「AIに指示したら、その日のうちに動くサイトができた」。こういう話を、2025年から社内外でよく聞くようになりました。ツールに日本語で頼むだけで、フォームもデータベースも動く。開発の入り口が一気に下がったのは間違いありません。ただ、群馬県内の中小企業さまから受ける相談で最近増えているのが「動いてはいるが、この中身が正しいのか誰も分からない」という不安です。この記事では、AIに作らせたサイトやコードを受け取る側、つまり発注する立場で最低限おさえておきたい確認ポイントを3つに絞ってお伝えします。
「vibe coding」とは何か
「vibe coding（バイブコーディング）」は、AI研究者のAndrej Karpathy氏が2025年2月に使い始めた言葉です。人が自然言語で「こういうものが欲しい」と伝え、細かいコードは読まずにAIの生成物をそのまま採用していく開発スタイルを指します（Vibe coding - Wikipedia）。
従来の開発では、エンジニアが一行ずつコードを書き、その意味を説明できました。vibe codingではそこが変わります。作った本人ですら「なぜ動いているか」を完全には把握していない、という状態が起こりうる。試作品やアイデア検証なら、それでもスピードの利点が勝ちます。問題は、その勢いのまま実際のお客さま向けサービスに使ってしまうときです。
「動く」と「任せられる」は別物
画面が表示されてボタンが押せれば、発注側からは「完成」に見えます。ですが、Webサイトやアプリの品質は目に見える部分だけでは決まりません。筆者はここに、発注側が見落としやすい3つの落とし穴があると考えています。
ひとつは、入力チェックが甘いまま公開されるケース。見た目のフォームは動いても、裏側で不正な値をはじく処理が抜けていることがあります。もうひとつは、個人情報やパスワードの扱いが仕様に含まれていないケース。最後が、作った人が抜けた瞬間に誰も直せなくなるケースです。どれも納品時点の画面をいくら眺めても分かりません。
発注側が確認する3点
1. セキュリティと個人情報の扱いを言葉で説明してもらう
まず聞くべきは「このサイトは、悪意ある入力や不正アクセスにどう備えていますか」の一点です。答えが「AIが作ったので大丈夫だと思います」で止まるなら、そこが危険信号です。
例えば問い合わせフォームなら、入力値の検証、送信内容の保存場所、個人情報の暗号化や保持期間を、発注側が理解できる日本語で説明してもらいます。AIツールやプロンプト、使ったテンプレート次第で、指示していない安全対策が最初から入っていることもあれば、丸ごと抜けていることもあります。「頼まなかったので入っていなかった」も現実に起こります。だからこそ、発注時に「個人情報を扱う」「決済がある」と明示し、それに対する対策を成果物の条件として書面に残しておくと確実です。
2. 引き継げる状態か —— コードの所有と可読性
2つ目は保守です。半年後に「営業時間の表示を変えたい」「項目を1つ増やしたい」と思ったとき、別の会社や別の担当者が中身を読んで直せるか。ここが弱いと、小さな修正のたびに作り直しに近い費用がかかります。
確認したいのは、ソースコード一式を発注側が受け取れること、そしてどこを触れば何が変わるかが整理されていることです。特定のAIツールやサービスに深く依存していると、そのサービスが値上げや終了をしたときに逃げ道がなくなります。「このコードは私たちが自由に使える形で全部もらえますか」と契約前に確認してください。
3. テストと再現性があるか
3つ目は、動作が偶然ではないと確かめる仕組みです。AI生成のコードは、たまたま今のデータでは動くが、想定外の入力で崩れることがあります。
難しいテスト理論の話ではありません。「空欄で送信したらどうなるか」「大量に登録されたらどうなるか」「同じ操作を2回したらどうなるか」を、納品前に一緒に試してもらうだけでも大きく違います。制作側がこうした異常系を自分たちで潰しているか、それとも「たぶん大丈夫」で済ませているか。ここに、プロに任せる価値が出ます。
例：従業員20名の会社が予約フォームを作らせたら
仮に、従業員20名のサービス業が、AIツールで予約受付フォームを1日で組んだとします。画面はきれいで、テスト予約も通りました。ここで先ほどの3点を当てると、確認すべきことが具体的になります。
- 予約者の氏名・電話番号はどこに保存され、誰が見られるのか（1つ目）
- フォームの項目を後から自分たちで増やせるのか、毎回外注なのか（2つ目）
- 同じ時間に2件入ったときダブルブッキングを防げるのか（3つ目）
この3つに制作側が明確に答えられるなら、公開に向けて前進できます。ただし注意したいのは、説明を受けられたことと、実装が実際に正しく安全であることは別だという点です。個人情報や決済が絡むなら、公開前に第三者の目でコードと設定を点検してもらうと安心できます。答えに詰まる項目があれば、そこが公開前に手当てすべき箇所です。手当ての費用は、トラブルが起きてからの対応より安く済むのが普通です。
発注前に握っておくこと
AIで作ること自体は悪くありません。ククルデザインでも、試作や社内ツールではAI生成を積極的に使っています。分けて考えたいのは、お客さまの情報やお金が絡む本番システムかどうかです。
本番で使うものなら、発注の段階で次の3つを文面に残しておくと安全です。ソースコード一式を受け取れること。個人情報・セキュリティ対策の範囲。納品前に異常系の動作確認を行うこと。この3行があるだけで、「動いて見えるだけの成果物」を後から掴まされるリスクがぐっと下がります。
まとめ
- vibe codingは開発を速くしたが、「動く」と「任せられる」は別物。発注側の見る目が品質を左右する
- 確認するのは3点 —— セキュリティと個人情報の扱い、引き継げる状態か、異常系のテストがあるか
- 説明を受けられても実装の正しさまでは保証されない。個人情報や決済が絡むなら公開前に第三者の点検を入れる
- 本番システムなら、ソースの受け取り・セキュリティ範囲・納品前テストを発注時に文面へ残す
AIが作ったものを頭ごなしに疑う必要はありません。ただ、お客さまの情報を預かるサイトほど、作り方より「誰が中身を保証できるか」が効いてきます。筆者は、そこを言葉で説明でき、必要なら第三者の点検にも耐えられる相手に頼むことが、結局いちばん安いと考えています。
ククルデザインでは、群馬県内の中小企業さま向けにWebサイト制作やAI・DX導入のご相談を承っています。「AIで作ってみたが、このまま公開して大丈夫か見てほしい」といった段階のご相談も歓迎です。お気軽にお問い合わせください。
