Arbeitsgruppe KI-Governance: Wie behält man die Kontrolle, wenn KI Software entwickelt?

Beim commendIT KI-Event im Juli 2026 haben sich zwei Themen herauskristallisiert, die viele Mitglieder beschäftigen. Daraus sind zwei Stränge der neuen Arbeitsgruppe KI entstanden. Der erste Strang ist die Governance KI-gestützter Softwareentwicklung, geleitet von Hannes Heckner. Der zweite ist der Einfluss von KI auf das Geschäftsmodell von IT-Dienstleistern, geleitet von Jens Horstmann. Dieser Beitrag stellt den Governance-Strang vor.

Die Leitfrage der Gruppe lautet: Wie viel Softwareentwicklung kann man an KI-Agenten abgeben, ohne die Kontrolle über Qualität, Sicherheit und Nachvollziehbarkeit zu verlieren?

Seit August trifft sich ein kleiner Kreis von Praktikern aus den Mitgliedsunternehmen einmal im Monat online. Im Mittelpunkt stehen keine Folien, sondern echte Erfahrungen aus laufenden Projekten.

Eine zentrale Erkenntnis: Regeln für die KI in natürlicher Sprache reichen nicht aus. Was wirklich wichtig ist, muss technisch durchgesetzt werden, etwa über Tests, Zugriffsrechte, Hooks, automatisierte Prüfskripte oder die Build-Pipeline. Ebenso wichtig ist es, Erstellung und Prüfung zu trennen: durch eigene Agenten mit getrennten Schreibrechten, einen frischen Kontext für Reviews oder auch durch unterschiedliche Modelle.

In einem Sicherheitsaudit fanden zwei KI-Modelle zum Beispiel unterschiedliche Schwachstellen, und beide Befunde waren relevant.

Außerdem zeigt sich: Das „Gedächtnis" einer KI-Sitzung ist kein Projektgedächtnis. Entscheidungen, Spezifikationen und ihre Begründungen gehören versioniert ins Repository. Werkzeuge wie OpenSpec und Beads, die eine durchgängige Kette von der Anforderung bis zum Commit herstellen, hat die Gruppe bereits gemeinsam unter die Lupe genommen.

Gleichzeitig verschiebt sich der Engpass: Nicht mehr das Schreiben von Code ist der aufwendige Teil, sondern sauberes Spezifizieren und Prüfen. Wie viel menschliche Kontrolle nötig ist, hängt dabei stark davon ab, wie kritisch die Anwendung ist. Ein internes Zeiterfassungstool braucht andere Maßstäbe als ein sicherheitsrelevantes Produkt.

Offen ist unter anderem noch, wie Menschen bei stark KI-gestützter Entwicklung den fachlichen Überblick über Anforderungen, Prioritäten und Releases behalten. Auch die Neigung der KI, Spezifikationen und Strukturen unnötig aufzublähen, beschäftigt die Gruppe weiter. Als nächste Themen stehen Sicherheit (Cyber Resilience Act, ISO 27001), die Wiederverwendung von Regeln und Skills über Projekte und Werkzeuge hinweg sowie selbst gehostete Sprachmodelle auf dem Programm.