# Vibe coding w firmie: rewolucja czy technologiczna pułapka?

Autor: Michał Molenda  
Data: 2026-11-04 10:41:44

[Oryginalny artykuł](https://www.michalmolenda.pl/blog/vibe-coding-w-firmie-szansa-czy-pulapka)

Vibe coding w firmie: szybki prototyp, MVP i narzędzia wewnętrzne – tak. Produkcja bez nadzoru – nie. Sprawdź, gdzie leży granica i jak ją ustawić.

Vibe coding w firmie bywa i rewolucją, i pułapką. Rewolucją jest przy prototypach, MVP i prostych narzędziach wewnętrznych, a pułapką staje się wtedy, gdy aplikacja zbudowana „na wyczucie” trafia do klientów bez kontroli technicznej. Decyduje nie narzędzie, tylko to, jakie dane aplikacja przetwarza i kto sprawdził jej kod przed wdrożeniem.

> **W skrócie**
> 
> Vibe coding w firmie sprawdza się w prototypach, MVP i narzędziach wewnętrznych bez wrażliwych danych. Na produkcji, gdzie są klienci, dane osobowe i płatności, wymaga przeglądu kodu przez inżyniera, testów i osoby, która odpowiada za utrzymanie. Termin pochodzi od Andreja Karpathy’ego (2 lutego 2025).

Piszę jako programista PHP (Symfony, Laravel), który migruje i utrzymuje aplikacje firmowe, a na co dzień pracuje z Claude Code i Codexem. Ten tekst daje Ci kryterium decyzji: gdzie vibe coding może działać swobodnie, gdzie potrzebuje nadzoru, a gdzie nie powinien się pojawiać bez inżyniera. Dane i przepisy: stan na 04.11.2026.

## Czym jest vibe coding (w 3 zdaniach)

Vibe coding to tworzenie oprogramowania przez opisywanie sztucznej inteligencji zwykłym językiem, czego chcesz, i akceptowanie wygenerowanego kodu bez jego czytania. Termin wprowadził Andrej Karpathy we [wpisie na X z 2.02.2025](https://x.com/karpathy/status/1886192184808149383), w którym sam zaznaczył, że to podejście „nie jest takie złe przy jednorazowych projektach na weekend” („throwaway weekend projects”), a [Collins Dictionary 6.11.2025](https://blog.collinsdictionary.com/language-lovers/collins-word-of-the-year-2025-ai-meets-authenticity-as-society-shifts/) wybrał „vibe coding” słowem roku 2025. Jak taka praca wygląda od środka, opisałem w tekście [jak działa vibe coding krok po kroku](https://michalmolenda.pl/blog/najlepsze-praktyki-vibe-coding-dla-programistow), a tutaj zajmuję się tylko tym, co to oznacza dla firmy.

### Vibe coding a programowanie z AI pod nadzorem

Vibe coding różni się od programowania z AI pod nadzorem tym, czy ktoś rozumie i sprawdza kod przed użyciem. Rok po wprowadzeniu terminu Karpathy zaproponował dla profesjonalnej pracy z agentami AI osobną nazwę, „agentic engineering”, bo – jak napisał – „jest w tym sztuka, nauka i wiedza ekspercka” (relacja [Business Insider z 8.02.2026](https://www.businessinsider.com/agentic-engineering-andrej-karpathy-vibe-coding-2026-2)). Brytyjskie [NCSC we wpisie z 18.06.2026](https://www.ncsc.gov.uk/blogs/the-vibe-coding-spectrum-approach-to-ai-assisted-software-development) opisuje to jako spektrum: od ręcznego pisania z podpowiedziami AI, przez obszar pośredni, po pełny vibe coding bez czytania kodu.

Przykład AI z nadzorem to [aktualizacja PHP w firmie z pomocą AI](https://michalmolenda.pl/blog/aktualizacja-php-w-firmie-ryzyko-koszt-i-jak-pomaga-ai): agent przygotowuje plan i poprawki, ale plan weryfikuje człowiek, a zmiany przechodzą przez testy. Różnice ról opisałem w porównaniu [architekt oprogramowania a vibe coder](https://michalmolenda.pl/blog/czym-sie-rozni-architekt-programowania-od-vibe-codera-analiza).

### Vibe coding a no-code

Vibe coding i no-code obiecują aplikację bez programisty, ale działają inaczej: no-code daje gotowe klocki jednej platformy, a vibe coding generuje prawdziwy kod, który może zrobić prawie wszystko, także to, czego nikt nie zamawiał. Granica się zaciera: według współzałożyciela Lovable, cytowanego przez [TechCrunch 24.09.2026](https://techcrunch.com/2026/09/24/lovables-annualized-revenue-crosses-600m-as-vibe-coding-takes-off/), platforma zajmuje się też hostingiem, wdrażaniem i skalowaniem tworzonych w niej aplikacji. Szersze porównanie znajdziesz w tekście [czy można dziś zbudować aplikację bez programisty](https://michalmolenda.pl/blog/czy-mozna-dzis-zbudowac-aplikacje-bez-programisty).

## Dlaczego to nie moda: skala zjawiska w liczbach

Vibe coding to nie moda, bo stoją za nim setki milionów dolarów przychodów i wyceny w miliardach, choć zawodowcy korzystają z niego ostrożniej, niż sugerują nagłówki. Stan na 04.11.2026:

- **Lovable:** roczny run-rate przychodów przekroczył 600 mln USD, jak podał współzałożyciel spółki w relacji [TechCrunch z 24.09.2026](https://techcrunch.com/2026/09/24/lovables-annualized-revenue-crosses-600m-as-vibe-coding-takes-off/). To deklaracja firmy, nie audytowane dane.
- **Replit:** według [TechCrunch z 11.03.2026](https://techcrunch.com/2026/03/11/replit-snags-9b-valuation-6-months-after-hitting-3b/) spółka pozyskała 400 mln USD przy wycenie 9 mld USD.
- **Y Combinator:** w roczniku W25 co czwarty startup miała kod w 95% wygenerowany przez AI, ale – jak zaznaczył partner YC Jared Friedman w relacji [TechCrunch z 6.03.2025](https://techcrunch.com/2025/03/06/a-quarter-of-startups-in-ycs-current-cohort-have-codebases-that-are-almost-entirely-ai-generated/) – ich założyciele byli „highly technical”.

Kontrapunkt daje [Stack Overflow Developer Survey 2025](https://survey.stackoverflow.co/2025/ai): 84% programistów używa lub planuje używać narzędzi AI, ale 72% odpowiada, że vibe coding nie jest częścią ich pracy zawodowej, a kolejne 5% zaprzecza temu stanowczo. Profesjonaliści używają AI masowo, ale rzadko „bez patrzenia”.

## Rewolucja: gdzie vibe coding naprawdę wygrywa

Vibe coding wygrywa tam, gdzie liczy się szybkie sprawdzenie pomysłu, a błąd kosztuje niewiele. Czy vibe coding warto stosować w firmie? Tak, przede wszystkim w czterech sytuacjach opisanych niżej.

Kanadyjskie [Cyber Centre w wytycznych z 29.10.2026](https://www.cyber.gc.ca/en/guidance/managing-security-risks-vibe-coding-itsm60043) wymienia wśród korzyści szybsze tworzenie prototypów, krótsze cykle wytwarzania i łatwiejsze testowanie pomysłów, choć dodaje, że kod gotowy na produkcję nadal wymaga wiedzy technicznej.

### Prototyp i walidacja pomysłu w dni zamiast tygodni

Największa zaleta to czas: działający prototyp pokazujesz klientom albo zespołowi, zanim wydasz budżet na właściwy projekt, i sprawdzasz, czy ktoś w ogóle chce z tego korzystać.

NCSC (18.06.2026) uznaje proof-of-concept dla interesariuszy za zastosowanie o niskim ryzyku, w którym pełny vibe coding „często jest w porządku”. Prototyp ma odpowiedzieć na pytanie biznesowe, a potem zwykle trafia do kosza.

### MVP do pierwszych testów z użytkownikami

Vibe coding MVP pozwala sprawdzić, czy prawdziwi użytkownicy skorzystają z rozwiązania i za nie zapłacą, zanim zainwestujesz w pełny produkt. Więcej o samym pojęciu w tekście [MVP, czyli jak zweryfikować swoje założenia](https://michalmolenda.pl/blog/mvp-czyli-jak-zweryfikowac-swoje-zalozenia).

Uwaga: przy MVP z prawdziwymi użytkownikami pojawiają się konta i dane, więc ten etap leży już w żółtej strefie opisanej niżej. Jeśli chcesz MVP szybko, ale na fundamencie do dalszego rozwoju, zobacz [App Building](https://michalmolenda.pl/uslugi/app-building).

### Proste narzędzia wewnętrzne bez wrażliwych danych

Wewnętrzny kalkulator, generator raportu czy prosty panel dla zespołu to dobry teren dla vibe codingu, o ile nie dotykają danych klientów ani systemów krytycznych. NCSC (18.06.2026) wymienia narzędzia wewnętrzne o ograniczonym zasięgu, bez wrażliwych danych, wśród sytuacji, w których można iść w stronę pełnego vibe codingu.

Ryzyko jest tu organizacyjne: narzędzie, o którym wie tylko autor, z czasem staje się ważne dla działu, a nikt nie wie, gdzie działa i kto je poprawi.

### Lepsza rozmowa z zespołem IT

Klikalny prototyp jest lepszą specyfikacją niż dziesięć stron opisu, bo programista widzi, co masz na myśli, zamiast zgadywać. Prototyp staje się wtedy narzędziem komunikacji, a nie pierwszą wersją produktu: zespół IT traktuje go jako wzór i buduje aplikację tak, żeby dało się ją utrzymać.

## Pułapka: cztery rodziny ryzyk przy użyciu produkcyjnym

Pułapka zaczyna się wtedy, gdy kod, którego nikt nie czytał, obsługuje klientów, dane i pieniądze. Czy vibe coding jest bezpieczny? W prototypie zwykle tak, na produkcji bez kontroli technicznej nie, a ryzyka dla firmy układają się w cztery rodziny.

### Bezpieczeństwo i dane

Kod generowany przez AI nadal często zawiera podatności, nawet gdy działa. Według [Veracode z 29.10.2026](https://www.veracode.com/blog/fall-2026-genai-code-security/) w testach 18 modeli ok. 38% zadań kończyło się kodem ze znaną podatnością (wcześniej ok. 44%). To badanie producenta narzędzi bezpieczeństwa na krótkich zadaniach, nie pomiar prawdziwych aplikacji, ale wniosek Veracode jest jasny: wynik AI traktuj jako niezaufany.

Drugie ryzyko to zmyślone biblioteki: w badaniu z [USENIX Security 2025](https://arxiv.org/abs/2406.10279) średnio 19,7% pakietów polecanych przez 16 modeli w 576 tys. próbek nie istniało, a atakujący mogą rejestrować takie zmyślone nazwy (slopsquatting). Badano modele z 2024 roku, więc dziś odsetek może być niższy, ale Cyber Centre (29.10.2026) nadal zaleca zakaz samodzielnego instalowania pakietów przez agentów AI.

Jeśli nie wiesz, co siedzi w Twojej aplikacji z AI, zacznij od [audytu kodu](https://michalmolenda.pl/uslugi/audyt-kodu).

### Dług techniczny i utrzymanie

Dług techniczny vibe codingu polega na tym, że kod szybko rośnie, ale coraz trudniej go zrozumieć i zmienić. [GitClear w raporcie z 2025 roku](https://www.gitclear.com/ai_assistant_code_quality_2025_research/) pokazał, że w 211 mln zmienionych linii udział refaktoryzacji spadł z 25% (2021) do poniżej 10% (2024), a kodu kopiowanego wzrósł z 8,3% do 12,3%; to korelacja z erą asystentów AI, nie dowód, że to AI jest przyczyną.

Każda aplikacja wymaga aktualizacji, kopii zapasowych i monitoringu, więc przed wdrożeniem ustal, kto będzie ją utrzymywał; co obejmuje taka opieka, opisałem w tekście [czy aplikację można zostawić bez opieki](https://michalmolenda.pl/blog/utrzymanie-aplikacji-czy-mozna-ja-zostawic-bez-opieki).

### Odpowiedzialność i własność kodu

Narzędzie AI nie bierze odpowiedzialności za kod: kanadyjskie Cyber Centre (29.10.2026) zaznacza, że AI generuje kod, ale to użytkownik odpowiada za kierowanie pracą i sprawdzenie wyników. Kto się pod nim podpisuje i co wpisać do umowy, opisałem w tekście [odpowiedzialność za kod AI: kto się pod nim podpisze](https://michalmolenda.pl/blog/odpowiedzialnosc-za-kod-ai-kto-sie-pod-nim-podpisze).

### Zależność od platformy i jednej osoby

Gdy aplikacja zależy od jednej platformy albo jednej osoby, każda zmiana po tamtej stronie staje się Twoim problemem. Według [Wiz z 29.07.2025](https://www.wiz.io/blog/critical-vulnerability-base44) jedna luka w platformie Base44 pozwalała założyć konto w prywatnych aplikacjach zbudowanych na tej platformie, znając tylko ich publiczny identyfikator; Wix naprawił ją w mniej niż 24 godziny i nie znalazł dowodów nadużycia. Zmienia się też własność narzędzi: [Cursor od 14.08.2026](https://cursor.com/blog/joining-spacex) należy do SpaceX, a zmiana właściciela może zmienić warunki i kierunek rozwoju usługi.

Jeśli aplikację rozumie tylko jeden pracownik, zobacz tekst [co się stanie, jeśli jutro odejdzie jedyny programista](https://michalmolenda.pl/blog/co-sie-stanie-jesli-jutro-odejdzie-jedyny-programista).

Pełną listę znajdziesz w tekście [10 zagrożeń vibe codingu, o których CEO powinien wiedzieć](https://michalmolenda.pl/blog/10-zagrozen-vibe-codingu-o-ktorych-ceo-powinien-wiedziec-przed-wdrozeniem-aplikacji), a szczegóły techniczne w tekście [dlaczego aplikacja działająca na demo bywa niebezpieczna](https://michalmolenda.pl/blog/vibe-coding-dlaczego-aplikacja-dzialajaca-na-demo-moze-byc-niebezpieczna-dla-firmy).

## Trzy incydenty, które warto znać (i czego uczą)

Trzy dobrze opisane incydenty z 2025 roku uczą, że problemem rzadko jest samo AI, a częściej brak hamulców wokół niego.

| Data | Co się stało | Wniosek dla firmy | Status |
|---|---|---|---|
| Lipiec 2025 | Według relacji Jasona Lemkina (SaaStr) opisanej przez [The Register 21.07.2025](https://www.theregister.com/software/2025/07/21/vibe-coding-service-replit-deleted-production-database/719783), agent AI w Replit usunął produkcyjną bazę mimo zamrożenia zmian. | Agent miał dostęp do produkcji bez rozdziału środowisk i bez człowieka zatwierdzającego zmiany. | Rollback zadziałał, dane odzyskano; CEO Replit zapowiedział automatyczny rozdział baz testowych i produkcyjnych ([Fortune, 23.07.2025](https://fortune.com/2025/07/23/ai-coding-tool-replit-wiped-database-called-it-a-catastrophic-failure/)). |
| Marzec–maj 2025 | Według odkrywcy, [Matta Palmera (29.05.2025)](https://mattpalmer.io/posts/2025/05/statement-on-CVE-2025-48757/), skan z 21.03.2025 wykazał niewłaściwe zasady dostępu do bazy (RLS w Supabase) w 170 z 1 645 aplikacji z Lovable (ok. 10,3%), co mogło wystawiać dane bez logowania (CVE-2025-48757). | Działający interfejs nie oznacza poprawnych uprawnień w bazie. | Odkrywca pracował wtedy w Replit, konkurencie Lovable; stan na 2026 nieznany. |
| Lipiec 2025 | Według [Wiz (29.07.2025)](https://www.wiz.io/blog/critical-vulnerability-base44) luka w Base44 (Wix) pozwalała obejść uwierzytelnianie w prywatnych aplikacjach na platformie. | Luka platformy dotyczy naraz wszystkich zbudowanych na niej aplikacji. | Naprawiona w mniej niż 24 h; Wix: brak dowodów nadużycia. |

Platformy różnie dzielą odpowiedzialność za bezpieczeństwo między siebie a twórcę aplikacji, więc wybór narzędzia jest też decyzją o ryzyku.

## Gdzie postawić granicę: zielona, żółta i czerwona strefa

Granicę wyznacza stawka: im poważniejsze skutki błędu, tym więcej nadzoru człowieka. [NCSC (18.06.2026)](https://www.ncsc.gov.uk/blogs/the-vibe-coding-spectrum-approach-to-ai-assisted-software-development) ujmuje to tak: „Ryzyko nie leży w używaniu AI. Ryzyko to brak odpowiednich zabezpieczeń, gdy stawka jest wysoka”.

[Cyber Centre w ITSM.60.043 z 29.10.2026](https://www.cyber.gc.ca/en/guidance/managing-security-risks-vibe-coding-itsm60043) idzie krok dalej: zaleca unikać vibe codingu, gdy w grę wchodzą wrażliwe informacje albo gdy luka miałaby poważne konsekwencje. Zaleca też, by wykwalifikowany programista sprawdził i zatwierdził kod przed wdrożeniem, a testy odbywały się w odizolowanym środowisku. Poniższa tabela to moje przełożenie obu dokumentów na trzy strefy; żaden z nich nie używa kolorów.

| Strefa | Przykłady | Co wolno | Jaki nadzór |
|---|---|---|---|
| **Zielona** | Prototyp, demo dla zarządu lub inwestora, narzędzie wewnętrzne bez danych wrażliwych | Pełny vibe coding, szybkie iteracje, kod „na wyrzucenie” | Właściciel wie, że narzędzie istnieje; zero danych klientów, haseł i kluczy w środku |
| **Żółta** | MVP z prawdziwymi użytkownikami, integracje z systemami firmy, dane firmowe | AI pisze dużą część kodu, ale człowiek trzyma architekturę | Przegląd kodu przez inżyniera przed wdrożeniem, osobne środowisko testowe, kopie zapasowe |
| **Czerwona** | Dane osobowe klientów, płatności, logowanie i uprawnienia, systemy krytyczne dla firmy | AI jako asystent programisty, nie autor bez nadzoru; pełny vibe coding odpada | Kod rozumiany, sprawdzony pod kątem podatności i zatwierdzony przez wykwalifikowanego człowieka |

Strefę wyznacza najbardziej ryzykowny element: wewnętrzny panel, który wysyła dane klientów do zewnętrznej usługi, nie jest zieloną strefą, nawet jeśli używają go trzy osoby.

![](https://www.michalmolenda.pl/upload/vibe-coding-w-firmie-szansa-czy-pulapka-infografika.png)

## Moment, w którym prototyp staje się produktem

Prototyp staje się produktem, gdy od jego działania zaczyna zależeć ktoś spoza zespołu, który go zbudował. Nikt tego nie ogłasza, więc obserwuj sygnały:

- pojawia się pierwszy płacący klient;
- aplikacja przechowuje dane osobowe;
- łączy się z systemem firmy, np. księgowością, CRM albo sklepem;
- korzysta z niej więcej niż kilka osób.

Przy choć jednym sygnale aplikacja z AI na produkcję wchodzi w żółtą albo czerwoną strefę i trzeba zdecydować: rozwijać prototyp czy przepisać go, traktując jako wzór. To temat na osobny tekst.

Jeśli prototyp już działa u klientów i nie wiesz, w jakim jest stanie, pomogę w ramach [ratowania projektów IT](https://michalmolenda.pl/uslugi/ratowanie-projektow-it).

### Checklista „zanim puścisz aplikację z AI na produkcję”

Zanim puścisz aplikację z AI na produkcję, upewnij się, że każdy z ośmiu punktów ma odpowiedź „tak”:

1. **Przegląd kodu:** inżynier, który nie budował aplikacji, przeczytał i zatwierdził kod.
2. **Rozdział środowisk:** testy idą na kopii, nie na produkcyjnej bazie.
3. **Kopie i test odtworzenia:** kopie istnieją i ktoś sprawdził, że da się z nich odtworzyć dane.
4. **Sekrety poza kodem:** hasła, klucze API i tokeny nie leżą w kodzie ani w repozytorium.
5. **Uprawnienia:** użytkownik widzi tylko swoje dane, a zasady dostępu w bazie (np. RLS) są sprawdzone, nie tylko włączone.
6. **Kto odpowiada:** wiadomo, kto podpisuje się pod wdrożeniem.
7. **Kto utrzymuje:** wiadomo, kto aktualizuje, monitoruje i naprawia aplikację.
8. **Plan wyjścia z platformy:** wiesz, jak wyeksportować kod i dane, jeśli platforma zmieni warunki.

## Jak wprowadzić vibe coding do firmy bezpiecznie

Bezpiecznie wprowadzisz vibe coding do firmy, jeśli najpierw spiszesz na jednej stronie cztery zasady:

- **Kto może używać:** które osoby i do jakich zadań (na start zielona strefa).
- **Jakich danych nie wklejać:** danych osobowych klientów, haseł, kluczy ani tajemnic firmy do niezatwierdzonych narzędzi; Cyber Centre (29.10.2026) zaleca też sprawdzić, czy dostawca może trenować modele na Twoich danych.
- **Kto zatwierdza wdrożenie:** wszystko spoza zielonej strefy przechodzi przez jedną wskazaną osobę techniczną.
- **Gdzie trzymać kod:** w repozytorium firmy, nie na prywatnym koncie pracownika.

**Stan prawny na 04.11.2026.** Nowelizacja ustawy o krajowym systemie cyberbezpieczeństwa ([Dz.U. 2026 poz. 252](https://eli.gov.pl/eli/DU/2026/252)) obowiązuje od 3.04.2026 i dotyczy podmiotów kluczowych i ważnych, a Cyber Resilience Act od [11.09.2026](https://digital-strategy.ec.europa.eu/en/policies/cra-reporting) wymaga od producentów produktów z elementami cyfrowymi zgłaszania aktywnie wykorzystywanych podatności, z głównymi obowiązkami od [11.12.2027](https://digital-strategy.ec.europa.eu/en/policies/cyber-resilience-act). AI Act po zmianach z pakietu [AI Omnibus, w mocy od 27.07.2026](https://digital-strategy.ec.europa.eu/en/news/ai-omnibus-enters-force), stosuje zasady dla systemów wysokiego ryzyka od 2.12.2027 i 2.08.2028, a za bezpieczeństwo danych osobowych w aplikacji na gruncie RODO odpowiada firma jako administrator, nie dostawca narzędzia AI. Szerzej piszę o tym w tekście o [odpowiedzialności za kod AI](https://michalmolenda.pl/blog/odpowiedzialnosc-za-kod-ai-kto-sie-pod-nim-podpisze).

*To nie jest porada prawna. Ten fragment wymaga przeglądu przez prawnika, a ocenę Twojej sytuacji zostaw prawnikowi.*

### Kto powinien to nadzorować, gdy nie masz CTO

Gdy nie masz CTO, nadzór powinien sprawować doświadczony inżynier z zewnątrz, który zatwierdza wdrożenia z żółtej i czerwonej strefy. Czy możesz tę rolę wziąć na siebie, sprawdzisz w tekście [czy CEO może sam programować z AI](https://michalmolenda.pl/blog/czy-ceo-jest-w-stanie-sam-zajmowac-sie-programowaniem-z-ai). Taki nadzór w niepełnym wymiarze to model [Fractional CTO](https://michalmolenda.pl/uslugi/fractional-cto).

## Werdykt: rewolucja czy pułapka?

Jedno i drugie, a decyduje strefa. Vibe coding w firmie jest rewolucją w prototypach, demo i prostych narzędziach wewnętrznych, bo skraca drogę od pomysłu do decyzji. Staje się pułapką, gdy ten sam kod bez przeglądu trafia do klientów, danych osobowych i płatności. Nie musisz wybierać między szybkością a bezpieczeństwem, wystarczy dopasować nadzór do strefy.

Wszystkie teksty na ten temat znajdziesz pod tagiem [vibe coding](https://michalmolenda.pl/tag/vibe-coding). Co już opisałem:

| Jeśli chcesz wiedzieć… | Przeczytaj |
|---|---|
| jak wygląda praca z vibe codingiem krok po kroku | [Najlepsze praktyki vibe coding](https://michalmolenda.pl/blog/najlepsze-praktyki-vibe-coding-dla-programistow) |
| jakie są wszystkie zagrożenia | [10 zagrożeń vibe codingu dla CEO](https://michalmolenda.pl/blog/10-zagrozen-vibe-codingu-o-ktorych-ceo-powinien-wiedziec-przed-wdrozeniem-aplikacji) |
| dlaczego demo to nie produkcja | [Aplikacja działająca na demo](https://michalmolenda.pl/blog/vibe-coding-dlaczego-aplikacja-dzialajaca-na-demo-moze-byc-niebezpieczna-dla-firmy) |
| kto odpowiada za kod z AI | [Odpowiedzialność za kod AI](https://michalmolenda.pl/blog/odpowiedzialnosc-za-kod-ai-kto-sie-pod-nim-podpisze) |
| kto i jak ma utrzymywać aplikację | [Utrzymanie aplikacji](https://michalmolenda.pl/blog/utrzymanie-aplikacji-czy-mozna-ja-zostawic-bez-opieki) |

Nie wiesz, w której strefie jest Twoja aplikacja z AI? [Napisz do mnie](https://michalmolenda.pl/kontakt), a ustalimy, co sprawdzić najpierw.

## FAQ: vibe coding w firmie

### Co to jest vibe coding?

Vibe coding to tworzenie oprogramowania przez opisywanie AI zwykłym językiem, czego chcesz, i akceptowanie wygenerowanego kodu bez jego czytania. Termin wprowadził Andrej Karpathy 2.02.2025, pisząc o jednorazowych projektach na weekend. W firmie to podejście dobre do prototypu, ale nie do aplikacji dla klientów.

### Kto wymyślił termin vibe coding i kiedy?

Termin wymyślił Andrej Karpathy, współzałożyciel OpenAI, we wpisie na X z 2.02.2025. Collins Dictionary 6.11.2025 wybrał „vibe coding” słowem roku 2025. W lutym 2026 Karpathy zaproponował osobną nazwę, „agentic engineering”, dla profesjonalnej pracy z agentami AI, w której człowiek rozumie i kontroluje kod.

### Czy vibe coding jest bezpieczny dla firmy?

To zależy od tego, co budujesz. W prototypie bez wrażliwych danych ryzyko jest niskie. W aplikacji z danymi klientów, logowaniem czy płatnościami bez przeglądu kodu już nie: według Veracode z 29.10.2026 ok. 38% testowych zadań kończyło się kodem z podatnością. Nadzór dopasuj więc do stawki, jak zalecają NCSC i Cyber Centre.

### Czy do vibe codingu trzeba umieć programować?

Do zbudowania prototypu nie, i na tym polega siła vibe codingu. Do oceny, czy aplikacja jest bezpieczna i da się ją utrzymać, tak. Cyber Centre (29.10.2026) zauważa, że osoby z małym doświadczeniem mogą nie rozpoznać złożonych błędów, dlatego kod przed wdrożeniem powinien sprawdzić i zatwierdzić wykwalifikowany programista.

### Do czego vibe coding nadaje się w firmie, a do czego nie?

Nadaje się do prototypów, demo, testowania pomysłów i prostych narzędzi wewnętrznych bez wrażliwych danych. Do MVP z prawdziwymi użytkownikami i integracji potrzebuje przeglądu inżyniera i osobnego środowiska testowego. Nie nadaje się bez nadzoru do aplikacji z danymi osobowymi klientów, płatnościami, logowaniem i systemami krytycznymi dla firmy.

### Czy aplikację z Lovable, Bolt czy Replit można puścić na produkcję?

Można, ale dopiero po przeglądzie technicznym. Narzędzie generuje działający interfejs, ale nie gwarantuje poprawnych uprawnień, kopii zapasowych ani rozdziału środowisk. Pokazały to incydenty z 2025 roku: błędne zasady dostępu w aplikacjach z Lovable (CVE-2025-48757) i usunięta produkcyjna baza w Replit.

### Kto odpowiada za kod napisany przez AI?

Odpowiada firma, która go wdrożyła, a nie narzędzie, które go wygenerowało. Dlatego przed wdrożeniem trzeba wiedzieć, kto przeczytał kod, kto go zatwierdził i kto zareaguje na awarię. Szczegóły, w tym zapisy w umowie z wykonawcą i plan na awarię, opisałem w tekście o [odpowiedzialności za kod AI](https://michalmolenda.pl/blog/odpowiedzialnosc-za-kod-ai-kto-sie-pod-nim-podpisze).

### Czym vibe coding różni się od programowania z asystentem AI?

Poziomem nadzoru człowieka. W vibe codingu akceptujesz kod bez czytania i oceniasz tylko efekt na ekranie. W programowaniu z asystentem AI programista zleca konkretne zadania, przegląda zmiany i odpowiada za architekturę. NCSC (18.06.2026) opisuje to jako spektrum, po którym przesuwasz się zależnie od ryzyka.

### Co to jest dług techniczny w aplikacji z AI?

To koszt przyszłych zmian w kodzie, który rośnie szybciej, niż ktokolwiek go porządkuje. AI łatwo dopisuje nowy kod, ale rzadko upraszcza istniejący. GitClear w raporcie z 2025 roku odnotował spadek udziału refaktoryzacji z 25% do poniżej 10% w latach 2021–2024. To korelacja z erą asystentów AI, nie dowód przyczyny.

### Co zrobić, gdy mam już aplikację zrobioną w vibe codingu?

Najpierw ustal, w której strefie jest: jakie dane przetwarza, kto z niej korzysta i z czym jest połączona. Potem zleć przegląd kodu i konfiguracji, czyli audyt kodu. Na jego podstawie zdecydujesz, czy aplikację poprawić, czy przepisać. Jeśli już działa u klientów i sprawia problemy, pomoże ratowanie projektów IT.

### Czy vibe coding jest zgodny z RODO?

Samo narzędzie nie jest ani zgodne, ani niezgodne z RODO. Za dane osobowe w aplikacji odpowiada Twoja firma jako administrator, więc liczy się to, gdzie trafiają dane, kto ma do nich dostęp i jak są chronione. Więcej piszę w tekście o [odpowiedzialności za kod AI](https://michalmolenda.pl/blog/odpowiedzialnosc-za-kod-ai-kto-sie-pod-nim-podpisze). Konkretny przypadek oceń z prawnikiem.

### Czy mała firma może używać vibe codingu bez CTO?

Tak, w zielonej strefie: do prototypów, demo i prostych narzędzi wewnętrznych bez wrażliwych danych. Gdy aplikacja ma obsługiwać klientów, dane osobowe albo płatności, potrzebny jest ktoś techniczny, kto przejrzy kod i zatwierdzi wdrożenie. Nie musi to być etat: taką rolę pełni Fractional CTO w niepełnym wymiarze godzin.