Code IA : l'illusion de correction, un risque sous-estime

Trop propre pour être suspect

96% des développeurs ne font pas confiance au code généré par l'IA. Pourtant, seulement 48% le vérifient avant de l'envoyer en production. Ce n'est pas un paradoxe technique. C'est un paradoxe humain : on sait que le code est suspect, mais il a l'air tellement propre qu'on passe à la suite.

Jason Schmitt, le CEO de Black Duck, a trouvé une formule qui résume bien le problème : « l'illusion de correction ». Un code qui compile, qui passe les tests de base, qui est bien commenté. Rien ne clignote en rouge. Sauf que sous le vernis, des failles de sécurité attendent patiemment qu'on les exploite.

Trois études publiées début 2026 convergent sur le même constat. Le risque numéro un du code IA, ce n'est pas qu'il plante. C'est qu'il a l'air de marcher.

Le volume dépasse la capacité de revue

Pour comprendre l'ampleur du problème, il faut regarder les chiffres de production. Selon l'étude Aikido (450 professionnels interrogés en Europe et aux US), 24% du code en production est désormais écrit par l'IA. Aux États-Unis, ce chiffre monte à 29%. L'enquête Sonar, menée auprès de 1 100 développeurs, parle de 42% du code total commité. Et les projections pour 2027 tablent sur 65%.

C'est comme une usine qui doublerait sa cadence de production sans renforcer le contrôle qualité. Le tapis roulant accélère, mais les inspecteurs sont toujours les mêmes, avec les mêmes outils, les mêmes yeux fatigués.

61% des développeurs interrogés par Sonar reconnaissent que le code IA « a l'air correct mais n'est pas fiable ». Et 38% disent que relire du code IA demande plus d'effort que relire du code humain. La raison est logique : un code IA bien formaté ne déclenche pas les mêmes réflexes d'alerte qu'un code brouillon écrit à la va-vite. Les failles sont plus subtiles, mieux camouflées dans une structure propre. Le goulot d'étranglement a changé de place : on ne galère plus à écrire le code, on galère à le vérifier.

1 faille sur 5 vient déjà du code IA

Les conséquences sont déjà mesurables. L'étude Aikido révèle qu'une faille de sécurité sur cinq est désormais liée au code généré par l'IA. 69% des organisations sondées ont découvert des vulnérabilités introduites par du code IA dans leurs propres systèmes.

Le rapport Veracode (cité par SoftwareSeni) va plus loin : le code IA contient 2,74 fois plus de vulnérabilités que le code humain. En Java, le taux d'échec sécuritaire grimpe à 72%.

Côté comportement, c'est pas plus rassurant. 44% des développeurs contournent les contrôles de sécurité quand ils les trouvent trop contraignants. 37% ignorent purement et simplement les alertes. C'est le réflexe classique : quand l'alarme sonne trop souvent, on finit par la débrancher.

Le coût est concret. Aikido estime que 15% du temps d'ingénierie est perdu en triage d'alertes de sécurité. Pour une entreprise de 250 développeurs, ça représente 1,4 million de dollars par an. Pas en failles exploitées : juste en temps passé à trier le bruit.

L'Europe s'en sort mieux (pour l'instant)

Un détail intéressant dans les données Aikido : la géographie change tout. 43% des organisations américaines rapportent des incidents graves liés au code IA, contre 20% en Europe. Le ratio est de plus du double, et il ne s'explique pas uniquement par un usage plus intensif outre-Atlantique.

L'explication la plus probable, c'est la pression réglementaire. Le Cyber Resilience Act européen pousse les entreprises à structurer leur approche de la sécurité logicielle. Le rapport BSIMM16 de Black Duck (111 organisations évaluées) confirme la tendance : adoption des SBOM (Software Bill of Materials) en hausse de 30%, vérification automatisée de l'infrastructure en hausse de 50%.

On pourrait dire que la réglementation freine l'innovation. On pourrait aussi dire qu'elle force les organisations à vérifier ce qu'elles déploient. En matière de code IA, les chiffres suggèrent que c'est plutôt la deuxième option.

Le code IA sera fiable un jour, mais pas seul

96% des professionnels interrogés par Aikido pensent que l'IA finira par écrire du code sécurisé et fiable. La nuance est dans le « comment » : seulement 21% croient que ça se fera sans supervision humaine. 44% placent l'horizon à 3-5 ans.

Le problème immédiat, c'est l'entre-deux. On est dans une phase où le volume de code IA explose, où les outils de vérification peinent à suivre, et où les comportements humains n'ont pas rattrapé la réalité technique. Un tiers des développeurs utilisent des outils IA via leurs comptes personnels, hors du radar de leur entreprise. C'est du shadow IT appliqué au code source : personne ne sait exactement combien de code IA circule dans les dépôts de l'entreprise, ni quel outil l'a généré.

Si tu gères une équipe qui utilise des assistants de code IA (Copilot, Cursor, Claude Code, ou autre), une question concrète à poser dès demain : est-ce que tu as un processus de revue spécifique au code IA, distinct de ta revue de code classique ? Parce que relire du code IA comme du code humain, c'est comme chercher des fautes d'orthographe dans un texte parfaitement mis en page : la forme rassure, et le fond passe à la trappe.