News

KI-Softwareentwicklung: Was KI am Code leistet

06. Oktober 2026 · DigifyNow

KI-Softwareentwicklung heißt bei DigifyNow zweierlei. Erstens schreibt ein Sprachmodell Entwürfe für Code, Tests und Migrationen. Ein Entwickler prüft jeden Entwurf, bevor er in den Hauptzweig kommt. Zweitens bauen wir KI-Funktionen per API in Software ein: mit festem JSON-Schema für die Antworten, einer Freigabe vor folgenreichen Aktionen und Schutz gegen Prompt Injection. Fragen Sie jeden Anbieter, wer den generierten Code liest und wer für Abhängigkeiten, Rechte und Betrieb verantwortlich ist.

Was bedeutet KI-Softwareentwicklung konkret?

Wer nach „KI Softwareentwicklung“ sucht, meint meistens eins von zwei Dingen. Im ersten Fall wird Software mit Hilfe von KI gebaut: Ein Sprachmodell schlägt Code vor, schreibt Testfälle oder erklärt fremden Code. Im zweiten Fall bekommt die Software selbst KI-Funktionen, zum Beispiel einen Assistenten, der Kundenanfragen vorsortiert, oder eine Auswertung, die Daten aus Belegen ausliest. Die Risiken sind dabei ganz verschieden. Im ersten Fall bleibt die KI im Entwicklungsprozess. Das fertige Programm enthält kein Modell und verhält sich im Betrieb wie jede andere Software. Im zweiten Fall läuft das Modell im Produkt mit: Jede Anfrage verursacht laufende Kosten beim Modellanbieter, die Antworten sind nicht deterministisch und Daten können das Haus verlassen. Daraus ergeben sich andere Pflichten. Werden personenbezogene Daten an einen Modellanbieter übermittelt, verlangt Art. 28 DSGVO in der Regel einen Auftragsverarbeitungsvertrag. Art. 50 EU AI Act sieht ab dem 2. August 2026 vor, dass Menschen erkennen können, wenn sie mit einem KI-System sprechen. DigifyNow macht beides, führt die beiden Fälle im Angebot aber getrennt auf. So sehen Sie, wofür laufende Modellkosten anfallen und wofür nicht.

Wie programmiert DigifyNow mit KI-Unterstützung?

Bei uns schreibt KI Entwürfe. Die Verantwortung für den Code bleibt bei einem Menschen. Am meisten hilft das Modell bei wiederkehrender Arbeit: Formulare, Datenbankmigrationen, Testfälle, Übersetzungen von Oberflächentexten und Dokumentation. Rechte- und Rollenkonzepte, Zahlungslogik und Architekturentscheidungen lassen wir uns nicht vom Modell vorgeben. Dort kostet ein unbemerkter Fehler am meisten. Der Ablauf sieht so aus:

1. Die Aufgabe steht als Ticket mit Akzeptanzkriterien fest, bevor ein Modell eine Zeile schreibt.
2. Das Modell arbeitet in einem eigenen Branch, nie direkt im Hauptzweig.
3. Bei jedem Push laufen automatische Tests und ein Linter in der CI-Pipeline.
4. Ein Entwickler liest jeden Diff im Pull Request. Was er nicht erklären kann, wird nicht gemergt.
5. Jede neue Abhängigkeit prüfen wir in der Paketregistry: Gibt es das Paket wirklich, wird es gepflegt, welche Lizenz hat es?

Dazu kommt eine rechtliche Frage: Nach § 2 Abs. 2 UrhG ist nur eine persönliche geistige Schöpfung urheberrechtlich geschützt. Rein maschinell erzeugter Code ist das nach überwiegender Auffassung nicht. Auch deshalb sollte ein Mensch den Code gestalten und nicht nur durchwinken. Wer die Nutzungsrechte bekommt, regeln wir im Vertrag ausdrücklich.

Woran scheitert KI-generierter Code in der Praxis?

KI-Code sieht meistens plausibel aus. Genau das macht ihn gefährlich: Die Fehler fallen beim Ausprobieren nicht auf, sondern erst unter Last, bei einem Angriff oder nach dem nächsten Update. Diese Fehlerbilder sehen wir in Projekten und Code-Reviews immer wieder:

• Erfundene Pakete: Das Modell nennt Bibliotheken, die es nicht gibt. Angreifer registrieren solche Namen gezielt in npm oder PyPI. Das nennt man Slopsquatting.
• Veraltete Schnittstellen: Die Trainingsdaten haben einen Stichtag. Deshalb nutzt das Modell Methoden, die in der aktuellen Version einer Bibliothek schon entfernt sind.
• Fehlende Autorisierung: Ein Endpunkt prüft zwar, ob jemand angemeldet ist, aber nicht, ob er genau diesen Datensatz sehen darf. In den OWASP API Security Top 10 steht das als API1:2023 Broken Object Level Authorization.
• Schlüssel im Code: API-Keys im Frontend-Code landen bei jedem Nutzer im Browser oder in der App.
• Zu wenig Kontext: Das Modell sieht nur einen Ausschnitt des Projekts. So entsteht dieselbe Logik doppelt und läuft mit der Zeit auseinander.

Am häufigsten treffen diese Fehler Apps, die vollständig generiert und ohne Review veröffentlicht wurden. Was das für den App Store und für Datenbankregeln bedeutet, beschreiben wir im Artikel App erstellen mit KI: Was geht, was nicht.

Wie baut man KI-Funktionen sicher in eigene Software ein?

Eine KI-Funktion ist ein Aufruf an ein Modell über eine API. Das Ergebnis muss die übrige Software weiterverarbeiten können. Freitext reicht dafür nicht. Unser technischer Ablauf:

1. Die Ausgabe wird per JSON-Schema festgelegt und auf dem Server validiert. Eine ungültige Antwort wird verworfen und nicht gespeichert.
2. Werkzeuge bekommen nur die Rechte, die sie brauchen. Schreibende Aktionen wie Versand, Buchung oder Löschen laufen über eine Freigabe durch einen Menschen.
3. Inhalte aus E-Mails, PDFs und Webseiten gelten als nicht vertrauenswürdig. Die OWASP Top 10 for LLM Applications führen Prompt Injection als LLM01.
4. Jede Modellantwort wird zusammen mit der Modellversion protokolliert, damit sich Fehler später nachvollziehen lassen.
5. Für API-Ausfälle oder unbrauchbare Antworten gibt es einen Rückfallweg, etwa die Weiterleitung an einen Mitarbeiter.

Ein Modell lohnt sich nicht, wenn die Regel eindeutig ist. Lässt sich eine Wenn-dann-Bedingung aufschreiben, ist normaler Code deterministisch, testbar und kostet keine Gebühren pro Aufruf. Wie aus einem einzelnen Aufruf ein Ablauf mit mehreren Werkzeugen wird, zeigt der Beitrag KI-Agent erstellen: Schritte, Grenzen und Fehlerquellen. Beispiele aus Vertrieb und Service finden Sie unter KI-Agenten Beispiele: Was im KMU funktioniert.

Was umfasst Softwareentwicklung, kurz erklärt?

Softwareentwicklung ist der gesamte Weg von einer fachlichen Anforderung bis zu einem Programm, das im Betrieb läuft und gepflegt wird. Das Programmieren ist nur ein Teil davon. Ein typisches Projekt hat diese Phasen: Anforderungsanalyse, Konzept und Datenmodell, Umsetzung in Sprints von meist 1 bis 2 Wochen, Test, Abnahme und Betrieb. Bei einem Werkvertrag hat die Abnahme nach § 640 BGB rechtliches Gewicht. Mit ihr beginnt in der Regel die Gewährleistungsfrist, und die Vergütung wird fällig. Den laufenden Betrieb unterschätzen viele Auftraggeber. Apple und Google bringen jedes Jahr neue Betriebssystemversionen heraus, Bibliotheken bekommen Sicherheitsupdates, Zertifikate laufen ab. Software ohne Wartung veraltet, auch wenn niemand etwas daran ändert. Bei DigifyNow dauert ein MVP, also eine erste nutzbare Version mit dem Kernablauf, typischerweise 4 bis 8 Wochen. Wie lange Ihr Vorhaben dauert, hängt vom Umfang ab. Ein Beispiel aus unserer Arbeit ist das individuelle Backoffice mit CRM für Mundo Marketing. Wie Phasen, Sprints und Abnahme im Detail laufen, steht in Softwareentwicklung: So läuft ein Projekt ab.

Worauf achten bei einer Agentur für Softwareentwicklung im Westerwald?

Die Nähe spart bei Workshops und Prozessaufnahmen vor Ort Zeit. Über die Qualität des Codes sagt sie aber nichts. DigifyNow sitzt im Grenzweg 9a in Unnau. Jesper Schmidt, Christian Schiebl und Miles Pandel arbeiten deutschlandweit, die meisten Projekte liegen im Westerwald, in Koblenz und im Siegerland. Egal mit wem Sie sprechen, diese Fragen sollte jede Agentur beantworten können:

• Wer schreibt den Code: das eigene Team oder ein Subunternehmer, an den die Arbeit weitergegeben wird?
• Wo liegt das Repository, und welche Nutzungsrechte am Quellcode bekommen Sie mit der Abnahme?
• Wie setzt die Agentur KI ein, und wer prüft den generierten Code vor dem Merge?
• Wo wird die Software gehostet, und wer spielt nach dem Launch Updates ein?
• Gibt es veröffentlichte Arbeiten, die Sie selbst ausprobieren können?

Für den letzten Punkt können Sie bei uns etwa die Partyspiele-App Festino im App Store und im Play Store installieren. Welche Orte wir in der Region betreuen, steht unter Softwareentwicklung im Westerwald. Wenn Ihnen eine Agentur auf die Frage nach den Rechten am Quellcode ausweicht, ist das ein Warnsignal. Das gilt unabhängig davon, wie nah sie sitzt.

Kostenlose Einschätzung für Ihr Projekt anfragen