AI-Agents verändern nicht nur, wie Software entwickelt wird. Sie verändern auch, wie Softwareentwicklung gesteuert und kontrolliert werden muss. Denn wenn Entwicklung plötzlich um ein Vielfaches schneller wird, kann Governance nicht im alten Takt weiterarbeiten.
In den vergangenen sechs Monaten habe ich mich sehr intensiv mit AI-gestützter Softwareentwicklung beschäftigt und mehrere umfangreiche Systeme weitgehend mit AI-Agents entwickelt. Gleichzeitig habe ich diese Systeme tiefgehenden Code-, Architektur- und Security-Reviews sowie umfangreichen automatisierten Tests unterzogen.
Dabei zeigt sich für mich immer deutlicher: Agentic Software Development benötigt eine andere Form von Governance.
Geschwindigkeit verändert Governance
AI-Agents können heute innerhalb weniger Minuten Code erstellen, bestehende Komponenten analysieren, Refactorings durchführen, Tests schreiben, Dokumentation aktualisieren und Fehler beheben. Entwicklungsschritte, die früher Tage beanspruchten, können damit teilweise innerhalb von Stunden stattfinden.
Wenn Security Reviews, Architekturprüfungen, Qualitätskontrollen oder Freigaben anschliessend weiterhin Tage oder Wochen benötigen, entsteht allerdings ein neuer Engpass.
Der Bottleneck verschiebt sich von der Entwicklung zur Governance.
Die Antwort darauf kann nicht darin bestehen, auf Kontrollen zu verzichten. Im Gegenteil: Wenn wesentlich mehr Code in wesentlich kürzerer Zeit entsteht, werden Qualitätssicherung, Security und Nachvollziehbarkeit noch wichtiger.
Governance muss deshalb selbst schneller und stärker automatisiert werden.
Von periodischer Kontrolle zu Continuous Governance
Viele Kontrollen müssen künftig direkt in den Entwicklungsprozess integriert sein. Automatisierte Tests, Security Scans, Dependency Checks, serverseitige Validierung, Berechtigungsprüfungen, Architekturregeln oder CI/CD Controls dürfen nicht erst am Ende eines Entwicklungszyklus stattfinden.
Sie müssen möglichst mit jeder relevanten Änderung ausgeführt werden.
Damit verändert sich das Governance-Modell grundlegend: von periodischen Reviews hin zu Continuous Governance.
Das Ziel ist nicht weniger Kontrolle, sondern eine Kontrolle, die mit der Geschwindigkeit der Entwicklung Schritt halten kann.
Guardrails statt Mikromanagement
Gleichzeitig verändert sich die Rolle des Menschen. Bei hoher Entwicklungsgeschwindigkeit wird es zunehmend unrealistisch, jede einzelne Codezeile manuell kontrollieren zu wollen.
Umso wichtiger werden klare Guardrails: Welche Architekturprinzipien gelten? Welche Daten dürfen verarbeitet werden? Welche Berechtigungen besitzt eine Komponente? Welche Security-Anforderungen müssen erfüllt sein? Welche Tests müssen erfolgreich sein, bevor eine Änderung produktiv werden darf?
Der Mensch definiert den Rahmen, überprüft die entscheidenden Ergebnisse und bleibt accountable. Innerhalb dieses Rahmens können AI-Agents zunehmend autonom arbeiten.
Evidence by Design
Ein weiterer Vorteil dieser Entwicklung wird häufig unterschätzt: Automatisierte Governance kann gleichzeitig wesentlich mehr Evidenz erzeugen.
Tests, Audit Logs, Versionshistorien, Security Checks und CI/CD-Protokolle dokumentieren kontinuierlich, was verändert, geprüft und freigegeben wurde.
Governance wird damit vom nachgelagerten Kontrollprozess zu einem Bestandteil der Systemarchitektur.
Nach meinen Erfahrungen der vergangenen Monate halte ich deshalb eine Frage für besonders relevant:
Nicht: Wie wenden wir unsere bestehenden Governance-Prozesse auf AI-assisted Coding an?
Sondern:
Wie gestalten wir Governance für eine Entwicklungsgeschwindigkeit, für die diese Prozesse nie konzipiert wurden?
Denn wenn Softwareentwicklung kontinuierlich und zunehmend agentisch wird, muss auch Governance kontinuierlich werden.