Een website bouwen met AI: wanneer kan het en wanneer zeker niet?

Kan je een website bouwen met AI? Ja, en het gaat snel. Ik kom dagelijks online berichten tegen van iemand die op een middag een website met Lovable bouwde. Maar een website die je op een middag bouwt, heeft nog altijd iemand nodig die er jaren voor zorgt. Dat bleek vorige week weer.

Op 21 oktober 2026 werd een ernstig beveiligingslek bekend gemaakt in PHP. Er werden twee kritieke kwetsbaarheden ontdekt, samen PHP2Shell genoemd. Het risico was groot. Om je een idee te geven, naar schatting draait 70 procent van het web op PHP. In het slechtste geval kon een aanvaller via deze lekken van buitenaf eigen code uitvoeren op een webserver, en zo bijvoorbeeld een website overnemen of gegevens inkijken. Uit voorzorg haalden heel wat organisaties wereldwijd hun websites offline. 

Eén ding eerst: dit lek zat in PHP zelf en treft zelfontwikkelde websites even hard als websites die door AI gemaakt zijn. De vraag is dus niet of AI-websites onveiliger zijn dan andere. De vraag is wie er zorgt voor je site wanneer zoiets gebeurt. En of je eigenlijk weet waarop je website draait.

Wat kan een AI-website?

Een AI-tool bouwt een website ongelooflijk snel, en dat is zeker nuttig.

Wij zouden er zelf voor kiezen bij een prototype dat je intern wilt laten zien. Andere toepassingen die kunnen, zijn kortlopende campagnepagina's zonder gebruikersgegevens of kleine informatieve websites die weinig verandert en waarbij geen betaling, login of persoonlijke data nodig is.

Met AI bouw je een website snel en goedkoop, dat is in deze situaties een reële winst.

Wanneer kiezen we zeker niet voor een AI-website?

Zodra je website een essentieel onderdeel van je werking is, verandert de situatie. Dit is het geval bij bijvoorbeeld een festival, een concertzaal, een webshop of een zorginstelling.

Geen CMS, geen planning

Een pure AI-website heeft vaak geen achterliggend CMS waarlangs een redactieteam de inhoud van een website kan beheren. Een line-up aankondiging om 10u 's ochtends kan dan niet automatisch. Iemand moet het op dat moment laten genereren en publiceren. Wordt er toch iets ingepland, dan zit die data al in de frontend en is ze in principe traceerbaar.

In ons Architect CMS plan je eenvoudig nieuwsberichten, pagina's en line-up aankondigingen in. De data blijft afgeschermd tot het moment dat ze online mag.

AI-gegenereerde code is niet vanzelf veilig

Uit het 2025 GenAI Code Security Report van Veracode blijkt dat AI-modellen in 45% van de geteste taken een beveiligingslek introduceerden. Het onderzoek testte meer dan 100 AI-modellen aan de hand van 80 specifieke taken, geen volledige websites.

De vastgelegde beveiligingslekken vallen daarbij onder de OWASP Top 10. Dit is een lijst van de tien belangrijkste categorieën van beveiligingsrisico's voor webapplicaties waardoor kwaadwilligen toegang kunnen krijgen tot gegevens.

Dat cijfer betekent niet dat een AI-website automatisch onveilig is. Het toont wel aan dat AI-gegenereerde code niet vanzelf veilig is. Je kan er niet blind op vertrouwen, een controle door een ervaren ontwikkelaar blijft essentieel. Dat is de kijk op AI binnen Inventis.

Onderhoud

Bij PHP2Shell was het een race tegen de klok. Zodra het beveiligingslek publiek bekend raakte, circuleerde er ook informatie over hoe het misbruikt kon worden. Dat trok meteen de aandacht van hackers. Nog dezelfde dag waren er al talrijke meldingen van actieve pogingen om het lek uit te buiten.

Van zodra we op de hoogte waren, zijn we samen met onze hostingpartners meteen in actie geschoten. De officiële beveiligingsupdates voor de actuele PHP-versies werden nog diezelfde dag beschikbaar gesteld.

Maar wie neemt die verantwoordelijkheid op bij een website die met AI is gegenereerd? Wie volgt beveiligingsproblemen op en zorgt ervoor dat de nodige updates worden uitgevoerd? Zonder een duidelijke verantwoordelijke bestaat het risico dat het onderhoud wordt uitgesteld of zelfs volledig achterwege blijft. En net daar schuilt het gevaar: een website online zetten is één ding, ze veilig en up-to-date houden is een ander verhaal.

Weet jij waarop je website draait?

Het PHP-lek bracht een vraag naar boven die veel organisaties niet meteen konden beantwoorden: gebruikt onze website eigenlijk PHP, en in welke versie?

Dat is begrijpelijk. Technologie zit diep in een website en je ziet ze niet. Bij een AI-tool is het nog vager, omdat de technische keuzes gemaakt worden achter een prompt. Maar wie niet weet met welke technologie zijn website is gebouwd, merkt ook niet dat er een lek circuleert. En wie het niet merkt, kan niet reageren.

Als er niemand de vraag kan beantwoorden welke technologieën je website gebruikt, wie de beveiligingsmeldingen voor die technologieën opvolgt en wie zorgt dat er gepatcht wordt binnen een redelijke termijn, dan heb je een website zonder eigenaar voor het onderhoud. Dat geldt voor een AI-website maar evengoed voor een website die ooit door een bureau is opgeleverd. Vraag het dus ook gerust aan ons.

Koppelingen

Een website die ticketing, een app, een CRM of een voorraadsysteem aanstuurt, moet blijven werken wanneer een externe API wijzigt. Met AI kan je eenvoudig en snel een koppeling genereren, maar wie blijft op de hoogte en test het bij elke wijziging? En belangrijker, wie merkt het als de koppeling uitvalt?

Wij bouwen én monitoren talrijke koppelingen, van ticketing en planning tot CRM en ERP. Het volledige overzicht vind je op onze partnerpagina. 

Piekverkeer

Een statische pagina houdt pieken goed vol. Piekverkeer op dynamische onderdelen zoals ticketverkoop loopt niet vanzelf. Daar zijn hosting, caching en queueing voor nodig, met monitoring en opvolging op de piek zelf. 

Een website krijgt zelden gelijkmatig bezoek. Zodra een line-up bekend geraakt of een ticketverkoop opent, komt iedereen tegelijk. Of een AI-website blijft werken met duizenden gelijktijdige bezoekers, ontdek je enkel door het te testen, maar dat moment van je piek kan je niet overdoen.

Een piek raakt ook je koppelingen. Elke bezoeker belast ook het extern systeem. Dat vraagt bewuste keuzes: wat sla je op, wat haal je live op en wat gebeurt er als het externe systeem trager wordt? Dat ontwerp je vooraf en laat je niet over aan gegenereerde code. Bovendien moet er iemand verantwoordelijk zijn op het moment zelf.

Samen met onze hostingpartners zorgen we voor een infrastructuur die daarop voorbereid is. Piekverkeer verdwijnt niet, en geen enkel platform neemt elk risico weg. Wat je wel kan doen, is het voorbereiden, testen en opvolgen. Dat is precies waar een platform mét ervaring het verschil maakt.

Toegankelijkheid en wetgeving

Sinds 28 juni 2025 geldt de European Accessibility Act, waarbij WCAG 2.1 niveau AA als norm wordt gesteld voor webtoegankelijkheid. Maar wat betekent dat concreet? Een website moet ook bruikbaar zijn voor mensen met een beperking. Denk aan voldoende contrast tussen tekst en achtergrond, een navigatie die met een toetsenbord te bedienen is en afbeeldingen met teksten voor schermlezers. Dat vraagt meer dan een visueel aantrekkelijke website: ook de structuur, code en interacties moeten kloppen.

AI-tools kunnen eenvoudig een website bouwen, maar er is geen garantie dat de website aan alle toegankelijkheidsvereisten voldoet.

Onze aanpak: een solide basis, met ruimte voor AI

Binnen Inventis zien we AI als een uitbreiding, niet als fundament. Een goede website zorgt voor hosting, stabiel piekverkeer, betrouwbare koppelingen en naleving van de geldende wetgeving zoals GDPR en WCAG.

Ons Architect CMS bevat daarom de mogelijkheid om vibecoded onderdelen toe te voegen. Die onderdelen draaien geïsoleerd van het platform. Een foute prompt kan dus het onderdeel laten falen, maar niet de website breken.

We zijn een webbureau en hebben dus belang bij dit standpunt. Daarom zeggen we er ook eerlijk bij wanneer een AI-website wél een goede keuze is.