ElegArtechTechnologie · Organisations · Action publique
S’abonner
Gouvernance & transformations—Compétences et apprentissage · Travail réel · Cybersécurité—Analyse

Le « vibe coding » des agents : quand l'échec de la maîtrise d'ouvrage devient une compétence que l'institution ignorait avoir

Une thèse institutionnelle française présente le « vibe coding » des agents publics comme une opportunité à encadrer. Cette lecture inverse l'ordre des causes. Le fait que des agents « métier » se mettent à produire du logiciel en dialoguant avec une IA n'est pas d'abord une compétence inattendue à organiser, mais le symptôme d'une maîtrise d'ouvrage (la fonction qui exprime le besoin et pilote la commande) qui n'a pas livré l'outil attendu dans un délai acceptable. Cet article défend une inversion : la « compétence que la collectivité ignorait avoir » est en réalité un besoin qu'elle avait ignoré.

AM
Par Alexandre Berge20 août 2026 · 17 min de lecture
Illustration éditoriale pour « Le « vibe coding » des agents : quand l'échec de la maîtrise d'ouvrage devient une compétence que l'institution ignorait avoir »
Entre ambition et réalité : les transformations à l’épreuve du terrain.

La Gazette nomme une compétence, sans nommer le manque qui la fait naître

Au cours de l'été 2026, La Gazette des communes a consacré un article au « vibe coding » des agents publics, sous le titre « Accueillir le "vibe coding" des agents publics ». Le texte intégral demeure sous accès abonné et n'a pas pu être lu en entier. Le chapô accessible pose néanmoins la thèse sans ambiguïté : le vibe coding « consiste à décrire à une IA ce que l'on attend d'un logiciel et la laisser produire le code correspondant », et « ce "vibe coding" des agents publics fait éclore, dans les services, des compétences que la collectivité ignorait avoir. Reste à en organiser l'exercice ». Le cadrage est explicite : opportunité d'abord, encadrement ensuite.

Le registre choisi mérite attention, car il naturalise un fait sans en interroger la cause. Présenter le phénomène comme l'éclosion de compétences latentes, c'est décrire l'offre nouvelle (des agents capables de produire du code) en laissant dans l'ombre la demande qui la précède. Or un agent d'un service instruction, d'un service RH ou d'un service marché ne se met pas à décrire un logiciel à une IA par goût de la programmation. Il le fait parce qu'un outil lui manque, que ce manque le ralentit, et que la voie normale d'obtention de cet outil, la maîtrise d'ouvrage, ne lui a rien apporté d'utilisable dans le temps de son problème. La compétence révélée est réelle. Mais elle est seconde. Ce qui est premier, c'est le besoin insatisfait.

Le vibe coding est un mot neuf posé sur une pratique ancienne

Le terme a une date de naissance précise. Andrej Karpathy, cofondateur d'OpenAI et ancien responsable de l'IA chez Tesla, l'a forgé dans un message publié sur X le 2 février 2025 : « There's a new kind of coding I call "vibe coding", where you fully give in to the vibes, embrace exponentials, and forget that the code even exists. » Le message, que son auteur a lui-même qualifié plus tard de « shower of thoughts throwaway tweet » (une pensée jetée en l'air), a été vu plusieurs millions de fois. Le 6 novembre 2025, le dictionnaire Collins a désigné « vibe coding » mot de l'année 2025, retenu via son corpus de vingt-quatre milliards de mots et défini comme « the use of artificial intelligence prompted by natural language to assist with the writing of computer code ».

Le point notable, souvent perdu dans la réception française, est que Karpathy s'est distancié de sa propre trouvaille. Lors de l'événement Sequoia AI Ascent 2026, dans une conversation intitulée « From Vibe Coding to Agentic Engineering », il oppose deux régimes : « Vibe coding is about raising the floor for everyone [...]. Agentic engineering is about preserving the quality bar of professional software. You are not allowed to introduce vulnerabilities because of vibe coding. You are still responsible for your software. » Autrement dit, l'inventeur du mot considère dès 2026 que le vibe coding, laissé à lui-même, relève du prototype jetable, et que tout ce qui doit tenir en production requiert une discipline d'ingénierie supervisée. La thèse institutionnelle française d'un « vibe coding à encadrer » arrive ainsi sur un terrain où l'auteur du concept a déjà tranché : sans encadrement, il n'y a pas de production sérieuse.

Sous le mot neuf, la pratique est ancienne. Depuis quarante ans, des professionnels non informaticiens produisent des artefacts logiciels pour combler l'écart entre ce dont ils ont besoin et ce que le système d'information leur fournit. C'est ce que la recherche appelle l'end-user development, ou développement par l'utilisateur final.

L'end-user development (Nardi, 1993)

Dans A Small Matter of Programming: Perspectives on End User Computing (MIT Press, 1993), l'anthropologue Bonnie A. Nardi analyse la programmation par les utilisateurs finaux à partir de deux systèmes qu'elle juge réussis, le tableur et la conception assistée par ordinateur. Sa thèse : la production de logiciel par des non-programmeurs n'est ni un accident ni une déviance, mais une modalité normale d'appropriation, dès lors qu'elle est outillée par des langages spécifiques au domaine et soutenue par des pratiques de travail collaboratives. La synthèse de référence ultérieure, Ko et alii, « The State of the Art in End-User Software Engineering » (ACM Computing Surveys, 43(3), 2011), documente que la plupart des programmes ne sont pas écrits par des développeurs professionnels, mais par des personnes expertes d'un autre domaine cherchant un appui computationnel pour leurs propres fins.

Lu à travers Nardi, le vibe coding des agents cesse d'être une nouveauté déroutante. Il devient la dernière incarnation d'un fait constant : quand l'outil manque, l'utilisateur le fabrique. L'IA générative ne crée pas ce comportement, elle en abaisse drastiquement le coût d'entrée, ce que Karpathy nomme précisément « raising the floor ».

Le braconnage nomme la rationalité de l'agent mieux que le « shadow IT »

Le discours de contrôle dispose déjà d'un mot pour ce phénomène : le shadow IT, ou informatique de l'ombre, c'est-à-dire le déploiement d'outils sans validation de la direction des systèmes d'information (DSI). Le terme est utile pour la cartographie des risques, mais il porte un présupposé normatif : il qualifie d'emblée la pratique comme déviante, cachée, à ramener dans le rang. Ce cadrage empêche de voir ce qui se joue du côté de l'agent.

Un autre cadre théorique rend cette rationalité visible.

Le braconnage (de Certeau, 1980)

Dans L'invention du quotidien, tome 1, Arts de faire (première édition U.G.E., collection 10/18, 1980 ; réédition Gallimard, collection Folio essais, 1990), Michel de Certeau décrit les « arts de faire » par lesquels l'usager ordinaire détourne tactiquement les dispositifs de l'ordre technique. Au chapitre XII, « Lire : un braconnage », il définit le lecteur comme un « braconnier » circulant sur les terres d'autrui. Le braconnage désigne ces « opérations quasi microbiennes qui prolifèrent à l'intérieur des structures technocratiques et en détournent le fonctionnement » par une multitude de tactiques. La pratique n'est pas une faute : c'est la créativité dispersée de ceux qui doivent composer avec un ordre qu'ils n'ont pas choisi.

L'agent qui « vibe code » un tableau de suivi ou un formulaire braconne, au sens précis de de Certeau. Il détourne un outil général (un grand modèle de langage) pour produire tactiquement ce que l'appareil de commande officiel ne lui a pas donné. Nommer la pratique « braconnage » plutôt que « shadow IT » ne l'excuse pas des risques qu'elle emporte, mais restitue la logique de l'acteur : il ne contourne pas la règle par défi, il invente une réponse latérale à une carence. La différence de vocabulaire n'est pas cosmétique. Elle décide de l'objet que l'institution se donne à traiter : soit une déviance à réprimer, soit un besoin non servi à instruire.

L'échec de la maîtrise d'ouvrage est documenté, chiffré, et récurrent

L'hypothèse d'un besoin ignoré n'est pas une conjecture. L'État français documente lui-même, depuis des années, l'écart entre ce que ses grands projets numériques promettent et ce qu'ils livrent. La direction interministérielle du numérique (DINUM) publie un panorama semestriel des grands projets numériques de l'État, qui suit les projets dont le coût dépasse neuf millions d'euros. Les dérives y sont constantes. L'édition 2020 affichait un taux d'écart calendaire moyen de 26,6 % et un taux d'écart budgétaire moyen de 36,6 %. À fin 2022, la DINUM constatait encore un glissement budgétaire moyen de 24 % et un glissement calendaire moyen de 26 %.

La Cour des comptes a prolongé ce constat. Son rapport de juillet 2024 sur le pilotage de la transformation numérique de l'État par la DINUM relève « des réussites notables, comme le prélèvement à la source, mais aussi des échecs retentissants, notamment dans le domaine de la gestion des ressources humaines », citant les projets Louvois, ONP et Cassiopée, et formule onze recommandations. Ce dernier projet est particulièrement éclairant pour la thèse défendue ici. Selon la Cour, « le projet Cassiopée avait en effet été mené sans prendre en compte, au stade du cahier des charges, les besoins des magistrats instructeurs. Il avait également vu se succéder un grand nombre de directeurs de projets, sept entre 2001 et 2014. » Au bout de dix ans, et pour un coût comme des délais doublés, le système du ministère de la justice s'est révélé inadapté à ses utilisateurs. L'échec n'est pas technique. Il est d'expression du besoin. C'est la définition même d'une défaillance de maîtrise d'ouvrage.

Le besoin qui déborde le cadre

Le dernier panorama de la DINUM recense 45 grands projets pesant 3,8 milliards d'euros (coûts de construction augmentés de deux années de fonctionnement), pour une durée moyenne de 6,2 ans et un écart budgétaire moyen ramené à 17,5 %. La Cour des comptes recommande de privilégier des projets de taille moyenne (5 à 20 millions d'euros) réalisables en dix-huit mois à trois ans. L'écart entre ce cycle long et le temps du problème d'un agent, qui se compte en jours ou en semaines, est l'espace exact dans lequel le braconnage prospère.

Quand la voie officielle réclame plusieurs années et un seuil budgétaire de neuf millions d'euros pour être pilotée, et que l'agent a besoin d'un outil pour la semaine prochaine, l'IA générative n'est pas une tentation, elle est une issue. Le vibe coding prospère dans l'intervalle laissé vacant par une maîtrise d'ouvrage calibrée pour le grand projet et absente sur le petit besoin.

Le risque technique est réel et mesuré, mais il désigne un défaut de gouvernance, pas de personne

Reconnaître la rationalité de l'agent n'annule pas le risque de son artefact. La sécurité du code produit par IA générative fait désormais l'objet de mesures convergentes. Le 2025 GenAI Code Security Report publié par Veracode le 30 juillet 2025, qui a analysé le code produit par plus de cent grands modèles de langage sur 80 tâches de codage réelles, conclut que, placés devant le choix entre une méthode sûre et une méthode vulnérable, les modèles ont opté pour la solution non sécurisée dans 45 % des cas, sans amélioration notable au fil des générations de modèles. Le rapport identifie Java comme le langage le plus exposé, avec un taux d'échec de sécurité de 72 %, et relève un taux d'échec de 86 % sur la faille de type Cross-Site Scripting (CWE-80). Son directeur technique, Jens Wessling, relie explicitement ce constat à la pratique : « The rise of vibe coding, where developers rely on AI to generate code, typically without explicitly defining security requirements, represents a fundamental shift in how software is built. »

Le cadre institutionnel de maîtrise du risque existe, lui aussi. L'ANSSI a publié le 29 avril 2024 ses « Recommandations de sécurité pour un système d'IA générative », qui comptent 35 recommandations, dont deux visent directement le sujet : contrôler systématiquement le code source généré par IA, et limiter cette génération pour les modules critiques. L'ANSSI et son homologue allemand, le BSI, ont complété ce corpus le 4 octobre 2024 par un document dédié aux assistants de programmation fondés sur l'IA. La CNIL, de son côté, a construit entre janvier 2024 et juillet 2025 une série de recommandations sur le développement des systèmes d'IA au regard du RGPD.

Ce corpus est robuste. Son angle mort est ailleurs : il s'adresse à des DSI, des développeurs, des responsables de la sécurité des systèmes d'information, c'est-à-dire à la filière informatique instituée. Il ne dit presque rien de l'agent d'un service métier qui produit une application sans jamais croiser cette filière. Le risque documenté par Veracode est donc réel, mais il ne se matérialise dangereusement que parce que l'artefact braconné échappe précisément aux circuits où ces recommandations s'appliquent. Le problème n'est pas que l'agent code mal. C'est que personne, dans l'organisation, n'a prévu le point de passage où son code serait revu. La faille est de gouvernance, non de personne.

Le précédent du tableur a déjà écrit la fin de l'histoire

L'histoire du système d'information offre un précédent d'une proximité structurelle presque parfaite : le tableur et la base de données bureautique des années 1990 et 2000. Les mêmes ingrédients y étaient réunis. Un outil général mis entre les mains de non-informaticiens (Excel, Access). Des utilisateurs métier produisant des applications critiques pour combler ce que la DSI ne livrait pas. Une invisibilité de ces artefacts dans la cartographie officielle du parc. Et des risques longtemps sous-estimés.

Ces risques ont été mesurés. Les travaux de Raymond Panko, figure de référence du champ et cheville ouvrière de l'European Spreadsheet Risks Interest Group (EuSpRIG, qui tient des conférences annuelles depuis 2000), ont établi que les erreurs de tableurs sont à la fois fréquentes et non triviales. Sa synthèse de treize études portant sur 88 tableurs opérationnels conclut que 94 % d'entre eux contenaient au moins une erreur, pour un taux d'erreur par cellule moyen de 5,2 %, suffisant pour qu'un modèle un peu volumineux produise presque à coup sûr un résultat final erroné. Des sinistres financiers de grande ampleur y sont associés dans la littérature du champ, comme l'incident dit « London Whale » de JPMorgan Chase en 2012, où une erreur dans un modèle de valeur en risque bâti sur tableur a contribué à des pertes de trading de plusieurs milliards de dollars.

Le parallèle est éclairant à deux titres. D'abord parce que la réponse des DSI y a suivi une trajectoire lente et instructive : après une phase de déni, puis de tentation prohibitionniste, la plupart des organisations ont fini par instituer le tableur critique, l'inventorier, le soumettre à revue, sans jamais parvenir à l'éradiquer. Ensuite parce qu'il rappelle que l'erreur de l'utilisateur final n'est pas une nouveauté de l'IA : le vibe coding hérite d'un problème que le tableur avait déjà posé, celui de la fiabilité d'artefacts produits hors de toute ingénierie logicielle et hors de tout inventaire. La différence tient au rythme. Ce que le tableur a diffusé en vingt ans, l'IA générative peut le diffuser en vingt mois.

Ce que l'institution gagnerait à instruire le besoin plutôt que la compétence

La souveraineté d'usage que construit l'État par ailleurs éclaire l'enjeu par contraste. La suite Albert, développée par le Datalab de la DINUM à partir de juin 2023 et expérimentée dans les maisons France Services, illustre une réponse par l'offre outillée : proposer aux agents une IA générative maîtrisée, souveraine et encadrée, plutôt que de les laisser recourir à des services externes non contrôlés. Le devenir de cette expérimentation, dont un bilan était attendu à l'été 2026, indiquera si l'État sait transformer le braconnage en développement par l'utilisateur final gouverné, au sens de Nardi, c'est-à-dire outillé et soutenu, ou s'il en reste au registre de l'accueil bienveillant sans architecture.

Car le risque de la thèse institutionnelle n'est pas de trop encadrer. Il est de mal nommer. En célébrant une « compétence que la collectivité ignorait avoir », le discours d'accueil félicite l'organisation pour un talent, quand il devrait s'alarmer d'un signal. Chaque application braconnée est la trace d'un besoin que la maîtrise d'ouvrage n'a pas su capter, exprimer ou servir à temps. Inventorier ces applications, ce n'est pas seulement réduire une dette technique invisible et un risque de non-conformité. C'est disposer d'une cartographie fine des défaillances de la commande publique numérique, service par service. Le parc applicatif clandestin est, à qui sait le lire, le meilleur diagnostic gratuit de la maîtrise d'ouvrage d'une collectivité.

Conclusion : la charte qui vient dira ce que l'institution a compris

Le vibe coding des agents place les institutions publiques devant un choix de récit, et ce choix aura une trace observable. La lecture proposée ici conduit à une hypothèse vérifiable : dans les douze mois suivant l'été 2026, au moins une grande collectivité, un grand opérateur public ou une administration centrale publiera un document nommé, charte ou cadre d'usage du « vibe coding encadré » ou de la génération de code par IA par les agents, comportant au moins trois dispositifs : une revue de code obligatoire, un environnement bac-à-sable distinct de la production, et un inventaire des applications ainsi générées. La publication d'un tel document, repérable par tout lecteur suivant l'actualité institutionnelle sans accès interne, vaudra reconnaissance de facto de l'existence d'un parc applicatif clandestin non recensé.

La question de fond dépassera alors le vibe coding. Un cadre qui se contentera d'organiser la revue de code et le bac-à-sable traitera le symptôme. Un cadre qui remontera du parc braconné vers les besoins qu'il révèle, et qui rapprochera le cycle de la maîtrise d'ouvrage du temps réel des agents, traitera la cause. Reprenant les termes de Karpathy, la première voie se contente de sécuriser le plancher que le vibe coding a abaissé. La seconde interroge le plafond que la commande publique s'était fixé. La compétence, l'institution ne l'ignorait pas vraiment. C'est le besoin qu'elle n'avait pas voulu voir.

Note méthodologique

Cet article mobilise cinq sources primaires vérifiées (rapport Veracode 2025, message et intervention de Karpathy, rapport de la Cour des comptes 2024 et panorama DINUM, recommandations ANSSI et CNIL, travaux de Panko et EuSpRIG) et deux cadres théoriques attestés (Nardi 1993, de Certeau 1980). L'article de La Gazette des communes n'a pu être lu qu'à travers son chapô, l'accès intégral étant sous paywall et le byline non affiché : ni l'auteur ni la date exacte n'ont pu être confirmés, la fenêtre « été 2026 » restant la meilleure estimation disponible, et aucune collectivité n'étant nommée dans les extraits accessibles. Sur de Certeau, la datation retenue distingue l'édition originale de 1980 (U.G.E., 10/18) de la réédition Gallimard Folio de 1990, souvent citée par erreur comme date de première parution. Le choix éditorial dominant a privilégié l'end-user development de Nardi comme concept central, pour sa capacité à opérationnaliser l'ensemble du cas, le braconnage de de Certeau tenant un rôle second de qualification de la rationalité de l'acteur. Le parallèle historique du tableur a été développé seul, en raison de sa proximité structurelle maximale ; le no-code et les macros métier ont été écartés au rang de mention. La piste d'une lecture par le seul « shadow IT » a été explicitement récusée comme trop normative.

Sources

Sources primaires institutionnelles et rapports officiels

Rapport technique

Cadres théoriques

Parallèle historique

Presse spécialisée et sources contextuelles

Toutes les analyses