Een offerteformulier, een klantenportaal, een planningstool: met AI-codetools staat het er in dagen in plaats van maanden. Dat is echte winst en we raden niemand aan om terug te gaan. Maar wij kijken beroepshalve onder de motorkap van dit soort applicaties en daar komt telkens hetzelfde beeld uit. De software doet wat de demo belooft. De problemen zitten in alles wat de demo niet toont.
Wat zijn de risico's van software die met AI gebouwd is?
Met AI gebouwde software werkt meestal vlekkeloos in de demo en faalt op wat je niet ziet: ontbrekende invoervalidatie, API's die openstaan voor wie het adres kent, persoonsgegevens die lekken, GDPR-verplichtingen die nergens zijn afgedekt en bedrijfslogica die in de browser draait in plaats van op de server. Onderzoekers van NYU vonden al in 2021 dat ongeveer veertig procent van AI-gegenereerde code kwetsbaarheden bevatte. Elk van die gaten is vast te stellen en te dichten, het liefst voor de livegang.
Iedereen bouwt nu zelf en dat is geen slechte zaak
De drempel om software te maken is in twee jaar tijd ingestort. Wat vroeger een ontwikkelteam en een half jaar vroeg, doet een handige medewerker nu in een paar weken. Voor een kmo is dat een kans: je kent je eigen werking beter dan elke externe bouwer en je kunt eindelijk tools maken die exact op je proces passen.
Het probleem is niet het bouwen. Het probleem is dat de tools optimaliseren op werkende code en niet op veilige code, en dat de bouwer meestal niet de achtergrond heeft om het verschil te zien. De app doet het, iedereen is tevreden en niemand stelt de vraag die een beroepsontwikkelaar als eerste stelt: wat gebeurt er als iemand dit verkeerd gebruikt?
De vijf gaten die telkens terugkomen
Dit zijn de vijf patronen die wij in reviews van zelfgebouwde applicaties het vaakst tegenkomen. Ze zijn stuk voor stuk onzichtbaar in een demo en stuk voor stuk pijnlijk na livegang.
1. Invoer wordt niet gecontroleerd
Een formulier verwacht een naam en een e-mailadres. Wat gebeurt er als iemand er een stuk code in plakt, een bestand van 2 gigabyte, of een tekst van tienduizend tekens? Zonder invoervalidatie belandt dat allemaal ongefilterd in je database of in de mails naar je team. Dat begint bij rommel in je gegevens en eindigt bij een aanvaller die via een invoerveld je database leest.
2. De API staat open voor wie het adres kent
Achter elke app zit een laag die de gegevens ophaalt en wegschrijft. AI-tools zetten die laag vaak op zonder controle op wie er aanklopt. Wie het adres kent of gewoon raadt, kan dan rechtstreeks bestellingen, klantgegevens of prijzen opvragen zonder ooit in te loggen. Het adres staat bovendien gewoon leesbaar in de code die elke browser binnenkrijgt.
3. Persoonsgegevens lekken via de achterdeur
Foutmeldingen die het hele klantenrecord tonen, exportknoppen zonder rechtencontrole, logbestanden vol e-mailadressen: zelfgebouwde apps lekken persoonsgegevens zelden via de voordeur en bijna altijd via een vergeten zijdeur. Eén lek is genoeg voor een melding bij de Gegevensbeschermingsautoriteit en een lastig gesprek met elke betrokken klant.
4. GDPR is nergens afgedekt
Wie verwerkt de gegevens, waar staan ze, hoe lang worden ze bewaard en op welke grond? Een AI-tool stelt die vragen niet en de bouwer meestal ook niet. Zo draait er ineens een app die klantgegevens naar een Amerikaanse dienst stuurt zonder verwerkersovereenkomst, zonder vermelding in de privacyverklaring en zonder dat iemand het besefte.
5. De bedrijfslogica draait in de browser
De klassieker uit configurators en offertetools: de prijsberekening zit in de code die naar de bezoeker gestuurd wordt. Iedereen met een browser kan die code lezen en aanpassen. In het beste geval kijkt een concurrent je kortingsstructuur af. In het slechtste geval bestelt iemand tegen een prijs die hij zelf heeft ingevuld en heb je juridisch een probleem, want de bestelling is bevestigd.
Waarom de demo je niets vertelt
Een demo toont het verwachte pad: correcte invoer, een welwillende gebruiker en geen enkele aanvaller. Precies de drie aannames die na livegang sneuvelen. Echte gebruikers doen onverwachte dingen, bots scannen elke publieke URL binnen enkele dagen af en formulieren krijgen binnen de week hun eerste geautomatiseerde rommel binnen. De vraag is niet of het misgaat, maar of het opvalt wanneer het misgaat, en dat is bij zelfgebouwde apps zelden geregeld: logging en alarmen ontbreken bijna altijd.
Wat je vandaag zelf kunt controleren
Vier controles die geen technische achtergrond vragen. Zak je op een ervan, dan weet je dat er meer aan de hand is.
Eén: vul in elk veld eens iets fout in. Een tekst waar een getal hoort, een leeg verplicht veld, een absurd lange naam. Krijg je nette foutmeldingen of doet de app rare dingen? Twee: open de app in een incognitovenster en plak het adres van een pagina die achter de login hoort te zitten. Zie je toch gegevens, dan staat de deur open. Drie: vraag wie de verwerkersovereenkomsten heeft met elke externe dienst die de app gebruikt. Stilte is een antwoord. Vier: vraag de bouwer waar de prijsberekening draait. Is het antwoord "in de app zelf", vraag dan door of dat de server is of de browser.
Laat het toetsen voor je live gaat
Zelf bouwen en professioneel toetsen sluiten elkaar niet uit; ze horen juist samen. Wij voeren software-audits uit op precies dit soort applicaties: zes controledomeinen, van veiligheid en GDPR tot functionele testscenario's en continuïteit, met een rapport dat per bevinding aangeeft wat kritiek is en wat kan wachten. Je team bouwt daarna gewoon verder, maar dan met de gaten dicht.
Zelf gebouwd en bijna klaar voor livegang?
De SEMANU software-audit licht je applicatie door op de zes domeinen uit dit artikel en levert een prioriteitenlijst plus werksessie met je team. Vaste aanpak, vanaf 1.850 euro.
Veelgestelde vragen
Is software die met AI gebouwd is onveilig?
Niet per definitie, maar de kans op gaten is groter. Onderzoekers van NYU vonden al in 2021 dat ongeveer veertig procent van AI-gegenereerde code kwetsbaarheden bevatte. De tools optimaliseren op werkende code en niet op veilige code.
Mag ik dan niet meer zelf bouwen met AI?
Jawel, en voor veel interne tools is het de snelste weg. Het punt is dat je een app die klanten, geld of persoonsgegevens raakt, laat toetsen voor hij live gaat, precies zoals je een zelf verbouwde keuken laat keuren voor je het gas aansluit.
Wat controleert een software-audit precies?
Zes domeinen: veiligheid, persoonsgegevens en GDPR, functionele werking met testscenario's, architectuur en logica, prestaties en mobiel gebruik, en continuïteit. Het resultaat is een rapport met een prioriteitenlijst in drie niveaus en een werksessie met je team.
Wat kost zo'n audit en hoe lang duurt hij?
Vanaf 1.850 euro exclusief btw, met een doorlooptijd van ongeveer een week. Voor de volledige diepgang vragen we leestoegang tot de code onder een wederzijdse geheimhoudingsovereenkomst; zonder codetoegang bestaat een black-box-variant.