Vibe coding en entreprise : pourquoi l’ouvrir à tous

Vos salariés construisent déjà des logiciels

La production de logiciel avait quitté la DSI bien avant les assistants de code. Une enquête Gartner estime que 41 % des salariés créent de la technologie ou de l’analytique en rapportant hors de l’informatique, et que 74 % des achats technologiques sont financés au moins en partie par des directions métier. Le tableur avait ouvert la voie il y a quarante ans, sans que personne n’appelle cela du développement.

L’enquête menée fin 2025 par Retool auprès de 817 personnes qui construisent des outils internes le confirme : 64 % d’entre elles ne sont pas ingénieurs : opérations, produit, données, marketing, finance. Et 60 % déclarent avoir construit quelque chose hors du regard de la DSI dans l’année, pour trois raisons : la vitesse (31 %), un besoin qu’aucun logiciel du marché ne couvre (25 %) et la lenteur des circuits internes (18 %). Ces trois raisons ne disparaîtront pas avec une note de service.

L’interdire ne fait pas disparaître la pratique, cela la rend invisible

Beaucoup d’entreprises ont tranché dans l’autre sens : une note de service, une liste d’outils bloqués, et le sujet est clos. Il ne l’est pas, il a seulement quitté le champ de vision de la DSI. Le Work Trend Index de Microsoft et LinkedIn, mené auprès de 31 000 salariés dans 31 pays, mesurait dès 2024 que 78 % des utilisateurs d’IA apportaient leurs propres outils au travail, et que 52 % hésitaient à reconnaître qu’ils s’en servaient pour leurs tâches les plus importantes. L’interdiction ne produit pas l’abstention, elle produit le silence.

Ce silence a un prix mesurable. Le rapport publié en février 2026 par Cyberhaven, qui observe les flux réels de données en entreprise, relève que 39,7 % des interactions avec un outil d’IA impliquent des données sensibles. Une part considérable passe par des comptes personnels sur lesquels l’entreprise n’a aucune prise : 32 % des usages de ChatGPT, 58 % de ceux de Claude, 61 % de ceux de Perplexity.

La comparaison honnête n’est donc pas « ouvrir » contre « ne rien faire », mais un usage encadré et journalisé contre un usage clandestin sur un compte personnel, dans lequel circulent les données de l’entreprise sans aucune trace en cas d’incident. C’est la logique du guide AI Coding Assistants de l’ANSSI et du BSI, qui recommande des comptes d’entreprise contrôlés plutôt que des usages personnels non déclarés.

Le chaos annoncé n’a pas lieu

L’objection se formule toujours en trois temps. Elle mérite trois réponses.

« On va se retrouver avec mille applications. » Il y aura beaucoup de petits outils, mais la plupart ne dépasseront pas le poste de leur auteur. Un script qui nettoie un export hebdomadaire relève d’un usage individuel, pas d’un logiciel à exploiter par l’entreprise. Le vrai enjeu est de repérer ceux qui gagnent à être partagés et accompagnés.

« Les gens ne pensent pas à la sécurité. » Les données disent l’inverse. Dans une enquête Gartner auprès de 2 820 salariés producteurs de technologie, 76 % estiment qu’il leur revient de s’assurer que leur travail est sécurisé et conforme, et quatre sur cinq préfèrent travailler avec la DSI plutôt que la contourner.

« Le code généré est truffé de failles. » C’est vrai et c’est mesuré : Veracode relève que 45 % des échantillons générés introduisent une vulnérabilité connue. Mais un tableau de bord qui lit un export anonymisé n’a pas le rayon d’impact d’un service exposé sur Internet. D’où le couloir : exécution isolée, données non sensibles, et contrôles renforcés au moment où l’outil en sort.

Ce qui se passe vraiment : ce qui marche se diffuse

Ces outils ne restent pas confinés. La même enquête Gartner montre que la moitié de ces salariés créent des capacités utilisées au-delà de leur propre service. Chez Retool, 51 % ont construit un logiciel aujourd’hui en production dans leur équipe, et près de la moitié d’entre eux estiment économiser six heures par semaine ou plus.

Le mécanisme est darwinien et peu coûteux. Cent personnes essaient, quatre-vingt-dix outils meurent avec la semaine qui les a vus naître, dix servent à une équipe, deux méritent d’être industrialisés. Le tri se fait par l’usage ; encore faut-il que le chemin de promotion existe.

#	Étape	Qui décide	Ce que l’on exige	Ce que cela coûte
1	Brouillon personnel	Le salarié seul	Les règles d’usage, rien de plus	Quelques dizaines de milliers de tokens
2	Outil d’équipe	L’équipe qui s’en sert	Un propriétaire nommé, des données non sensibles	Le siège déjà payé
3	Candidat production	La DSI, saisie par l’équipe	Revue du code, tests, permissions, journalisation	Quelques jours d’ingénierie
4	Produit interne	La DSI	Support, sauvegardes, cycle de vie, propriété du code	Un budget de maintenance assumé

Afficher ces quatre lignes produit deux effets : les salariés savent où amener un outil qui a fait ses preuves, et la DSI cesse de les découvrir au moment de la panne. Gartner observe que les entreprises qui outillent réellement ces profils sont 2,6 fois plus susceptibles d’accélérer leurs résultats numériques.

La vraie contrainte n’est pas le risque, c’est la capacité

Le sujet change alors de nature : non plus qui a le droit, mais si l’on peut payer un siège pour tout le monde. Un abonnement calibré pour des développeurs coûte trop cher pour un service RH, et une offre bon marché plafonne au bout de trois échanges : un agent qui lit un dépôt, un export et une documentation consomme des tokens par centaines de milliers.

L’offre d’entrée de Souver Essentiel est dimensionnée pour ce cas : 49 € HT par utilisateur et par mois, soit jusqu’à 45,3 millions de tokens par mois avec DeepSeek V4 Flash. Ce plafond applique le coefficient Découverte à un mix de 80 % d’entrée et 20 % de sortie, avec 50 % des tokens d’entrée lus depuis le cache ; le détail par modèle et par type de jeton est sur la page Essentiel. Un roman en fait environ 150 000. Le budget d’un salarié qui vibe code ses propres outils reste donc celui d’un abonnement logiciel courant. La grille complète détaille les paliers supérieurs et le calculateur simule un déploiement par équipe.

Une condition : que l’ouverture ne soit pas une fuite

Multiplier les utilisateurs multiplie les sorties de données. Dès que la pratique touche les ressources humaines, le juridique, la finance ou le soin, chaque requête transporte des informations qui n’ont rien à faire dans un service non qualifié. Généraliser suppose de savoir où tournent les modèles, ce qu’ils conservent et sous quel droit. Souver exécute ses modèles en France et applique le même cadre à tous les utilisateurs, du développeur au contrôleur de gestion. La page produit détaille les permissions, l’isolation d’exécution et la traçabilité. Reste que le périmètre ne vaut que s’il est utilisé : c’est l’outil interne le plus capable qui vide les comptes personnels, jamais la note de service.

Par où commencer

donner un siège à une équipe métier entière, pas à deux volontaires ;
écrire en une page ce qui est autorisé sans demander : données non sensibles, exécution isolée, aucun accès à la production ;
afficher le chemin de promotion et nommer qui reçoit les candidatures ;
mesurer le temps gagné et le nombre d’outils promus, pas le nombre d’applications ;
appliquer les contrôles RSSI habituels au moment de la promotion, et seulement à ce moment-là.

L’enquête 2025 de Stack Overflow rappelle que 84 % des développeurs utilisent déjà l’IA ou prévoient de le faire. La question n’est plus de savoir si vos équipes vont vibe coder, mais si elles le feront avec un outil que vous fournissez ou avec un onglet ouvert dans un navigateur.

Questions fréquentes

Faut-il vraiment laisser des non-développeurs générer du code ?

Ils en produisent déjà. Gartner estime que 41 % des salariés créent de la technologie en dehors de la DSI, et une enquête Retool de fin 2025 montre que 64 % des personnes qui construisent des outils internes ne sont pas ingénieurs. La question n’est pas d’autoriser la pratique, mais de choisir si elle se déroule dans un environnement que vous fournissez ou dans un service que vous ne voyez pas.

Combien coûte l’ouverture du vibe coding à toute une équipe ?

Le coût se raisonne par siège. L’offre d’entrée de Souver Essentiel, à 49 € HT par utilisateur et par mois, offre jusqu’à 45,3 millions de tokens mensuels avec DeepSeek V4 Flash. Ce plafond applique le coefficient Découverte à un mix de 80 % d’entrée et 20 % de sortie, avec 50 % des tokens d’entrée lus depuis le cache (détail sur /essentiel#modeles). Pour vingt personnes, l’ordre de grandeur reste celui d’un abonnement logiciel, pas d’un projet informatique.

Notre politique interdit déjà ces outils. Le sujet est-il clos ?

Non, il est seulement devenu invisible. Le Work Trend Index de Microsoft et LinkedIn mesurait dès 2024 que 78 % des utilisateurs d’IA apportaient leurs propres outils au travail, et le rapport 2026 de Cyberhaven relève que 39,7 % des interactions avec un outil d’IA impliquent des données sensibles, souvent via des comptes personnels. Une interdiction sans alternative interne ne réduit pas le risque, elle supprime la trace.

Laissez vos salariés vibe coder : ce n’est pas le chaos qui vous attend