En 2026, pourquoi passer par un dev quand l'IA fait tout ?

Chargées depuis Google, elles envoient l'adresse IP de chaque visiteur chez Google, sans son accord. En janvier 2022, le tribunal régional de Munich a condamné un site à verser 100 € à un visiteur pour ça. Les héberger soi-même règle le problème, le rendu ne bouge pas.

Mesure d'audience, pixel publicitaire, enregistrement des visites : rien ne doit partir avant que le visiteur dise oui, et refuser doit être aussi simple qu'accepter. C'est la règle de la CNIL, qui a infligé 325 M€ d'amende à Google en septembre 2025, notamment pour ses cookies.

Qui édite le site, qui l'héberge, comment les joindre : tout site professionnel doit l'afficher. Sans elles, c'est un délit, jusqu'à un an de prison et 75 000 € d'amende pour une personne physique.

Depuis juin 2023, un abonnement souscrit en ligne doit pouvoir se résilier en ligne, par une fonction dédiée. Et le bouton de paiement doit dire clairement qu'on s'engage à payer. Amende possible : jusqu'à 75 000 € pour une société.

Dès que ton appli héberge ce que publient tes utilisateurs, le règlement européen sur les services numériques impose un moyen simple de signaler un contenu illicite. Même pour une petite entreprise.

En France, quand un service en ligne s'appuie sur le consentement, un enfant de moins de 15 ans ne peut pas le donner seul : il faut aussi l'accord d'un parent.

Une clé d'API collée dans le code qui tourne dans le navigateur, n'importe quel visiteur peut la lire. Et s'en servir, à tes frais.

Sans règles d'accès, une base branchée directement à l'appli laisse n'importe qui tout lire, voire tout effacer. Une erreur classique des applis générées en un week-end.

Des paquets malveillants sont publiés chaque semaine sous des noms qui ressemblent aux vrais. Et des chercheurs ont montré que les IA de code recommandent parfois des paquets qui n'existent pas, qu'un attaquant peut ensuite créer.

Un site qu'on ne met pas à jour, c'est une porte qu'on ne referme pas : une faille corrigée devient publique, donc connue des attaquants.

WordPress, Webflow, Next.js, appli native ou web : le choix du premier jour fixe tes coûts et tes limites pour des années. L'IA prend celui qu'on lui suggère.

Si les données de tes clients partent hors de l'Union européenne, le RGPD encadre ce transfert. Encore faut-il savoir où est chaque service que ton site appelle.

API d'IA, hébergement facturé à l'usage : une boucle mal écrite ou un robot qui martèle ton site peut faire exploser la facture en une nuit. Ça se plafonne, encore faut-il y penser.

Le nom de domaine, le code, les comptes : tout doit être à ton nom. Le jour où tu changes de prestataire, tu pars avec tout.