--- title: "Hoe zorg je voor herleidbaarheid van vibe coding-beslissingen in Azure?" description: "Zonder promptlogging verdwijnt de intentie achter AI-gegenereerde code. Ontdek hoe Azure herleidbaarheid borgt." url: "https://www.cloudigy.nl/kennisbank/ai-automatisering/hoe-zorg-je-voor-herleidbaarheid-van-vibe-coding-beslissingen-in-azure/" updated: "2026-08-10" category: AI Automatisering --- # Hoe zorg je voor herleidbaarheid van vibe coding-beslissingen in Azure? Herleidbaarheid van [**vibe coding** in Azure](https://www.cloudigy.nl/producten/vibecoden/) regel je door de volledige keten vast te leggen: van prompt-input via AI-model naar gegenereerde code en deployment. Dat vereist gestructureerde **beslissingslogging**, identiteitskoppeling via Entra ID en onveranderbare opslag van **audittrails**. Zonder die stappen verdwijnt de intentie achter AI-gegenereerde code zodra het chatvenster sluit. Hieronder beantwoorden we de belangrijkste vragen over **AI governance**, logging en wettelijke verplichtingen. ## Welke beslissingen maakt vibe coding die je moet vastleggen? Bij vibe coding neemt het AI-model stilzwijgend beslissingen die een menselijke ontwikkelaar normaal bewust maakt. Die **AI-beslissingen** zijn zelden gedocumenteerd, maar dragen wél risico. De volgende categorieën verdienen vastlegging: - **Code-generatiekeuzes:** frameworkselecties, implementatiepatronen en architecturale shortcuts die het model kiest zonder expliciete instructie. - **Prompt-to-output-transformaties:** het verschil tussen wat je vraagt en wat het model oplevert, inclusief verworpen alternatieven. - **Dependency-selecties:** open-source-pakketten en bibliotheken die automatisch worden geïntroduceerd. Zonder validatie erf je mogelijk kwetsbare of ongepaste dependencies. - **Beveiligingsbeslissingen:** authenticatie-implementaties, autorisatiemodellen en inputvalidatie die de AI stilzwijgend invult. - **Configuratie-defaults:** permissieve logging, brede netwerkbindings of ontspannen validatie die prima zijn voor demo's maar onveilig zijn in productie. Leg bij elke generatiecyclus minimaal vast: de exacte prompt, het gebruikte model en de versie, de gegenereerde output en een kort prompt/response-ID. ## Waarom is herleidbaarheid bij vibe coding anders dan bij traditionele code? Bij traditionele ontwikkeling is elke keuze herleidbaar naar een bewuste menselijke beslissing — vastgelegd in commit messages, design documents en code reviews. Bij vibe coding ontbreekt die expliciete redenering. De prompt is vaak het **enige** gedocumenteerde signaal van intentie, en zelfs die gaat verloren als je hem niet opslaat. Standaard versiebeheer schiet tekort omdat het alleen de *output* registreert, niet het *waarom*. Eigendom raakt gefragmenteerd: de prompt-auteur, het AI-model, de reviewer en de service-eigenaar delen de verantwoordelijkheid, maar niemand draagt die volledig. Bovendien produceren AI-ondersteunde ontwikkelaars grotere pull requests, wat de reviewkwaliteit onder druk zet. Die psychologische afstand tussen ontwikkelaar en gegenereerde code verzwakt het gevoel van auteurschap — en daarmee de prikkel om edge cases grondig te verifiëren. ## Hoe leg je promptgeschiedenis en AI-beslissingen vast in Azure? Gebruik een combinatie van Azure-diensten om de volledige beslissingsketen te loggen. Elk logrecord bevat minimaal: timestamp, user-ID, sessie-ID, modelversie, prompt-input, response-hash en geactiveerde beleidsregels. - **Azure Monitor & Log Analytics Workspace:** centraal verzamelpunt. Configureer diagnostische instellingen om AI-interactielogs te streamen naar één workspace. - **Application Insights:** runtime-telemetrie van gegenereerde code, zodat je in productie kunt monitoren hoe AI-output zich gedraagt. - **Azure Blob Storage met immutability policies:** WORM-beleid voor onveranderbare langetermijnopslag van promptlogs. - **Azure Cosmos DB:** gestructureerde opslag van prompt-response-paren met lage latentie en change feed voor real-time monitoring. **Power Platform** en Azure AI-services bieden native logging hooks. Binnen Power Platform kun je flows inrichten die elke AI Builder-aanroep automatisch registreren, inclusief de context waarin die plaatsvond. ## Welke Azure-diensten ondersteunen audittrails voor AI-gegenereerde code? Verschillende Azure-diensten dekken elk een andere laag van de **audittrail**: - **Azure DevOps:** ingebouwde audit-logging voor repositories, pipelines en pull requests — de codelaag. - **Azure Policy:** afdwinging van governance-regels op resourceniveau, inclusief verplichte logging voor AI-gerelateerde resources. - **Microsoft Purview:** data-lineage en classificatie, zodat je kunt traceren welke data door AI-processen is verwerkt. - **Azure Key Vault:** audit-events voor secret-toegang, essentieel wanneer AI-tools credentials gebruiken. - **Azure AI Content Safety:** governance voor gedeployede modellen, inclusief Prompt Shield tegen prompt injection. - **Microsoft Defender for Cloud:** continue beveiligingsbeoordeling van gedeployede AI-gegenereerde code. ## Hoe koppel je vibe coding-beslissingen aan een specifieke gebruiker of sessie? Koppel elke AI-tool-sessie aan een **Entra ID**-gebruikersprincipal. Gebruik Conditional Access-policies om context vast te leggen, zoals locatie en apparaat. Een uniek sessie-ID moet doorlopen van IDE-sessie via API-call naar commit en deployment. Concretere stappen: laat API-gateways de gebruikersidentiteit injecteren in elke modelaanvraag, verrijk commits met prompt-sessie-ID's via Git-hooks en registreer alle OAuth-grants centraal. Vergeet niet om tokenlevenscycli te monitoren — wanneer projecten eindigen of ontwikkelaars vertrekken, blijven OAuth-grants anders openstaan. Signed commits (GPG/SSH) garanderen dat niemand achteraf wijzigingen kan doorvoeren zonder sporen. ## Wat zijn veelgemaakte fouten bij het inrichten van herleidbaarheid in Azure? - **Prompts niet vastleggen:** teams vertrouwen alleen op git-historie en verliezen de intentie. Oplossing: log elke prompt automatisch met een sessie-ID. - **Geen gestructureerd schema:** over-logging zonder structuur maakt data onbruikbaar. Definieer vooraf welke velden elk logrecord bevat. - **Ontbrekende retentiebeleiden:** zonder retentieregels groeien logs onbeheersbaar of worden ze te vroeg verwijderd. Stel minimaal zes maanden in. - **Governance als afterthought:** tooling verbetert sneller dan beleid. Schrijf vooraf op wat is toegestaan, wie verantwoordelijk is en welke data naar externe modellen mag. - **Alleen de codelaag beveiligen:** de deployment-laag — waar hard-gecodeerde credentials productie bereiken — is waar incidenten gebruikers raken. ## Wanneer is herleidbaarheid van vibe coding wettelijk verplicht? Herleidbaarheid verschuift van best practice naar juridische verplichting in drie situaties. Ten eerste: de **EU AI Act** (deadline 2 augustus 2026) verplicht providers van hoog-risico AI-systemen tot automatische logging, menselijk toezicht en transparantie over welk model code heeft gegenereerd. Logretentie bedraagt minimaal zes maanden. Ten tweede: de **AVG/GDPR** vereist uitlegbaarheid bij geautomatiseerde besluitvorming die persoonsgegevens raakt. Ten derde: sectorale regelgeving voor overheid en onderwijs stelt aanvullende eisen aan IT General Controls, waarbij auditors willen zien hoe AI-output is geverifieerd tegen gedocumenteerde requirements. Vibe coding is krachtig, maar zonder gestructureerde herleidbaarheid mis je zowel operationeel inzicht als juridische dekking. De combinatie van Azure-native logging, identiteitskoppeling en helder beleid vormt de basis voor verantwoorde AI-ontwikkeling. Wil je weten hoe dit er voor jouw organisatie concreet uitziet? Neem dan gerust [contact](https://www.cloudigy.nl/contact/) met ons op — we denken graag mee.