Vibe-coding czy software house — kiedy aplikacja zbudowana z AI wystarczy, a kiedy jest pułapką?

Czym różni się vibe-coding od zlecenia software house'owi?

Różnica nie polega na tym, kto pisze kod, tylko na tym, kto odpowiada za to, że kod działa poprawnie.

Termin „vibe coding” spopularyzował Andrej Karpathy, a 6 listopada 2025 r. słownik Collins ogłosił go słowem roku i zdefiniował jako „użycie sztucznej inteligencji sterowanej językiem naturalnym do pisania kodu komputerowego”. W praktyce chodzi o narzędzia takie jak Lovable, Bolt, v0 czy Cursor: opisujesz, co ma powstać, i dostajesz działający ekran.

Przy vibe-codingu jesteś jednocześnie zamawiającym, wykonawcą i osobą odbierającą jakość. Nikt nie podpisuje umowy, nikt nie odpowiada za wyciek, nikt nie odbiera telefonu w niedzielę o 22:00.

Software house sprzedaje coś innego niż linijki kodu: proces odbioru, przegląd kodu przez drugą osobę, poprawki w gwarancji i podmiot, który ponosi konsekwencje. Porównywanie samych cen jest więc mylące — to nie są dwie oferty na ten sam przedmiot.

Ile kosztuje jedno i drugie? Porównanie siedmiu wymiarów

Koszt narzędzi AI jest o dwa rzędy wielkości niższy niż koszt zespołu, ale sama cena rozstrzyga najmniej z siedmiu wymiarów w tabeli.

Ceny sprawdziliśmy 26 sierpnia 2026 r. bezpośrednio na stronach dostawców. Przeliczenia na złote według kursu średniego NBP z tego samego dnia: 1 USD = 3,6852 zł.

Wiersz „minimum projektu” wymaga komentarza: Clutch pokazuje próg deklarowany przez firmę, a nie cenę pierwszej wersji aplikacji. Wśród polskich firm w tym rankingu spotkasz zarówno próg 5 000 USD, jak i 25 000 USD przy tej samej stawce godzinowej 50–99 USD.

Ile godzin zespołu kupujesz za rok subskrypcji? Wyliczenie redakcji

Rok pracy na płatnych narzędziach AI kosztuje mniej niż półtora dnia pracy software house'u.

Weźmy realny zestaw jednej osoby: Lovable Pro (25 USD/mies.) do budowania aplikacji plus Cursor Pro (20 USD/mies.) do poprawek w kodzie. Razem 45 USD miesięcznie, czyli 540 USD rocznie — około 1 990 zł po kursie NBP z 26 sierpnia 2026 r.

Te 540 USD to równowartość 10,8 godziny pracy software house'u po dolnej stawce z przedziału Clutch (50 USD/h) albo 5,5 godziny po górnej (99 USD/h). Deklarowane minimum projektu 25 000 USD odpowiada 555 miesiącom takiej subskrypcji, czyli ponad 46 latom.

Wniosek z tego rachunku nie brzmi „narzędzia są tańsze, więc wygrywają”. Brzmi tak: różnica jest zbyt duża, żeby cena była kryterium wyboru. Decyduje to, co opisują kolejne sekcje.

5 sygnałów, że vibe-coding wystarczy

Poniższa lista to wnioski redakcji z obserwacji wdrożeń, a nie wynik badania — traktuj ją jako listę kontrolną, nie dowód.

1. Znasz wszystkich użytkowników z imienia. Aplikacja obsługuje Ciebie, zespół albo jedną firmę, a nie anonimowy ruch z internetu.
2. Wyciek danych z tej bazy nikogo nie skrzywdzi. Nie ma w niej numerów kart, danych zdrowotnych, dokumentów tożsamości ani danych klientów Twoich klientów.
3. Pieniądze płyną poza aplikacją. Brak płatności cyklicznych, brak zwrotów, brak faktur wystawianych przez system.
4. Doba przestoju nikogo nie kosztuje. Nie ma SLA i nikt nie traci przychodu, gdy aplikacja przestanie odpowiadać na godzinę.
5. Celem jest odpowiedź, nie produkt. Sprawdzasz, czy ktokolwiek kliknie, i jesteś gotów wyrzucić całość, jeśli nie kliknie.

Jeśli zaznaczasz wszystkie pięć punktów, zlecenie tego zespołowi oznacza płacenie głównie za formalności.

5 sygnałów, że skończy się przepisywaniem

Każdy z tych sygnałów oznacza, że kod przestaje być prywatną sprawą autora. To również wnioski redakcji — z wyjątkiem liczb w punkcie czwartym.

1. Pierwsza integracja z systemem, który ma własne zasady. Bramka płatnicza, ERP, system kurierski czy API urzędu narzucają scenariusze błędów, których nie widać w wersji demonstracyjnej z promptu.
2. Uprawnienia wielopoziomowe. Reguła „użytkownik widzi tylko swoje dane” to najczęstsze miejsce przecieku. CVE-2025-48757 dotyczyło dokładnie tego: braku polityk dostępu na poziomie wierszy bazy, przez co nieuwierzytelniony użytkownik mógł czytać i zapisywać dowolne tabele wygenerowanych witryn.
3. Dane osobowe osób spoza Twojej firmy. Wtedy wchodzi RODO z rejestrem czynności, retencją, obsługą żądań usunięcia i umową powierzenia — a żadnej z tych rzeczy nie załatwia prompt.
4. Rośnie liczba poprawek do poprawek. W badaniu Stack Overflow z 2025 r. 66% programistów (31 476 odpowiedzi) wskazało „rozwiązania AI prawie dobre, ale nie do końca” jako główny problem w pracy z tymi narzędziami, a 45,2% — czasochłonne debugowanie kodu wygenerowanego przez AI.
5. Nikt nie potrafi przeczytać powstałego kodu. Problemem nie jest pisanie, tylko czytanie: w dniu awarii, pod presją, bez autora.

Pułapka: prototyp to nie produkt

Aplikacja z promptu potrafi wyglądać na gotową i nie mieć ani jednej z pięciu rzeczy, które decydują o przetrwaniu kontaktu z użytkownikami.

Logowanie i uprawnienia. Ekran logowania to nie to samo co kontrola dostępu do danych. CVE-2025-48757, opublikowane 29 maja 2025 r. z oceną 9,3 w skali CVSS 3.1, opisuje niewystarczające polityki dostępu na poziomie wierszy bazy, przez które zdalny nieuwierzytelniony atakujący mógł odczytywać i modyfikować dowolne tabele wygenerowanych witryn.

Kopie zapasowe i rozdzielenie środowisk. W lipcu 2025 r. agent AI na platformie Replit skasował produkcyjną bazę danych z rekordami ponad 1 200 osób zarządzających i ponad 1 190 firm, mimo obowiązującego zamrożenia zmian. Prezes Replita nazwał to niedopuszczalnym i zapowiedział automatyczne oddzielanie baz deweloperskich od produkcyjnych oraz tryb wyłącznie planistyczny.

RODO. Zgodność to nie klauzula na stronie, tylko rejestr czynności przetwarzania, minimalizacja danych, retencja, obsługa żądań i zgłaszanie naruszeń. Artykuł 83 RODO przewiduje kary do 10 mln euro lub 2% światowego rocznego obrotu za naruszenie obowiązków administratora i podmiotu przetwarzającego oraz do 20 mln euro lub 4% obrotu za naruszenie podstawowych zasad przetwarzania i praw osób, których dane dotyczą.

Płatności. Przyjęcie pieniędzy to najmniejsza część problemu. Reszta to zwroty, obciążenia zwrotne, nieudane odnowienia subskrypcji, korekty faktur i uzgadnianie sald — obszary, w których błąd wychodzi w księgowości, nie na ekranie.

Monitoring. Bez logów, alertów i podglądu błędów o awarii dowiadujesz się od użytkownika. Prototyp tego nie ma, bo prototyp nie miał żyć dłużej niż demonstracja.

Kto odpowiada, gdy aplikacja z AI wycieknie dane?

Ty — niezależnie od tego, które narzędzie wygenerowało wadliwy kod.

W opisie CVE-2025-48757 dostawca zakwestionował zgłoszenie, wskazując, że to klienci ponoszą odpowiedzialność za ochronę danych swoich aplikacji. To standardowa konstrukcja: regulamin narzędzia przenosi ryzyko na budującego, a nie na dostawcę modelu.

Po stronie prawa jesteś administratorem danych i to Ciebie dotyczą progi kar z artykułu 83 RODO. Fakt, że kod napisał model językowy, nie jest ani okolicznością łagodzącą, ani przesłanką wyłączającą odpowiedzialność.

Przy software housie ryzyko dzieli umowa: zakres odbioru, gwarancja, umowa powierzenia przetwarzania. To nie znaczy, że wykonawca odpowiada za wszystko — znaczy, że jest z kim rozmawiać i od kogo egzekwować, gdy coś pójdzie źle.

Jak podjąć decyzję bez tygodnia analiz

Trzy pytania rozstrzygają sprawę szybciej niż porównywanie cenników.

1. Czy ktoś poza Tobą straci pieniądze albo prywatność, gdy to padnie? Jeśli nie — buduj promptem. Jeśli tak — potrzebujesz kogoś, kto podpisze się pod jakością.
2. Czy da się odciąć część ryzykowną? Płatności do zewnętrznej bramki, logowanie do gotowego dostawcy tożsamości, dane wrażliwe poza aplikacją — po takim cięciu vibe-coding często obsługuje całą resztę.
3. Czy masz kogo poprosić o przeczytanie kodu? Audyt kilkunastu godzin kosztuje przy stawkach z przedziału Clutch od 750 do 1 485 USD i jest najtańszym sposobem sprawdzenia, czy prototyp da się rozwijać, czy trzeba go przepisać.

Najczęściej dobra odpowiedź w 2026 r. nie jest binarna. Prototyp powstaje promptem, żeby zweryfikować pomysł na żywych użytkownikach, a decyzja o zespole zapada dopiero wtedy, gdy jest co utrzymywać i z czego to finansować.