Consigner l'IA : système d'alarme ou clé sous le paillasson ?

Aujourd'hui, il suffit de décrire son idée à une intelligence artificielle pour obtenir un site web ou une application en quelques heures. C'est ce qu'on appelle le vibe coding. Le résultat est souvent très joli. Mais un beau site n'est pas forcément un site sûr.

Imaginez deux maisons identiques. La première est protégée par un système d'alarme relié à une centrale de surveillance. Dans la seconde, la clé est sous le paillasson. Depuis la rue, impossible de voir la différence. Pour un cambrioleur, elle saute aux yeux.

Les consignes que vous donnez à l'IA sont votre système d'alarme. Une demande sans consignes, c'est la clé sous le paillasson.

La clé sous le paillasson : ce qui se passe sans consignes

Quand on demande simplement « fais-moi une application de réservation », l'IA n'a qu'un objectif : que ça marche. Elle ne se demande pas qui pourra voir les informations de vos clients, ni ce que dit la loi. Résultat : beaucoup d'applications fonctionnent très bien en apparence, mais laissent les données personnelles de leurs clients à la portée de n'importe qui : noms, adresses e-mail, parfois coordonnées bancaires ou médicales. Pas besoin d'être un pirate de génie pour les récupérer : la porte est déjà ouverte.

Il y a aussi la loi. Si c'est vous qui publiez l'application, c'est vous qui êtes responsable des données de vos clients, pas l'IA. Et un beau design ne remplace ni une politique de confidentialité, ni un bandeau cookies, ni des mentions légales.

Le système d'alarme : donner des consignes à l'IA

Une alarme s'installe avant le cambriolage, pas après. Avec l'IA, c'est pareil : les consignes se donnent dès la première demande, et restent écrites pour toute la suite du projet. Elles tiennent en quatre points :

• Le contexte : qui va utiliser l'application, quelles informations elle va conserver, et dans quel pays. Une IA qui sait qu'elle gère des données de santé en Belgique ne travaille pas comme pour une simple page de présentation.
• Les règles de sécurité : aucun mot de passe caché dans la page, chaque client ne voit que ses propres informations, rien n'est enregistré sans vérification.
• Les obligations légales : politique de confidentialité, cookies, mentions légales, accessibilité.
• Le test final : on vérifie avec deux comptes différents qu'un client ne peut jamais voir les informations d'un autre.

Une alarme ne suffit pas toute seule

Attention : donner des consignes à l'IA réduit fortement le risque, mais ne le supprime pas. L'IA peut oublier une règle, et chaque nouvelle modification peut rouvrir une porte. Comme une alarme, il faut la vérifier et l'entretenir : un professionnel qui relit le travail, des tests, et un suivi après la mise en ligne.

Pourquoi la facture arrive dans les prochaines années

Une application mal protégée ne disparaît pas : elle reste en ligne, et elle vieillit. Les pirates n'ont même pas besoin de vous viser personnellement : des robots parcourent internet en permanence à la recherche de portes ouvertes. Et une donnée volée ne se récupère jamais. On peut changer un mot de passe, pas une date de naissance, une adresse ou un dossier médical. Ces informations sont revendues et servent pendant des années à des arnaques et à des usurpations d'identité.

Plus on publie d'applications construites à la va-vite, plus il y a de portes ouvertes, et plus les cyberattaques réussissent. Le problème n'est pas l'IA : c'est l'absence de consignes.

L'IA construit la maison en un week-end. C'est à vous de décider si elle installe l'alarme ou si elle glisse la clé sous le paillasson.

Sources

• Veracode — 2025 GenAI Code Security Report
• Escape — 2k+ vulnerabilities in apps built with vibe coding platforms
• Techzine — Moltbook database exposes 35,000 emails and 1.5 million API keys
• Bruni et al. — Benchmarking Prompt Engineering Techniques for Secure Code Generation (FORGE 2025)
• Security Degradation in Iterative AI Code Generation (IEEE-ISTAS 2025)
• RGPD — Règlement (UE) 2016/679, articles 32, 33 et 83