Lovable: bygge apper og nettsider med KI – hva du får og ikke får

Lovable er et KI-verktøy der du beskriver en app eller nettside med vanlige ord og får ferdig kode, database og hosting. Det er raskt og rimelig for prototyper og interne verktøy. Før noe med kundedata går live, må du likevel selv sjekke sikkerhet, personvern og om siden blir funnet i søk. Pro koster 25 dollar i måneden.

Hva er Lovable, og hva er vibe coding?

Lovable er en nettjeneste der du skriver hva du vil ha, for eksempel «et bookingsystem for frisørsalongen min med innlogging». Så lager KI-en en fungerende webapp med brukergrensesnitt, database og innlogging. Den måten å jobbe på kalles vibe coding: du styrer med vanlig språk i stedet for å skrive koden selv.

Teknisk er ikke dette magi. Verktøyet genererer en React-frontend med Supabase i bakkant, med autentisering, databasetabeller og infrastruktur som kan publiseres. Du får altså ekte kode, ikke et lukket byggeklossformat. Det skiller Lovable fra klassiske nettsidebyggere som når du lager en nettside i Wix. Samtidig betyr det at du også arver ansvaret for koden. Vil du forstå hvordan språkmodellene bak fungerer, har vi en egen forklaring på hva generativ KI er.

Veksten har vært kraftig. Ifølge én analyse gikk selskapet fra null til 300 millioner dollar i årlige gjentakende inntekter på under 12 måneder. For deg som kjøper betyr det at produktet endrer seg raskt, og det er grunnen til at flere av punktene nedenfor har datoer.

Hva kan du faktisk lage med Lovable?

Lovable passer best til nettbaserte apper med skjermbilder, skjemaer, innlogging og en database: prototyper, interne verktøy, kundeportaler og enkle SaaS-produkter. Det lager ikke apper du legger ut i App Store eller Google Play. Resultatet er en webapplikasjon som kjører i nettleseren.

Den siste raden overrasker mange. En Lovable-side har ikke noe publiseringssystem der markedsavdelingen kan legge inn en nyhetssak. Hver endring er enten en ny instruks til KI-en, som koster kreditter, eller en endring direkte i koden. Skal flere personer oppdatere innhold jevnlig, er et publiseringssystem (CMS) nesten alltid det riktige valget.

Hva koster Lovable?

Planavgiften er lav, men det du faktisk betaler, avhenger av hvor mange kreditter du bruker. Per juli 2026 selger Lovable fire nivåer: Free (0 dollar), Pro (25 dollar/mnd), Business (50 dollar/mnd) og Enterprise (egen pris). Betaler du årlig, faller prisen til mellom 21 og 42 dollar i måneden.

Tallene i tabellen kommer fra Lovables prisside og uavhengige gjennomganger fra sommeren 2026. Sjekk alltid siden selv før du legger budsjettet, for modellen justeres ofte.

Tre kostnadsfeller som ikke står øverst på prissiden

• Den levende appen bruker også kreditter. Samme kredittsaldo dekker hver instruks du sender, databasen, lagringen og nettverket appen trenger, og hver KI-forespørsel appen sender når noen bruker den. Blir appen populær, stiger regningen uten at du bygger noe nytt.
• Business gir deg ikke flere kreditter, bare bedre kontroll. For 50 dollar får du 100 kreditter på Business, men 200 på Pro. Du betaler altså ekstra for SSO, reservasjon mot KI-trening og databehandleravtale, ikke for mer byggetid.
• Gratiskredittene forsvinner. De daglige kredittene nullstilles klokken 00:00 UTC og overføres ikke til neste dag. Det tilsvarer klokken 02:00 norsk sommertid.

Hvor mye en endring koster, varierer. Lovables egne eksempler er 0,50 kreditter for en stiljustering, 0,90 for å fjerne en komponent, 1,20 for innloggingslogikk og 2,00 for en hel landingsside med genererte bilder. Det som spiser mest, er når KI-en gjør feil og du må be den rette opp i det. Skriv derfor presise instrukser, og be om én endring om gangen.

Merverdiavgift: Lovable fakturerer fra utlandet. Er bedriften mva-registrert, skal den selv beregne merverdiavgift på fjernleverbare tjenester som kjøpes fra utlandet (snudd avregning, merverdiavgiftsloven § 3-30). Samtidig kan den normalt trekke fra samme beløp som inngående mva. Ta vare på fakturaene i dollar som bilag. Vil du sammenligne med hva et byrå tar, finner du oversikten i artikkelen om hva en nettside koster.

Er apper laget med Lovable sikre?

Infrastrukturen er trygg nok, men koden KI-en skriver, har hatt alvorlige hull. Du må selv kontrollere tilgangsreglene i databasen før appen får ekte brukere. Den kjente saken er CVE-2025-48757: Av 1 645 skannede Lovable-apper hadde 170 (10,3 %) eksponerte databaser, med til sammen 303 sårbare API-endepunkter.

Mekanismen er enkel å forstå. Nettleseren snakker direkte med databasen ved hjelp av en offentlig nøkkel, og det er i utgangspunktet greit. Problemet oppstår når tabellene mangler Row Level Security, altså regler for hvilke rader hver bruker får se. Da gir den offentlige nøkkelen i praksis lese- og skrivetilgang til hele databasen. Det farlige er at et prosjekt kan være trygt i dag og sårbart i morgen: KI-en lager nye tabeller når du legger til funksjoner, men legger ikke konsekvent inn tilgangsregler.

Sikkerhetsskanneren i Lovable løser ikke alt av seg selv. Selv om Lovable har lagt til sikkerhetsfunksjoner, må eksisterende apper gjennomgås og rettes manuelt. Vi anbefaler at skanningen kjøres hver gang du ber om en funksjon som lagrer noe nytt, ikke bare én gang før lansering.

Minstesjekk før appen får ekte brukere

• Kjør sikkerhetsskanningen i Lovable, og kontroller at Row Level Security er slått på for hver eneste tabell.
• Opprett to testbrukere. Logg inn som bruker A, og prøv å åpne data som tilhører bruker B, for eksempel ved å bytte ut ID-en i adressefeltet.
• Åpne utviklerverktøyet i nettleseren (fanen Network), og sjekk at ingen hemmelige nøkler, for eksempel betalings- eller tjenestenøkler, ligger i koden som sendes ut.
• Prøv å hente data uten å være logget inn. Svaret skal være tomt.

Hvordan lage en app med KI i Lovable – steg for steg

Rekkefølgen er viktigere enn instruksene. Mange av de dyreste feilene, som feil dataregion, tapt kodehistorikk og data som ikke kan flyttes, oppstår fordi et valg ble gjort for sent.

• 1. Skriv en kravliste på én side før du åpner Lovable: hvem som skal bruke appen, hvilke data som lagres, og hva som ikke skal være med. Det sparer mange kreditter på omveier.
• 2. Velg plan ut fra hvilke data appen skal behandle. Skal den lagre personopplysninger om kunder, bør du starte på Business, slik at databehandleravtale og reservasjon mot KI-trening er på plass fra første dag.
• 3. Velg EU som region før du slår på databasen (Lovable Cloud). Regionen låses når bakenden aktiveres.
• 4. Koble til GitHub med én gang, ikke til slutt. Da har du full historikk og en kopi du eier. Merk at det bare går én vei: du kan bare eksportere fra Lovable til GitHub, ikke hente inn et eksisterende prosjekt.
• 5. Bygg én funksjon om gangen, og test hver av dem før du går videre. Bruk visuell redigering til små justeringer av tekst og farger der det er mulig.
• 6. Kjør sikkerhetssjekken ovenfor etter hver funksjon som lagrer data.
• 7. Koble til eget domene (krever Pro), og sjekk i Google Search Console at sidene faktisk blir indeksert.
• 8. Legg inn måling og samtykkebanner riktig, ikke som løse skript limt rett inn i koden.

Det siste punktet er lett å undervurdere. Når du ber KI-en om å «legge inn Google Analytics», limer den gjerne sporingskoden rett inn i malen. Vi setter heller opp måling via Google Tag Manager med et definert datalag, fordi hardkodede skript er den vanligste kilden til dobbelttelling vi finner hos nye kunder. Er du ny på å bruke slike verktøy i arbeidshverdagen, gir artikkelen om hvordan du bruker kunstig intelligens et godt utgangspunkt.

Blir en Lovable-side funnet i Google og AI-søk?

Ja, dersom prosjektet er opprettet etter 13. mai 2026. Nye Lovable-apper opprettet fra 13. mai 2026 bruker TanStack Start med serverrendering, og hver forespørsel returnerer ferdig HTML både til mennesker og søkeroboter. Eldre prosjekter fungerer annerledes, og det har betydning for hva du ser når du tester.

For apper bygget før denne datoen gjelder dette: Forhåndsrendret HTML sendes bare til verifiserte søkeroboter, som Google, Bing, forhåndsvisninger i sosiale medier og KI-tjenester som ChatGPT, Perplexity, Claude og Gemini. SEO-skannere fra tredjeparter, lenkesjekkere og andre agenter ser bare det tomme appskallet. Kjører du et vanlig SEO-verktøy mot en eldre Lovable-side, får du altså et misvisende dårlig resultat. Bruk URL-inspeksjon i Google Search Console i stedet, slik Lovables egen dokumentasjon anbefaler.

Én feil ser vi igjen og igjen i KI-generert kode: knapper som navigerer med JavaScript i stedet for ekte lenker. En utvikler som gikk gjennom sitt eget Lovable-nettsted, fant 20 tilfeller i 11 offentlige filer der Lovable hadde brukt dette mønsteret i stedet for ordentlige lenker. Søkemotorer følger bare ekte lenker, så hele den interne lenkestrukturen kan bli usynlig. Be KI-en eksplisitt om å bruke lenkekomponenter på alle offentlige sider.

Box legger inn strukturerte data og llms.txt som standard på alle nye nettsider, fordi sider med tydelig maskinlesbar struktur er de vi ser bli plukket opp av AI-søk først.

Dette er ekstra viktig nå som svaret ofte gis direkte i Googles AI-oversikter og i AI-modus i Google-søk, før brukeren i det hele tatt klikker. Lovable kan lage strukturerte data hvis du ber om det, men det skjer ikke automatisk med riktig innhold for virksomheten din.

Personvern og GDPR: hva må en norsk bedrift ordne?

Samler appen inn personopplysninger, er du behandlingsansvarlig og Lovable databehandler. Da trenger du en databehandleravtale, riktig dataregion og kontroll på om innholdet ditt brukes til KI-trening. For personopplysninger fra EU opptrer kunden som behandlingsansvarlig og Lovable som databehandler, går det fram av Lovables databehandleravtale. Personopplysningsloven gjør GDPR til norsk lov, så det samme gjelder her.

• Region: Lovable oppgir at Cloud-data kan lagres i EU, USA eller Asia–Stillehavet, og regionen for et prosjekt avgjøres når bakenden slås på, ikke senere.
• Databehandleravtale: Ifølge en gjennomgang fra september 2026 er avtalen koblet til planen, og innledningen sier at den er inkludert for Business- og Enterprise-kunder. Kontroller vilkårene som gjelder for din plan.
• KI-trening: Reservasjon mot datatrening er bare tilgjengelig på Business og oppover.
• Juridisk motpart: Avtalen inngås med Lovable Labs Incorporated, registrert i Dover i Delaware. Oppdater derfor protokollen over behandlingsaktiviteter og vurder overføringsgrunnlaget, selv om dataene lagres i EU.

Husk også universell utforming. Likestillings- og diskrimineringsloven § 18 pålegger virksomheter som retter seg mot allmennheten, å gjøre nettløsningene sine universelt utformet, og Uu-tilsynet fører tilsyn. KI-generert kode mangler ofte gode alternative tekster, kontraster og tastaturnavigasjon. Les mer om kravene til universell utforming.

Når Lovable ikke er riktig valg

Lovable er feil verktøy når løsningen skal håndtere sensitive data, betaling og lager eller innhold som mange skal redigere, og ingen i bedriften kan lese kode. Da blir den raske starten til teknisk gjeld.

• Særlige kategorier av personopplysninger (helse, fagforening, biometri): Her fraråder vi vibe coding uten profesjonell gjennomgang og personvernkonsekvensvurdering (DPIA).
• Nettbutikk: Betaling, frakt, mva-regler og angrerett er ferdig løst i nettbutikkplattformer. Å bygge dette på nytt med KI gir deg vedlikehold uten gevinst.
• Markedsnettsted som skal rangere og oppdateres ukentlig: Et ordinært publiseringssystem gir redaktørene kontroll uten at hver endring koster kreditter. Se guiden om å lage en nettside.
• Ingen eier koden: Hvis den eneste som forstår appen, er KI-en, har du et driftsproblem den dagen noe går galt.
• Integrasjoner med regnskap, CRM eller ERP som krever stabile, sikre forbindelser på serversiden: Det går an, men krever at noen kontrollerer at hemmelige nøkler ikke havner i nettleseren.

Det vi ser oftest, er ikke at Lovable-prosjekter mislykkes teknisk. Det som skjer, er at de blir liggende halvferdige fordi ingen har ansvaret etter lansering. Vil du sammenligne Lovable med andre verktøy før du velger, har vi samlet de viktigste i oversikten over KI-verktøy for bedrifter. Se også hvordan Box jobber med teknologi og AI.