L'ondata del vibe coding è reale — e lo è anche il vuoto di governance
"Un attimo: chi l'ha approvato?" Nessuno, perché non serviva l'approvazione di nessuno. A febbraio 2025 Andrej Karpathy ha coniato il termine "vibe coding": descrivi a parole quello che vuoi e lasci che l'AI scriva il codice. Diciotto mesi dopo, l'87% delle aziende Fortune 500 usa almeno una piattaforma di vibe coding e l'adozione nelle imprese è cresciuta del 340% tra il 2024 e l'inizio del 2026.
I guadagni di produttività sono veri. Team che aspettavano sei mesi per uno slot nella roadmap dello sviluppo oggi mettono in produzione un gestionale in 30 minuti. Quello che era chiuso dietro il backlog dei developer ora è alla portata di chiunque sappia scrivere un prompt.
Ma c'è un problema che quasi nessuno strumento di vibe coding è stato progettato per risolvere: la governance aziendale.
La distanza tra ciò che queste piattaforme promettono e ciò che consegnano davvero a organizzazioni regolamentate e di grandi dimensioni è notevole. E nel 2026 — con l'applicazione dell'AI Act europeo che parte ad agosto e gli auditor SOC 2 che chiedono conto della governance del codice generato dall'AI — quella distanza sta diventando cara.
Quanto costa davvero il vibe coding alle aziende
L'attrattiva è ovvia. Descrivi il tuo processo, l'AI genera un'applicazione funzionante e sei in produzione prima dello stand-up del pomeriggio. Niente ticket Jira. Niente sprint planning. Niente sei mesi di attesa.
Il sintomo. Tutto è velocissimo, tutto sembra perfetto nella demo, e nessuno si ferma a chiedere cosa manca.
La causa. Quello che non vedi è tutto ciò che non è stato costruito insieme all'app: il flusso di approvazione, il registro di audit, la separazione degli ambienti, la revisione di sicurezza, i controlli sui permessi. Niente di tutto questo esce da solo da un prompt.
E non è un rischio teorico. I numeri del 2026 sono netti:
- Il codice scritto con l'AI ha un tasso di vulnerabilità 2,74 volte più alto del codice scritto da persone, quando viene rilasciato senza controlli di governance.
- Quasi metà degli snippet di codice generati dai principali LLM contiene falle di sicurezza.
- Le vulnerabilità XSS compaiono nell'86% dei campioni di codice generato dall'AI valutati su cinque modelli di primo piano.
- I CVE formalmente attribuiti a codice generato dall'AI sono passati da 6 a gennaio 2026 a 35 a marzo 2026: un aumento del 483% in un solo trimestre.
- I commit assistiti dall'AI espongono credenziali nel 3,2% dei casi, più del doppio dell'1,5% dei commit umani.
- Il 91% delle aziende non ha alcun framework di governance dell'AI, nonostante l'adozione corra.
È l'ultimo numero quello che dovrebbe togliere il sonno a chi si occupa di compliance.
I 5 vuoti di governance che il vibe coding lascia dietro di sé
1. Nessun registro di audit
Quando uno sviluppatore modifica il codice in produzione restano una cronologia dei commit, una code review, una pull request, un log di deploy. Quando una persona non tecnica genera un'app con uno strumento di vibe coding, cosa resta? Una cronologia di chat, se va bene.
I framework di compliance aziendale — SOC 2, ISO 27001, HIPAA, PCI DSS — richiedono registrazioni documentate di chi ha cambiato cosa, quando e perché. "L'ho chiesto all'AI" non è una voce di audit accettabile.
Il vuoto di audit non è solo un problema di compliance. È operativo. Quando qualcosa si rompe — e qualcosa si romperà — devi sapere esattamente cosa è cambiato.
2. Nessuna separazione degli ambienti
La produzione è sacra. Non ci si sviluppa sopra, non ci si testa sopra e di certo non si lascia che utenti non tecnici generino codice direttamente su di essa.
La maggior parte delle piattaforme di vibe coding ti dà un ambiente solo. Il prototipo e il sistema live condividono lo stesso stato. Un prompt sbagliato in "test" può mettere giù la produzione. Non c'è uno staging che faccia da cuscinetto, non c'è un passaggio di approvazione, non c'è un piano di rollback.
3. Nessuna revisione di sicurezza del codice
Uno sviluppatore in carne e ossa sa che le query SQL vanno parametrizzate. Sa che l'XSS può nascondersi in qualsiasi output mostrato all'utente. Sa che le credenziali non possono restare senza rotazione nelle variabili d'ambiente. I modelli di AI non applicano da soli quel livello di attenzione: generano codice che funziona, e funzionare non significa essere sicuro.
Senza una scansione automatica che applichi al codice generato dall'AI gli stessi standard di sicurezza del codice scritto da persone, ogni nuova app è una possibile superficie d'attacco.
4. Nessun controllo degli accessi per ruolo a livello di dati
I permessi che esistono solo nell'interfaccia sono pura scenografia. Se non è il livello dati a decidere chi può vedere cosa, un utente determinato può aggirare l'interfaccia del tutto. Il mascheramento a livello di campo — dove email, codici identificativi e dati finanziari vengono mascherati lato server, non semplicemente nascosti a schermo — richiede una progettazione deliberata. Da un prompt non esce.
5. Nessun flusso di approvazione dei rilasci
In un processo di sviluppo governato, le modifiche passano da una revisione prima di arrivare agli utenti. Qualcuno — a volte più di una persona — dà l'ok. Con il vibe coding puro, chi ha avuto l'idea è la stessa persona che l'ha spedita in produzione. Non è un processo. È un singolo punto di rottura.
La bomba a orologeria della compliance
Nel 2026 convergono tre scadenze che trasformano questo vuoto di governance da teorico a urgente.
L'applicazione dell'AI Act europeo parte il 2 agosto 2026. I sistemi di AI ad alto rischio devono ora avere documentazione tecnica, meccanismi di supervisione umana e almeno sei mesi di log degli eventi secondo l'Articolo 12. Se i gestionali costruiti con l'AI nella tua azienda gestiscono decisioni HR, calcoli finanziari o dati dei clienti, c'è una concreta possibilità che tu rientri in questo quadro normativo.
Gli auditor SOC 2 chiedono già conto della governance dell'AI. Quella che fino a poco fa era una domanda in prospettiva — "come state gestendo il rischio legato all'AI?" — è oggi un punto di controllo standard. Le organizzazioni che hanno rilasciato app generate dall'AI senza i controlli corrispondenti stanno correndo a ricostruire una documentazione che non è mai esistita.
Il 72% delle aziende dell'S&P 500 ha dichiarato almeno un rischio rilevante legato all'AI nei bilanci 2025, ma solo il 26% ha politiche di governance dell'AI complete. È proprio quella distanza tra ciò che viene dichiarato e ciò che viene davvero controllato a essere finita sotto la lente dei regolatori.
Gli strumenti di vibe coding che hanno portato i tuoi team sul mercato così in fretta non sono mai stati progettati pensando a queste date.
Come si costruisce davvero con l'AI, con la governance inclusa
Governance non vuol dire andare più piano. Vuol dire che i controlli sono dentro fin dall'inizio, non applicati come una toppa. Ecco cosa fa AgentUI su ogni progetto, su tutti i piani a pagamento:
Log di audit completi. Ogni generazione, modifica, rilascio e accesso ai dati, registrato con autore, timestamp e IP — esportabile su Splunk, Datadog o S3, senza costi aggiuntivi.
Scansione automatica del codice. Ventidue regole di sicurezza su cinque categorie, basate su Semgrep. I risultati critici bloccano il rilascio. Un punteggio di sicurezza per progetto (0–100, voto A–F) aggregato in una dashboard a livello aziendale.
Separazione degli ambienti. Dev, staging e produzione separati, con un passaggio di approvazione per promuovere le modifiche, produzione bloccata per impostazione predefinita e rollback immediato.
Mascheramento dei dati lato server. Email, numeri di telefono e codici identificativi mascherati a livello di dati, non di interfaccia, con smascheramento per ruolo e ogni accesso registrato.
Conformità di base. SOC 2 Type II, pronto per il GDPR, supporto HIPAA con BAA firmabile e residenza regionale dei dati tra Stati Uniti, UE, Regno Unito e Australia.
La vera alternativa al vibe coding non è "niente AI"
Alcune organizzazioni, scottate da incidenti di governance con app generate dall'AI, hanno reagito bloccando del tutto gli strumenti di AI. È la conclusione sbagliata.
Il vantaggio di velocità è reale. I guadagni di produttività sono reali. Team che aspettavano mesi la disponibilità degli sviluppatori oggi mettono online un gestionale funzionante in un pomeriggio. Non devi rinunciare a quei vantaggi per avere i controlli: scegli una piattaforma che ti dia entrambe le cose.
Il confronto giusto non è "vibe coding contro sviluppo tradizionale". È "AI senza governance contro AI con governance".
AI senza governance: rapida da rilasciare, costosa da spiegare agli auditor, disastrosa quando qualcosa va storto.
AI con governance: altrettanto rapida da rilasciare — a costruire è sempre l'AI — e puoi spiegare ogni decisione al team di sicurezza, al responsabile compliance e al CISO senza mettere insieme un report di corsa la sera prima dell'audit.
Il calcolo economico non è complicato. Il costo di un fallimento di governance — una sanzione, una violazione dei dati, un rilievo in audit, clienti persi — è molto più alto del costo di una piattaforma che i controlli li aveva dentro fin dall'inizio. La domanda non è se puoi permetterti la governance. È se puoi permetterti di lavorare senza.
Cosa fare subito
Se il tuo team usa strumenti di vibe coding in produzione senza controlli di governance, ecco da dove partire concretamente:
- Fai l'inventario delle applicazioni generate dall'AI. Scopri cosa esiste, chi l'ha costruito e quali dati tocca.
- Valuta la copertura di audit. Per ogni app: se qualcosa si rompe o un'autorità chiede conto, riesci a ricostruire cosa è cambiato e quando?
- Verifica la separazione degli ambienti. C'è una distinzione reale tra l'ambiente di test e la produzione? C'è un passaggio di revisione prima che il codice vada live?
- Mappa l'esposizione dei dati. Quali app toccano dati personali, finanziari o regolamentati? Quei campi sono mascherati lato server?
- Controlla la copertura della scansione del codice. Il codice generato dall'AI viene analizzato per cercare vulnerabilità prima del rilascio, o stai semplicemente credendo sulla parola al modello?
Se non riesci a rispondere di sì a quasi tutte, la distanza tra quanto vibe coding usi e quanta governance hai è un rischio che stai già portando addosso — e la data di applicazione dell'AI Act europeo, agosto 2026, non è una data flessibile.
Domande frequenti
Che cos'è il vibe coding?
Il vibe coding è la pratica di generare software descrivendo a parole quello che si vuole e lasciando che i modelli di AI trasformino quella descrizione in codice funzionante, configurazione e logica applicativa. Il termine è stato coniato da Andrej Karpathy a febbraio 2025. L'adozione nelle aziende è cresciuta del 340% tra il 2024 e l'inizio del 2026.
Usare l'AI per costruire app crea rischi di sicurezza?
Sì, e in misura rilevante. Il codice generato dall'AI ha un tasso di vulnerabilità 2,74 volte più alto del codice scritto da persone quando viene rilasciato senza controlli di governance, e le vulnerabilità XSS compaiono nell'86% dei campioni di codice generato dall'AI valutati sui modelli principali. Sono rischi gestibili con una scansione del codice e una revisione di sicurezza adeguate — ma quella scansione deve esistere prima del rilascio, non dopo.
Cosa significa governance aziendale per chi costruisce app con l'AI?
Come minimo: log di audit (chi ha fatto cosa e quando), separazione degli ambienti (sviluppo, staging, produzione), scansione automatica della sicurezza del codice, controllo degli accessi per ruolo applicato a livello di dati e un processo documentato di approvazione dei rilasci. Sono i controlli che gli auditor cercano per SOC 2, HIPAA, ISO 27001 e — da agosto 2026 — per le valutazioni dell'AI Act europeo.
AgentUI è conforme a SOC 2?
Sì. AgentUI è conforme SOC 2 Type II e pronto per il GDPR, con supporto HIPAA e BAA disponibile. La residenza regionale dei dati copre Stati Uniti, UE, Regno Unito e Australia. Crittografia AES-256 a riposo, TLS 1.3 in transito e isolamento di calcolo, archiviazione e rete per ogni cliente.
Quanto velocemente si costruisce con AgentUI?
Una prima versione funzionante richiede in genere circa 30 minuti. Una versione pronta per la produzione arriva più o meno in una settimana. Quei tempi includono già i controlli di governance — log di audit, separazione degli ambienti, scansione di sicurezza — attivi per impostazione predefinita, senza configurazioni aggiuntive.
Posso sostituire i miei strumenti di vibe coding con AgentUI?
AgentUI è pensato come sostituto completo dello sviluppo di app con l'AI senza governance in contesti aziendali. Ottieni lo stesso vantaggio di velocità, con i controlli di governance inclusi in ogni piano: si parte da 25 $ al mese con Solo, 49,99 $ al mese con Builder e 99,99 $ al mese con il piano Team fino a 10 membri.
Inizia a costruire i gestionali della tua azienda come si deve. Senza carta di credito.
Prova AgentUI gratis — costruisci con l'AI, con la governance che serve alle aziende.