De securityrisico's zijn het zichtbare deel. Het stillere probleem is architectureel. Een maatwerkapplicatie die je laat bouwen, landt in een bestaand landschap: ze praat via afgesproken koppelingen met je andere systemen, staat in je overzicht, heeft een eigenaar en een plek in de levenscyclus. Een vibe-coded app doet dat niet. Die draait op een extern platform, met een eigen kopie van je data, buiten je overzicht en buiten elk architectuurplaatje. Het is geen bouwsteen in je landschap, maar een los eiland ernaast.
Daar komt een toegangsprobleem bij. Zo'n app koppelt zich meestal via het account van de medewerker die hem bouwde, inclusief alle rechten die die persoon in het netwerk heeft. De app erft dus de toegang van een mens, terwijl een net gebouwd systeem juist een eigen, beperkte serviceaccount hoort te krijgen dat alleen mag wat het voor zijn taak nodig heeft. Heeft de bouwer ruime rechten, dan heeft de app ze ook, en kan hij bij veel meer data dan de bedoeling is. Dat valt niemand op zolang het werkt, maar het is precies het soort onzichtbare toegang waar een datalek uit ontstaat.
Dat eiland moet iemand beheren, en meestal doet niemand dat. Geen patchbeleid, geen monitoring, geen documentatie, vaak niet eens bewaarde broncode. Zolang de bouwer er is en het ding werkt, valt het niemand op. Zodra die persoon vertrekt of de app breekt, ligt er een probleem bij een team dat niet weet hoe het in elkaar zit. Je bent dan aan het reverse-engineeren wat in een middag is ontstaan.
De kosten zitten precies in dat staartstuk en zijn vooraf grotendeels onzichtbaar: abonnementen die doorlopen, dubbele data die uit de pas gaat lopen, koppelingen die alsnog gebouwd moeten worden, en uiteindelijk vaak een herbouw om de app veilig en onderhoudbaar te maken. Opgeteld betaal je voor iets dat gratis en snel leek, meer dan voor regulier maatwerk, alleen verspreid en achteraf. De grootste kostenpost staat op geen enkele factuur: zodra tientallen van deze apps naast elkaar leven, heb je geen inzichtelijk IT-landschap meer. Je kunt niet meer overzien waar welke data staat, wat van wat afhankelijk is, en waar je volgende incident vandaan komt. En juist dat overzicht is de basis onder security, compliance en doorontwikkeling.
