Quality Gates für KI-generierten Code: was auf jeder Änderung laufen sollte
Wenn nicht mehr jede Zeile gelesen werden kann, muss jede Änderung geprüft werden. Der Unterschied ist nicht semantisch: Lesen ist eine Meinung über Code, Prüfen ist eine Aussage über sein Verhalten. Sieben Prüfungen decken den größten Teil dessen ab, was ein Review früher leisten sollte.
Sieben Quality Gates ersetzen den zeilenweisen Review: Eigenschaftstests, Vertragstests an Schnittstellen, Abhängigkeits- und Lizenzprüfung mit Stückliste, blockierende Geheimnis-Suche, zugeschnittene statische Analyse, Performance-Budgets auf kritischen Strecken und Architekturregeln als ausführbarer Test. Eingeführt wird nach Schadenshöhe, nicht alles gleichzeitig. Ausnahmen brauchen Name, Grund und Ablaufdatum im selben Repository.
Die sieben Gates
Erstens Tests mit Aussagekraft — nicht Abdeckung als Zahl, sondern Eigenschaftstests, die beschreiben, was gelten muss. Zweitens Vertragstests an den Schnittstellen, damit ein Team das andere nicht still bricht. Drittens Abhängigkeits- und Lizenzprüfung mit Stückliste je Build. Viertens Geheimnis-Suche, blockierend. Fünftens statische Analyse mit einem Regelsatz, der auf Ihre Sprache und Ihr Risiko zugeschnitten ist. Sechstens Performance-Budgets auf den kritischen Strecken. Siebtens Architekturregeln als ausführbarer Test.
Die Reihenfolge der Einführung
Nicht alle sieben gleichzeitig. Die Reihenfolge folgt dem Schaden: Geheimnis-Suche und Abhängigkeitsprüfung zuerst, weil sie billig sind und die teuersten Vorfälle verhindern. Dann Vertragstests, weil sie die meisten Reibungen zwischen Teams beseitigen. Dann Architekturregeln, weil sie die Erosion stoppen, die durch das erhöhte Volumen entsteht. Eigenschaftstests und Performance-Budgets zuletzt, weil sie die meiste fachliche Arbeit erfordern.
Die zwei Fehler bei der Einführung
Der erste: alles gleichzeitig scharf schalten. Die Folge ist ein rotes Board, ein genervtes Team und innerhalb von zwei Wochen eine Ausnahmeregel, die alles aushebelt. Der zweite: Gates als Bericht statt als Blockade. Ein Bericht, den jemand freitags durchsieht, ist kein Gate, sondern eine Statistik.
Der richtige Umgang mit Ausnahmen
Ausnahmen sind notwendig, sonst wird das System umgangen. Entscheidend ist ihre Form: eine Ausnahme ist ein Eintrag mit Namen, Grund und Ablaufdatum, sichtbar im selben Repository. Was auf diese Weise dokumentiert ist, kann man auswerten — und die Auswertung zeigt sehr schnell, welche Regel falsch geschnitten ist.
Woran man merkt, dass die Gates greifen
An drei Zahlen: dem Anteil der Änderungen, die ohne menschliches Review durchgehen; der Änderungsfehlerrate; und der Zahl der Ausnahmen pro Monat. Steigt die erste, ohne dass die zweite steigt, funktioniert das Modell. Steigt die dritte, ist eine Regel falsch geschnitten und gehört überarbeitet, nicht durchgesetzt.
Häufige Fragen
Was unterscheidet ein Gate von einer Empfehlung?
Ein Gate blockiert. Alles andere ist ein Bericht, und Berichte werden im Alltag nicht gelesen. Genau deshalb muss die Einführung nach Schadenshöhe gestaffelt werden — ein Gate, das an der falschen Stelle blockiert, verliert innerhalb von Wochen seine Akzeptanz.
Wie hoch sollte die Testabdeckung sein?
Abdeckung als Prozentzahl ist der schwächste der sieben Punkte, weil sie nichts über Aussagekraft sagt. Eine Codebasis mit 90 Prozent Abdeckung und Tests, die keine Fehler finden, ist schlechter als eine mit 60 Prozent und Eigenschaftstests an den kritischen Stellen. Mutationstests zeigen den Unterschied.
Was tun, wenn ein Gate ständig anschlägt?
Prüfen, ob die Regel falsch geschnitten ist. Ein Gate, das jeden zweiten Build stoppt, wird umgangen — und zwar zu Recht. Die Zahl der Ausnahmen pro Regel ist die beste Rückmeldung darüber, welche Regel überarbeitet gehört.
Gilt das nur für KI-generierten Code?
Nein, die Gates gelten für jede Änderung. Der KI-Rollout ist nur der Anlass: Er macht sichtbar, dass eine Kontrolle, die an menschlicher Lesegeschwindigkeit hängt, nicht mit dem Volumen mitwächst.
Rechnen Sie Ihre Review-Lücke aus.
Vierzehn Fragen, fünf Minuten. Ihre Zahlen, kein Login.
AI Engineering Review ansehen →
