Code généré par IA : risques et bonnes pratiques pour l'entreprise
Depuis 2024, une déferlante d'outils — Lovable, Bolt, v0, Replit Agent ou encore Cursor Composer — rend accessible à n'importe qui le montage, en quelques heures, d'une application web fonctionnelle. Le discours marketing agite l'étendard du "vibe coding" et promet de démocratiser le développement.
La promesse n'est pas creuse. Ces solutions bluffent et trouvent légitimement leur place dans le décor de 2026. Reste un fossé entre ce qu'elles produisent et les exigences d'un projet d'entreprise : sécurité, conformité, robustesse, maintenabilité. Dans cet article, je détaille leurs points forts, l'endroit précis où elles cèdent, et pourquoi l'expertise humaine n'a jamais autant compté.
Ce que ces outils font vraiment bien
Rendons d'abord à César ce qui lui appartient. Ces solutions transforment pour de bon certains usages, et il m'arrive moi-même d'y recourir lorsque le contexte le justifie.
Prototypage rapide
Une application à présenter à un investisseur, à éprouver auprès d'une dizaine de personnes, à confirmer avant de débloquer un budget : Lovable ou Bolt sortent en 2 à 4 heures ce qui exigerait 1 à 2 semaines à un développeur en mode traditionnel. L'économie de temps est concrète et parfaitement assumable, à condition de savoir d'avance que le code partira à la poubelle une fois la validation faite.
Outils internes sans enjeu critique
Un formulaire de saisie, un tableau de bord maison, un petit convertisseur, un outil RH manipulé par une vingtaine de collaborateurs. Le risque sécuritaire reste contenu, les données ne quittent pas l'entreprise et l'imperfection se tolère sans drame. Dans ces situations, l'heure gagnée grâce à l'IA dépasse largement la dette technique accumulée.
Squelette de projet pour développeur
Un développeur chevronné peut s'appuyer sur Bolt ou Cursor pour faire éclore l'amorce d'un projet (arborescence, configuration, dépendances), puis le reprendre entièrement à la main. Le bénéfice reste modéré (de l'ordre de 10 à 25 %) mais bien réel : il évite la corvée répétitive du paramétrage de départ.
Exploration technique
Essayer une bibliothèque inconnue, dégrossir le branchement d'une API, esquisser un algorithme : la boucle d'itération avec une IA va plus vite que la documentation seule. C'est précisément dans ce registre que je m'en sers au quotidien.
Les failles de sécurité documentées
Loin d'être un jugement de valeur, le constat repose sur des données. Plusieurs travaux indépendants ont mesuré les vulnérabilités intrinsèques du code produit par IA. Les chiffres ci-dessous proviennent d'analyses de sécurité conduites par des chercheurs et des cabinets spécialisés entre 2025 et le début 2026.
(CVE-2025-48757, scan mai 2025)
(Veracode 2025)
(audit DEV Community sur 50 apps, 2025)
(The Register, fév. 2026)
CVE-2025-48757 : 170 applications Lovable exposées
Divulguée le 29 mai 2025 par le chercheur Matt Palmer au terme d'un processus de signalement coordonné de 45 jours. 170 applications Lovable, pourtant vitrines de la plateforme, laissaient fuir des données confidentielles de leurs utilisateurs : identités, courriels, numéros de téléphone, coordonnées bancaires, clés d'API de services IA payants, jetons Google Maps.
Rapporté à l'échantillon de 1 645 applications passées au crible, ce volume avoisine les 10 %. À l'origine du problème : 303 points d'accès Supabase acceptaient les requêtes sans contrôler les droits, faute d'un Row Level Security paramétré comme il faut.
45% du code AI-généré échoue aux tests de sécurité
La référence, ici, c'est le Veracode 2025 GenAI Code Security Report, l'enquête systématique la plus vaste menée jusqu'à présent. Plus d'une centaine de modèles soumis à 80 exercices de codage répartis sur 4 langages (Java, JavaScript, Python, C#). 45 % des fragments de code embarquaient au moins une faille du top 10 OWASP : XSS, clés d'API en dur, injections SQL, authentification non vérifiée. Côté Java, la proportion d'échecs grimpe jusqu'à 72 %.
89% des apps Lovable auditées avec une RLS défaillante
Dans Supabase, le Row Level Security est le garde-fou qui interdit à un utilisateur de consulter ou d'altérer les données d'un autre. Sa mise en place est manuelle, table après table. D'après un audit indépendant paru sur DEV Community en 2025 (Tomer Goldi, examen de 50 applications Lovable en production), 89 % des applications présentent au moins une table dont la RLS est mal réglée ou tout bonnement coupée. Il suffit alors d'un compte authentifié et d'une requête élémentaire pour aspirer l'intégralité de la base.
Février 2026 : 18 697 utilisateurs exposés sur une seule app
En décortiquant une application vedette de la page Discover de Lovable, le chercheur Taimur Khan a relevé 16 vulnérabilités, dont 6 jugées critiques. La fuite a touché 18 697 enregistrements d'utilisateurs : 14 928 adresses e-mail uniques, des identifiants étudiants, des comptes professionnels et plusieurs centaines de profils d'identité complets. L'affaire a été relayée par The Register le 27 février 2026. L'application tournait en production depuis déjà plusieurs mois.
Pourquoi ça arrive
Un modèle de langage produit, en moyenne, du code qui "a l'air" juste. Face aux schémas de sécurité (RLS, CSRF, CORS, assainissement des entrées), il tombe statistiquement juste mais reste naïf sur le fond. Il ne raisonne pas sur la surface d'attaque. Il ignore le contexte métier qui détermine ce qui relève du sensible. Résultat : le code valide les tests fonctionnels et trébuche sur les tests de sécurité.
Les sollicitations affluent : des entreprises me confient une application montée sur Lovable ou Bolt qu'elles veulent basculer en production. J'y retrouve, sans exception, le même trio de failles : des données utilisateurs accessibles sans aucun filtre, des clés d'accès affichées en clair dans le code, et pas la moindre ligne de test automatisé. Le temps grappillé au départ se règle toujours à l'arrivée, et c'est moi qu'on appelle pour réparer et verrouiller.
Driss Redouane, expert web indépendant — ReydenWeb
Au-delà de la sécurité : les autres dettes invisibles
La sécurité occupe le devant de la scène médiatique, mais elle ne résume pas le sujet. Un code sorti d'une IA débarque le plus souvent amputé de plusieurs strates pourtant tenues pour acquises dans un projet professionnel.
Conformité RGPD
En Europe, tout site ou application traitant des données personnelles doit embarquer : un bandeau de consentement aux cookies, une politique de confidentialité en règle, un registre des traitements, des dispositifs d'effacement des données (droit à l'oubli) et un encadrement des sous-traitants. Rien de tout cela ne sort spontanément d'une IA. Sur une application Lovable type, aucune de ces obligations n'est présente, pas même une ligne.
Accessibilité RGAA et RAWeb
Depuis juin 2025, dans la foulée de l'European Accessibility Act, les entreprises privées d'Europe sont tenues à des obligations d'accessibilité numérique (RGAA en France, RAWeb au Luxembourg). Un code issu d'une IA ne satisfait les 106 critères RGAA ou les 136 critères RAWeb que par pur hasard : contrastes trop faibles, étiquettes manquantes, navigation au clavier rompue, focus invisible, ARIA détourné de son usage. À ce jour, je n'ai jamais réceptionné un projet Lovable ou Bolt conforme RGAA sans une reprise manuelle conséquente.
Tests automatisés
Un code de production digne de ce nom s'accompagne de tests unitaires, de tests d'intégration et parfois de tests de bout en bout. Ce filet de sécurité autorise à retoucher le code sans briser ce qui marchait déjà. Or les générateurs d'applications par IA n'en produisent quasiment aucun. Sans eux, chaque évolution se transforme en pari.
Observabilité et monitoring
En production, il faut pouvoir repérer la chute d'un service, la requête qui s'éternise sur 10 secondes, le nombre d'erreurs déclenchées par heure. Cela suppose des journaux structurés, des métriques et des alertes correctement paramétrés. L'IA n'engendre pas ces couches. Sur une application Lovable laissée sans instrumentation, l'incident se découvre trois jours plus tard, par le coup de fil d'un client mécontent.
Architecture et évolutivité
Un prompt accouche d'un code qui fait l'affaire pour le besoin formulé. Il n'anticipe pas ce que deviendra l'application avec 10 000 utilisateurs plutôt que 10, le jour où il faudra ajouter une langue ou raccorder un CRM tiers. Chaque nouvelle fonctionnalité greffée sur une base générée par IA tient de la partie de Jenga : impossible de prédire si la pièce suivante fera s'écrouler l'édifice.
CI/CD et déploiement reproductible
Des plateformes comme Lovable hébergent l'application directement, mais sur leur propre infrastructure, dans un cadre peu maîtrisable. Dès qu'il s'agit d'en sortir (héberger chez soi, viser la haute disponibilité, monter en charge horizontalement), on s'aperçoit qu'il n'existe aucune chaîne de déploiement, que les variables d'environnement sont mal tenues et que les migrations de base de données ne sont pas versionnées.
Quand c'est OK d'utiliser ces outils
Voici une grille de lecture sans complaisance. Si l'ensemble des points ci-dessous se vérifie, foncez sans état d'âme.
- Il s'agit d'une maquette, d'une preuve de concept ou d'une démo destinée à être jetée
- Aucune donnée personnelle sensible n'entre en jeu
- L'application n'est ni facturée ni vitale pour vos clients
- L'audience visée reste réduite (moins de 50 personnes)
- Le code pourra être abandonné d'ici 3 à 6 mois sans dommage
- Aucun paiement ni branchement bancaire n'est en cause
Qu'un seul de ces points vienne à basculer et le code mérite un œil expert avant la moindre mise en ligne.
Quand il faut un expert avant la mise en ligne
Passons aux situations où un code généré par IA, mis en service sans relecture experte, expose à un danger réel : juridique, financier, réputationnel ou sécuritaire.
- Le projet manipule des données personnelles de clients ou d'utilisateurs
- Des paiements interviennent, ne serait-ce que via Stripe ou PayPal embarqué
- L'application s'adresse au grand public ou dépasse les 100 utilisateurs
- Des identifiants ou mots de passe sont conservés
- La conformité RGAA ou RGPD est exigée
- Des connexions à des systèmes tiers existent (CRM, ERP, API métier)
- La disponibilité du service pèse sur l'activité
- Le code est appelé à vivre et évoluer sur plusieurs années
- La réputation de la marque tient à la fiabilité de l'application
Comment j'utilise l'IA chez ReydenWeb
L'IA tient une place dans ma boîte à outils quotidienne depuis 2023. Mon parti pris : repérer où elle fait réellement gagner du temps et où elle introduit des risques techniques pour le projet.
Dans mes projets clients
Je m'appuie sur Claude Code, Cursor et Copilot pour amorcer des squelettes, rédiger des tests, produire la documentation technique ou débroussailler un débogage. J'estime le temps économisé entre 10 et 20 % sur la production, davantage encore sur les tâches répétitives. Chaque ligne franchit toutefois une relecture humaine et passe mes propres exigences de sécurité avant tout déploiement.
Je ne prescris pas ce que je ne maîtrise pas
Je n'emploie ni Lovable, ni Bolt, ni v0 pour fabriquer du code client. Ce n'est pas une posture dogmatique : ma responsabilité est de livrer un code que je comprends, que je sécurise et que je peux entretenir sur plusieurs années. En parallèle, j'audite et je reprends régulièrement des bases produites par ces outils — c'est ce qui me permet d'en cartographier précisément les angles morts et d'épauler ceux qui ont démarré dessus.
Audit de code IA existant
De plus en plus d'entreprises me sollicitent avec une application déjà bâtie sur Lovable ou Bolt qu'il faut faire passer en production. Mon audit englobe : recherche des failles de sécurité (top 10 OWASP), paramétrage de la RLS côté base, contrôle RGPD, mise en conformité RGAA, ajout de tests et bascule vers une infrastructure sous contrôle. Enveloppe habituelle : de 3 000 € à 15 000 € selon le périmètre.
Développement sur base IA
Quand un client souhaite démarrer vite à partir d'une base générée, je récupère le code, je l'audite et j'érige la vraie application par-dessus. La formule revient souvent moins cher qu'un développement reparti de zéro. Enveloppe habituelle : de 10 000 € à 40 000 € selon la complexité.
À découvrir également
Prix d'un site internet en 2026
Grilles de budget chiffrées, facteurs qui alourdissent réellement la note, et pourquoi tout se joue sur la maintenance.
Automatisation et IA pour les PME
Exemples d'IA réellement déployée, retour sur investissement chiffré, et quatre approches pour protéger les données sans sortir du cadre légal.
Accessibilité : la checklist RGAA et RAWeb
Ce qu'imposent le RGAA et l'EAA depuis juin 2025, les amendes encourues, les contrôles à mener — et tout ce qu'une appli Lovable laisse de côté.
Bien choisir son prestataire web
Les bonnes interrogations pour jauger la solidité technique d'un prestataire, jusqu'à sa façon de manier l'IA.
Questions fréquentes
Une app générée par IA à sécuriser ?
Parlons-en.
