Auf LinkedIn lese ich seit Monaten dieselbe Warnung. KI-Code sei gefährlich, das Modell mache zu viele Fehler, am Ende müsse der Mensch alles kontrollieren. Im Gespräch mit erfahrenen Entwicklerinnen und Entwicklern höre ich die härtere Variante. Mit KI bekommt man nur schlechte Qualität.

Beide Sätze setzen einen Vergleich voraus, den niemand ausspricht. Nämlich wie es vorher aussah.

Das Bild

Das ist das SonarQube-Dashboard von kanban-kit. Java und React, knapp 100.000 Zeilen, zwei Monate Laufzeit, der Kern davon in einer Woche.

Quality Gate bestanden. Null offene Issues. Null Prozent Duplikate. 100 Prozent Testabdeckung. Dazu 100 Prozent Mutation Score, den das Dashboard nicht anzeigt. Security-Rating A. Ein Security-Issue wurde gefunden und nach gut einem Tag geschlossen.

So ein Dashboard habe ich vorher nie gesehen. In keinem Projekt, in dem ich gearbeitet habe.

Das Werkzeug ist nicht neu

SonarQube gibt es seit bald zwanzig Jahren. Die Regeln sind dieselben geblieben. Das Profil in meinem Projekt ist der unveränderte Sonar way Default. Ich habe nichts weichgestellt und nichts ausgeblendet.

An Messinstrumenten hat es also nie gefehlt. Wer heute fordert, KI-Code müsse von außen geprüft werden, fordert etwas, das seit Jahren in jeder halbwegs ordentlichen Pipeline steht.

Warum die Dashboards trotzdem rot waren

Die Messung war nie das Problem. Das Beheben war es.

Ein rotes Dashboard sagt in zwei Minuten, was fehlt. Danach kostet jede fehlende Zeile Testcode Zeit, die im Sprint nicht eingeplant war. Also wurde priorisiert. Also blieb es rot. Das habe ich in Die Rechnung, die niemand bezahlt hat beschrieben. Die Standards waren richtig. Bezahlen konnte sie niemand.

Ich habe selbst so gearbeitet.

Was sich verändert hat

Der Befund sieht heute aus wie damals. Geändert hat sich, was es kostet, ihn abzuarbeiten.

Ein fehlender Test kostet mich Minuten statt eines halben Sprints. Eine Methode mit zu hoher Komplexität wird zerlegt, während ich an etwas anderem sitze. Ein roter Wert hat jetzt eine Konsequenz, die ich mir leisten kann.

Was das Bild nicht sagt

Grün heißt, dass das Gate hält. Über das Modell sagt es nichts. In „KI produziert nur Scheiße.“ Stimmt. Ohne Leitplanken. habe ich beschrieben, wie TDD und ArchUnit dieses Gate aufbauen.

Das eine gefundene Security-Issue gehört zum Bild dazu. Es war da. Die Pipeline hat es gefunden, ich nicht. Deshalb gehört Sicherheit ins CI und nicht in einen Skill, wie ich in Security gehört ins CI, nicht in einen Skill geschrieben habe. Ein Werkzeug außerhalb des Modells hat andere blinde Flecken als das Modell.

Ein grünes Quality Gate muss man außerdem lesen können. Sonar way ist ein Anfang. Wer die Werte nicht liest, hat nur eine Farbe.

Der Vergleich, den niemand anstellt

Die Kontrolle bleibt. Je autonomer das Modell arbeitet, desto strenger müssen die Punkte sein, an denen ich entscheide. Daran ändert kein Dashboard etwas.

Neu an dem Problem ist nichts. In KI hat das Problem nicht erfunden. Sie hat es sichtbar gemacht habe ich geschrieben, dass die KI die Möglichkeit nimmt, es zu verstecken. Dieses Dashboard ist die andere Hälfte davon.

Wer sagt, mit KI bekomme man nur schlechte Qualität, sollte das SonarQube-Dashboard seines letzten Projekts ohne KI danebenlegen.