Vibe coding: bouwen door te praten, wat het oplevert en waar het misgaat

Door Yannick Wiggers · laatst bijgewerkt op 28 september 2026

Vibe coding is software bouwen door in gewone taal te beschrijven wat je wilt, de code die een AI daarop schrijft te accepteren zonder alles zelf te lezen, en bij te sturen met testen en nieuwe aanwijzingen. De term komt van Andrej Karpathy, medeoprichter van OpenAI, in februari 2025; Collins English Dictionary koos vibe coding tot woord van het jaar 2025 (Wikipedia, geraadpleegd 28 september 2026). Voor een ondernemer betekent het dat een website, een rekentool of een koppeling tussen twee programma's binnen bereik komt zonder programmeur. Het betekent niet dat controle overbodig is: code die met AI was geschreven bevatte volgens CodeRabbit in december 2025 2,74 keer zoveel beveiligingskwetsbaarheden (Wikipedia, geraadpleegd 28 september 2026).

Hoe werkt vibe coding in de praktijk?

Je beschrijft, de AI bouwt, jij test en beschrijft opnieuw; die lus herhaal je tot het werkt. Een sessie begint met een doel in gewone taal: "Maak een pagina waarop een klant zijn postcode invult en direct ziet of ik in zijn regio werk." De AI schrijft de bestanden, jij opent het resultaat, ziet wat er niet klopt en beschrijft dat: "De knop staat verkeerd en Rotterdam wordt niet herkend." Hoe je zo'n beschrijving scherp krijgt, lees je bij prompts schrijven.

Het gereedschap bepaalt hoe die lus voelt. Claude Code is een agent die je projectmap leest, bestanden bewerkt en commando's uitvoert, in de terminal of in de desktop-app (code.claude.com, 28 september 2026); in de desktop-app beoordeel je elke wijziging voordat je hem accepteert. Andere tools die bij vibe coding genoemd worden zijn Cursor Composer, GitHub Copilot, Replit Agent en Google Antigravity (Wikipedia, geraadpleegd 28 september 2026), en in de praktijk ook Lovable en Bolt. Hoe je Claude Code op je computer zet, staat in het stappenplan voor installeren; wat het verder kan, op de overzichtspagina over Claude Code.

Wat kun je als ondernemer bouwen met vibe coding?

Een website, een rekentool en een koppeling tussen twee programma's zijn de drie dingen die in de praktijk het vaakst lukken. Een website met een paar pagina's en een contactformulier is statische HTML: daar gaat weinig mis en je ziet direct wat er staat. Een rekentool, bijvoorbeeld een offerte-indicatie of een bezettingscalculator, is één pagina met wat rekenwerk dat je zelf controleert door een paar uitkomsten na te rekenen. Een koppeling, zoals een script dat een aanmelding uit een formulier in je spreadsheet zet of een maandrapport uit je administratie trekt, bespaart terugkerend handwerk.

Wat je beter niet zonder controle bouwt: software waarin klantgegevens worden opgeslagen, een klantportaal met inloggen, of iets dat betalingen verwerkt. Daar telt niet alleen of het werkt, maar ook wie erbij kan en wat er gebeurt als het misgaat, en dat zie je niet aan de buitenkant. Zulke projecten laat je minstens beoordelen door iemand die de code wel leest. Wat er rond klantgegevens en de AVG komt kijken, staat op de pagina over privacy bij Claude.

Waar gaat vibe coding mis?

De cijfers laten twee dingen tegelijk zien: het wordt massaal gebruikt, en de code die eruit komt bevat meer fouten. Alle cijfers hieronder komen van Wikipedia, geraadpleegd op 28 september 2026.

• Y Combinator meldde in maart 2025 dat 25 procent van de startups in de winterlichting een codebase had die voor 95 procent door AI was geschreven.
• CodeRabbit vond in december 2025 dat code die met AI was meegeschreven 1,7 keer zoveel grote problemen en 2,74 keer zoveel beveiligingskwetsbaarheden bevatte.
• METR mat in juli 2025 dat ervaren ontwikkelaars met AI-tools 19 procent langzamer waren, terwijl ze vooraf verwachtten 24 procent sneller te zijn.
• Lovable trof in mei 2025 beveiligingsfouten aan in 170 van 1.645 gegenereerde apps.
• In juli 2025 wiste een agent van Replit een productiedatabase.

Het patroon achter die cijfers: code die op het eerste gezicht werkt, kan fouten bevatten die je pas ziet als je hem leest of test. En het Replit-incident laat zien dat een agent die commando's mag uitvoeren, ook commando's kan uitvoeren die je niet bedoelde.

Hoe doe je vibe coding veilig?

Werk in kleine stappen, test na elke stap, houd een back-up bij en gebruik nooit echte productiedata. Concreet:

1. Kleine stappen. Vraag om één ding tegelijk: eerst de pagina, dan het formulier, dan de berekening. Zo weet je bij een fout waar hij vandaan komt.
2. Testen na elke stap. Open het resultaat, vul bewust rare waarden in (een lege postcode, een negatief bedrag) en reken een uitkomst met de hand na.
3. Back-ups en versiebeheer. Laat de AI met Git werken, zodat je elke versie terug kunt zetten, en bewaar daarnaast een kopie van je bestanden buiten het project.
4. Geen productiedata. Test met verzonnen namen en bedragen. Een agent die een echte database mag benaderen, kan hem ook wissen, zoals bij Replit in juli 2025 gebeurde (Wikipedia, geraadpleegd 28 september 2026).
5. Laat de AI uitleggen wat het deed. Vraag na elke stap: "Welke bestanden heb je gewijzigd en waarom?" Snap je het antwoord niet, dan was de stap te groot.
6. Houd de permissies strak. Claude Code vraagt toestemming voordat het bestanden wijzigt of commando's uitvoert, tenzij je een ruimere permissiemodus kiest; laat die vraag aanstaan tot je het gedrag vertrouwt. Wat een agent precies is en waar de grenzen liggen, lees je bij AI-agents.
7. Laat iemand meekijken zodra er klantgegevens, betalingen of inloggen in het spel zijn.