Warum Geschwindigkeit ohne Kontrolle in regulierten Branchen keine Option ist – und wie ein sauberes KI Governance-Modell beides möglich macht.
In den Gesprächen, die wir bei SIFAMO gerade mit Kunden aus regulierten Branchen führen, taucht ein Thema immer häufiger auf, unabhängig davon, worum es im Projekt eigentlich geht: Agentic AI in der Softwareentwicklung. Konkret die Frage, wie man Agentic AI produktiv einsetzt, ohne die Kontrolle über das System zu verlieren – und wie KI Governance aussehen muss, die das nicht verhindert, sondern erst ermöglicht.
Das ist längst kein Nischenthema mehr, sondern eine Frage, die gerade in fast jedem zweiten Kundengespräch mitschwingt.
Das Versprechen: Vom Jira-Ticket zu produktivem Code
Stell dir ein Tool vor, das ein Jira-Ticket liest, den Kontext der Codebasis versteht, einen Lösungsvorschlag implementiert, dazu passende Tests schreibt und einen Pull Request öffnet – in einem Bruchteil der Zeit, die ein Entwicklerteam dafür bräuchte.
Genau das ist der Kern von Agentic AI Coding: nicht Autovervollständigung in der IDE, sondern ein Agent, der einen ganzen Arbeitsschritt eigenständig übernimmt – von der Anforderung bis zum produktionsreifen, getesteten Code.
Der Produktivitätsgewinn ist real. Teams, die das ernsthaft einsetzen, berichten von spürbar kürzeren Durchlaufzeiten zwischen Anforderung und Deployment. Für Unternehmen, die unter Kosten- und Termindruck stehen, ist das ein starkes Argument.
Aber genau hier beginnt das eigentliche Problem.
Warum “schneller” allein die falsche Metrik ist
Ein Agent, der autonom Code schreibt und ausliefert, trifft laufend Entscheidungen: Welche Bibliothek wird verwendet? Wie wird mit sensiblen Daten umgegangen? Welche Edge Cases werden getestet – und welche nicht? Wird ein bestehendes Sicherheitsmuster respektiert oder umgangen, weil es “einfacher” war?
In einem unregulierten Kontext mag man das im Nachhinein per Code Review korrigieren. In regulierten Branchen – Banken, Versicherungen, öffentlicher Sektor – reicht das nicht. Dort zählt nicht nur, dass etwas funktioniert, sondern dass jede Entscheidung im Nachhinein nachvollziehbar, prüfbar und im Zweifel korrigierbar ist. Das ist auch der Kern dessen, was der EU AI Act von Unternehmen verlangt, die KI-Systeme in sensiblen Bereichen einsetzen: Nachvollziehbarkeit ist kein Nice-to-have, sondern Pflicht.
Die eigentliche Frage ist also nicht “Wie schnell kann ein Agent Code produzieren?”, sondern: “Wie schnell kann ein Agent Code produzieren, ohne dass wir die Kontrolle über das System verlieren?”
Ein KI-Governance Modell, das Geschwindigkeit nicht bremst
Ein Beispiel, das mir gerade in einem Kundenprojekt begegnet: ein Tool, das aus einem Jira-Ticket automatisiert produktiven Code und passende Tests erzeugt. Für die Governance-Frage dahinter hat sich in der Praxis ein einfaches Pipeline-Prinzip bewährt, das sich meiner Erfahrung nach auf so gut wie jeden Agentic-AI-Workflow übertragen lässt – nicht nur auf Coding-Agenten:
1. Propose – Der Agent schlägt eine Lösung vor, statt sie sofort auszuführen. Der Vorschlag ist der erste Kontrollpunkt.
2. Guardrail – Automatisierte Prüfregeln filtern, bevor ein Mensch überhaupt involviert wird: Verstößt der Vorschlag gegen Architekturprinzipien, Sicherheitsrichtlinien oder Compliance-Vorgaben?
3. Route-to-human – Alles, was die Guardrails nicht eindeutig freigeben können, geht an einen Menschen. Nicht als Blockade, sondern als gezielte Eskalation nur dort, wo sie wirklich nötig ist.
4. Approve – Freigabe ist ein expliziter, protokollierter Schritt – keine stille Annahme.
5. Audit-log – Jede Entscheidung, jeder Schritt, jede Freigabe wird unveränderlich dokumentiert. Nicht, weil man dem System misstraut, sondern weil Nachvollziehbarkeit die Grundvoraussetzung dafür ist, Autonomie überhaupt verantworten zu können. KI Governance!
Der entscheidende Punkt: Dieses Modell bremst die Geschwindigkeit nicht grundsätzlich aus. Es sorgt dafür, dass die Geschwindigkeit dort entsteht, wo sie unkritisch ist — und dass Kontrolle dort greift, wo sie zählt. Ein Grossteil der Vorschläge eines gut konfigurierten Agenten braucht gar keine menschliche Prüfung. Nur der kritische Rest.
Was das für Teams praktisch bedeutet
Governance wird oft als nachträgliches Feature verstanden – etwas, das man einbaut, wenn der Prüfer fragt. Ich sehe das anders: KI Governance muss Teil der Architektur sein, von Anfang an, nicht danach draufgeklebt.
Für ein Tool wie das oben beschriebene – Jira-Ticket rein, produktiver Code und Tests raus – reicht ein einzelner “Alleskönner-Agent” nicht aus, wenn Nachvollziehbarkeit gefragt ist. Sinnvoller ist eine klare Aufteilung in mehrere spezialisierte Agenten, jeder mit einer engen, überprüfbaren Aufgabe:
Analyse-Agent – liest das Ticket, klärt die eigentliche Anforderung und macht sie explizit, bevor irgendetwas implementiert wird.
Kontext-Agent – verschafft sich ein Bild der bestehenden Codebasis: welche Module, Schnittstellen und Muster sind schon da, was darf nicht angefasst werden.
Implementierungs-Agent – schreibt den eigentlichen Code, basierend auf dem, was die ersten beiden Agenten geliefert haben.
Test-Agent – schreibt und führt Tests aus, unabhängig vom Implementierungs-Agenten, damit nicht derselbe “blinde Fleck” Code und Test gleichermaßen betrifft.
Review-Agent – prüft das Ergebnis gegen Architekturregeln, Sicherheits- und Compliance-Vorgaben, bevor es überhaupt bei einem Menschen landet.
Der Punkt an dieser Aufteilung ist nicht, dass fünf Agenten grundsätzlich besser sind als einer. Der Punkt ist: Jeder Schritt ist einzeln überprüfbar, einzeln protokollierbar und einzeln austauschbar. Genau das macht aus einem schnellen Tool ein Tool, das man in einer regulierten Umgebung auch verantworten kann. Das ist letztlich dieselbe Idee wie bei jeder guten Softwarearchitektur: kleine, klar abgegrenzte Verantwortlichkeiten statt einer grossen Blackbox.
Dazu kommen zwei weitere Punkte, die ich für genauso wichtig halte:
Phasenweise Einführung statt Big Bang. Der Agent bekommt zunächst nur Vorschlagsrechte, keine Ausführungsrechte. Erst wenn Vertrauen und Datenlage es hergeben, wachsen die Freiheitsgrade – ähnlich einem Copilot-Modell, das schrittweise mehr Verantwortung übernimmt.
Human-in-the-Loop als Design-Entscheidung, nicht als Notbremse. Die Frage ist nicht “Ob” ein Mensch eingebunden wird, sondern “Wann” und “Wo” – das muss vorab definiert sein, nicht ad hoc entschieden werden.
Die eigentliche Erkenntnis
Der Wettbewerbsvorteil in den nächsten Jahren wird meiner Meinung nach nicht bei den Unternehmen liegen, die am schnellsten irgendeinen Agenten produktiv setzen. Er wird bei denen liegen, die Agentic AI so einführen, dass Geschwindigkeit und Kontrolle sich nicht ausschliessen – sondern dass Kontrolle die Voraussetzung dafür ist, überhaupt schneller werden zu dürfen. KI Governance wird für die Konzerne bereits jetzt zur unverzichtbaren Größe und entscheidend für den Erfolg der Integration einer neuen Digitalen Transformation zur KI!
Für mich ist das eines von mehreren Themen, die uns bei SIFAMO gerade beschäftigen – aber eines, das aktuell besonders viele Kunden umtreibt, unabhängig davon, in welcher Branche sie unterwegs sind.
Ich bin Umair Zaffar, Geschäftsführer von SIFAMO. Wir bauen KI-Anwendungen für regulierte Branchen. Mehr dazu: sifamo.com
Warum Geschwindigkeit ohne Kontrolle in regulierten Branchen keine Option ist – und wie ein sauberes KI Governance-Modell beides möglich macht.
In den Gesprächen, die wir bei SIFAMO gerade mit Kunden aus regulierten Branchen führen, taucht ein Thema immer häufiger auf, unabhängig davon, worum es im Projekt eigentlich geht: Agentic AI in der Softwareentwicklung. Konkret die Frage, wie man Agentic AI produktiv einsetzt, ohne die Kontrolle über das System zu verlieren – und wie KI Governance aussehen muss, die das nicht verhindert, sondern erst ermöglicht.
Das ist längst kein Nischenthema mehr, sondern eine Frage, die gerade in fast jedem zweiten Kundengespräch mitschwingt.
Das Versprechen: Vom Jira-Ticket zu produktivem Code
Stell dir ein Tool vor, das ein Jira-Ticket liest, den Kontext der Codebasis versteht, einen Lösungsvorschlag implementiert, dazu passende Tests schreibt und einen Pull Request öffnet – in einem Bruchteil der Zeit, die ein Entwicklerteam dafür bräuchte.
Genau das ist der Kern von Agentic AI Coding: nicht Autovervollständigung in der IDE, sondern ein Agent, der einen ganzen Arbeitsschritt eigenständig übernimmt – von der Anforderung bis zum produktionsreifen, getesteten Code.
Der Produktivitätsgewinn ist real. Teams, die das ernsthaft einsetzen, berichten von spürbar kürzeren Durchlaufzeiten zwischen Anforderung und Deployment. Für Unternehmen, die unter Kosten- und Termindruck stehen, ist das ein starkes Argument.
Aber genau hier beginnt das eigentliche Problem.
Warum “schneller” allein die falsche Metrik ist
Ein Agent, der autonom Code schreibt und ausliefert, trifft laufend Entscheidungen: Welche Bibliothek wird verwendet? Wie wird mit sensiblen Daten umgegangen? Welche Edge Cases werden getestet – und welche nicht? Wird ein bestehendes Sicherheitsmuster respektiert oder umgangen, weil es “einfacher” war?
In einem unregulierten Kontext mag man das im Nachhinein per Code Review korrigieren. In regulierten Branchen – Banken, Versicherungen, öffentlicher Sektor – reicht das nicht. Dort zählt nicht nur, dass etwas funktioniert, sondern dass jede Entscheidung im Nachhinein nachvollziehbar, prüfbar und im Zweifel korrigierbar ist. Das ist auch der Kern dessen, was der EU AI Act von Unternehmen verlangt, die KI-Systeme in sensiblen Bereichen einsetzen: Nachvollziehbarkeit ist kein Nice-to-have, sondern Pflicht.
Die eigentliche Frage ist also nicht “Wie schnell kann ein Agent Code produzieren?”, sondern: “Wie schnell kann ein Agent Code produzieren, ohne dass wir die Kontrolle über das System verlieren?”
Ein KI-Governance Modell, das Geschwindigkeit nicht bremst
Ein Beispiel, das mir gerade in einem Kundenprojekt begegnet: ein Tool, das aus einem Jira-Ticket automatisiert produktiven Code und passende Tests erzeugt. Für die Governance-Frage dahinter hat sich in der Praxis ein einfaches Pipeline-Prinzip bewährt, das sich meiner Erfahrung nach auf so gut wie jeden Agentic-AI-Workflow übertragen lässt – nicht nur auf Coding-Agenten:
1. Propose – Der Agent schlägt eine Lösung vor, statt sie sofort auszuführen. Der Vorschlag ist der erste Kontrollpunkt.
2. Guardrail – Automatisierte Prüfregeln filtern, bevor ein Mensch überhaupt involviert wird: Verstößt der Vorschlag gegen Architekturprinzipien, Sicherheitsrichtlinien oder Compliance-Vorgaben?
3. Route-to-human – Alles, was die Guardrails nicht eindeutig freigeben können, geht an einen Menschen. Nicht als Blockade, sondern als gezielte Eskalation nur dort, wo sie wirklich nötig ist.
4. Approve – Freigabe ist ein expliziter, protokollierter Schritt – keine stille Annahme.
5. Audit-log – Jede Entscheidung, jeder Schritt, jede Freigabe wird unveränderlich dokumentiert. Nicht, weil man dem System misstraut, sondern weil Nachvollziehbarkeit die Grundvoraussetzung dafür ist, Autonomie überhaupt verantworten zu können. KI Governance!
Der entscheidende Punkt: Dieses Modell bremst die Geschwindigkeit nicht grundsätzlich aus. Es sorgt dafür, dass die Geschwindigkeit dort entsteht, wo sie unkritisch ist — und dass Kontrolle dort greift, wo sie zählt. Ein Grossteil der Vorschläge eines gut konfigurierten Agenten braucht gar keine menschliche Prüfung. Nur der kritische Rest.
Was das für Teams praktisch bedeutet
Governance wird oft als nachträgliches Feature verstanden – etwas, das man einbaut, wenn der Prüfer fragt. Ich sehe das anders: KI Governance muss Teil der Architektur sein, von Anfang an, nicht danach draufgeklebt.
Für ein Tool wie das oben beschriebene – Jira-Ticket rein, produktiver Code und Tests raus – reicht ein einzelner “Alleskönner-Agent” nicht aus, wenn Nachvollziehbarkeit gefragt ist. Sinnvoller ist eine klare Aufteilung in mehrere spezialisierte Agenten, jeder mit einer engen, überprüfbaren Aufgabe:
Der Punkt an dieser Aufteilung ist nicht, dass fünf Agenten grundsätzlich besser sind als einer. Der Punkt ist: Jeder Schritt ist einzeln überprüfbar, einzeln protokollierbar und einzeln austauschbar. Genau das macht aus einem schnellen Tool ein Tool, das man in einer regulierten Umgebung auch verantworten kann. Das ist letztlich dieselbe Idee wie bei jeder guten Softwarearchitektur: kleine, klar abgegrenzte Verantwortlichkeiten statt einer grossen Blackbox.
Dazu kommen zwei weitere Punkte, die ich für genauso wichtig halte:
Die eigentliche Erkenntnis
Der Wettbewerbsvorteil in den nächsten Jahren wird meiner Meinung nach nicht bei den Unternehmen liegen, die am schnellsten irgendeinen Agenten produktiv setzen. Er wird bei denen liegen, die Agentic AI so einführen, dass Geschwindigkeit und Kontrolle sich nicht ausschliessen – sondern dass Kontrolle die Voraussetzung dafür ist, überhaupt schneller werden zu dürfen. KI Governance wird für die Konzerne bereits jetzt zur unverzichtbaren Größe und entscheidend für den Erfolg der Integration einer neuen Digitalen Transformation zur KI!
Für mich ist das eines von mehreren Themen, die uns bei SIFAMO gerade beschäftigen – aber eines, das aktuell besonders viele Kunden umtreibt, unabhängig davon, in welcher Branche sie unterwegs sind.
Ich bin Umair Zaffar, Geschäftsführer von SIFAMO. Wir bauen KI-Anwendungen für regulierte Branchen. Mehr dazu: sifamo.com
Recent Posts
Recent Comments