Attention : ce que l'IA glisse dans votre code sans vous le dire
Le vibecoding, c'est décrire ce qu'on veut à une IA et la laisser générer le code du site en quelques minutes. Pas de ligne écrite à la main, pas de relecture ligne par ligne : on demande, ça marche, on publie. Séduisant, rapide, presque magique.
Et voici le problème : « ça marche » n'a jamais voulu dire « c'est propre ». Une IA de génération de code ne réfléchit pas à ce qu'elle intègre, elle assemble. Elle pioche dans des templates, des librairies, des intégrations standards du secteur, pour répondre le plus vite possible à une demande fonctionnelle. Et parmi ces pratiques standards, il y en a une particulièrement discrète : le pixel de suivi.
« Une IA ne décide jamais de vous tracker. Elle reproduit, sans les questionner, les pratiques les plus courantes du web. »
Prenez un exemple simple. Vous demandez à une IA : « ajoute un système de newsletter » ou « je veux savoir si mes e-mails sont ouverts ». L'IA répond à la demande fonctionnelle de la façon la plus rapide et la plus répandue : elle intègre un outil d'e-mailing, un service tiers, un plugin d'analytics. Beaucoup de ces outils activent un pixel de suivi par défaut, sans qu'on ait explicitement demandé « surveille mes visiteurs à leur insu ». L'IA ne ment pas, elle ne cache rien intentionnellement : elle génère simplement ce que fait tout le monde, sans filtre éthique sur la vie privée.
Le vrai risque se situe ailleurs : dans l'absence de relecture. Un développeur qui écrit du code à la main sait, ligne après ligne, ce qu'il installe et pourquoi. Avec le vibecoding, le code est généré en bloc, testé sur le résultat visible (« le formulaire fonctionne, la newsletter s'envoie »), rarement audité en profondeur. Un pixel d'un seul pixel, une requête discrète vers un serveur tiers, un script caché dans l'en-tête d'une page : rien de tout cela ne saute aux yeux si personne ne prend le temps de lire le code produit.
Il y a aussi une question de responsabilité. Si un site généré par IA collecte des données de navigation sans consentement clair, sans mention transparente, c'est le propriétaire du site qui en porte la responsabilité légale, pas l'IA qui a écrit le code. Beaucoup découvrent ce genre de mécanisme bien après la mise en ligne, parfois jamais, en assumant sans le savoir des pratiques qu'ils n'auraient jamais validées consciemment.
Ce n'est pas propre au tracking. C'est le symptôme d'un problème plus large : une IA optimise pour « est-ce que ça fonctionne », jamais pour « est-ce que c'est sain, sécurisé et transparent pour la personne qui utilisera ce site ». Ces questions demandent un jugement, une intention, une compréhension du contexte réel de l'entreprise et de ses utilisateurs. Ce sont précisément les choses qu'une IA ne fait pas, et qu'un vrai développeur fait naturellement en relisant, en comprenant, en questionnant chaque intégration.
Beaucoup d'entreprises se disent aujourd'hui : « L'IA a généré le site, il fonctionne, c'est bon. » Mais un site qui fonctionne n'est pas nécessairement un site sain. La différence entre les deux ne se voit jamais sur l'écran : elle se cache dans le code, exactement là où personne ne va jamais regarder.
Un bon développeur ne se contente jamais de livrer « ce qui marche ». Il relit, il comprend, il explique ce qui est intégré et pourquoi. Utiliser l'IA pour accélérer un développement est légitime ; lui déléguer entièrement la responsabilité de ce qui se passe réellement dans le code, c'est prendre un risque que peu d'entreprises mesurent avant qu'il ne soit trop tard.