Développer avec l’IA en 2026
pourquoi l’expertise humaine reste essentielle

La sécurité : les risques du code généré par IA

La sécurité est l'un des premiers sujets à traiter lorsqu'une part importante du développement est confiée à une IA. Un modèle sait reproduire des schémas de code courants, mais il peut aussi reproduire de mauvaises pratiques. Une requête SQL mal construite, un contrôle d'autorisation oublié, une entrée utilisateur insuffisamment filtrée ou une clé API laissée dans le dépôt peuvent suffire à créer une vulnérabilité. Le problème n'est pas spécifique à l'IA : un développeur peut commettre les mêmes erreurs. La différence tient surtout à la vitesse à laquelle un agent peut produire et modifier de grandes quantités de code. Sans revue, tests de sécurité et contrôle des dépendances, une erreur peut donc être propagée très rapidement dans le projet.

Vulnérabilités cachées et attaques adversariales

Les dépendances constituent un autre point de vigilance. Un assistant peut suggérer une bibliothèque ancienne, un paquet abandonné ou une version contenant une vulnérabilité connue. Avec les agents capables de lire des fichiers, d'exécuter des commandes et d'accéder à des services externes, la surface d'attaque augmente encore. Il faut notamment prendre en compte les attaques par prompt injection indirecte : une instruction malveillante présente dans un document, une page web ou un dépôt peut être interprétée par l'agent comme une consigne. La notion de "Lethal Trifecta" décrite par Simon Willison résume bien le problème : un agent qui accède à des données confidentielles, lit des contenus non fiables et dispose en même temps d'une capacité d'action doit être fortement cloisonné.

Maintenance du code : la dette technique difficile à voir

La vitesse de génération peut donner une impression trompeuse de simplicité. Une fonctionnalité peut être produite en quelques minutes et devenir difficile à modifier quelques semaines plus tard si le projet s'est construit par empilement de correctifs. On retrouve alors les problèmes classiques de dette technique : duplication, dépendances trop fortes entre modules, conventions incohérentes, fonctions trop longues ou règles métier dispersées dans plusieurs couches. Avec des outils comme Cursor, Copilot ou Claude Code, le développeur doit donc rester attentif à la cohérence globale du projet, pas uniquement au fait que le code compile ou que la fonctionnalité fonctionne à l'instant T.

Tests insuffisants et biais algorithmiques

Les assistants sont plutôt bons pour produire des tests unitaires à partir d'un code existant. Ils sont moins fiables lorsqu'il faut décider ce qui doit réellement être testé. Les cas limites, les règles métier, les interactions entre services ou les scénarios de reprise après erreur demandent une connaissance du produit que le modèle ne possède pas toujours. Il faut également éviter un travers fréquent : demander à la même IA d'écrire le code puis les tests qui sont censés le valider, sans regard extérieur. Les deux peuvent partager la même mauvaise hypothèse. Les tests générés restent utiles, mais ils doivent s'inscrire dans une stratégie de test définie par l'équipe.

Stockage des données et souveraineté : la question du Cloud Act

Le stockage et le traitement des données doivent être étudiés dès la conception. Beaucoup d'outils de développement, d'API d'IA et de services cloud reposent sur des fournisseurs américains. Héberger une ressource dans une région européenne ne répond donc pas, à lui seul, à toutes les questions de souveraineté. Il faut aussi regarder l'entreprise qui opère le service, les sous-traitants, les conditions contractuelles, les journaux conservés et les accès possibles depuis d'autres juridictions. Le Cloud Act fait partie des éléments à prendre en compte dans cette analyse, notamment lorsque le fournisseur relève du droit américain.

Conformité au RGPD et transferts de données

Le RGPD impose de savoir quelles données personnelles sont traitées, pour quelle finalité, par qui et dans quel pays. L'utilisation d'un outil d'IA dans le workflow de développement ajoute parfois des flux auxquels l'équipe ne pense pas immédiatement : logs, prompts, extraits de code, dumps de bases de données, fichiers envoyés à un agent ou télémétrie. Ces éléments doivent être cartographiés comme le reste du système. Le chiffrement est important, mais il ne suffit pas. La gestion des clés, les durées de conservation, les habilitations, les sauvegardes et les transferts hors UE doivent également être documentés et maîtrisés.

Ce reportage revient sur les questions de souveraineté numérique en Europe et sur la dépendance à certains fournisseurs cloud américains.

La vision d'ensemble : le rôle de l'expertise humaine

Le travail d'un développeur expérimenté ne consiste pas seulement à produire du code. Une grande partie de la valeur se situe dans les décisions prises avant et autour du développement : découpage de l'application, choix de la base de données, stratégie d'authentification, gestion des secrets, supervision, sauvegardes, déploiement et reprise en cas d'incident. Un agent IA peut proposer des solutions pour chacun de ces sujets, mais il ne connaît pas spontanément les contraintes réelles de l'entreprise, son budget, son infrastructure existante, ses obligations réglementaires ou les compétences de l'équipe qui devra maintenir le projet.

Bonnes pratiques, outils et architectures

L'expertise intervient aussi dans des choix moins visibles : accessibilité, observabilité, stratégie de logs, politique de mise à jour, coût d'exploitation ou sobriété numérique. Le bon choix n'est pas toujours la technologie la plus récente ni celle que l'IA propose en premier. Il peut être plus pertinent de conserver une architecture simple, de privilégier un service européen ou d'utiliser un modèle plus petit exécuté localement. L'IA apporte de la vitesse et permet d'explorer plusieurs options, mais les arbitrages restent liés au contexte du projet et à la responsabilité de l'équipe qui le met en production.

Représentation des principaux risques liés à une dépendance excessive à l'IA dans un projet de développement.

Impact sur les compétences et la responsabilité

L'arrivée de l'IA ne supprime pas le besoin de compétences techniques. Elle déplace une partie du travail. Le développeur passe moins de temps sur certaines tâches répétitives et davantage sur la formulation du besoin, la revue de code, l'architecture, les tests, la sécurité et le contrôle des changements proposés par les agents. Savoir lire et remettre en cause du code devient au moins aussi important que savoir le produire. La responsabilité du logiciel livré reste par ailleurs celle de l'entreprise et de l'équipe qui le déploie : on ne peut pas attribuer une faille ou une mauvaise décision au modèle utilisé pour générer le code.

Comparaison des coûts et des risques à long terme entre une approche très automatisée et une approche associant IA et expertise humaine.

L'IA est donc particulièrement efficace lorsqu'elle est intégrée à un processus de développement déjà maîtrisé. Elle peut accélérer la rédaction de code, la recherche d'erreurs, la production de tests ou la documentation. En revanche, les décisions d'architecture, de sécurité, d'hébergement et de conformité doivent rester contrôlées par des personnes capables d'en mesurer les conséquences. L'approche la plus solide n'est pas le développement sans humain, mais un développement où l'IA prend en charge une partie du travail sous la supervision d'une équipe qui comprend réellement le système produit.

Tableau comparatif : IA et expert humain dans le développement

En 2026, utiliser l'IA pour développer n'a plus rien d'expérimental. Elle permet réellement d'aller plus vite et, bien utilisée, elle améliore la productivité d'une équipe. Le risque apparaît lorsqu'on confond vitesse de génération et qualité d'un système. Une application ne se résume pas aux fichiers qui composent son code : elle dépend aussi de son architecture, de son infrastructure, de ses données, de ses dépendances, de sa sécurité et de sa maintenance. L'approche la plus efficace consiste donc à utiliser l'IA là où elle apporte un gain concret tout en conservant une revue humaine sur les décisions qui engagent le projet. Le rôle du développeur évolue, mais il ne disparaît pas : il devient davantage responsable du cadre dans lequel le code est produit, contrôlé et déployé.

Questions fréquentes