Der Status quo: viel Einsatz, wenig Kontrolle
Über 60 Prozent der Fortune-500-Unternehmen setzen inzwischen KI-Coding-Tools ein – gleichzeitig hatten 38 Prozent von ihnen bereits einen sicherheitsrelevanten Vorfall im Zusammenhang mit diesen Tools. Diese Lücke zwischen Verbreitung und Kontrolle ist kein Zufall: Viele Unternehmen haben die Tools schneller eingeführt, als sie Regeln dafür aufgestellt haben.
Fünf Bausteine einer wirksamen Policy
Erstens: klare Nutzungsrichtlinien, die festlegen, für welche Aufgaben KI-Coding-Tools erlaubt sind und für welche nicht – etwa nie für Code mit direktem Zugriff auf Produktionsdaten ohne zusätzliche Prüfung. Zweitens: ein Freigabeprozess, der KI-Coding-Tools wie jedes andere Vendor-Tool behandelt – inklusive Sicherheitsprüfung, Single-Sign-on und der Klärung, ob Prompts das eigene Netzwerk verlassen (ohne privaten Endpunkt ist das bei den meisten Tools der Fall). Drittens: ein Review-Schwellenwert, der bei mehr als 60 Prozent KI-generiertem Anteil in einem Pull Request automatisch eine tiefere Prüfung auslöst. Viertens: automatisierte Sicherheits-Scans speziell auf Dateien, die von KI-Tools berührt wurden. Fünftens: eine Schulungspflicht zu verantwortungsvoller Nutzung, inklusive der in den vorigen beiden Modulen behandelten Risiken.
Die Auditierbarkeits-Frage
Für Unternehmen, die ohnehin regulatorische Rahmenwerke im Blick behalten müssen, lohnt es sich, die eigene Policy von Anfang an gegen bestehende Standards zu spiegeln – etwa NIST AI RMF oder, innerhalb der EU, den AI Act. Das erspart eine doppelte Dokumentationsarbeit und macht die Policy auch für externe Prüfungen nachvollziehbar.
Warum ein Verbot die falsche Antwort ist
Ein pauschales Verbot wirkt auf den ersten Blick wie die sicherste Option – verstärkt in der Praxis aber meist nur die Nutzung ohne Wissen der Geschäftsführung, ein Muster, das aus dem Umgang mit anderen unautorisierten KI-Werkzeugen bereits bekannt ist: Verbot ohne funktionierende Alternative erzeugt Verschleierung statt Kontrolle.
Praxis-Teil: mit dem Review-Schwellenwert anfangen
Von allen fünf Bausteinen lässt sich der Review-Schwellenwert am schnellsten einführen, ohne auf die anderen vier zu warten: ein einfacher Hinweis im Pull-Request-Prozess, sobald der KI-generierte Anteil eine festgelegte Schwelle überschreitet, macht das eigentliche Risiko sofort sichtbar – und schafft die Datenbasis, um die übrigen Bausteine gezielt zu priorisieren.