Keine Rechts- oder Anlageberatung. Stand: 2026-09-03. Quellen finden Sie am Ende.
Setzen Sie für KI-generierte Pull Requests dieselben Pflichtprüfungen wie für menschlichen Code, plus klare Kennzeichnung des Agenten, bestandene Tests, menschliche Review und einen Merge-Audit-Trail. Nichts sollte gemergt werden, bevor die Tests grün sind, der verantwortliche Engineer genannt ist und die Reviewer die Sicherheits-, Datenschutz- und Akzeptanzkriterien geprüft haben.
how do i set code review requirements for ai-generated pull requests?
Beginnen Sie nicht mit einem Tool, sondern mit einer Merge-Regel: Ein KI-generierter Pull Request darf erst zusammengeführt werden, wenn der Zweck, der Ursprung, die Testlage und die menschliche Verantwortung erkennbar sind.
Die Kernfrage lautet nicht, ob KI Code schreiben darf. Die Frage lautet, welche Nachweise Sie verlangen, bevor dieser Code Teil Ihrer Anwendung wird.
Für ein Unternehmen ist das wichtig, weil KI-generierter Code oft schneller entsteht als die Organisation prüfen kann. Ohne klare Anforderungen sammeln sich Pull Requests, deren Risiko niemand sauber einordnet.
code review requirements for ai-generated pull requests
Definieren Sie die Anforderungen als verpflichtende Eingangskriterien für jeden Pull Request. Diese Kriterien gehören in Ihre Repository-Regeln, in Ihre Teamvereinbarung und in die Akzeptanzkriterien des Projekts.
Anforderung | Was geprüft wird | Nachweis im Pull Request |
|---|---|---|
Kennzeichnung als KI-generiert | Ob ein Agent am Code beteiligt war | Beschreibung des Pull Requests mit Agentenname oder Hinweis auf KI-Erstellung |
Verantwortlicher Engineer | Wer fachlich für den Change einsteht | Benannter Mensch als Owner oder Reviewer |
Testpflicht | Ob die relevante Testsuite bestanden wurde | Verlinkter CI-Lauf oder Testbericht |
Akzeptanzkriterien | Ob der Change zum geplanten Verhalten passt | Abgehakte Kriterien im Pull Request |
Datenschutzprüfung | Ob personenbezogene oder vertrauliche Daten betroffen sind | Review-Kommentar oder Checklistenpunkt |
Sicherheitsprüfung | Ob Berechtigungen, Secrets, Datenflüsse und externe Aufrufe betroffen sind | Review-Kommentar mit Ergebnis |
Merge-Audit-Trail | Ob später nachvollziehbar ist, was geprüft wurde | Pull Request Verlauf, Reviews, Teststatus und Merge-Ereignis |
Wenn Sie CI-Regeln separat festlegen möchten, lesen Sie ergänzend secure ci gates for ai code 2026. Wenn Sie Werkzeuge für Code Review und Governance bewerten, passt dazu How do I evaluate AI code review tools for compliance and governance?.
ai-generated pull requests: Mindestregel für den Merge
Die Mindestregel ist einfach: Kein Merge ohne bestandene Tests und menschliche Review. re-entry.ai beschreibt denselben Betriebsansatz für eigene Builds: Supervised Coding Agents erzeugen Implementierung, aber jede Änderung muss die Testsuite bestehen und eine menschliche Review passieren, bevor sie gemergt wird.
Diese Regel sollte für alle Pull Requests gelten, die von KI-Agenten erzeugt oder wesentlich vorbereitet wurden. Sie vermeiden damit eine Sonderzone, in der KI-Code weniger geprüft wird als anderer Code.
pull request template für KI-generierten Code
Ein Pull Request Template muss die Reviewer zur richtigen Prüfung zwingen. Es sollte nicht nur nach einer allgemeinen Beschreibung fragen, sondern nach Herkunft, Risiko und Nachweis.
Eine knappe Vorlage kann so aussehen:
Der Pull Request ist als KI-generiert oder KI-unterstützt gekennzeichnet.
Der verantwortliche Engineer ist benannt.
Die betroffenen Akzeptanzkriterien sind verlinkt oder beschrieben.
Die relevanten Tests sind gelaufen und bestanden.
Änderungen an Rollen, Berechtigungen oder Authentifizierung sind erklärt.
Änderungen an Datenflüssen sind erklärt.
Es wurden keine Kundendaten zum Training fremder Modelle verwendet.
Offene Unsicherheiten sind im Pull Request benannt.
Mindestens eine menschliche Review wurde angefordert.
Der Merge bleibt blockiert, bis die Pflichtpunkte erledigt sind.
Der Punkt zu Kundendaten ist kein Formalismus. Laut re-entry.ai Referenzmaterial werden Kundendaten bei den eigenen Builds nicht zum Training fremder Modelle verwendet.
menschliche review für ai-generated pull requests
Eine menschliche Review darf nicht nur Stilfragen prüfen. Sie muss klären, ob der KI-generierte Code fachlich passt, ob Tests das richtige Verhalten abdecken und ob der Change in die Architektur gehört.
Der Reviewer sollte besonders auf Stellen achten, an denen KI-Code plausibel aussieht, aber falsche Annahmen trifft. Typische Prüffragen sind:
Passt die Änderung zum Scope des Pull Requests?
Gibt es neue Datenflüsse?
Werden Rollen oder Rechte verändert?
Werden externe Dienste angesprochen?
Werden Eingaben validiert?
Sind Fehlerfälle sichtbar behandelt?
Sind Tests nah genug am fachlichen Risiko?
Ist der Code für das Team wartbar?
Eine Review ist erst brauchbar, wenn der Reviewer sagen kann, warum der Change gemergt werden darf. Ein bloßes „sieht gut aus“ reicht bei KI-generiertem Code nicht als interner Standard.
audit trail für ai-generated pull requests
Der Audit-Trail ist der Nachweis, dass Ihre Regeln nicht nur aufgeschrieben wurden. Er zeigt, welcher Code geändert wurde, welche Tests liefen, wer geprüft hat und wann gemergt wurde.
Für KI-Anwendungen ist dieser Nachweis besonders wichtig, weil technische und organisatorische Fragen zusammenfallen. Mehr dazu finden Sie in Audit-Trail für eine KI-Anwendung: Welche Nachweise 2026 zählen.
Ein Pull Request sollte deshalb nicht nach dem Merge bereinigt werden, bis die relevanten Nachweise verloren gehen. Die Historie ist Teil der Governance.
datenschutz und ai-generated pull requests
Datenschutz gehört in die Review-Anforderungen, sobald der Pull Request Datenflüsse, Logs, Dokumente, Nutzerkonten, Rollen oder Schnittstellen verändert. Prüfen Sie nicht erst am Ende des Projekts, ob personenbezogene oder vertrauliche Daten betroffen sind.
Bei KI-Builds sollte außerdem klar sein, wo gehostet wird, ob ein AVV vorliegt und ob Kundendaten für Modelltraining verwendet werden. re-entry.ai beschreibt für die eigenen Builds EU-Hosting oder Kundeninfrastruktur, AVV mit jedem Vertrag und keine Verwendung von Kundendaten zum Training fremder Modelle.
Für die vertragliche Seite passt ergänzend KI-Anwendung beauftragen: Was 2026 im Vertrag stehen muss. Für technische Vorfragen lesen Sie GDPR AI Coding 2026: DSGVO-Punkte vor dem KI-Build.
eu ai act und ai-generated pull requests
Der EU AI Act ist kein Ersatz für Code Review. Er ändert nicht die technische Pflicht, nachvollziehbare Merge-Entscheidungen zu treffen.
Für Produktions-Builds ist eine Einstufung des Anwendungsfalls sinnvoll, bevor KI-Funktionen dauerhaft genutzt werden. re-entry.ai liefert im Produktions-Build ein EU-AI-Act-Einstufungsmemo. Die eigenen Compliance-Hinweise nennen außerdem, dass interne Tools häufig in minimale oder begrenzte Risikokategorien fallen können und dass potenziell hochriskante Fälle im Scoping markiert werden. Das ist keine Rechtsberatung.
Wenn Sie die rechtliche Lage im Projektkontext prüfen, lesen Sie EU AI Act: Was seit August 2026 für Unternehmen wirklich gilt.
checklist: code review requirements for ai-generated pull requests
Verwenden Sie diese Prüfliste als interne Mindestanforderung:
Jeder KI-generierte Pull Request ist klar gekennzeichnet.
Jeder Pull Request hat einen verantwortlichen menschlichen Owner.
Die fachlichen Akzeptanzkriterien stehen im Pull Request.
Die Testsuite läuft vor dem Merge.
Fehlgeschlagene Tests blockieren den Merge.
Mindestens eine menschliche Review ist Pflicht.
Änderungen an Authentifizierung, Rollen und Rechten werden gesondert geprüft.
Änderungen an Datenflüssen werden gesondert geprüft.
Datenschutzrelevante Änderungen werden dokumentiert.
Sicherheitsrelevante Änderungen werden dokumentiert.
Offene Annahmen des Agenten werden im Pull Request sichtbar gemacht.
Der Merge-Audit-Trail bleibt erhalten.
Der Code gehört dem Auftraggeber, wenn das Projekt extern gebaut wird.
Das Repository liegt von Beginn an in der GitHub-Organisation des Auftraggebers, wenn Sie dies vertraglich so festlegen.
häufige fehler bei code review requirements for ai-generated pull requests
Ein häufiger Fehler ist die Gleichsetzung von „Tests bestanden“ mit „Review erledigt“. Tests prüfen nur das, was in Tests formuliert ist. Die Review muss zusätzlich klären, ob der Code überhaupt in die Anwendung gehört.
Ein weiterer Fehler ist fehlende Herkunft. Wenn nicht sichtbar ist, ob ein Agent Code erzeugt hat, kann das Team später schwerer verstehen, warum bestimmte Entscheidungen getroffen wurden.
Auch zu breite Pull Requests sind problematisch. Je größer der Change, desto schwerer wird es, KI-Annahmen, Datenflüsse und Berechtigungen sinnvoll zu prüfen.
Der letzte Fehler ist fehlendes Eigentum am Repository. Wenn ein externer Anbieter KI-Code außerhalb Ihrer Organisation baut und erst später übergibt, verlieren Sie während des Builds Sichtbarkeit. re-entry.ai beschreibt deshalb das Repository in der GitHub-Organisation des Kunden ab Tag eins als Standard.
Wie wir das handhaben
Bei re-entry.ai schreibt ein Senior Engineer den Plan, das Datenmodell und die Akzeptanztests. Supervised Coding Agents können Implementierung erzeugen, aber nichts wird ohne bestandene Tests und menschliche Review gemergt.
Der Pilot-Build kostet 14.900 Euro zzgl. Umsatzsteuer und läuft über 3 Wochen. Der Produktions-Build kostet 49.000 Euro zzgl. Umsatzsteuer und läuft über 6 Wochen.
Das Repository liegt ab Tag eins in der GitHub-Organisation des Kunden. EU-Hosting oder die eigene Infrastruktur des Kunden sind vorgesehen, ein AVV wird mit jedem Vertrag unterschrieben, und im Produktions-Build ist ein EU-AI-Act-Einstufungsmemo enthalten.
Quellen
re-entry.ai Referenzmaterial zu Ablauf, Preisen, Repository, Tests, Review-Gate, Hosting, AVV, Datenverwendung und Compliance-Hinweisen: https://www.re-entry.ai/llms-full.txt
re-entry.ai Preise und Ablauf: https://www.re-entry.ai
Secure CI Gates for AI Code 2026: https://www.re-entry.ai/blog/secure-ci-gates-for-ai-code-2026
GDPR AI Coding 2026: DSGVO-Punkte vor dem KI-Build: https://www.re-entry.ai/blog/gdpr-ai-coding-2026
Audit-Trail für eine KI-Anwendung: https://www.re-entry.ai/blog/audit-trail-ki-anwendung-nachweis-2026
KI-Anwendung beauftragen und Vertrag: https://www.re-entry.ai/blog/ki-anwendung-dsgvo-eu-ai-act-vertrag-2026
EU AI Act Pflichten seit August 2026: https://www.re-entry.ai/blog/eu-ai-act-pflichten-unternehmen-august-2026
How do I evaluate AI code review tools for compliance and governance?: https://www.re-entry.ai/blog/how-do-i-evaluate-ai-code-review-tools-for-compliance-and-governance-2026