Jeszcze kilka lat temu stworzenie aplikacji biznesowej oznaczało kilka tygodni lub miesięcy pracy zespołu programistów. Dzisiaj właściciel firmy może otworzyć Lovable, Replit albo inne narzędzie wykorzystujące AI, opisać potrzebny system i po kilku godzinach otrzymać działający panel administracyjny.
Możliwości są imponujące. Vibe coding pozwala bardzo tanio sprawdzić pomysł, przygotować prototyp, zbudować proste narzędzie wewnętrzne albo stworzyć pierwszą wersję produktu. Sam również uważam, że AI będzie coraz mocniej zmieniać sposób wytwarzania oprogramowania.
Niski koszt developmentu ma jednak drugą stronę. Aplikacja przygotowana za kilkaset dolarów może po roku przechowywać dane tysięcy klientów, obsługiwać płatności, faktury, zamówienia albo wewnętrzne procesy przedsiębiorstwa. Wartość informacji znajdujących się w systemie szybko zaczyna wielokrotnie przewyższać koszt jego stworzenia.
Wtedy bezpieczeństwo przestaje być dodatkiem do projektu.
Vibe coding obniża koszt developmentu, ale nie odpowiedzialność firmy
Wyobraźmy sobie firmę, która potrzebuje prostego CRM-u. Zamiast zamawiać dedykowane rozwiązanie, pracownik tworzy aplikację przy pomocy platformy AI.
Po kilku dniach ma gotowy system. Można dodawać klientów, przypisywać zadania, przechowywać dokumenty i przeglądać historię kontaktu. Całość kosztowała ułamek ceny tradycyjnego developmentu.
Po roku z aplikacji korzysta kilkunastu pracowników, a baza zawiera dane 30 tysięcy klientów.
W kodzie znajduje się jednak błąd autoryzacji. Jeden z endpointów API pozwala po zmianie identyfikatora pobrać informacje należące do innego użytkownika. Równie dobrze przyczyną incydentu może być źle skonfigurowana baza, pozostawiony w kodzie klucz API albo backup, którego nikt wcześniej nie próbował odtworzyć.
Każdy z tych problemów może przez wiele miesięcy pozostawać niewidoczny. Interfejs działa prawidłowo, użytkownicy się logują, dane zapisują, a firma nie ma powodu podejrzewać, że gdzieś pod spodem istnieje luka.
Koszt napisania takiej aplikacji może wynosić kilkaset dolarów. Skutki błędu bezpieczeństwa potrafią być liczone w setkach tysięcy lub milionach złotych.
Warto więc sprawdzić, jak do odpowiedzialności za podobne sytuacje podchodzą sami producenci popularnych platform.
Bubble – limit odpowiedzialności może wynosić 100 dolarów
Bubble to jedna z najbardziej znanych platform no-code do budowania aplikacji webowych. W standardowych warunkach korzystania z usługi znajdziemy typowe dla tego rynku zastrzeżenie, że platforma jest dostarczana w formule „as is”, bez gwarancji nieprzerwanego lub bezbłędnego działania.
Znacznie ciekawsza z punktu widzenia przedsiębiorcy jest sekcja dotycząca odpowiedzialności.
Zgodnie z regulaminem Bubble, poza wskazanymi wyjątkami dotyczącymi między innymi rażącego niedbalstwa lub umyślnego działania, maksymalna odpowiedzialność platformy związana z umową została ograniczona do 100 dolarów.
Źródło: Bubble – Terms of Service
Nie oznacza to oczywiście, że taki limit będzie skuteczny w każdej sytuacji, niezależnie od prawa właściwego i okoliczności konkretnej sprawy. Pokazuje jednak skalę różnicy pomiędzy ryzykiem właściciela aplikacji a standardową odpowiedzialnością dostawcy narzędzia.
System zbudowany na Bubble może po kilku latach przechowywać informacje warte dla przedsiębiorstwa miliony złotych. Limit wynikający ze standardowego regulaminu nadal może pozostać na poziomie 100 dolarów.
Webflow – użycie platformy nie przenosi odpowiedzialności za dane
Podobne mechanizmy znajdziemy w warunkach Webflow. Firma wskazuje, że nie może zagwarantować, iż zastosowane zabezpieczenia nigdy nie zostaną przełamane.
W regulaminie opisano również odpowiedzialność klienta za sposób przetwarzania danych użytkowników. W typowym modelu to przedsiębiorca pozostaje administratorem, natomiast dostawca infrastruktury lub platformy pełni rolę podmiotu przetwarzającego.
Samo wykorzystanie Webflow nie sprawia więc automatycznie, że aplikacja spełnia wymagania RODO albo innych przepisów dotyczących prywatności.
W sekcji ograniczenia odpowiedzialności wymieniono między innymi przypadki nieautoryzowanego dostępu do serwerów oraz przechowywanych tam informacji osobowych lub finansowych. Standardowy limit odpowiedzialności Webflow wynosi 100 dolarów, w zakresie dozwolonym przez obowiązujące prawo.
Źródło: Webflow – Terms of Service
Z perspektywy firmy oznacza to dość prostą rzecz. Kupując dostęp do technologii, przedsiębiorca nie kupuje jednocześnie pełnego przejęcia ryzyka związanego z działaniem własnego systemu.
Airtable – odpowiedzialność ograniczona do wartości abonamentu
Airtable również deklaruje stosowanie zabezpieczeń mających chronić informacje przed przypadkową utratą lub nieautoryzowanym dostępem. Jednocześnie w regulaminie zaznacza, że nie może zapewnić, iż osoby trzecie nigdy tych mechanizmów nie pokonają.
Warunki usługi mówią wprost o przekazywaniu danych na własne ryzyko. Sekcja dotycząca ograniczenia odpowiedzialności obejmuje między innymi hacking, manipulowanie systemem i nieautoryzowany dostęp do informacji znajdujących się w usłudze.
Łączna odpowiedzialność Airtable została co do zasady ograniczona do opłat zapłaconych przez klienta w ciągu 12 miesięcy poprzedzających powstanie roszczenia.
Źródło: Airtable – Terms of Service
Jeżeli przedsiębiorstwo płaci za narzędzie 200 dolarów miesięcznie, kontraktowy limit może wynieść kilka tysięcy dolarów. Straty wynikające z zatrzymania sprzedaży, utraty danych albo konieczności poinformowania tysięcy klientów o naruszeniu mogą być wielokrotnie wyższe.
Przy analizowaniu opłacalności no-code łatwo porównywać wyłącznie koszt developmentu. Znacznie rzadziej uwzględnia się wartość procesów i informacji, które za kilka miesięcy znajdą się w aplikacji.
Replit ostrzega, że kod wygenerowany przez AI może zawierać błędy
Replit jest szczególnie ciekawym przykładem, ponieważ wykorzystanie AI stanowi ważną część sposobu tworzenia aplikacji na tej platformie.
W warunkach korzystania z usługi firma informuje, że kod wygenerowany albo zaproponowany przez systemy sztucznej inteligencji może być błędny lub niekompletny.
Źródło: Replit – Terms of Service
Takie zastrzeżenie dobrze pokazuje ograniczenie obecnego modelu vibe codingu. AI potrafi bardzo szybko napisać działający fragment aplikacji, ale nie daje gwarancji, że zastosowane rozwiązanie jest poprawne z punktu widzenia bezpieczeństwa.
Model może przygotować formularz logowania, endpoint REST, panel użytkownika i integrację z bazą. Wszystkie elementy będą działały podczas podstawowych testów. Błąd może znajdować się głębiej – w kontroli uprawnień, konfiguracji infrastruktury albo sposobie pobierania danych należących do innych użytkowników.
W komercyjnych warunkach Replit odpowiedzialność dostawcy została ograniczona do opłat zapłaconych za platformę w okresie 12 miesięcy poprzedzających zdarzenie. Umowa wyłącza również określone kategorie szkód, w tym utracone zyski i przerwanie działalności.
Źródło: Replit – Commercial Agreement
Lovable wprost zaleca niezależne sprawdzenie kodu
Jeszcze bliżej klasycznego vibe codingu znajduje się Lovable. Użytkownik opisuje aplikację w języku naturalnym, a platforma tworzy kolejne elementy projektu.
Aktualny regulamin zawiera bardzo istotne zastrzeżenie. Output wygenerowany przez AI może zawierać błędy oraz nieścisłości i nie powinien być wykorzystywany bez niezależnego przeglądu oraz testów.
Odpowiedzialność za sprawdzenie rezultatów działania AI pozostaje po stronie użytkownika.
Źródło: Lovable – Terms
Lovable nie gwarantuje również nieprzerwanego, bezpiecznego i wolnego od błędów działania usługi. Standardowy limit odpowiedzialności został powiązany z wysokością opłat zapłaconych w okresie 12 miesięcy poprzedzających roszczenie.
Jeszcze ciekawsze zapisy znajdują się w Data Processing Agreement dotyczącym przetwarzania danych osobowych.
Dokument przewiduje, że każda ze stron pozostaje odpowiedzialna za własną zgodność z przepisami dotyczącymi ochrony danych. Wskazuje również, że żadna z nich nie ma obowiązku zwracać drugiej administracyjnych kar nałożonych przez organ nadzorczy lub sąd na podstawie odpowiednich regulacji.
Źródło: Lovable – Data Processing Agreement
Jeżeli przedsiębiorstwo stworzy w Lovable system zawierający dane klientów, nie powinno więc zakładać, że ewentualne konsekwencje naruszenia RODO będzie można po prostu przenieść na producenta platformy.
Przy wycieku danych trzeba patrzeć przede wszystkim na UODO
W Polsce kary związane z naruszeniem przepisów dotyczących ochrony danych osobowych nakłada przede wszystkim Prezes Urzędu Ochrony Danych Osobowych.
RODO wymaga od administratora zastosowania odpowiednich środków technicznych i organizacyjnych oraz wykazania zgodności sposobu przetwarzania z przepisami.
W przypadku najpoważniejszych kategorii naruszeń maksymalna administracyjna kara może wynosić 20 mln euro albo 4% całkowitego światowego rocznego obrotu przedsiębiorstwa z poprzedniego roku obrotowego – zależnie od tego, która kwota jest wyższa.
Źródło: Rozporządzenie RODO – EUR-Lex
Górna granica nie oznacza oczywiście, że każdy incydent kończy się podobną sankcją. W Polsce można jednak znaleźć przypadki, w których problemy dotyczące systemów informatycznych doprowadziły do kar liczonych w milionach złotych.
Przypadek Fortum pokazuje, ile może kosztować źle zabezpieczony system
Dobrym przykładem jest sprawa dotycząca Fortum i firmy Pika.
Incydent miał związek z modernizacją środowiska informatycznego. W odpowiedzi na problemy wydajnościowe powstała dodatkowa baza danych, do której przeniesiono informacje klientów. Została ona udostępniona w sposób umożliwiający dostęp osobom nieuprawnionym.
Naruszenie dotyczyło ponad 95 tysięcy osób. Wśród ujawnionych informacji znajdowały się między innymi nazwiska, adresy, numery PESEL, dane dokumentów tożsamości i informacje dotyczące zawartych umów.
Prezes UODO wskazywał w tej sprawie na niewystarczające zabezpieczenia, brak odpowiedniej weryfikacji podmiotu przetwarzającego oraz problemy dotyczące testowania zabezpieczeń podczas prac rozwojowych.
Kara dla administratora wyniosła około 5 mln zł, natomiast podmiot przetwarzający otrzymał sankcję przekraczającą 250 tys. zł.
Źródło: UODO – sprawa Fortum i Pika
Ta sprawa jest szczególnie interesująca w kontekście aplikacji tworzonych za pomocą AI. Jednym z najłatwiejszych etapów do pominięcia przy szybkim developmentcie jest właśnie dokładne testowanie zabezpieczeń.
Użytkownik widzi interfejs. Najważniejsze problemy znajdują się pod nim
Właściciel firmy najczęściej ocenia system na podstawie jego funkcji. Sprawdza, czy można się zalogować, utworzyć klienta, wystawić dokument, wygenerować raport albo zmienić status zamówienia. Jeżeli wszystkie operacje działają prawidłowo, aplikacja sprawia wrażenie gotowej.
Ocena bezpieczeństwa wymaga zupełnie innego podejścia.
Trzeba sprawdzić, czy użytkownik może odczytać rekord należący do innej firmy, czy API prawidłowo weryfikuje uprawnienia, gdzie przechowywane są tokeny i hasła, kto ma dostęp do bazy oraz w jaki sposób zabezpieczono pliki. Znaczenie mają również backupy, procedura odtworzenia systemu, monitoring, aktualizacje zależności i reakcja na incydenty.
Tych elementów nie widać podczas zwykłego korzystania z panelu.
Dlatego działający system i bezpieczny system to dwie różne rzeczy.
Czy wobec tego vibe coding jest złym pomysłem?
Nie.
AI jest bardzo dobrym narzędziem do przyspieszania pracy programistów i może znacząco obniżyć koszt przygotowania pierwszej wersji produktu. Sprawdza się również przy prototypach, Proof of Concept oraz niewielkich narzędziach wewnętrznych.
Ryzyko rośnie wraz ze znaczeniem aplikacji dla przedsiębiorstwa.
Inaczej należy traktować prosty kalkulator ofertowy używany przez dwie osoby, a inaczej CRM z danymi 50 tysięcy klientów. Jeszcze wyższych standardów wymaga system przechowujący dane medyczne, finansowe albo dokumenty tożsamości.
Przed wdrożeniem produkcyjnym aplikacji stworzonej za pomocą AI warto zweryfikować autoryzację, konfigurację infrastruktury, bezpieczeństwo API i bazy danych, sposób przechowywania sekretów, backupy oraz możliwość odtworzenia systemu po awarii. Do tego dochodzą wymagania wynikające z RODO i innych przepisów właściwych dla danego biznesu.
AI może napisać dużą część kodu. Ktoś nadal musi jednak ocenić, czy ten kod można bezpiecznie wykorzystać.
Tanie stworzenie aplikacji nie oznacza taniego utrzymania błędu
Vibe coding usuwa jedną z najważniejszych barier wejścia w tworzenie własnego oprogramowania. Firma może przetestować pomysł bez inwestowania kilkudziesięciu czy kilkuset tysięcy złotych.
To duża zaleta.
Nie warto jednak mylić ceny przygotowania pierwszej wersji z całkowitym ryzykiem związanym z jej późniejszym wykorzystaniem.
Aplikacja, która dzisiaj jest eksperymentem, za rok może obsługiwać sprzedaż, przechowywać tysiące rekordów klientów i stanowić jeden z najważniejszych elementów działalności przedsiębiorstwa. W takiej sytuacji pytanie nie powinno dotyczyć wyłącznie tego, czy system działa.
Trzeba również wiedzieć, czy można mu powierzyć firmowe dane.
Masz aplikację stworzoną przez AI? Możemy ją sprawdzić przed wdrożeniem
W IT Hero tworzymy aplikacje webowe, mobilne, systemy biznesowe oraz rozwiązania IoT. Nasz proces obejmuje analizę wymagań, projektowanie, development i późniejsze utrzymanie stworzonego rozwiązania.
Jeżeli masz już aplikację przygotowaną w Lovable, Replit, Bubble albo innym narzędziu AI/no-code, nie musisz jej pisać od początku.
Możemy przeprowadzić techniczny audyt projektu przed wdrożeniem produkcyjnym, sprawdzić architekturę, autoryzację, sposób przechowywania danych, API, konfigurację infrastruktury oraz najważniejsze elementy związane z bezpieczeństwem.
Jeżeli projekt tego wymaga, możemy również przejąć jego dalszy development, poprawić najbardziej ryzykowne elementy i przygotować system do dalszego rozwoju.
Masz gotowy prototyp lub aplikację stworzoną przy pomocy AI? Napisz do IT Hero. Sprawdzimy ją, zanim zaczniesz przechowywać w niej dane klientów i oprzesz na niej ważne procesy swojej firmy.
Regulaminy platform zostały zweryfikowane według stanu na 20 sierpnia 2026 r. Przedstawione informacje mają charakter informacyjny i nie stanowią porady prawnej.
