Generative Werkzeuge können Analyse, Implementierung und Testvorbereitung deutlich beschleunigen. Sie ändern aber nicht die Eigenschaften guter Produktionssoftware: korrektes Verhalten, sichere Grenzen, Wartbarkeit, beobachtbarer Betrieb und klare Verantwortung. Geschwindigkeit ohne Qualitätsgates verschiebt Arbeit lediglich in Fehlerbehebung und Risiko.
Anforderungen vor Generierung
Ein Modell kann eine unklare Anforderung sehr überzeugend falsch umsetzen. Bevor Code entsteht, braucht jeder vertikale Prozessschnitt Akteure, Eingaben, Regeln, Zustandswechsel, Fehlerfälle und Abnahmeszenarien. Kritische Nicht-Ziele verhindern, dass eine scheinbar hilfreiche Erweiterung ungewollt Scope oder Berechtigung verändert.
Architektur und Datenverantwortung prüfen
Automatisch erzeugter Code darf keine zufälligen Systemgrenzen festschreiben. Senior Engineers prüfen Datenmodell, System of Record, Transaktionen, Integrationsmuster und Deployment. Entscheidungen mit langfristiger Wirkung werden dokumentiert.
Mehrere Testebenen erzwingen
Unit-Tests sichern isolierte Regeln, Integrationstests Datenbank und externe Verträge, Ende-zu-Ende-Tests kritische Nutzerpfade. Charakterisierungstests vergleichen Verhalten mit dem Altsystem. Tests müssen auch ohne das generierende Modell verständlich und wartbar bleiben.
Eine hohe Anzahl generierter Tests ist kein Qualitätsnachweis, wenn sie nur die Implementierung wiederholen. Reviews prüfen, ob Grenzfälle, Berechtigungen und negative Pfade tatsächlich abgedeckt sind.
Security in den Lieferprozess integrieren
Das NIST SSDF strukturiert sichere Entwicklung über Vorbereitung, Schutz, Produktion und Reaktion. Praktisch gehören dazu Bedrohungsanalyse, Least Privilege, Eingabevalidierung, Secret Management, Dependency Scans und ein Prozess für Schwachstellen.
Das OWASP ASVS kann als überprüfbarer Katalog für Anwendungssicherheit dienen. Das erforderliche Niveau hängt von Daten, Bedrohungen und Betriebsmodell ab; eine pauschale „sicher“-Behauptung ersetzt diese Einordnung nicht.
Menschliche Verantwortung sichtbar halten
Jede Änderung braucht einen verantwortlichen Reviewer. Fachliche Abnahme bestätigt Verhalten, Engineering bestätigt technische Qualität, Security bewertet relevante Risiken und Operations bestätigt Betriebsbereitschaft. KI kann Hinweise liefern, aber keine dieser Rollen übernehmen.
AI-accelerated Engineering wird so nicht zu einer eigenen Qualitätsklasse. Es ist eine produktive Arbeitsweise innerhalb eines normalen, strengen Software-Lebenszyklus.