AI-genererad kod kräver nya granskningsrutiner i företagen

AI har på kort tid blivit ett allt vanligare verktyg i företagens utvecklingsarbete, där generativa modeller kan skriva kod, föreslå lösningar och effektivisera programmeringen. Samtidigt förändras förutsättningarna för hur kod behöver granskas innan den tas i produktion. AI-genererad kod kan innehålla säkerhetsbrister, felaktiga antaganden eller lösningar som inte följer företagets tekniska standarder. När mängden kod ökar snabbare än tidigare blir traditionella granskningsrutiner därför svårare att upprätthålla. Företag behöver hitta nya arbetssätt där mänsklig kontroll kombineras med automatiserade verktyg, tydligt ansvar och dokumenterade processer. Frågan är hur organisationer kan dra nytta av AI utan att samtidigt öka riskerna i sina system och sin verksamhet.

AI-kod förändrar utvecklarnas granskningsarbete

När AI används för att skriva programkod förändras utvecklarens roll från att enbart producera kod till att även kontrollera, bedöma och kvalitetssäkra kod som har genererats av ett verktyg. Det kan handla om allt från enstaka kodrader till hela funktioner och komponenter. Den ökade produktiviteten innebär att utvecklare kan få mer gjort på kortare tid, men den skapar samtidigt ett behov av noggrannare kontroll. Kod som ser korrekt ut vid en första anblick kan innehålla logiska fel, säkerhetsproblem eller beroenden som utvecklaren inte omedelbart upptäcker. Därför behöver granskningen anpassas till den nya arbetsprocessen.

Mänsklig kontroll blir viktigare

En central förändring är att utvecklare inte längre kan utgå från att kodens kvalitet enbart beror på vem som har skrivit den. När en språkmodell producerar kod måste resultatet bedömas utifrån samma krav som annan programvara. Utvecklaren behöver förstå vad koden gör, varför lösningen fungerar och vilka konsekvenser den kan få i den aktuella miljön. Det räcker alltså inte att testa om funktionen ger rätt resultat i ett begränsat scenario. Granskningen behöver även omfatta kodens struktur, underhållbarhet, prestanda och säkerhet.

AI kan dessutom generera kod som bygger på antaganden om systemet som inte stämmer. En modell har inte automatiskt full förståelse för företagets interna arkitektur, datamodeller, åtkomstregler eller affärslogik. Därför kan en tekniskt fungerande lösning ändå vara olämplig i praktiken. Det gör domänkunskap och erfarenhet fortsatt centrala i utvecklingsprocessen. Utvecklare behöver kunna ifrågasätta AI:ns förslag och identifiera situationer där koden kräver en annan lösning. Granskningen blir därmed inte ett steg som bromsar AI-användningen, utan en förutsättning för att tekniken ska kunna användas kontrollerat.

Automatiserade kontroller får större betydelse

När mängden AI-genererad kod ökar kan företag samtidigt behöva använda fler automatiserade kontroller. Verktyg för statisk kodanalys, testautomatisering, beroendekontroll och säkerhetsskanning kan upptäcka vissa problem innan koden når produktion. Automatiseringen kan minska belastningen på utvecklarna och göra granskningsprocessen mer konsekvent. Samtidigt bör sådana verktyg inte betraktas som ett fullständigt skydd. De kan identifiera kända mönster och tekniska avvikelser, men har begränsningar när det gäller affärslogik, kontext och konsekvenser som kräver mänsklig bedömning.

Företag kan därför behöva kombinera flera kontrollnivåer när AI används i utvecklingen. En praktisk process kan exempelvis innehålla:

• Automatisk kontroll av kodkvalitet och vanliga säkerhetsproblem.

• Tester som verifierar att funktioner beter sig enligt kraven.

• Manuell granskning av känsliga eller komplexa kodförändringar.

• Kontroll av externa bibliotek, beroenden och licensvillkor.

• Dokumentation av hur AI har använts i utvecklingsarbetet.

Granskningen måste anpassas efter risk

Alla kodförändringar behöver inte genomgå exakt samma granskningsprocess. Företag kan i stället arbeta riskbaserat och lägga mer omfattande kontroller på kod som hanterar exempelvis betalningar, personuppgifter, autentisering eller andra kritiska funktioner. Mindre förändringar med låg påverkan kan hanteras genom enklare automatiserade kontroller. Ett sådant arbetssätt kan göra det möjligt att behålla den produktivitetsvinst som AI erbjuder utan att kvalitetssäkringen blir ett onödigt hinder. Förutsättningen är att organisationen tydligt definierar vilka typer av kod som kräver fördjupad granskning och vem som ansvarar för beslutet.

Säkerhetsrisker kräver tydligare kontroll

AI-genererad kod kan introducera säkerhetsproblem på samma sätt som kod som skrivs manuellt, men arbetssättet kan göra riskerna svårare att upptäcka. När utvecklare snabbt kan generera stora mängder kod ökar möjligheten att brister passerar genom utvecklingsprocessen. Ett förslag från en AI-modell kan exempelvis innehålla osäkra sätt att hantera användarinmatning, autentisering eller data. Om utvecklaren kopierar lösningen utan att förstå dess konsekvenser kan problemet följa med hela vägen till den färdiga applikationen. Därför behöver säkerhetsgranskningen integreras tidigt och inte enbart genomföras före lansering.

Kodens ursprung behöver vägas in

En ytterligare utmaning är att AI-modeller kan generera lösningar som liknar kod eller programmeringsmönster som redan finns på andra håll. Företag behöver därför ha kontroll över vilka verktyg som används och vilka regler som gäller för AI-genererad kod. Det kan också finnas frågor kring licenser, immateriella rättigheter och företagets interna information. Om utvecklare använder AI-tjänster utan tydliga riktlinjer finns en risk att känsliga uppgifter hamnar i fel sammanhang. Organisationens säkerhetsarbete behöver därför omfatta både själva koden och hur AI-verktygen används under utvecklingen.

Särskilt känsligt blir detta när AI används i projekt där programvaran behandlar personuppgifter, företagshemligheter eller annan skyddsvärd information. Utvecklare behöver veta vilken information som får matas in i ett AI-verktyg och vilka tjänster som är godkända av företaget. Det bör också finnas regler för hur genererad kod dokumenteras och granskas. En tekniskt kompetent utvecklare kan fortfarande göra ett olämpligt val om organisationens riktlinjer är otydliga. Säkerheten handlar därför inte enbart om programmeringskunskap, utan också om styrning, processer och ansvar.

Säkerhet måste byggas in i processen

Traditionellt kan säkerhetsgranskning uppfattas som en separat aktivitet som sker när en produkt eller funktion närmar sig lansering. Med AI-genererad kod blir ett sådant arbetssätt mindre lämpligt. Om AI används för att producera kod snabbare behöver säkerhetskontrollerna kunna följa samma tempo. Automatiserade tester och säkerhetsskanningar bör därför integreras direkt i utvecklingsmiljön och i företagets process för kontinuerlig integration. Då kan vissa problem identifieras redan när koden skapas, innan de hinner spridas till andra delar av systemet.

Även manuella kontroller behöver fokusera på rätt saker. Utvecklare bör särskilt granska funktioner som hanterar behörigheter, externa indata, databaser och kommunikation mellan olika system. Det är också viktigt att kontrollera om AI:n har valt bibliotek eller tekniker som inte längre är aktuella. Ett svar kan se professionellt ut och ändå bygga på föråldrade rekommendationer. Genom att kombinera automatiska verktyg med erfaren personal kan företaget minska risken för att uppenbara brister passerar utan upptäckt.

Ansvar kan inte lämnas över till AI

En viktig princip är att ansvaret för den färdiga koden måste ligga hos människor och organisationer. AI kan generera ett förslag, men kan inte bära det organisatoriska ansvaret för att programvaran fungerar säkert och enligt företagets krav. Därför behöver det vara tydligt vem som godkänner kod innan den går vidare. Detta blir särskilt viktigt när flera utvecklare använder olika AI-verktyg och när stora delar av arbetet sker automatiserat. Tydliga roller gör det lättare att upptäcka brister och följa upp incidenter om något går fel.

Företag behöver nya rutiner för AI-genererad kod

När AI blir en integrerad del av programmeringen behöver företag se över sina befintliga utvecklingsrutiner. Det räcker inte att ge medarbetarna tillgång till ett AI-verktyg och sedan behandla användningen som vilket programmeringshjälpmedel som helst. Organisationen behöver bestämma vilka verktyg som är tillåtna, vilken typ av information som får användas och hur genererad kod ska kontrolleras. Rutinerna bör också ange när mänsklig granskning är obligatorisk. På så sätt skapas en tydligare struktur där AI kan användas för effektivitet utan att kvalitetskraven sänks.

Tydliga regler för utvecklarna

En företagspolicy för AI i utvecklingsarbetet kan ge medarbetarna praktiska riktlinjer för hur tekniken ska användas. Policyn behöver inte förbjuda AI-genererad kod, utan bör snarare definiera förutsättningarna för säker användning. Det kan exempelvis framgå vilka tjänster som är godkända, vilken information som får delas med dem och vilka typer av kod som kräver extra granskning. Det bör även finnas krav på att utvecklaren ska kunna förklara och underhålla den kod som AI har producerat. På så sätt undviker företaget att skapa ett beroende av lösningar som ingen internt behärskar.

Utbildning blir samtidigt en viktig del av arbetet. Utvecklare behöver förstå både möjligheterna och begränsningarna med generativa modeller. De bör kunna bedöma om ett AI-förslag är rimligt, identifiera osäkra lösningar och kontrollera information som modellen presenterar. Det handlar inte om att alla ska bli experter på AI, utan om att bygga tillräcklig kompetens för att använda verktygen professionellt. Företag behöver också uppdatera utbildningen löpande eftersom modeller, funktioner och risker förändras snabbt. Rutiner som fungerar i dag kan därför behöva revideras när tekniken utvecklas.

Kodgranskning behöver bli mer strukturerad

Företag kan också behöva förändra hur kodgranskningar organiseras. Om AI gör det möjligt att producera fler förändringar på kortare tid kan traditionella manuella granskningar bli en flaskhals. Ett sätt att hantera detta är att låta automatiserade kontroller ta hand om återkommande tekniska kontroller, medan utvecklare fokuserar på komplexitet, arkitektur och affärslogik. Det gör granskningsprocessen mer skalbar och frigör tid för sådant som kräver mänsklig bedömning. Samtidigt behöver trösklarna för godkännande vara tydliga, särskilt för kod som påverkar kritiska system.

Dokumentation kan också få större betydelse. Företaget bör kunna följa hur AI har använts i utvecklingsprocessen och vilka kontroller som genomförts. Det behöver inte innebära omfattande administration för varje kodrad. Däremot kan det vara relevant att dokumentera användningen vid större förändringar, känsliga funktioner eller projekt med höga säkerhetskrav. En sådan spårbarhet gör det lättare att felsöka problem, utvärdera arbetssätt och förbättra interna processer. Den kan även bidra till att organisationen får bättre förståelse för vilka delar av utvecklingen där AI faktiskt skapar värde.

Nya rutiner måste följas upp

När nya granskningsrutiner införs behöver företaget också mäta om de fungerar i praktiken. Det kan exempelvis handla om att följa antalet säkerhetsproblem, kodfel och återkommande avvikelser före och efter att AI börjat användas mer omfattande. Resultaten kan visa om vissa kontroller behöver förstärkas eller om andra kan automatiseras. På samma sätt kan utvecklarnas erfarenheter ge information om var processen skapar onödig administration. Rutinerna bör därför betraktas som ett löpande arbetssätt som kan justeras utifrån nya tekniska och organisatoriska förutsättningar.

Det är också viktigt att ledningen förstår att AI-genererad kod påverkar mer än utvecklingsavdelningen. Säkerhet, juridik, IT-drift och verksamhetsansvariga kan behöva involveras när riktlinjerna utformas. Om varje avdelning arbetar efter olika principer uppstår lätt luckor i kontrollen. Ett gemensamt ramverk kan i stället skapa en enhetlig syn på ansvar, risk och kvalitet. Då blir AI en del av företagets ordinarie styrning av programvara, snarare än ett separat experiment som utvecklarna själva förväntas hantera.