Code vor der Abnahme durch KI prüfen lassen – taugt das als Abnahmekriterium?

Ein Tool, das vertraglich nicht vorab definiert wurde, kann man im Nachhinein nicht einfach als Abnahmekriterium durchdrücken. Da geht die Agentur völlig zu Recht auf die Barrikaden. Ihr könnt den Code natürlich durch die KI jagen, die Ergebnisse solltet ihr aber nicht nutzen, um Zahlungen einzubehalten, sondern als sachliches Feedback für eine partnerschaftliche Nachbesserungsliste.

Wegen der Begrenzung des Kontextfensters verliert die KI gern mal den gesamten Datenfluss im Projekt aus dem Blick. Es kann passieren, dass sie eine fehlende Berechtigungsprüfung anprangert, obwohl diese schlicht auf einer anderen Architekturschicht sitzt. Dagegen übersieht sie komplexe fachliche Logikfehler komplett. Sowas sollte immer nur hybrid eingesetzt werden, ergänzt durch klassische statische Code-Analyse und Unit-Tests.

Firmencode einfach in öffentliche KI-Dienste hochzuladen ohne vorher Lizenz- und Vertraulichkeitsvereinbarungen zu prüfen, kann ein massives IP- und Datenschutzrisiko sein. Was ist mit den Rechten der Agentur am Code und den Lizenzen von Drittanbieter-Bibliotheken? Bevor ihr diesen Schritt macht prüft unbedingt eure Datenschutz- und Sicherheitsrichtlinien.

Wir haben im letzten Quartal ein Microservice-Projekt mit 15.000 Zeilen von einer KI scannen lassen. Von 42 Warnungen waren 26 schlicht Fehlalarme, also False Positives. Allerdings waren unter den restlichen 16 Funden tatsächlich 3 handfeste, kritische Schwachstellen – ein Speicherleck und ein Auth-Bypass. Ohne einen Experten, der da aussortiert, geht es nicht.

wenn man keinen code lesen kann wird man auch den output von der ki nicht verstehen und ihr kommt dann mit 50 fehlern um die ecke, der entwickler erklärt euch in zwei minuten warum das keine fehler sind und am ende gibts nur unnötig dicke luft.

Rein rechtlich betrachtet sind das im Vertrag vereinbarte Lasten-/Pflichtenheft und das Abnahmeprotokoll maßgeblich. Der Bericht eines nachträglich herangezogenen Tools reicht als Begründung für Leistungsverweigerung oder den Einbehalt von Zahlungen nicht aus. Sofern die Funde jedoch handfeste Mängel im Sinne des Werkvertragsrechts darstellen, haben Sie selbstverständlich Anspruch auf Nachbesserung.

Bei der Code-Abnahme könnt ihr die KI mit folgendem 3-Stufen-Modell nutzen: 1) Ergebnisse aus dem Bericht nicht direkt als Fehler werten, sondern erst mal als Verdachtsfälle verbuchen. 2) Die Liste der Agentur vorlegen und um eine schriftliche Stellungnahme bitten. 3) Zwei Stunden Budget für einen externen Freelancer einplanen, der kurz querprüft, ob die Begründung der Agentur Hand und Fuß hat.

Kann die Verunsicherung gut verstehen, ohne Tech-Hintergrund ist eine Abnahme echt heikel. Seht die KI einfach nicht als unfehlbaren Prüfer, sondern eher als Sparringspartner für gute Fragen. Pickt euch nachvollziehbare Punkte aus dem Report raus und fragt die Agentur ganz sachlich: „Gibt es einen bestimmten Grund, warum das an dieser Stelle so gelöst wurde?“

Genau so, und das ist zudem kaum bekannt. Fragt, wer das Angebot erstellt hat und wer die Arbeit ausführen wird.

Korrigiert mich, falls ich falsch liege.

Ich bin ein kleines Unternehmen, ich erzähle es aus meiner Sicht. Wenn wir ohne Messung entscheiden, landen wir immer wieder am selben Punkt.

Wenn deine Situation anders ist, ändert sich das natürlich.

Bei KI-Code-Analyse ist es meiner Meinung nach schwierig, so eindeutig zu sprechen. Wer bei KI-Code-Analyse hetzt, stolpert alle an derselben Stelle.

An deiner Stelle würde ich so vorgehen.

Dieser Ansatz hat seinen Preis, der aber nicht thematisiert wird. Wenn ihr es zum ersten Mal macht, fangt klein an, die Skalierung kommt später.

Das günstigste Angebot ist oft das am wenigsten durchdachte. Das war's, entschuldige, wenn ich zu lang war.

Genau so ist es. Kein Prozess ohne Dokumentation verbessert sich, weil man nicht weiß was man verbessern soll.

Wenn es jemand anders macht, würde mich das auch interessieren.

Gut gemacht. Der Zahlungsplan sollte an die Projektphasen gekoppelt sein nicht an den Kalender.

Ein wöchentlicher schriftlicher Fortschrittsbericht ist viel nützlicher als ständiges Nachfragen nach dem Status. Das ist meine Meinung, ich behaupte nicht dass es absolut richtig ist.

Da stimme ich zu. Das Teuerste an übernommenen Systemen sind unbekannte Abhängigkeiten.

ich erzähle mal was mir passiert ist vielleicht hilft es euch. übrigens überstürzte Entscheidungen sind oft solceh die man sechs Monate später korrigieren muss.

Ich stimme zu möchte das sogar besonders betonen. Wer bei KI-Code-Analyse hetzt, stolpert alle an derselben Stelle.

Aus Erfahrung weiß ich das.

Nach diesem Erlebnis hat sich meine Sichtweise geändert. Wer bei KI-Code-Analyse hetzt, stolpert alle an derselben Stelle.

Das ist meine Meinung, ich behaupte nicht, dass es absolut richtig ist.