	Internes, sans données sensibles	Personnelles sensibles, réglementées, clients, financières
Où il tourne	Sur le poste ou l’espace personnel autorisé	Dans un environnement de l’entreprise, avec authentification	Connecté au système d’information ou exposé sur internet
Ce qu’il fait	Lit et calcule	Écrit dans des fichiers d’équipe	Écrit dans des applications métier, envoie, paie, décide sur des personnes, intègre de l’IA
Avant usage	Les trois interdits	Checklist de revue et registre	Revue de sécurité, avis du DPO si besoin, décision de mise en service

Un seul critère rouge suffit à classer le projet en rouge, et un outil personnel qui commence à être partagé passe automatiquement en orange : c’est le moment le plus fréquent où un outil sort du radar. Dans le classeur, le feu tricolore se remplit en dix questions et le niveau se calcule seul, avec la conduite à tenir.

5. La charte builders

Le kit propose un modèle de charte en 14 articles, qui tient sur deux pages une fois mis en forme : objet, personnes concernées, outils autorisés, trois interdits, données, feu tricolore, environnement, vérification, partage et registre, passage en production, propriété et maintenance, fin de vie, incidents, formation et revue. Les trois interdits en sont le cœur :

• Aucun secret (mot de passe, clé d’API, jeton) confié à l’agent ni écrit dans le code.
• Aucune application publiée sur internet sans l’authentification de l’entreprise.
• Aucune donnée personnelle, sensible ou confidentielle hors du circuit validé par la DSI et le DPO.

6. La checklist de revue avant partage

Vingt points à contrôler avant qu’un outil quitte son créateur : classement, secrets, authentification, droits, données, registre RGPD, IA embarquée, saisies, dépendances, actions, sauvegarde, tests, erreurs, journalisation, revue de sécurité, code source, documentation, propriétaire, coûts et fin de vie. Pour un projet orange, le référent la relit ; pour un projet rouge, elle sert de base à la revue de sécurité de la DSI. Le classeur calcule le taux de conformité et rend un verdict.

7. Ce que contient le kit

Le document Word compte 14 pages en 11 chapitres : en bref ; le vibe coding en 2026 ; pourquoi l’encadrer ; ce que disent les autorités et les textes ; le feu tricolore des projets ; la charte builders ; le circuit de décision ; la checklist de revue avant partage ; la méthode du builder ; le plan de démarrage sur 30 jours ; les ressources.

Le classeur Excel « Outils du kit Vibe coding » reprend la démarche en sept outils : le feu tricolore en 10 questions avec niveau et conduite à tenir calculés ; la checklist de revue en 20 points avec taux de conformité et verdict ; le registre des outils avec date de revue et alertes (sans propriétaire, checklist non passée, revue dépassée) ; la matrice des outils autorisés à remplir avec la DSI ; la fiche de spécification à donner à l’agent, avec un exemple complet ; le journal du temps gagné ; le plan pilote sur 30 jours, dont les échéances se calculent à partir de la date de lancement.

8. Questions fréquentes

Qu’est-ce que le vibe coding ?

C’est une façon de créer un logiciel en décrivant ce que l’on veut à une IA, en langage courant, plutôt qu’en écrivant soi-même le code. Le terme a été lancé par Andrej Karpathy en février 2025 et désigné mot de l’année 2025 par le dictionnaire Collins. En entreprise, il désigne les outils construits par des personnes qui ne sont pas développeurs.

Faut-il interdire le vibe coding en entreprise ?

L’interdiction pousse les usages vers des comptes personnels, hors de tout contrôle. Le kit propose plutôt un feu tricolore : laisser faire ce qui est personnel et sans données sensibles, faire relire ce qui est partagé en équipe, faire valider par la DSI ce qui touche des données sensibles, le système d’information ou internet.

Quels sont les principaux risques ?

Une application publiée sur internet sans authentification, des secrets écrits en clair dans le code, des données personnelles traitées hors du registre, des actions irréversibles d’un agent sur des données réelles, et des outils devenus indispensables que personne d’autre ne sait maintenir.

Que recommande l’ANSSI ?

Dans son document commun avec le BSI d’octobre 2024 sur les assistants de programmation, l’ANSSI demande de n’utiliser ces outils qu’avec l’accord explicite de l’entreprise, de relire et tester le code produit, de maîtriser ce qui est envoyé à l’éditeur et de se prémunir contre les risques de chaîne d’approvisionnement.

Une application vibe-codée est-elle concernée par le RGPD ?

Oui, dès qu’elle traite des données personnelles, quelle que soit la façon dont elle a été écrite. Elle doit avoir une finalité et une base légale, figurer au registre des traitements, être sécurisée et, si elle présente un risque élevé, faire l’objet d’une analyse d’impact. Le DPO doit en être informé.

Qu’est-ce qu’une charte builders ?

C’est la règle du jeu des personnes qui construisent des outils avec l’IA : outils autorisés, données utilisables, trois interdits, vérification, registre, passage en production, fin de vie, incidents. Le kit en propose un modèle en 14 articles, à adapter avec la DSI.

À qui s’adresse le kit ?

Aux directions métier, aux DSI, aux RSSI et aux DPO de grandes organisations qui veulent ouvrir le vibe coding en confiance, et aux builders qui veulent savoir quoi vérifier avant de partager un outil. Aucune compétence technique n’est requise pour l’utiliser.

Le kit est-il gratuit ?

Oui. Le document Word et le classeur Excel sont gratuits, contre une adresse email professionnelle qui sert uniquement à vous transmettre le lien de téléchargement. Aucun email non sollicité.

9. Aller plus loin

Les équipes qui veulent apprendre à spécifier, construire et vérifier le font lors de la formation Vibe coding en entreprise, une journée pour les profils métier, ou lors d’une Code Party pour une première découverte. Côté outils, Claude Code en entreprise et le comparatif Claude Code ou Codex aident à choisir. Pour le cadre, le kit Sécurité et données, le kit RGPD, le kit IA Act et le modèle de charte IA complètent la charte builders.

À lire aussi : Vibe coding en entreprise : où l’autoriser, comment l’encadrer, Claude Code en entreprise : le guide pour démarrer et l’encadrer et Cowork, Work, Vibe Work : quatre façons de déléguer du travail à une IA.

Toute la série des kits gratuits. Pour piloter l’adoption : modèle de charte IA, kit Ambassadeurs IA, kit du manager face à l’IA, kit Feuille de route d’adoption, grille de maturité IA, kit Mesure et ROI de l’IA, kit Gouvernance des IA, kit Cowork, kit Copilot Studio, kit Claude Skills et kit Vibe coding. Pour le commanditaire de projet IA : kit IA Act, kit RGPD, kit Sécurité et données, kit Shadow IA, kit IA et dialogue social, kit IA frugale, kit Souveraineté IA et kit IA responsable. Par métier : kit IA RH, kit IA marketing, kit IA finance, kit IA juristes, kit IA du commercial, kit IA du chef de projet, kit IA de l’innovateur et kit IA du communicant.

10. Sources

Les informations citées sur cette page et dans le kit s’appuient notamment sur les sources suivantes, vérifiées le 12 octobre 2026. Le kit en donne la liste complète dans son chapitre Ressources.

• ANSSI et BSI, AI Coding Assistants, 4 octobre 2024.
• Veracode, 2025 GenAI Code Security Report, 30 juillet 2025.
• Cloud Security Alliance, The Vibe Coding Governance Gap, 2 juin 2026.
• VentureBeat, 5,000 vibe-coded apps just proved shadow AI is the new S3 bucket crisis, 8 mai 2026.
• eWeek, AI Agent Wipes Production Database, Then Lies About It, juillet 2025.