Faut-il le dire ? La question circule de plus en plus : faut-il signaler qu'un contenu, ou une application, a été produit avec une IA ? Une position nuancée se dessine. Inutile de le mentionner quand l'IA sert à corriger ou à rechercher des failles. Indispensable quand elle produit l'essentiel du résultat. Pour les applications vibe codées, la logique est la même. Une application générée de bout en bout par une IA devrait l'indiquer clairement, dès le premier niveau de lecture. Le rôle de l'IA a changé Le raisonnement tient à un point simple. Aider à relire un code, ce n'est pas l'écrire. Quand l'IA passe de l'assistance à la production, elle change de rôle. Et l'utilisateur qui découvre après coup qu'une application a été entièrement générée ressent une forme de trahison. Même si elle fonctionne. Le vrai sujet pour une DSI Pour une DSI ou un CTO, la question de l'étiquette est presque secondaire. Ce qui compte, c'est ce que l'organisation sait réellement du code qu'elle exploite. Une application vibe codée dont personne n'a relu les choix d'architecture, les dépendances, la gestion des droits ou le stockage des secrets pose un problème de maîtrise. Déclarée ou non. La mention « généré par IA » sur une interface ne protège de rien. Ce qui protège vraiment Un historique. Des tests exécutés et rejouables, des revues de sécurité, la trace des corrections apportées. C'est ça, la transparence utile : celle qui permet de démontrer comment un code a été validé. Et elle commence en interne. Savoir quelles applications ont été générées, par qui, avec quel outil, avec quel niveau de validation. Dans beaucoup d'entreprises, les premières applications vibe codées naissent hors de la DSI : un outil de suivi construit par une équipe métier, un tableau de bord généré en une après-midi puis partagé à toute une direction. Le risque réel Le risque n'est pas que l'usage de l'IA soit découvert. C'est qu'il le soit à l'occasion d'un incident. Au moment précis où l'organisation doit expliquer comment ce code a été validé, et ne trouve aucune trace. Deux mesures suffisent pour commencer : un registre simple des applications générées par IA, avec leur propriétaire, et un niveau minimal de tests obligatoire avant tout partage au-delà de l'équipe qui les a créées.
