Che cosa sta cambiando
Secondo l'analisi pubblicata da AI News Italia, il vibe coding, nato a inizio 2025 come modo informale di programmare dialogando con un modello, ha superato i confini degli sviluppatori e si è diffuso nei flussi operativi di reparti come amministrazione, acquisti, vendite e operations. Chi lavora in ufficio può descrivere a parole l'applicazione che gli serve e ottenerla senza scrivere codice.
Questa democratizzazione dello sviluppo produce però un effetto collaterale: lo Shadow IT. Dipendenti non tecnici creano autonomamente applicazioni e automazioni che toccano dati e sistemi reali. La fonte pone una domanda diretta: chi risponde se qualcosa va storto?
Rischi e quadro normativo
I pericoli indicati sono concreti: credenziali copiate nei prompt o nel codice, cancellazioni accidentali di dati, permessi troppo ampi che fanno uscire informazioni riservate dal perimetro aziendale. A sostegno della gravità, la fonte cita Gartner: oltre il 40% dei progetti di AI agentica sarebbe destinato alla cancellazione entro fine 2027 per costi crescenti, valore di business poco chiaro o controlli del rischio inadeguati.
Il problema è più acuto nelle PMI italiane, dove raramente esiste un reparto IT strutturato e i processi vivono su fogli di calcolo frammentati o prassi mai formalizzate. Per queste realtà il vibe coding è insieme un'occasione di digitalizzazione veloce e un rischio, perché manca chi comprende e presidia la sicurezza.
La governance come infrastruttura
La tesi sostenuta è che non serva frenare chi sviluppa: chi vive un processo ogni giorno possiede spesso la sensibilità per ideare lo strumento che lo ottimizza. La criticità è l'assenza di un perimetro di governance. Nelle PMI questo argine non può dipendere da una divisione dedicata: deve essere nativo nella piattaforma.
Il modello descritto prevede strutture deterministiche e permessi granulari. L'agente non inventa codice per le operazioni che contano e non gestisce direttamente informazioni critiche; le credenziali dei gestionali e dei CRM restano isolate in gateway cifrati e non finiscono nel modello linguistico. L'agente compone moduli e interfacce già sicuri, esponendo solo le funzioni consentite, con partenza in sola lettura.
Due regole sono presentate come cardini: nessuna generazione di dati inventati, con schermate e numeri presi dai dati effettivi dell'infrastruttura e calcoli eseguiti dal codice; e una Regola Zero secondo cui un'azione esiste solo se produce un'evidenza autonoma e verificabile. Ogni operazione deve inoltre garantire tracciabilità totale, base per rispondere a quanto chiedono AI Act, direttiva NIS2 e standard ISO/IEC 42001, sul quale la fonte indica la scelta di certificarsi da parte di Memori.
Secondo il testo, il ruolo del fornitore non è costruire gli agenti al posto dell'azienda, ma offrire l'infrastruttura perché l'azienda trasferisca la propria conoscenza di business in modo autonomo e sicuro. Resta aperta la verifica sull'effettiva adozione di questi modelli e sulla loro capacità di contenere i rischi descritti.
Il fenomeno ridefinisce anche il lavoro degli sviluppatori: la scrittura del codice si contrae, mentre cresce il ruolo di architetti di sistema e garanti della qualità. Per i profili junior la formazione evolve verso specifiche inequivocabili, lettura e verifica di codice non scritto e definizione dei limiti degli agenti. La fonte conclude che il vibe coding destinato a consolidarsi non sarà quello incontrollato, ma quello con governance solida e ultima parola affidata a un essere umano.
