バイブコーディングで作ったツール、社内利用と本番公開の境目はどこか

AIに自然言語で指示してコードを書かせる、いわゆるバイブコーディング。試しに作ったツールが思いのほか便利で、隣の席の人にも使ってもらい、気づけば部署の全員が毎日開いている——という流れは珍しくない。困るのは、この過程で「本番公開の判断」をした人が誰もいないことだ。決めていないのに、実質的に本番運用が始まっている。この記事では、どこが境目なのかを4段階で切り分ける。

「社内で使うだけ」には4段階ある

同じ「社内利用」でも、必要な確認はまったく違う。まず自分のツールがどこにいるかを特定する。

多くのトラブルは、レベル0のつもりで作ったものが、誰も気づかないうちにレベル2になっていることで起きる。レベルが上がるとき、通知は来ない。

線を越える瞬間は2つしかない

1つ目｜他人が使い始めたとき

自分だけが使っている間は、多少おかしな挙動があっても本人が分かっている。想定外の入力もしないし、エラーが出れば自分で直す。

他人が使い始めた瞬間、この前提が消える。作った人が想定していない入力が来る。エラーが出ても報告されずに放置される。そして何より、そのツールの限界を知らない人が、結果を信じて業務判断をするようになる。

レベル0とレベル1の間にある壁は、技術的なものではなく「作った人の頭の中にしかない前提が、共有されていない」という壁だ。だからここで最初に要るのは、セキュリティ対策より先に、何をするツールで何をしないツールなのかを書き出すことになる。

2つ目｜止まると業務が止まる状態になったとき

「本番」を、社外に公開することだと思っている人が多い。実務ではそうではない。そのツールが止まると業務が止まる状態になった時点で、それは本番運用だ。

社内限定でも、受発注の記録がそこにしかない、請求金額の計算をそれでやっている、勤怠がそれで回っている——こうなっていれば本番である。逆に、社外から見えていても、無くなって誰も困らないなら本番とは言わない。

判定は簡単で、「明日このツールが消えたら、何が困るか」を一文で答えてみればいい。「困らない」ならレベル0か1。「その日の業務が止まる」ならレベル3であり、内製で持つべきかから考え直す段階にある。

よくある誤解

「社内だからセキュリティは考えなくていい」

社内向けに作ったつもりでも、認証をかけていなければURLを知っている人は誰でも開ける。ログインを必須にしていないツールは、社内・社外という区別が最初から存在しない。「社内向け」は設計の意図であって、状態ではない。

「しばらく使って問題なかったから大丈夫」

動作の不具合ならこれは正しい。使っていれば見つかる。しかし情報が漏れる状態や権限設定の不備は、使っていても何も起きない。稼働期間の長さは、その種のリスクについては何の証明にもならない。

「AIが書いたコードだから、AIに聞けば安全か分かる」

部分的には正しい。ただしAIは、渡された範囲のコードしか見ていない。実際の設定値、アクセス権限の状態、どこにデータが保存されているかといった環境側の情報は、コードを読んでも分からない。事故の多くは環境側で起きるので、コードのレビューだけでは判断が閉じない。

レベルを上げる前にやること

段階ごとにやることは違う。全部やる必要はない。

• レベル0 → 1：何をするツールかをA4一枚に書く。作った人以外が起動・修正できるか確かめる
• レベル1 → 2：閲覧権限を業務上必要な人だけに絞る。データの保存先を確認する。バックアップから戻せることを一度試す
• レベル2 → 3：ここは判断が変わる。内製ツールとして持ち続けるのか、既製のサービスに移すのか、外部に作り直してもらうのかを先に決める

詳しい確認項目は本番導入前チェックリスト12項目にまとめてある。

まとめ

バイブコーディングで作ること自体に問題はない。問題は、レベルが上がったことに誰も気づかないまま運用が続くことにある。四半期に一度でいい、社内で動いているツールを並べて「これは今どのレベルか」を一言ずつ付けていく。それだけで、越えてはいけない線を越えたものが浮かび上がる。