Dal comprare al costruire: come l’AI sta cambiando il SaaS (e cosa ho imparato da un progetto in Lovable)

Qualche tempo fa ho lavorato con una società di consulenza tecnologica che aveva sviluppato un prodotto interessante: un servizio per la creazione di agenti AI, costruito interamente con Lovable, la piattaforma di vibe coding che permette di creare applicazioni complete scrivendo prompt in linguaggio naturale. Il prodotto funzionava, l’interfaccia era convincente, i tempi di sviluppo erano una frazione di quelli tradizionali. Poi sono arrivati i controlli di sicurezza, e il prodotto non li ha superati.

Che gli agenti AI siano ormai una cosa seria, del resto, l’ho verificato anche da utente. Di recente il mio operatore di telefonia mobile mi ha chiamata per propormi il passaggio a una SIM virtuale: la ragazza gentilissima con cui stavo discorrendo era un’agente AI. Io me ne sono accorta. Mia madre, non credo.

Quella esperienza mi ha fatto toccare con mano, nello stesso momento, la promessa e il limite di una trasformazione che sta ridisegnando l’intero mercato del software. Vale la pena raccontarla con ordine, perché riguarda chiunque compri, venda o usi software aziendale.

La SaaSpocalypse: cosa è successo al mercato

Per vent’anni il modello è stato uno: il software non si compra, si affitta. Il SaaS ha trasformato le licenze in abbonamenti, i CD in cloud, i costi fissi in canoni per utente. Poi, a inizio 2026, qualcosa si è rotto: una vendita massiccia ha cancellato circa mille miliardi di dollari di capitalizzazione dai titoli software, in quello che i mercati hanno battezzato la SaaSpocalypse. Il 29 gennaio è stata la peggior giornata per il settore dai tempi del Covid, con Microsoft che ha perso 360 miliardi di capitalizzazione in un solo giorno.

Il detonatore è stato il lancio di strumenti di coding agentico sempre più capaci, e la paura degli investitori si riassume in una domanda: se l’AI può costruire il software, chi comprerà più gli abbonamenti? La risposta, come vedremo, è più sfumata del panico di gennaio. Ma il punto di fondo resta: per la prima volta dai tempi del passaggio al cloud, l’economia del software è davvero in discussione.

Dal comprare al costruire: i numeri del cambiamento

Il fenomeno ha basi concrete. Secondo il report Build vs. Buy 2026 di Retool, condotto su oltre 800 builder, il 35% dei team ha già sostituito le funzionalità di almeno uno strumento SaaS con qualcosa di costruito in casa, e il 78% prevede di costruire altri strumenti propri nel 2026. La logica è semplice: diventa difficile giustificare migliaia di euro di abbonamento per uno strumento generico quando il team può farsi costruire un prototipo su misura in pochi giorni.

E non parliamo solo di startup spericolate. Già a marzo 2025 Y Combinator dichiarava che circa un quarto delle startup della cohort invernale aveva codebase generate al 95% dall’AI, e Google comunicava che oltre il 25% del suo nuovo codice era scritto dall’AI e poi revisionato da ingegneri. Persino l’ente britannico per la cybersicurezza, l’NCSC, ha riconosciuto che la curva costo/sforzo del software customizzato si sta spostando, paragonando la traiettoria del vibe coding a quella dell’adozione del cloud vent’anni fa.

La conseguenza più interessante per chi si occupa di procurement: la scala del “come mi procuro il software” si è allungata. Prima le opzioni erano due, comprare licenze o affittare SaaS. Ora ce n’è una terza: affittare una piattaforma che ti permette di sviluppare software proprietario, senza passare da un CRM o un ERP commerciale per ogni esigenza.

Lovable e il boom del vibe coding

Il simbolo di questa terza via è Lovable, startup svedese che è diventata il caso di crescita più rapido nella storia del software: 100 milioni di dollari di ricavi ricorrenti annui in otto mesi dal lancio, 400 milioni superati a febbraio 2026 con appena 146 dipendenti, una valutazione passata da 1,8 miliardi a 6,6 miliardi di dollari in cinque mesi, e trattative in corso per un nuovo round che la porterebbe oltre i 12 miliardi. Sulla piattaforma nascono più di 100.000 progetti al giorno, gli utenti sono circa 8 milioni e oltre metà delle aziende Fortune 500 la utilizza in qualche forma.

Il termine vibe coding, coniato da Andrej Karpathy, copre in realtà uno spettro: a un estremo c’è chi scrive prompt e accetta il codice generato senza quasi guardarlo, all’altro ci sono sviluppatori esperti che usano l’AI per accelerare, mantenendo controllo architetturale, revisioni e test. La distinzione sembra irrilevante, ma è esattamente lì che si gioca la partita della sicurezza. Ci arrivo tra poco.

I pro: velocità, costi, autonomia

I vantaggi sono reali e li ho visti da vicino. Il primo è la velocità: applicazioni che avrebbero richiesto mesi a un team di sviluppo nascono in giorni, a volte in ore. Il secondo è il costo: per strumenti interni e prototipi, l’alternativa vibe coding costa una frazione di un abbonamento enterprise. Il terzo è la democratizzazione: persone senza background tecnico possono trasformare un’idea in un’applicazione funzionante, e questo sposta il potere di creare software dai reparti IT a chi conosce davvero il problema da risolvere.

C’è poi un vantaggio strategico più sottile: l’indipendenza dal modello per utente. Quando gli agenti AI iniziano a fare il lavoro di più persone, pagare il software a numero di licenze diventa un controsenso economico, e costruire in casa elimina il problema alla radice.

I contro: la mia esperienza con i controlli di sicurezza

E qui torno alla storia dell’inizio. Il servizio di creazione di agenti AI sviluppato interamente con Lovable dalla società di consulenza con cui ho collaborato funzionava, ma non ha superato alcuni controlli di sicurezza. Non è stata sfortuna: è la norma statistica di questo approccio, quando manca una supervisione tecnica adeguata.

Come è andata a finire? Con il rimedio più antico del mondo: la competenza. Un bravissimo sviluppatore ucraino ha poi risolto tutti i problemi di sicurezza, uno per uno. E non è un caso che venisse proprio da lì: ho raccontato di recente perché l’Est Europa sia una fucina di talenti tech senza eguali. Il vibe coding ha costruito il prodotto in tempi record, ma è servito un ingegnere in carne e ossa, con una formazione solida, per renderlo davvero sicuro. Tenetelo a mente per quando arriviamo alle conclusioni.

I dati in materia sono impressionanti. Nel 2025 una vulnerabilità catalogata come CVE-2025-48757 ha esposto i dati di oltre 170 applicazioni costruite con Lovable: la causa era l’assenza o la configurazione errata delle policy di Row Level Security sui database, che permetteva a chiunque di leggere intere tabelle di dati utente, dai record di pagamento alle chiavi API, senza nemmeno effettuare un login. La ricerca di Wiz ha rilevato che circa una organizzazione su cinque tra quelle che costruiscono su piattaforme di vibe coding si espone inavvertitamente a rischi, con quattro errori ricorrenti: autenticazione solo lato client, credenziali cablate nel codice, policy di accesso ai dati troppo permissive, applicazioni interne pubblicate su internet senza protezione. E il team di ricerca di Escape, analizzando oltre 5.600 applicazioni vibe-coded pubblicamente accessibili, ha identificato più di 2.000 vulnerabilità, oltre 400 segreti esposti e 175 casi di dati personali in chiaro, inclusi dati medici e IBAN.

Il problema è alla base, ed è bene capirlo: i modelli AI ottimizzano per la correttezza funzionale. Il codice compila? L’app fa quello che deve? Perfetto. La sicurezza vive in tensione con questo obiettivo, perché aggiunge complessità senza cambiare il comportamento visibile dell’applicazione. Il percorso più facile è saltarla, e l’app funziona lo stesso. Fino a quando qualcuno non va a guardare.

C’è poi il tema della manutenzione, che il dibattito sottovaluta: come ha scritto un veterano del settore, rilasciare la prima versione è forse il 2% del lavoro. Un’app costruita in un weekend è un impegno a lungo termine travestito da vittoria rapida: aggiornamenti, dipendenze, casi limite, evoluzione dei requisiti. È esattamente il motivo per cui i vendor di software esistono.

Cosa conviene fare, in pratica

La lezione che ho tratto, incrociando la mia esperienza con i dati, è che la domanda giusta ha cambiato forma: da “possiamo costruirlo?” (oggi la risposta è quasi sempre sì) a “possiamo costruirlo, metterlo in sicurezza, mantenerlo e farlo evolvere responsabilmente nel tempo?”.

Qualche criterio pratico che mi sento di suggerire:

Per gli strumenti economici e poco integrati, sotto i 50 euro al mese, sostituirli raramente conviene: la manutenzione di una soluzione interna costa più dell’abbonamento. Per i sistemi profondamente integrati, CRM ed ERP in testa, la sostituzione resta difficile anche quando l’AI sa replicarne le funzioni: il valore sta nei dati accumulati, nelle integrazioni e nella conformità, non nelle schermate. Il terreno ideale del vibe coding è nel mezzo: strumenti interni, dashboard, prototipi, automazioni specifiche, tutte le esigenze per cui prima si comprava un SaaS generico “perché non c’era alternativa”.

A una condizione, però: trattare ogni riga di codice generato dall’AI come non definitiva finché non è verificata. Controlli di sicurezza prima del rilascio, policy di accesso ai dati impostate in negazione per default, revisione umana esperta almeno sui punti critici, e scansioni regolari dopo il lancio. Lovable stessa ha introdotto scanner di sicurezza e certificazioni enterprise proprio perché il mercato glielo ha chiesto a gran voce, dopo gli incidenti.

La sintesi è che il SaaS non muore, ma si ridimensiona e si specializza: le piattaforme che possiedono dati, integrazioni e conformità restano, gli strumenti monofunzione facilmente replicabili sono in pericolo, e in mezzo cresce una generazione di software su misura costruito da chi il problema lo vive. Il fattore che decide se questa terza via è un’opportunità o una bomba a orologeria è sempre lo stesso, e non è tecnologico: è il giudizio umano di chi supervisiona. Ne ho scritto a proposito di perché l’AI oggi chiede filosofi e umanisti: gli strumenti moltiplicano quello che sappiamo fare, inclusi gli errori che non sappiamo riconoscere.

SaaS, AI e Vibe coding