L'IA écrit désormais près de la moitié du code. Choisir une agence de développement est devenu bien plus compliqué.

Deux chiffres posent le problème. La télémétrie de GitHub montre que Copilot écrit désormais environ 46 % du code produit par les développeurs qui l'utilisent, contre 27 % à son lancement commercial en 2022. Gartner s'attend à ce que 60 % de tout le nouveau code soit généré par IA d'ici la fin de l'année. Quelle que soit l'agence que vous vous apprêtez à engager, l'IA écrira une grande partie de votre produit. Ce point-là est tranché.

Ce qui ne l'est pas, c'est la façon de choisir l'agence. Les signaux que les fondateurs ont toujours utilisés pour comparer les prestataires, le vernis du portfolio, la vitesse de la démo, le taux journalier, n'ont jamais été très fiables. Ils sont aujourd'hui presque inutiles, parce que l'IA a compressé précisément les parties du travail que ces signaux mesuraient.

Pourquoi les anciens signaux ne fonctionnent plus

Une démo soignée voulait dire quelque chose. Mettre devant un client une interface propre, une authentification qui marche et un parcours crédible demandait des semaines de travail compétent, si bien que la démo servait aussi de preuve d'une équipe compétente. Aujourd'hui, la même démo prouve l'existence d'un abonnement à vingt dollars par mois. N'importe quelle équipe de deux personnes peut en monter l'ossature en une journée. Beaucoup le font.

La vélocité s'est nivelée elle aussi. La recherche DORA de Google a constaté que les équipes qui adoptent l'IA livrent environ 20 % de pull requests en plus par développeur, et que les incidents par changement ont augmenté de 23,5 % dans le même temps. Plus de code sort, et chaque morceau a un peu plus de chances de casser quelque chose. Quand toutes les agences que vous rencontrez sont rapides, la vitesse n'est plus un critère de sélection.

Le prix a cessé de discriminer dans l'autre sens. Les devis pour un même périmètre vont désormais de quelques milliers de dollars à vingt fois plus, et le bas de la fourchette ne ment pas forcément. Ils peuvent réellement le construire à ce prix. Ce que le devis ne dit pas, c'est l'état du code à l'arrivée, et qui paiera cet état plus tard. En général, vous.

À quoi ressemble du code IA non relu au bout de six mois

La recherche est sans détour sur ce point. GitClear, qui a analysé plus de 600 millions de changements de code, a constaté que le churn, c'est-à-dire les lignes réécrites ou jetées quelques semaines après avoir été écrites, a environ doublé depuis 2022. Les blocs de code dupliqués ont été multipliés par huit en un an. Le refactoring, ce travail ingrat de consolidation qui garde un codebase maintenable, a chuté d'environ 70 %. Le code est produit plus vite et organisé moins.

La sécurité raconte la même histoire. Veracode a fait passer plus de 100 modèles sur 80 tâches de codage et a obtenu une faille de sécurité dans 45 % des résultats. Quand une tâche pouvait être résolue de façon sûre ou non sécurisée, les modèles choisissaient régulièrement la mauvaise option. Pour le cross-site scripting en particulier, le taux d'échec a atteint 86 %.

Voici le détail que je trouve révélateur : les personnes les plus proches de ces outils sont celles qui leur font le moins confiance. Dans l'enquête 2025 de Stack Overflow, 46 % des développeurs disent ne pas faire confiance à l'exactitude des résultats de l'IA, contre 33 % qui la leur accordent, et les développeurs les plus expérimentés étaient les plus sceptiques de tous. Près de la moitié qualifient le débogage de code généré par IA de gouffre à temps. L'adoption a pourtant continué de grimper, jusqu'à 84 %. Les développeurs n'ont pas cessé d'utiliser l'IA. Ils ont cessé de supposer qu'elle a raison.

Rien de tout cela ne fait du développement assisté par IA une erreur. Nous utilisons ces outils tous les jours et le gain de vitesse est réel. Mais le gain arrive tout de suite et la dette arrive au troisième mois, ce qui explique pourquoi le sauvetage d'applications construites à l'IA est devenu une ligne de service à part entière avec sa propre grille tarifaire. Les agences qui génèrent ce travail de sauvetage et celles qui s'en chargent sont identiques en réunion de pitch. Les deux sont rapides. La différence tient à un processus invisible depuis une démo.

Sept questions qui distinguent encore les agences

Vous ne pouvez pas auditer un codebase avant d'avoir embauché ceux qui l'écriront. Vous pouvez en revanche écouter attentivement la façon dont une agence parle de son processus. Sur ces questions, les équipes disciplinées et les autres donnent des réponses visiblement différentes.

1. Comment utilisez-vous l'IA en développement ? Les deux réponses extrêmes sont mauvaises. « On ne l'utilise pas » est soit faux, soit le signe que vous payez un prix d'artisan pour un travail de commodité. « L'IA fait presque tout », sans rien derrière, est pire. La réponse que vous voulez cite des outils précis puis, spontanément, décrit comment leur production est relue.
2. Qui relit le code généré par IA, et comment ? Guettez la mécanique : pull requests, un relecteur nommément désigné, revue avant merge et non après le lancement. « L'IA se vérifie elle-même » ou « nos seniors gardent un œil dessus » se traduisent tous les deux par : personne ne le relit.
3. À quoi ressemblent les tests sur un vrai projet ? Demandez à voir le pipeline CI d'un projet qu'ils ont livré. Une agence qui avance à la vitesse de l'IA a soit des tests automatisés sérieux, soit elle expédie cette statistique de 45 % de failles droit dans votre production.
4. Pouvez-vous me montrer un projet que vous maintenez depuis plus d'un an ? Les portfolios montrent des lancements. Les chiffres de GitClear décrivent l'après : churn, duplication, code que personne ne consolide. Une équipe qui détient encore des contrats de maintenance signés en 2024 a du code qui a survécu au contact de la réalité. Le signal le plus fort de cette liste.
5. Où sont passées les heures de revue et de tests dans ce devis ? Si le prix arrive à la moitié de ce que vous attendiez, quelque chose a sauté. Parfois l'IA a réellement réduit les heures et le devis est honnête. Demandez-leur de dérouler les postes ligne par ligne et regardez si la revue et les tests ont survécu à la remise.
6. Faites-vous du scan de sécurité, et à quel endroit ? La réponse doit inclure de l'analyse statique au sein du pipeline CI, pas un audit ponctuel à la fin. Quand près de la moitié de la production brute de l'IA porte une faille, scanner au fil de l'eau fait la différence entre l'attraper mardi et l'apprendre par un client.
7. À quoi ressemble la passation si nos chemins se séparent ? Un code dupliqué et instable est hostile à toute équipe qui ne l'a pas écrit. Vous voulez de la documentation, les accès de déploiement et un codebase qu'une autre agence pourrait reprendre. S'ils restent vagues ici, le désordre est peut-être la stratégie de rétention.

Remarquez qu'aucune de ces questions ne vous demande de lire du code. Elles demandent à l'agence de décrire son propre processus en détail, ce que les équipes disciplinées font sans effort puisqu'elles racontent ce qu'elles ont fait le matin même. Les équipes indisciplinées ramèneront la conversation vers leurs outils. Or les outils sont la seule chose qui ne distingue plus personne.