AI Schreef de Code. Wie is Verantwoordelijk als het Kapot Gaat?

Uw engineersteam gebruikt AI om code sneller te schrijven. Maar u vraagt zich waarschijnlijk af: "Hoe beheer ik dit?"

Hoe beoordeelt u AI-gegenereerde code? Wie is verantwoordelijk als het een bug of een beveiligingslek introduceert? Op dit moment doen de meeste teams het maar op de bonnefooi. Dit creëert risico's.

Nieuw onderzoek geeft ons een duidelijk, op bewijs gebaseerd actieplan. Het toont aan dat AI-hulpmiddelen in twee voorspelbare categorieën vallen. Nog belangrijker, het toont aan waar uw menselijke toezicht onkwetsbaar moet zijn.

Wat Onderzoekers Ontdekten

Onderzoekers van de Universiteit van Calgary analyseerden duizenden AI-ondersteunde coderingstaken. Ze publiceerden hun bevindingen in Collaborator of Assistant? Hoe AI-codingagents werk verdelen over pull request-levenscycli.

Ze vonden twee duidelijke typen AI-hulpmiddelen.

1. De Proactieve Medewerker. Hulpmiddelen zoals GitHub Copilot, Cursor en Devin vallen hieronder. Ze gedragen zich als een enthousiaste junior-ontwikkelaar. Ze beginnen proactief met coderingstaken 96% van de tijd. Ze zien een TODO-opmerking of een falende test en springen erop in.

2. De Reactieve Assistent. Hulpmiddelen zoals directe prompts naar ChatGPT of Claude zijn assistenten. Ze wachten op uw expliciete instructies 95% van de tijd. U geeft hen een taak en ze helpen u deze te voltooien.

De kritische bevinding? Mensen hebben het laatste woord 99,9% van de tijd. Een AI kan de hele functionaliteit schrijven, maar een persoon moet bijna altijd de samenvoeging goedkeuren. Dit creëert een "junior-teammate"-dynamiek.

Maar er is een verborgen risico. De studie vond dat code van "Assistent"-hulpmiddelen formeel wordt beoordeeld 76% van de tijd. Het gaat rechtstreeks naar goedkeuring. Code van "Medewerker"-hulpmiddelen gaat door een formele menselijke beoordelingsfase 90% van de tijd.

Waarom is dit belangrijk? Hulpmiddelen die "hulpvaardiger" lijken, kunnen leiden tot minder toezicht. Het vertrouwen van uw team kan een governance-gat creëren.

De grootste rode vlag? Audit-trails zijn gebroken. Wanneer een geautomatiseerd systeem code samenvoegt, laten logboeken zien wie op "samenvoegen" heeft geklikt, maar niet wie de beslissing heeft genomen om het goed te keuren. Als die code een uitval veroorzaakt, kunt u mogelijk geen verantwoordelijkheid traceren.

Hoe U Dit Vandaag Kunt Toepassen: Een 3-Stappen Actieplan

U kunt niet beheren wat u niet meet. Gebruik dit onderzoek om een bewuste procedure op te zetten. Doe dit binnen het komende kwartaal.

Stap 1: Classificeer Uw Hulpmiddelen en Stel Werkstroomregels In

Eerst, label elk AI-hulpmiddel dat uw team gebruikt.

• Is het een Medewerker? (Initieert werk, suggereert voltooiingen)
• Is het een Assistent? (Vereist expliciete prompts)

Deze classificatie bepaalt uw verplichte beoordelingsregels.

Voor Medewerker-Hulpmiddelen (bijv. Copilot, Cursor):

• Verplicht een formele codebeoordeling voor elke wijziging. Geen uitzonderingen. Behandel de output van de AI als u zou doen met de eerste versie van een junior-ontwikkelaar.
• Vereis een door een mens geschreven samenvatting. De beoordelaar moet een opmerking schrijven waarin wordt uitgelegd wat is gewijzigd en waarom het is goedgekeurd.

Voor Assistent-Hulpmiddelen (bijv. ChatGPT, Claude):

• Vereis promptdocumentatie. Elke codeblok die uit een chat wordt gekopieerd, moet de oorspronkelijke prompt als opmerking bevatten. Dit biedt context voor beoordelaars.
• Institueer een "tweede paar ogen"-regel. Code van deze hulpmiddelen kan niet zelf worden beoordeeld. Een ander teamlid moet het goedkeuren.

Stap 2: Repareer Uw Audit-Trail

Het "wie heeft dit goedgekeurd?"-logboek moet duidelijk zijn. Werk uw DevOps-beleid bij deze maand.

1. Sta anonieme geautomatiseerde samenvoegingen niet toe. Configureer uw CI/CD-systeem (zoals GitHub Actions of GitLab CI) zodat elke samenvoeging een menselijk account vereist om het te activeren, zelfs als het alleen maar op "Uitvoeren" klikken is.
2. Verrijkt uw commit-berichten. Voeg een verplichte tag toe. Bijvoorbeeld:

• • [AI-Ondersteund: Copilot] - Voor voltooiingen en suggesties.
  • [AI-Gegenererd: ChatGPT] - Voor codeblokken uit een chatsessie. Dit creëert een doorzoekbare geschiedenis van AI-betrokkenheid.

1. Log de beslissingsnemer. In uw projectbeheerhulpmiddel (Jira, Linear), vereis dat het ticket dat is gekoppeld aan de pull request de mens noemt die de AI-werk voor samenvoeging heeft goedgekeurd.

Stap 3: Train Uw Team Over Het "Waarom"

Processen falen zonder begrip. Houd een 30-minuten teamvergadering om de nieuwe regels uit te leggen.

• Formuleer het als risicobeheer, niet als wantrouwen. Zeg: "AI maakt ons sneller. Deze regels zorgen ervoor dat snelheid geen toekomstige bugs of beveiligingsproblemen creëert."
• Toon de gegevens. Deel de bevinding dat "Assistent"-hulpmiddelen vaak de beoordeling overslaan. Leg uit dat uw nieuwe regels een proactieve veiligheidsbarrière zijn.
• Wijs een "Proceseigenaar" aan voor 3 maanden. Deze persoon beantwoordt vragen en zorgt ervoor dat de nieuwe stappen worden gevolgd, en past ze aan als ze te omslachtig zijn.

Waar U Op Moet Letten

Deze aanpak is praktisch, maar heeft beperkingen.

1. Het Voegt Wrijving Toe. Verplichte beoordelingen en documentatie vertragen de dingen. Dit is het compromis voor veiligheid. Het doel is beheerste snelheid, niet ongecontroleerde snelheid.
2. Het Beoordeelt Niet De Kwaliteit. Dit proces beheert hoe code wordt goedgekeurd, niet of de code goed is. U hebt nog steeds robuuste tests, beveiligingsscans en ervaren beoordelaars nodig.
3. Hulpmiddelen Zullen Evolueren. De grens tussen "Medewerker" en "Assistent" kan vervagen. Beoordeel uw classificaties elke zes maanden opnieuw.

Uw Volgende Stap

Begin met het classificeren van uw hulpmiddelen.

Deze week, maak een lijst van de AI-codinghulpmiddelen die uw team gebruikt. Zet ze in twee kolommen: Medewerkers en Assistenten. Stuur die lijst naar uw team en kondig aan: "Vanaf volgende maandag heeft alle code uit Kolom A een formele beoordeling nodig. Code uit Kolom B heeft een gedocumenteerde prompt nodig."

Deze enkele actie brengt u van ad-hoc naar intentioneel. Het legt de basis voor het schalen van AI-gebruik zonder het risico te schalen.

Wat is het eerste hulpmiddel dat u classificeert, en welke regel stelt u daarvoor in? Deel uw plan in de comments.