Không cần IT có làm được app? Câu trả lời thực tế 2026

Làm MVP thì được, vận hành thì cần người

Được, cho phần MVP: prototype, landing page, tool nội bộ. Bạn dùng AI viết code và dựng giao diện.

Theo khảo sát Bubble tháng 10/2025 trên 793 builders, 87,6% hoàn thành được dự án trước đó họ không tự làm nổi. Nhưng chỉ 9% thực sự deploy vibe coding cho ứng dụng business-critical, và 72,3% lo lắng về lỗ hổng bảo mật.

25% startup trong batch YC W25 có 95% codebase do AI sinh ra. Nhưng Jared Friedman trong phỏng vấn TechCrunch nói rõ: đây không phải founder không biết kỹ thuật. “Tất cả đều là người rất cực kỳ kỹ thuật” – họ viết code bằng AI, nhưng hiểu code đó.

Bạn không cần đội IT để ra mắt. Vẫn cần một người hiểu code để giữ cho app sống được.

AI làm nhanh không đồng nghĩa AI làm chất lượng hơn

CodeRabbit phân tích 470 pull request mã nguồn mở, trong đó 320 do AI viết. PR do AI viết nhiều lỗi hơn khoảng 1,7 lần (10,83 lỗi/PR so với 6,45), lỗ hổng XSS tăng 2,74 lần.

Tổng quan trên arXiv về vibe coding gọi đây là nghịch lý tốc độ – chất lượng: phần lớn người dùng bỏ qua test và review. Đó là lý do code AI chưa nên lên production.

Ba cái giá phải trả, đắt nhất là pháp lý

Một – lỗi bảo mật bạn không nhìn thấy. Prompt injection (AI làm theo chỉ dẫn bên trong file hay email) là rủi ro hàng đầu khi dùng AI agent, theo cheat sheet bảo mật AI agent của OWASP. Lỗ hổng còn tích luỹ qua các vòng lặp sửa code bằng LLM: một nghiên cứu đã peer-review trên IEEE-ISTAS 2025 đo lỗ hổng nghiêm trọng tăng 37,6% sau năm vòng “cải thiện”.

Hai – không sửa được thứ bạn không hiểu. TechCrunch dẫn lại câu hỏi của Tan trong “Vibe Coding Is the Future”: một startup có 95% code do AI sinh, đạt 100 triệu người dùng sau một hai năm, app có sập không? Reasoning model đầu tiên không giỏi debug, nên bạn phải hiểu sâu sản phẩm.

Ba – trách nhiệm pháp lý. Từ ngày 01/3/2026, Luật Trí tuệ nhân tạo 134/2025/QH15 có hiệu lực, chia hệ thống AI thành 3 mức rủi ro. Danh mục rủi ro cao theo Quyết định 33/2026/QĐ-TTg (hiệu lực 15/8/2026) gồm 6 lĩnh vực: giáo dục, dân tộc và tôn giáo, y tế, ngân hàng, tố tụng, giao thông vận tải. Hệ thống trong danh mục này chịu trách nhiệm bồi thường theo chế độ strict liability – không cần chứng minh lỗi.

Thuế: nhà cung cấp dịch vụ số hoặc API nước ngoài không có cơ sở thường trú tại Việt Nam thì từ 01/10/2025 phải nộp thuế cho thu nhập phát sinh tại Việt Nam, theo Luật Thuế thu nhập doanh nghiệp 67/2025/QH15. Dùng API nước ngoài, hãy hỏi đối tác về tư vấn thuế.

Case thật: ảo tưởng có giá

Base44 – bán đắt thành công, nhưng không phải “một mình”. Công ty vibe coding này bán cho Wix 80 triệu USD tiền mặt sau 6 tháng, đạt 250.000 người dùng, trong đó 10.000 người dùng chỉ trong 3 tuần đầu. Nhưng founder Maor Shlomo là lập trình viên 31 tuổi, và đã có 8 nhân viên khi bán. Trong 80 triệu USD, có 25 triệu là tiền thưởng giữ chân. Ông nói thẳng: làm giải pháp an ninh mạng thì ông không thể một mình.

Medvi – AI thay cả phần chuyên môn, kéo theo cả rủi ro pháp lý. Hai anh em, doanh thu 401 triệu USD năm 2025, dự phóng 1,8 tỷ USD (của chính founder, không phải định giá), theo New York Times. Ngày 20/02/2026, FDA gửi warning letter về hoạt động GLP-1 compounding. Họ thay người trong phần việc chuyên môn, và thay cả trách nhiệm.

Kết bài: ba câu hỏi tự kiểm

Một – vùng an toàn của bạn là gì? Rơi vào y tế, giáo dục hay ngân hàng là mức rủi ro cao theo danh mục – nên gọi người hiểu pháp lý từ đầu.

Hai – vòng tròn đệ của bạn là ai? Base44 đã trả lời bằng tiền: có 8 nhân viên, không phải một.

Ba – khi app hỏng lúc 2 giờ sáng, bạn gọi ai? Nếu trả lời là “không biết”, bạn chưa thật sự không cần IT – bạn chỉ đang hoãn khoản chi phí đó.

AI đã làm giảm rào cản để ra mắt, nhưng chưa làm giảm rào cản để vận hành trong hai năm tới.

Tại TonyTechLab mình có lộ trình Vibe Coding cho người không chuyên lập trình: https://tonytechlab.com/courses/vibe-code-for-low-code-developer