Vibe coding vs workflows agentiques : le guide 2026 pour les dirigeants

Le vibe coding consiste à décrire ce que vous voulez, laisser l'IA écrire le logiciel, et livrer sans lire le code. Les workflows agentiques placent les mêmes agents IA dans une discipline d'ingénierie : spécifications, tests, revues, contrôles de sécurité, et un humain nommément responsable. Mêmes outils, règles différentes. Pour les dirigeants de PME et d'ETI, la vraie question est de savoir quand un prototype qui fonctionne doit passer du premier mode au second.

Qu'est-ce que le vibe coding ?

Andrej Karpathy a inventé le terme en février 2025 : « Il y a un nouveau type de programmation que j'appelle "vibe coding", où vous vous abandonnez complètement aux vibes, embrassez les exponentielles, et oubliez que le code existe. » Vous décrivez le résultat en langage naturel, l'IA génère l'application, vous l'essayez, et vous continuez à prompter jusqu'à ce qu'elle se comporte à peu près comme prévu. Vous n'ouvrez jamais le code. Ce dernier point compte, et il se perd dans la plupart des articles.

Simon Willison, l'un des praticiens les plus lus sur le sujet, a tracé la ligne avec précision : « Si un LLM a écrit chaque ligne de votre code, mais que vous l'avez relu, testé et compris en entier, ce n'est pas du vibe coding à mes yeux. » Le vibe coding, c'est précisément le mode où personne ne lit ce qui sort. Ce qui est très bien, tant que le coût d'une erreur reste faible.

Si votre responsable marketing construit un calculateur de ROI pour un salon en un après-midi, c'est du vibe coding, et c'est un excellent usage d'un après-midi. Nous accompagnons des équipes non techniques dans cet exercice exact dans notre guide vibe coding 101.

Que sont les workflows agentiques ?

Les workflows agentiques (certains praticiens parlent d'ingénierie agentique) désignent le mode où les agents IA font l'essentiel du travail d'implémentation pendant que les humains maintiennent la discipline d'ingénierie autour. Quelqu'un écrit les exigences et les critères d'acceptation. Quelqu'un conçoit l'architecture. L'agent construit, et son résultat passe par des tests, une revue de code, des contrôles de sécurité et un versioning avant d'atteindre les utilisateurs. Un humain reste responsable de la compréhension du système.

La définition a convergé en 2025 et 2026 chez Addy Osmani, Martin Fowler, Simon Willison et IBM : le rôle humain passe de la frappe de code à la spécification, la contrainte, la revue et la validation, et c'est le travail de vérification qui rend le résultat fiable. Osmani le dit simplement : le même agent peut se situer n'importe où sur le spectre. Ce qui vous fait passer du vibe coding à l'ingénierie, c'est la rigueur avec laquelle vous vérifiez ce qu'il a produit.

L'analyse par Anthropic, en juin 2026, d'environ 400 000 sessions réelles de Claude Code donne l'image la plus claire de la pratique : les humains ont pris environ 70 % des décisions de planification, l'IA environ 80 % des décisions d'exécution, et l'expertise métier prédisait fortement le succès, même quand l'utilisateur n'était pas ingénieur de métier. La contribution humaine n'a pas disparu. Elle est remontée en amont, vers le jugement. C'est le même basculement que nous couvrons dans notre guide du prompt à la délégation de tâches, et c'est pourquoi les workflows agentiques prêts pour la production ressemblent si peu à une fenêtre de chat.

Qu'est-ce qui sépare vraiment les deux modes ?

L'outil ne les sépare pas. L'autonomie non plus. Le fait de taper du code vous-même non plus. Une seule chose les sépare : quelqu'un vérifie-t-il le résultat, et quelqu'un en reste-t-il responsable ?

Voici la comparaison complète, ligne par ligne :

	Vibe coding	Workflows agentiques
Objectif	Découvrir si quelque chose peut marcher	Construire quelque chose qui doit continuer à marcher
Rôle humain	Décrire le résultat, essayer, itérer	Spécifier, architecturer, contraindre, relire, valider
Spécification	Intention floue en langage naturel	Exigences, critères d'acceptation, contraintes
Compréhension du code	Souvent aucune	Quelqu'un reste responsable du système
Vérification	« Ça a l'air de marcher »	Tests, revues, contrôles de sécurité, CI/CD
Architecture	Émerge au fil des prompts	Conçue délibérément
Sécurité	Traitée plus tard, ou jamais	Intégrée et imposée par le pipeline
Gestion du changement	Régénérer jusqu'à ce que ça marche	Versioning, pull requests, changements contrôlés
Coût de l'échec	Faible par construction	Peut être significatif
Cycle de vie	Jetable ou exploratoire	Logiciel maintenu
Meilleur usage	Expérimentations, prototypes, outils ponctuels	Systèmes de production, intégrations, logiciels clients

Une ligne mérite une correction, car la plupart des infographies comparatives se trompent dessus. Elles affichent « compétences en code : inutiles » des deux côtés. À moitié vrai. Écrire du code à la main devient optionnel dans les deux modes. Juger du logiciel, se demander si ce SQL devrait vraiment faire 5 000 lignes, si ce bucket devrait vraiment être public, voilà ce qui fait tourner les workflows agentiques, et cette compétence prend de la valeur à mesure que l'IA produit l'implémentation plus vite. Votre directeur commercial peut construire un excellent prototype de scoring de leads parce qu'il connaît la vente en profondeur. Cela ne le qualifie pas pour déployer une application qui écrit dans le CRM et détient des identifiants d'API.

Où le vibe coding se rend utile dans une entreprise de 200 personnes

Les ingénieurs décrivent le vibe coding comme imprudent, les éditeurs comme magique. Les deux passent à côté. Il est extrêmement utile partout où le coût d'une erreur est faible, et une PME normale compte des dizaines d'endroits de ce type.

Marketing. Votre responsable marketing veut un calculateur de ROI interactif pour un salon. Entrées : taille d'entreprise, taille de l'équipe commerciale, panier moyen. Données d'exemple, utilisateurs internes d'abord, espérance de vie de deux semaines. Passer deux semaines sur l'architecture d'un outil qui finira peut-être à la poubelle après l'événement, voilà le vrai gaspillage.

Opérations. Votre responsable des opérations gère l'événement annuel de l'entreprise avec six tableurs. Un petit outil vibe-codé pour les intervenants, les salles et les sessions les remplace tous les six. L'équipe marketing d'AppDirect a fait précisément cela avec Lovable, remplacé six à huit tableurs par une application de gestion d'événements, et rapporté des semaines de travail économisées.

Produit. Un product manager veut tester un nouveau parcours d'onboarding. L'ancien circuit : Figma, puis un ticket d'ingénierie, puis un sprint. Le nouveau : un prototype fonctionnel construit en un après-midi et mis devant cinq utilisateurs la même semaine. L'objectif n'a jamais été le logiciel. L'objectif, c'est l'apprentissage, et le prototype est juste le moyen le plus rapide de l'acheter.

L'échelle atteinte surprend la plupart des dirigeants. Leatherman, le fabricant d'outils multifonctions, compte environ 550 employés ; Replit rapporte que 147 d'entre eux ont construit plus de 119 applications, des outils de prise de brief aux systèmes de vote d'atelier. Ces chiffres viennent du fournisseur, prenez-les comme un signal plutôt qu'un audit, mais le signal est fort : des outils qui mouraient dans le backlog de la DSI se font désormais construire par la personne qui a le problème. Pour une première expérience concrète de ce basculement, commencez par construire un agent.

À quel moment un outil vibe-codé devient-il dangereux ?

Reprenez le calculateur marketing. La version 1 prend des saisies manuelles et affiche un chiffre. Très bien. Puis quelqu'un demande : pourrait-il récupérer les données d'entreprise depuis HubSpot ? Puis : pourrait-il réécrire le résultat dans l'opportunité ? Les clients pourraient-ils l'utiliser directement ? Pourrait-il recommander un prix ? Pourrait-on connecter Stripe ?

Chaque demande paraît incrémentale. Ensemble, elles font franchir à l'outil quatre frontières : expérimentation, puis application interne, puis système métier, puis système de référence, et enfin quelque chose qui touche à l'argent. L'interface reste identique à chaque étape. Le profil de risque a complètement changé.

« Le logiciel le plus risqué dans la plupart des PME n'est pas un grand projet informatique raté. C'est le remplaçant de tableur qui a trop bien marché. Personne n'a décidé de le mettre en production. On a juste oublié de l'éteindre. » — Toni Dos Santos, cofondateur, We Call Shotgun

Willison a signalé ce mode de défaillance très tôt : un prototype convaincant a la fâcheuse habitude d'être poussé en production alors que personne ne l'a conçu pour cet environnement. Et les coûts arrivent à l'heure. Chez Lucid, un group product manager a construit un copilote interne de recherche de comptes pour les commerciaux, combinant données Snowflake, usage produit et contenus marketing. Le prototype fonctionnait. Puis un morceau de SQL est passé d'environ 50 lignes à près de 5 000 à mesure que l'IA empilait des fonctionnalités, l'équipe data a dû intervenir pour le relire, et le pilote coûtait plusieurs centaines de dollars par semaine pour une trentaine d'utilisateurs avant optimisation. La conclusion de Lucid : continuer à construire. La nôtre aussi. La leçon est plus étroite : l'IA effondre le coût de création de la version 1. Elle ne change rien au coût d'exploitation de la version 20.

Que montre vraiment la recherche en sécurité ?

Les preuves ont cessé d'être anecdotiques en 2026. WIRED a rapporté en mai que des chercheurs examinant des applications construites avec Lovable, Replit, Base44 et des plateformes similaires ont trouvé plus de 5 000 applications sans authentification réelle, dont près de 2 000 semblaient exposer des informations privées : stratégie d'entreprise, dossiers médicaux, données commerciales, conversations clients. WIRED a vérifié certaines applications exposées de manière indépendante.

Par ailleurs, Veracode a testé plus de 100 LLM en Java, Python, C# et JavaScript : 45 % des échantillons de code générés ont échoué à ses tests de sécurité. Lisez bien. Cela ne veut pas dire que 45 % des applications vibe-codées sont vulnérables. Cela veut dire que « l'IA a produit du code qui fonctionne » ne prouve en rien que le code est sûr.

Thoughtworks a fourni le cas le plus instructif, parce qu'il est arrivé à une entreprise sophistiquée. Sa propre organisation marketing avait une application vidéo construite par des collaborateurs métier avec Gemini, Replit et Claude. Quand les ingénieurs l'ont examinée avant un déploiement auprès d'environ 10 000 employés, ils ont découvert que l'IA avait proposé un stockage cloud accessible publiquement et un compte de service surdimensionné. Des humains ont intercepté les deux avant le déploiement. Leur conclusion mérite d'être affichée au mur : la sécurité ne peut pas être un prompt de plus. La production exige des contrôles déterministes, des permissions, des scanners, des tests et des règles d'infrastructure que l'IA ne peut pas contourner par la négociation. « Construis ça de façon sécurisée, s'il te plaît » devient « le système ne peut physiquement pas partir en production tant que ces contrôles ne passent pas ». Cette transition est toute la substance des workflows agentiques, et l'OWASP maintient désormais un guide complet Secure Coding with AI couvrant permissions d'agents, sandbox, injection de prompt et risque de chaîne d'approvisionnement. Les questions de gouvernance dépassent le code ; notre guide sur les risques des conversations IA partagées couvre les fuites adjacentes.

Les workflows agentiques vous ralentissent-ils ?

L'objection classique des dirigeants : la discipline ressemble au vieux projet informatique de six mois avec un badge neuf. Les données pointent dans l'autre sens, avec des réserves à garder en tête.

Asana décrit jusqu'à quatre agents de code en parallèle pour retirer un framework de test obsolète, avec un ingénieur qui contrôlait l'avancement deux fois par jour et relisait chaque changement ; un chantier estimé très long s'est terminé en environ deux semaines. Virgin Atlantic rapporte que son application mobile accélérée par Codex a été lancée avec une couverture de tests unitaires quasi complète et zéro défaut P1 au lancement. Ce sont des témoignages clients publiés par les fournisseurs, présentez donc les chiffres comme déclarés plutôt que prouvés. Le motif tient quand même : l'agent génère vite, les systèmes automatisés vérifient, un humain juge, le logiciel part en production.

Deux résultats de recherche gardent l'argument honnête. L'étude DORA menée auprès de près de 5 000 professionnels de la tech conclut que l'IA agit comme un amplificateur : les systèmes d'ingénierie solides en profitent de façon disproportionnée, et les environnements dysfonctionnels accumulent juste de la dette technique plus vite. Et l'étude randomisée du METR sur 16 développeurs open source expérimentés et 246 tâches réelles a trouvé qu'ils étaient 19 % plus lents avec les outils IA de la génération 2025 sur ces bases de code matures, tout en se croyant plus rapides. Oubliez donc la diapositive « l'IA rend les développeurs X % plus productifs ». L'argument défendable pour un conseil d'administration : l'IA effondre la friction d'implémentation, et sa transformation en productivité dépend du système de vérification qui l'entoure. C'est aussi pourquoi notre comparatif des agents IA d'entreprise insiste pour évaluer les agents sur vos propres flux plutôt que sur les classements publics.

La grille de décision : 13 questions avant toute mise en production

Imprimez ceci, ou volez-le pour votre politique d'usage de l'IA. Un passage honnête sur ces questions vous dit à quel mode un outil appartient.

Question	Si OUI
Contient-il des données clients ou employés ?	Workflow agentique
Écrit-il dans le CRM, l'ERP, la comptabilité ou un autre système de référence ?	Workflow agentique
Peut-il dépenser ou déplacer de l'argent ?	Workflow agentique, sans exception
Contrôle-t-il des permissions ou l'authentification ?	Workflow agentique, sans exception
Est-il exposé aux clients ?	Généralement workflow agentique
Une panne interromprait-elle un processus métier important ?	Workflow agentique
Intègre-t-il plusieurs API ou bases de données ?	Généralement workflow agentique
Plusieurs personnes le maintiendront-elles ?	Workflow agentique
Doit-il survivre au départ de la personne qui l'a construit ?	Workflow agentique
Y a-t-il une exposition RGPD, financière, juridique ou contractuelle ?	Workflow agentique, sans exception
L'entreprise s'appuiera-t-elle sur ses résultats pour décider ?	Workflow agentique
Est-il explicitement jetable ?	Le vibe coding convient
Le but est-il simplement de tester une idée ?	Le vibe coding est idéal

Le modèle opérationnel : vibe d'abord, ingénierie ensuite

Entre « personne ne construit rien sans la DSI » et « tout le monde est désormais ingénieur logiciel » se trouve le modèle vers lequel convergent les ETI. Quatre étapes :

1. Vibe-codez l'idée. N'importe qui, n'importe quelle fonction, données d'exemple uniquement. Mettez-la devant des utilisateurs en quelques jours.
2. Prouvez la demande. Quelqu'un l'a-t-il utilisée deux fois ? A-t-elle changé une décision ? La plupart des prototypes échouent ici, à bas coût, et c'est le système qui fonctionne.
3. Décidez au portail. Déroulez les 13 questions. Les outils jetables restent en bac à sable. Tout ce qui franchit une frontière fait l'objet d'une décision, tracée.
4. Industrialisez ce qui mérite d'exister. Accès aux vraies données, revue de sécurité, tests, versioning, un propriétaire. Les agents IA peuvent faire l'essentiel de ce travail aussi ; ils le font simplement dans le pipeline.

AppDirect, encore, montre la forme que cela prend. Avant que son site construit avec Lovable ne parte en production, le prototype est passé par une revue d'ingénierie et un vrai pipeline de déploiement ; les équipes métier ont continué à modifier le contenu pendant que les développeurs relisaient ce qui entrait en production. Un hybride : des bâtisseurs métier plus un portail d'ingénierie. Vous évitez de dépenser 20 000 € d'ingénierie sur une idée dont personne ne veut, et vous évitez de placer des données clients derrière une application que personne n'a inspectée.

Ce que cela change pour votre rôle

CEO / COO : écrivez la politique à deux listes ce trimestre. Liste un : ce que chacun peut vibe-coder (données d'exemple, interne, jetable). Liste deux : ce qui déclenche le portail (les 13 questions). Puis nommez le gardien du portail, car un portail sans propriétaire est une décoration. Notre guide de la formation à l'adoption de l'IA montre où cette politique s'insère dans le programme global.

Responsables formation et DRH : le déficit de formation porte sur le jugement, et c'est désormais la priorité. Apprenez à chaque fonction à construire des prototypes, et apprenez-leur les frontières : quelles données peuvent entrer, où est le portail, comment transmettre un prototype validé à l'ingénierie. C'est exactement le terrain couvert par notre formation à la littératie IA des dirigeants et notre guide des équipes hybrides humains-agents.

CMO : votre équipe est probablement déjà la fonction qui vibe-code le plus dans l'entreprise, et c'est un avantage. Calculateurs, landing pages, outils de campagne : construisez librement. Dès qu'un outil touche le CRM ou un client, faites-lui passer le portail avant que votre prochaine campagne n'en dépende.

CFO : posez une seule question à chaque outil construit par IA qui survit un trimestre : combien coûte la version 20 en exploitation ? Budgétez le coût d'exploitation, car le coût de construction vous induira en erreur.

FAQ : vibe coding vs workflows agentiques