Dalam artikel ini
- Apa itu vibe coding menurut definisi SDAIA?
- Aturan terpenting: keluaran AI adalah draf
- 4 risiko yang disebut panduan, dan bagaimana muncul di proyek Anda
- 6 hal yang tidak dijamin oleh AI
- 5 titik kontrol manusia sebelum kode sampai ke pelanggan Anda
- Pertanyaan untuk pengembang atau vendor Anda minggu ini
- Pandangan Origami
- Sumber
Jika aplikasi, situs web, atau sistem internal Anda dibangun dengan alat AI, atau pengembang Anda menggunakannya, panduan «Vibe Coding» yang diterbitkan Otoritas Data dan Kecerdasan Buatan Saudi (SDAIA) pada April 2026 menetapkan satu aturan yang jelas: semua yang dihasilkan AI adalah draf yang belum disetujui sampai seorang manusia meninjau, memverifikasi, dan menyetujuinya secara resmi. Panduan ini setebal 57 halaman, ditujukan bagi tim teknis di sektor pemerintah maupun swasta, menyebut 4 risiko utama dan 6 keterbatasan mendasar, serta menetapkan 5 titik di mana manusia harus turun tangan sebelum kode sampai ke pelanggan Anda. Dalam artikel ini kami mengubahnya menjadi pertanyaan praktis yang bisa Anda ajukan ke tim atau vendor minggu ini.
Apa itu vibe coding menurut definisi SDAIA?
Panduan ini mendefinisikan vibe coding (dalam bahasa Arab «al-barmaja al-tawlidiya», pemrograman generatif) sebagai pendekatan di mana pengguna menjelaskan apa yang mereka inginkan dengan bahasa sehari-hari, lalu alat AI menulis kodenya. Panduan ini melangkah lebih jauh dari sekadar menulis, ke apa yang disebutnya AI agentik: alat yang membangun kode, menjalankan pengujian, dan mengelola deployment sendiri, sementara manusia mengarahkan keputusan penting.
Panduan ini membagi penggunaan ke dalam 3 jalur: desain dan pengalaman pengguna (ide dan prototipe), pemrograman (menulis dan memperbaiki kode), serta pengujian (rencana uji, data uji, dan analisis kegagalan). Panduan ini mengutip Microsoft yang menyatakan bahwa alat-alat ini menghasilkan sekitar 30% kode yang diproduksi secara internal, dan Google yang menyatakan bahwa sekitar 25% kode barunya dihasilkan AI lalu ditinjau manusia sebelum di-merge. Pesannya jelas: perusahaan terbesar memakai alat-alat ini setiap hari, tetapi di dalam sistem peninjauan.
Aturan terpenting: keluaran AI adalah draf
Definisi pertama dalam panduan ini adalah «draf yang dihasilkan AI»: setiap keluaran sistem tetap menjadi draf awal yang belum disetujui sampai melewati tinjauan manusia, verifikasi, dan persetujuan. Panduan ini menyebut prinsip «Human-in-the-loop» (manusia dalam lingkaran) sebagai prinsip tata kelola yang wajib dalam metodenya. Panduan ini juga menambahkan bahwa campur tangan manusia menjadi wajib ketika alat AI diberi wewenang eksekusi yang dapat berdampak operasional, hukum, atau komersial yang besar.
Dalam bahasa pemilik usaha: jika sebuah alat AI dapat menerbitkan pembaruan aplikasi Anda atau mengubah basis data pelanggan tanpa persetujuan siapa pun, itulah persis yang diperingatkan panduan ini. Agar jelas, panduan ini bersifat arahan, bukan regulasi dengan sanksi, tetapi ini adalah rujukan resmi Saudi yang paling jelas sejauh ini tentang apa yang dianggap «penggunaan yang bertanggung jawab» atas alat-alat ini, dan melengkapi Kerangka Nasional Manajemen Risiko AI.
4 risiko yang disebut panduan, dan bagaimana muncul di proyek Anda
- Halusinasi: kode yang tampak benar tetapi memanggil API yang tidak ada, atau merekomendasikan paket dan pustaka fiktif atau tidak didukung. Akibatnya adalah kesalahan integrasi dengan sistem Anda yang lain, dan mungkin celah keamanan jika seseorang memasang paket yang disarankan berdasarkan namanya tanpa memeriksanya.
- Kepercayaan berlebihan: menerima kode hasil AI tanpa tinjauan keamanan atau fungsional, atau langsung memindahkannya ke lingkungan produksi yang dipakai pelanggan Anda.
- Cakupan dangkal: analisis keamanan yang umum sehingga melewatkan kerentanan, dan pengujian yang tidak lengkap, yang memberi Anda rasa aman palsu.
- Keluaran tidak deterministik: perintah yang sama menghasilkan kode berbeda setiap kali, sehingga hasilnya sulit diulang dan diaudit.
6 hal yang tidak dijamin oleh AI
Panduan ini mencantumkan 6 keterbatasan mendasar: AI hanya memahami maksud bisnis Anda sejauh yang Anda tuliskan secara eksplisit; AI tidak dapat menilai risiko atau prioritas khusus organisasi Anda; AI tidak menggantikan pemikiran arsitektur dan keputusan desain; AI tidak menjamin kode itu benar atau layak dipakai di dunia nyata; AI tidak selalu menghasilkan hasil yang sama; dan keluarannya bukan bukti pengujian resmi maupun pengganti pengujian sungguhan. Panduan ini menegaskan bahwa tanggung jawab verifikasi, pengujian, dan persetujuan «sepenuhnya ada pada manusia».
5 titik kontrol manusia sebelum kode sampai ke pelanggan Anda
- Meninjau setiap perubahan kode sebelum di-merge ke cabang utama.
- Menilai kesiapan setiap rilis sebelum di-deploy.
- Mengawasi keputusan untuk deploy atau rollback.
- Menjelaskan setiap perilaku tak terduga di lingkungan produksi.
- Menyetujui rencana pengembangan dan peta jalan teknis jangka panjang.
Pertanyaan untuk pengembang atau vendor Anda minggu ini
- Siapa yang meninjau kode tulisan AI sebelum di-merge, dan apakah ada catatan tinjauan untuk setiap perubahan?
- Apakah pengujian benar-benar dijalankan pada sistem, atau alatnya hanya «mengatakan» bahwa kodenya berfungsi?
- Wewenang apa yang dimiliki alat AI? Apakah alat itu bisa melakukan deploy atau mengakses basis data sungguhan? (Lihat apa yang terjadi pada agen pemrograman yang menjalankan perintah penyerang.)
- Apakah data uji bersifat sintetis? Panduan ini meminta data uji yang mematuhi aturan privasi dan mencegah penggunaan data nyata atau sensitif apa pun, hal yang penting bagi data pribadi pelanggan Anda.
- Siapa yang menyetujui rilis sebelum tayang, dan siapa yang memutuskan rollback jika ada yang rusak?
Jika Anda tidak mendapat jawaban jelas untuk tiga dari lima pertanyaan ini, masalahnya bukan pada alat AI, melainkan pada cara kerja. Jika Anda sedang memilih mitra pengembangan baru, tambahkan pertanyaan ini ke kriteria memilih perusahaan perangkat lunak Anda.
Pandangan Origami
Kami menggunakan alat AI dalam desain, pemrograman, dan pengujian karena alat ini benar-benar menghemat waktu klien kami. Namun kami memperlakukan apa yang ditulisnya persis seperti yang dijelaskan panduan SDAIA: sebagai draf. Setiap perubahan melewati tinjauan pengembang, pengujian benar-benar dijalankan, data pelanggan sungguhan tidak pernah masuk ke lingkungan uji, dan keputusan deploy diambil oleh manusia. Kecepatan tanpa tinjauan akan dibayar kemudian dalam bentuk gangguan layanan dan celah keamanan. Jika Anda membuat prototipe dengan AI dan ingin mengubahnya menjadi sistem yang dapat diandalkan pelanggan Anda, bicarakan dengan kami.
Sumber
Tanya jawab
Apakah panduan vibe coding SDAIA wajib bagi perusahaan saya?
Panduan ini bersifat arahan, bukan regulasi dengan sanksi, dan ditujukan bagi tim teknis di instansi pemerintah dan sektor swasta. Meski begitu, ini adalah rujukan resmi Saudi yang paling jelas tentang penggunaan alat pemrograman AI secara bertanggung jawab, dan dalam metodenya peninjauan oleh manusia disebut sebagai prinsip tata kelola yang wajib.
Bisakah saya membuat aplikasi lengkap dengan AI tanpa pengembang?
Anda bisa membuat prototipe cepat untuk menguji ide. Untuk sistem yang diandalkan pelanggan Anda, panduan ini menyatakan bahwa AI tidak menjamin kode benar atau layak dipakai, dan tanggung jawab verifikasi, pengujian, serta persetujuan sepenuhnya ada pada manusia, jadi Anda memerlukan pengembang yang meninjaunya sebelum peluncuran.
Apa risiko terbesar dari kode yang ditulis AI?
Panduan ini menyebut 4 risiko: halusinasi, misalnya menyarankan pustaka atau API yang tidak ada; kepercayaan berlebihan, yaitu memindahkan kode ke produksi tanpa tinjauan keamanan; cakupan dangkal dalam analisis dan pengujian; serta hasil yang berubah setiap kali.
Bagaimana saya memastikan pengembang saya meninjau kode buatan AI?
Tanyakan tentang 5 titik kontrol dalam panduan: meninjau setiap perubahan sebelum di-merge, menilai kesiapan rilis, menyetujui deploy atau rollback, menjelaskan perilaku tak terduga, dan menyetujui rencana pengembangan. Minta agar tinjauan dan uji coba dicatat, bukan sekadar dijanjikan.
