AI-genereret kode under lup: Hvorfor code review bliver den kritiske flaskehals

Når AI skriver hurtigere, end mennesker kan nå at kontrollere

Løfterne fra moderne AI-coding-værktøjer lyder forlokkende: Tusindvis af kodelinjer på få minutter, automatiserede tests, hurtigere feature-udvikling. Men bag denne produktivitetsoffensiv vokser et problem, der skaber uro i udviklingsteams verden over. Det er ikke længere skrivningen af kode, der er flaskehalsen i dag – men gennemgangen af den. Hvad sker der, når maskinen producerer hurtigere, end mennesket kan kontrollere?

Ifølge en undersøgelse fra kode-verifikationsvirksomheden Sonar blandt mere end 1.100 udviklere stammer i gennemsnit 42 procent af den kode, der indspilles i fælles kodebaser, nu fra AI-systemer. Samtidig angav 96 procent af de adspurgte, at de ikke har fuldstændig tillid til disse systemers output. Og med god grund: 61 procent rapporterede, at AI regelmæssigt producerer kode, der ved første øjekast ser korrekt ud, men viser sig at være upålidelig i drift.

Ren overflade, skjulte risici

Det lumske ved AI-genereret kode er ikke det, man ser – men det, der forbliver skjult. Large Language Models (LLMs) er trænet til at producere syntaktisk korrekt, letlæselig kode. Men korrekthed i syntaksen siger kun lidt om semantisk præcision. Manglende sikkerhedsantagelser, redundante implementeringer, subtile logikfejl eller overtrædelser af arkitekturkrav – alt dette kan lure bag en fejlfri overflade og først blive synligt efter deployment.

Et konkret eksempel fra praksis: AI-videovirksomheden Synthesia konstaterede efter den udbredte indførelse af AI-coding-værktøjer, at antallet af pull requests – altså indsendte forslag til kodeændringer – var steget med 120 procent inden for et år. 95 procent af disse requests indeholdt AI-genereret kode. Samtidig opstod et nyt problem: duplikation. AI-agenter, der ikke har fuldt overblik over den eksisterende kodebasis, skriver simpelthen den samme funktion flere gange. I ét tilfælde blev der identificeret op til ti versioner af den samme funktion.

„Jeg ved ikke, om vi nogensinde når dertil, hvor man virkelig kan stole på agentisk kodegenerering." — Peter Hill, CTO hos Synthesia

Begrebet „AI Slop" som advarselssignal

I udviklermiljøet har der etableret sig et rammende begreb for dette fænomen: AI Slop – AI-genereret output, der nok imponerer i mængde, men kvalitetsmæssigt falder under kravene til professionel softwareudvikling. Begrebet er bevidst provokerende valgt og viser, at selv i tekniske kredse vokser en nøgtern skepsis over for den ureflekterede brug af generativ AI.

Dr. Maik Bunzel, grundlægger og direktør for mabucon.eu, beskriver dette spændingsfelt som et strukturelt problem i mange AI-implementeringer: „Fejlen ligger ofte ikke i selve modellen, men i den manglende ramme omkring modellen. Den, der ønsker at anvende AI-agenter produktivt, har brug for klare kvalitetsgrænser, definerede eskaleringsveje og menneskelige kontrolinstanser på de rette steder – ikke overalt, men præcis der, hvor det tæller."

Nye strategier for review-processen

Virksomheder, der skal håndtere mængden af KI-genereret kode, udvikler i øjeblikket forskellige tilgange. Nogle af de mest succesfulde strategier kan samles i fire kategorier:

• Specification-First-tilgang: Inden en KI-agent skriver en eneste linje kode, udarbejdes en detaljeret specifikation. Denne definerer ikke blot det ønskede resultat, men også arkitekturkrav, biblioteker der skal anvendes og kendte faldgruber. En manglende anvisning i en specifikation kan – som det skete for et Amazon-ingeniørteam – føre til, at en agent genererer 25.000 linjer i den forkerte sprogversion.
• Flertrinede agent-pipelines: Specialiserede review-agenter gennemgår koden, inden et menneske overhovedet får den at se. De tester funktionalitet, sammenligner koden med den oprindelige specifikation og scanner for sikkerhedshuller – en slags automatiseret forfiltersystem.
• Risikobaseret routing: Ikke al kode behøver at blive gennemgået af et menneske. Systemer, der berører følsomme områder som betalingsbehandling, personoplysninger eller sikkerhedskritisk infrastruktur, modtager obligatorisk Human Review. Ukritisk kode med høj confidence-score fra review-agenten kan hurtigere igennem pipelinen.
• Code Ownership hos udviklere: Nogle teams kræver, at udviklere aktivt skal kunne forsvare den kode, deres agenter har genereret – det vil sige forklare, hvorfor den er struktureret som den er, hvilke alternativer der blev fravalgt, og hvor potentielle svagheder befinder sig.

Markedet reagerer: Investeringer i KI-understøttet Code Review

Potentialet i dette nye review-marked har også vakt investorernes interesse. Startuppen CodeRabbit, der ifølge egne oplysninger ugentligt gennemfører over to millioner code reviews for mere end 17.000 kunder – herunder Nvidia, BMW Group og Indeed – sikrede sig i august en finansieringsrunde på 143 millioner amerikanske dollars ved en værdiansættelse på 1,5 milliarder dollars. Signalet er utvetydigt: Kvalitetssikring af KI-genereret kode bliver til sin egen produktkategori.

Denne tendens skal også forstås i kontekst af bredere udviklinger i softwareindustrien. Overgangen fra manuel udvikling til agentisk softwareproduktion ændrer ikke blot processer, men hele rollebilleder. Hos Bonterra, en softwareleverandør til nonprofitorganisationer, tredobledes de indsendte kodeændringer inden for tre måneder efter introduktionen af KI-værktøjer. Mængden af indgående kode til review steg ti gange – et volumen, som menneskelige reviewere simpelthen ikke længere kan dække fuldt ud.

Den stille trussel: Tab af læringsmuligheder

Ud over spørgsmålet om teknisk kvalitet rejser sig et mindre diskuteret, men fundamentalt vigtigt spørgsmål: Hvordan tilegner nye medarbejdere inden for softwareudvikling sig deres håndværk, når de selv koder stadig mindre? Code Review var traditionelt ikke blot kvalitetskontrol, men også vidensoverførsel. Erfarne udviklere kommenterede de yngres kode, forklarede designmønstre og diskuterede alternativer.

Når denne review i stigende grad overtages af agenter, og juniorer selv skriver mindre kode, opstår der et kompetencegab – en generation af udviklere, der skal vurdere kode, som de selv aldrig har lært at skrive på denne måde. Det er ikke en teoretisk bekymring, men en strukturel udfordring, som virksomheder må forholde sig til i deres talentsstrategi.

Implikationer for virksomheder uden for tech-branchen

Debatten om AI Slop og Code Review er ikke rent teknologisk – den er organisatorisk. Dr. Maik Bunzel, grundlægger og direktør for mabucon.eu, understreger i den forbindelse, at mange virksomheder begår den fejl at betragte KI-automatisering som et slutpunkt snarere end et startpunkt: „KI-agenter producerer output. Men hvem definerer, hvad godt output er? Hvem kontrollerer, hvem eskalerer, hvem bærer ansvaret? Disse governance-spørgsmål er afgørende – uanset om det drejer sig om softwarekode, marketingtekster eller finansielle data."

For virksomheder, der ønsker at integrere KI-agenter i deres forretningsprocesser, betyder det konkret: Investeringen i kvalitetssikringssystemer skal ske sideløbende med investeringen i KI-generering. Den, der kun investerer på produktionssiden, risikerer, at fejl, som KI'en hurtigt introducerer, skal rettes langsomt og dyrt af mennesker.

Udsyn: Tillid som en knap ressource

Den næste fase af KI-adoption inden for softwareudvikling vil ikke afhænge af, hvor mange linjer kode en model kan generere i minuttet. Den vil afhænge af, hvor meget af denne kode en virksomhed finder tilstrækkelig troværdig til faktisk at tage i brug. Tillid til KI-output er ikke et teknisk løfte – det er resultatet af gennemtænkte processer, klare ansvarsforhold og løbende kvalitetsmåling.

Virksomheder, der nu investerer i robuste review-arkitekturer – hvad enten det sker via specialiserede agent-pipelines, risikobaseret routing eller strukturerede specifikationsprocesser – opnår en konkurrencefordel, der vil bestå længe efter den nuværende KI-eufori. For i sidste ende tæller ikke hastigheden af genereringen, men pålideligheden af resultatet.