AI code laten schrijven: waar moet je op letten?

Steeds meer ondernemers laten hun app, website of tool bouwen met AI. Tools als Cursor, Claude, v0 en Bolt maken het mogelijk om zonder programmeerkennis werkende software te maken. Dat is fantastisch. Maar er zit een risico aan dat de meeste mensen onderschatten.

Het probleem met “vibe coding”

AI schrijft code die werkt. De pagina laadt, het formulier verstuurt, de data komt binnen. Maar “werkend” is niet hetzelfde als “goed”. Onder de motorkap kunnen er problemen zitten die je pas merkt als het te laat is:

• SQL injection: een hacker kan via je formulier je hele database lezen
• Hardcoded API keys: je credentials staan letterlijk in de broncode
• Geen input validatie: gebruikers kunnen alles invoeren, inclusief kwaadaardige code
• Slechte error handling: als iets misgaat, crasht de hele applicatie
• Privacy schendingen: persoonsgegevens worden onversleuteld opgeslagen of naar externe diensten gestuurd

Wat AI goed doet (en wat niet)

AI is uitstekend in het genereren van code die doet wat je vraagt. Het probleem is dat je vaak niet weet wat je moet vragen. Een prompt als “maak een inlogpagina” levert een werkend inlogscherm op, maar waarschijnlijk zonder:

• Rate limiting (bescherming tegen brute force)
• Wachtwoord hashing (veilige opslag)
• Session management (veilig ingelogd blijven)
• CSRF bescherming (bescherming tegen cross-site aanvallen)

Dit zijn geen exotische eisen. Dit is basisbeveiliging die elke professionele developer standaard implementeert.

Wat kun je zelf checken?

Zelfs zonder technische kennis kun je een paar dingen controleren:

1. Staan er wachtwoorden of API keys in je code? Zoek op termen als “password”, “secret”, “api_key” in je bestanden
2. Gebruikt je app HTTPS? Check of het slotje in de browser zichtbaar is
3. Wat gebeurt er bij foutieve invoer? Vul vreemde tekens in bij formulieren en kijk wat er gebeurt
4. Worden gegevens opgeslagen? Weet je waar je gebruikersdata naartoe gaat?
5. Is er een privacy policy? Als je persoonsgegevens verwerkt, ben je dat wettelijk verplicht

Wanneer schakel je een professional in?

Als je app een van deze dingen doet, is een code review verstandig:

• Gebruikersgegevens opslaan (namen, emails, wachtwoorden)
• Betalingen verwerken
• Integreren met externe diensten via API’s
• Beschikbaar zijn voor meer dan een handvol gebruikers
• Klantdata verwerken (AVG-verplichtingen)

Een professionele code review kost een fractie van wat een datalek of AVG-boete kost.

Wil je je AI-gegenereerde code laten checken? Bekijk de AI Code Review pakketten of neem contact op.