Votre ingé cyber a sécurisé votre code. Personne n’a sécurisé vos droits.
Vous avez décrit, itéré, déployé. L’outil a généré, vous avez validé, ça tourne en production. Vous avez même fait les choses bien : un ingénieur cyber freelance a audité l’infrastructure, les vulnérabilités sont couvertes, les accès sont contrôlés.
Ce que personne n’a regardé : ce que vous avez envoyé aux outils pour y arriver, ce que vous possédez vraiment de ce qui en est sorti, et qui répond si ça casse.
Trois angles morts, trois questions distinctes que la cybersécurité ne couvre pas. Quand vous soumettez vos specs, votre architecture ou les données de vos premiers utilisateurs à un assistant IA pour générer du code, vous transmettez des informations à un tiers dans des conditions que vous n’avez probablement pas lues. Quand le code sort, sa propriété est plus incertaine que vous ne pensez. Quand il est déployé et qu’un client s’en sert, la responsabilité en cas de défaut reste entièrement la vôtre, indépendamment de qui l’a écrit.
Ce que l’ingé cyber ne couvre pas
Deux métiers, deux périmètres. L’ingénieur cyber répond à une question précise : est-ce que quelqu’un peut s’introduire dans votre système, intercepter vos données, compromettre votre infrastructure ? C’est un périmètre technique, bien délimité, et quand il fait bien son travail cette question est réglée.
Ce qu’il ne fait pas, et ce n’est pas son role, c’est lire les conditions générales d’utilisation de vos outils IA. Évaluer si les données que vous avez soumises dans vos prompts constituent un transfert de données personnelles au sens du RGPD. Déterminer si votre architecture propriétaire est encore protégée après avoir transité par un modèle tiers. Rédiger la clause de votre contrat client qui encadre votre responsabilité sur un livrable généré par IA.
Ce ne sont pas des oublis, ce sont des questions qui ne font pas partie de son périmètre. Un système peut être parfaitement sécurisé et simultanément exposé sur ces trois fronts. La sécurité technique et la protection juridique coexistent sans se substituer l’une à l’autre.
Le vibe coding crée une illusion de couverture complète et aggrave l’angle mort parce qu’il déplace la complexité :
- ce qui était visible, comme écrire du code, devient invisible et délégué à un outil
- ce qui reste visible, l’infrastructure, les accès, les vulnérabilités, est ce que l’ingé cyber surveille
- ce qui est devenu invisible, ce qui a transité, ce qui a été généré, ce qui a été déployé, et que personne ne le surveille.
L’ingé cyber a fait son travail. Ce n’est pas le sien de faire le reste.
Ce que vous avez envoyé sans y penser
Les CGU de votre outil ont décidé à votre place. Quand vous soumettez un prompt à un assistant IA, vous ne tapez pas dans le vide. Vous envoyez des informations à un système tiers, opéré par une entreprise étrangère, dans des conditions définies par ses conditions générales, pas par vous.
La plupart des développeurs qui font du vibe coding n’ont pas lu ces conditions. Ce n’est pas un reproche : elles font en moyenne 15 000 mots et changent sans préavis significatif. On a tous collé un bout de JSON dans un assistant IA pour comprendre pourquoi ça plantait à 2h du matin. Le problème, c’est que ce JSON contenait les vrais noms de vos clients.
Ce qui est écrit dans ces conditions d’utilisation a pourtant des conséquences concrètes sur trois types de contenu que vous soumettez probablement sans y penser.
Si vos prompts contiennent des données personnelles (emails d’utilisateurs, comportements, identifiants) même intégrées dans une logique de débogage ou de test, vous avez effectué un transfert de données au sens du RGPD. La base légale de ce transfert, les garanties sur le pays de destination, le contrat avec le prestataire : aucun de ces éléments n’est géré par défaut. L’intention n’est pas une défense.
Si vos prompts décrivent votre architecture propriétaire, votre logique métier, ou des éléments qui constituent votre avantage concurrentiel, vous les avez transmis à un tiers. Le secret des affaires ne survit pas à une divulgation non encadrée, même involontaire, même à une IA, même si rien ne fuite techniquement. La protection tombe au moment de la transmission non maîtrisée, pas au moment d’un incident.
Si vos prompts contiennent des données appartenant à vos clients (parce que vous déboguez un problème réel avec des données réelles) vous avez potentiellement violé vos propres engagements contractuels envers eux, indépendamment de toute question de sécurité.
Ce que vous croyez posséder
Le code généré par IA est un actif plus fragile que vous ne pensez. Vous avez construit quelque chose. Une logique métier, une interface, un algorithme qui fait la différence. Dans votre tête (et probablement dans votre pitch) c’est votre propriété intellectuelle. Le problème : en droit français et en droit européen, la question de la propriété du code généré par IA n’est pas tranchée.
Le droit d’auteur protège les œuvres de l’esprit produites par un auteur humain identifiable. Quand le code est généré par un assistant IA à partir d’un prompt, la chaîne de création est hybride et comprend une partie humaine, une partie machine, dans des proportions variables selon la façon dont vous travaillez. Plus vous déléguez, plus la protection s’affaiblit. La nuance est cruciale : un assistant qui complète une ligne de code que vous avez initiée n’a pas le même régime qu’un agent qui génère 400 lignes à partir d’un prompt. Dans le premier cas, la protection reste défendable. Dans le second, elle devient quasi nulle.
Un code entièrement généré sans intervention créative humaine significative peut être considéré comme non protégeable, ce qui signifie que n’importe qui peut le copier sans recours possible de votre part.
Ce n’est pas théorique. Si un concurrent reproduit votre logique et que vous voulez vous défendre, la première question que votre avocat vous posera est : qui a écrit ce code, et comment ? Si la réponse est « un agent IA à partir de mes prompts », la défense devient immédiatement plus complexe et moins certaine.
Il y a un deuxième niveau : même si vous considérez que vous êtes l’auteur moral du code (parce que vous avez guidé, itéré, validé) les CGU de votre outil peuvent prévoir des droits d’usage sur les outputs générés. Pas nécessairement une cession totale, mais suffisamment pour créer une ambiguïté sur ce que vous possédez exclusivement.
Construire un actif sur une propriété intellectuelle incertaine n’est pas une catastrophe immédiate. C’est un problème qui se révèle au pire moment : quand vous voulez le défendre, le vendre, ou le valoriser.
Les quatre moments où ça devient concret
Tant que ça tourne, personne ne pose de questions. Jusqu’à ce que quelqu’un en pose une. Le risque juridique du vibe coding est invisible en phase de construction. Il se matérialise à des moments précis : quatre en particulier.
Le premier client qui demande un DPA
Vous avez trouvé un client sérieux. Il vous demande un Data Processing Agreement avant de signer : un contrat qui encadre la façon dont vous traitez ses données. À ce moment-là, vous réalisez que vous avez utilisé ces mêmes types de données dans vos prompts pendant le développement, sans encadrement contractuel avec votre prestataire IA. Soit vous signez en sachant que vous n’êtes pas en mesure de tenir vos engagements, soit vous perdez le contrat.
Le concurrent qui copie
Quelqu’un reproduit votre logique, votre interface, votre algorithme. Vous voulez vous défendre. Votre avocat vous pose la question sur la paternité du code, et vous n’avez pas de réponse solide. Sans propriété intellectuelle clairement établie, l’action est difficile à engager et coûteuse à mener pour un résultat incertain.
Le client qui vous tient pour responsable sur un livrable défectueux
Vous avez livré du code généré par IA. Il contient un bug qui cause une perte mesurable chez votre client. Il vous tient pour responsable et engage votre responsabilité contractuelle. Votre contrat de prestation ne mentionne pas le recours aux outils IA, ne prévoit pas de clause de limitation de responsabilité adaptée et ne définit pas les conditions de validation du livrable. Le droit commun s’applique et c’est vous qui répondez, pas l’outil qui a généré.
L’investisseur en due diligence
Vous levez des fonds ou vous négociez une acquisition. La due diligence juridique porte notamment sur vos actifs, dont votre code. Les questions sur la propriété intellectuelle, les contrats clients, et la conformité RGPD arrivent. L’absence de documentation sur ces points n’est pas bloquante dans tous les cas, mais elle décote, ralentit, et dans les cas les plus exposés, elle fait tomber l’opération.
En conclusion
Le droit ne s’est pas arrêté parce que vous codez autrement.
Le vibe coding est une méthode efficace. Elle va continuer à se répandre, les outils vont s’améliorer et les développeurs qui l’utilisent bien ont un avantage réel sur ceux qui ne l’utilisent pas. Ce n’est pas le sujet.
Le sujet c’est que la vitesse d’adoption de ces outils a largement dépassé la vitesse à laquelle les questions juridiques ont été posées. Pas parce que personne ne s’en soucie, parce que quand ça tourne, personne ne cherche ce qui pourrait ne pas tourner.
Le droit de la responsabilité contractuelle, le RGPD, la protection du secret des affaires : aucun de ces textes n’a besoin d’être mis à jour pour s’appliquer à ce que vous avez construit. Ils s’appliquent déjà. Ce que vous avez transmis, généré et déployé existe dans un cadre juridique que vous n’avez pas choisi mais qui vous concerne.
L’ingé cyber a sécurisé votre infrastructure. C’est nécessaire mais ça ne suffit pas. Les quatre moments décrits dans cet article ne sont pas des scénarios catastrophe, ce sont des étapes normales dans la vie d’un produit qui marche. Ne vous demandez pas si vous les traverserez, mais plutôt dans quel état vous les traverserez.
L’analyse, le cadrage juridique et les choix éditoriaux de cet article relèvent d’un travail humain. La rédaction a bénéficié d’une assistance par IA, intégralement relue, corrigée et validée par l’auteure.
Rédigé par Anne-Sophie, Juriste en droit des affaires et droit du numérique | 15 ans d’expérience
Diplômée en droit international des affaires et certifiée CIPP/E, Anne-Sophie a construit son expertise en entreprise, au contact des enjeux contractuels et réglementaires liés à l’innovation technologique et au numérique.
Elle accompagne depuis 3 ans les entrepreneurs et startups dans la sécurisation de leurs usages de l’IA : rédaction et négociation de contrats, mise en conformité RGPD et AI Act et gouvernance opérationnelle avec une approche concrète, adaptée aux réalités du terrain