Snyk-Bericht zur organisatorischen KI-Bereitschaft

Laut dem Snyk-Bericht zur KI-Code-Sicherheit 2023 nutzen 96 % der Programmierenden generative KI-Tools in ihren Workflows. Unternehmen, die Software entwickeln, wissen, dass sie diese Tools einsetzen müssen, um wettbewerbsfähig zu bleiben und Talente zu gewinnen und zu halten. Die Integration von KI-Coding-Tools in den Softwareentwicklungszyklus bringt verschiedene Sicherheits- und Betriebsherausforderungen mit sich. Wie gut sind Technologieführungskräfte und ihre Teams auf die neue Ära der KI-Coding-Tools vorbereitet? Und wie bereiten sie sich auf diesen grundlegenden Wandel in der Softwareentwicklung vor?

Snyk stellte über 400 Technologieexpertinnen und -experten eine Reihe von Fragen, um die KI-Bereitschaft ihrer Unternehmen einzuschätzen und ihre Wahrnehmung von KI-Coding-Tools zu erfassen. Die Umfrage umfasste drei Gruppen: Technologie-Führungskräfte aus der C-Suite, Anwendungssicherheitsteams und Entwicklerinnen, Entwickler und Engineering-Fachkräfte. Diese Gruppen hatten unterschiedliche Ansichten zur Sicherheit von KI-Coding-Tools und Code, zur Wirksamkeit von Richtlinien für KI-Code-Sicherheit und zur Vorbereitung ihrer Unternehmen auf KI-gestütztes Coding. In diesem Bericht stellen wir die wichtigsten Forschungsergebnisse vor.

Unternehmen sind im Allgemeinen überzeugt, dass sie bereit und gut auf die Einführung von KI vorbereitet sind. Auf Fragen, die ihre KI-Bereitschaft direkt oder indirekt infrage stellen, reagieren die meisten Unternehmen mit einer raschen Einführung von KI – oft überspringen sie dabei sogar die übliche Analyse von Anwendungsfällen und Produkttests vor der Bereitstellung. Führungskräfte auf C-Level sind ihrerseits noch stärker davon überzeugt, dass ihre Unternehmen auf die Einführung von KI vorbereitet sind und dass ihre KI-Tools sicher sind.

In allen drei Berufsgruppen gab die Mehrheit der Befragten an, dass ihre Organisation „äußerst bereit“ oder „sehr bereit“ für die Einführung von KI-Coding-Tools sei. Weniger als 4 % sagten, ihre Organisation sei nicht bereit. C-Level-Befragte sind jedoch zuversichtlicher als andere Gruppen, dass ihre Organisation bestens auf den Einsatz und die Einführung von KI-Coding-Tools vorbereitet ist. 40,3 % dieser Gruppe stuften ihre Organisation als „äußerst bereit“ ein, verglichen mit nur 26 % der Mitglieder von AppSec-Teams und 22,4 % der Entwickler.

Zwischen CISOs und CTOs gab es keinen signifikanten Unterschied – angesichts des Sicherheits- und Risikofokus von CISOs scheint das kontraintuitiv. Dies könnte am enormen Druck auf die Technologieführung liegen, KI-Coding-Tools schnell einzuführen und die Softwareentwicklung zu beschleunigen. Die Zurückhaltung anderer Gruppen spiegelt wahrscheinlich konkrete Bedenken hinsichtlich der Bereitschaft in den Bereichen Sicherheit, Schulungen, Codequalität und anderer Details auf Implementierungsebene wider.

Trotz der überwiegend positiven Einschätzungen zur organisatorischen Bereitschaft, zu Sicherheitsrichtlinien, zur Qualität von KI-generiertem Code und zu Risiken nennen die Befragten Sicherheit weiterhin als größtes Hindernis für die Einführung von KI-Coding-Tools. Im scheinbaren Widerspruch zu dieser Einschätzung versäumen sie es außerdem, grundlegende Schritte zur Risikominimierung und Vorbereitung ihrer Unternehmen zu unternehmen – etwa Proofs of Concept durchzuführen und Entwickler im Umgang mit KI-Coding-Tools zu schulen.

Bereit oder nicht? Die Befragten bewerten die Bereitschaft ihrer Unternehmen für den Einsatz von KI-Coding-Tools im Allgemeinen positiv. Sie halten ihre Sicherheitsrichtlinien meist für ausreichend und von KI generierten Code für sicher. Insgesamt glauben sie, dass ihre Unternehmen für den Einsatz von KI bereit sind. Gleichzeitig sind sie sich jedoch uneinig, was die Sicherheit von KI-Coding-Tools angeht. In allen Rollen gelten Sicherheitsbedenken als das größte Hindernis für den Einsatz von KI-Coding-Tools. Bei den konkreten Vorbereitungsmaßnahmen gaben weniger als ein Fünftel der Befragten an, dass ihre Unternehmen Proofs of Concept (PoCs) durchgeführt haben – ein grundlegender Schritt bei der Einführung neuer Technologien. Außerdem sagte weniger als die Hälfte, dass die meisten Entwicklerinnen und Entwickler in ihrem Unternehmen eine Schulung zu KI-Coding-Tools erhalten hatten. Diese Widersprüche könnten auf fehlende Planung und Strategie sowie mangelnde Strukturen für die Einführung von KI hindeuten.

Bei genauerer Betrachtung zeigte sich in der Umfrage eine durchgängige Diskrepanz zwischen den Rollen hinsichtlich der Einschätzung von Codequalität, Toolsicherheit und allgemeiner organisatorischer Vorbereitung. Die Führungsebene bewertete KI-Coding-Tools und die entsprechende Vorbereitung positiver als Befragte, die näher an Code oder Sicherheitsprozessen und -richtlinien arbeiten. Insbesondere Mitglieder der Sicherheitsteams schätzten die Sicherheit von KI-Coding-Tools kritischer ein. Das deutet darauf hin, dass diese einflussreiche Gruppe stärker mit Problemen konfrontiert ist, die durch KI-generierten Code entstehen, und entsprechend darauf reagiert.

Die genannten Widersprüche deuten auf unzureichende Planung oder eine fehlende kohärente Strategie für die Einführung von KI-Coding-Tools hin. Außerdem fehlt es an Strukturen, um notwendige Voraussetzungen zu bestimmen und zu erfüllen – möglicherweise, weil es unternehmensweit an einer einheitlichen Übersicht mangelt. Eine mögliche Erklärung: Ähnlich wie bei Smartphones und bestimmten Consumer-Softwareprodukten erfolgte die Einführung zunächst schnell und unkontrolliert, bevor IT-Abteilungen sie institutionalisierten. Die Einführung könnte daher anfangs chaotisch verlaufen und später schwer zu kontrollieren gewesen sein. Entscheidend ist jedoch, dass Unternehmen einen strukturierteren Ansatz für die Einführung und Absicherung von KI-Coding-Tools in Betracht ziehen sollten – ähnlich den Einführungsprozessen für andere Arten von Unternehmenssoftware. So lassen sich auch Sicherheitsbedenken ausräumen und überproportionale Sorgen von Entwicklerinnen und Entwicklern sowie Sicherheitsteams adressieren. Dafür braucht es bessere Kontrollmechanismen und einen ganzheitlicheren, systematischeren und programmatischen Ansatz, um einen grundlegenden Wandel im Softwareentwicklungsprozess umzusetzen.

Für diesen Bericht haben wir 406 IT-Fachkräfte aus aller Welt befragt. Snyk beschränkte die Umfrage auf Teilnehmende, die ihre Rolle als „CTO“, „CISO“, „Entwickler“, „Ingenieur“, „Security“ oder „AppSec“ beschrieben. Snyk plant, im Laufe des Jahres 2024 bei Online- und Offline-Veranstaltungen weitere Daten für diese Umfrage zu erheben. So soll ein noch umfassenderes Bild der KI-Bereitschaft von Unternehmen sowie der unterschiedlichen Einschätzungen zu KI-Risiken, zur Vorbereitung und zu den Herausforderungen entstehen.