In diesem Artikel
- Was ist Vibe Coding nach der Definition der SDAIA?
- Die wichtigste Regel: KI-Ergebnisse sind Entwürfe
- 4 Risiken, die der Leitfaden nennt, und wie sie in Ihrem Projekt auftauchen
- 6 Dinge, die KI nicht garantiert
- 5 menschliche Prüfpunkte, bevor Code Ihre Kunden erreicht
- Fragen an Ihren Entwickler oder Dienstleister in dieser Woche
- Die Sicht von Origami
- Quellen
Wenn Ihre App, Ihre Website oder Ihr internes System mit KI-Werkzeugen gebaut wurde oder Ihr Entwickler sie nutzt, setzt der Leitfaden «Vibe Coding», den die Saudische Behörde für Daten und Künstliche Intelligenz (SDAIA) im April 2026 veröffentlicht hat, eine klare Regel: Alles, was KI erzeugt, ist ein nicht freigegebener Entwurf, bis ein Mensch es geprüft, verifiziert und formell freigegeben hat. Der Leitfaden umfasst 57 Seiten, richtet sich an technische Teams in Behörden und in der Privatwirtschaft, nennt 4 Hauptrisiken und 6 grundlegende Grenzen und legt 5 Punkte fest, an denen ein Mensch eingreifen muss, bevor Code Ihre Kunden erreicht. In diesem Artikel machen wir daraus praktische Fragen an Ihr Team oder Ihren Dienstleister für diese Woche.
Was ist Vibe Coding nach der Definition der SDAIA?
Der Leitfaden definiert Vibe Coding (auf Arabisch «al-barmaja al-tawlidiya», generative Programmierung) als einen Ansatz, bei dem Nutzer in Alltagssprache beschreiben, was sie wollen, und KI-Werkzeuge den Code schreiben. Er geht über das Schreiben hinaus, hin zu dem, was er agentische KI nennt: Werkzeuge, die selbstständig Code bauen, Tests ausführen und Deployments verwalten, während ein Mensch die wichtigen Entscheidungen lenkt.
Der Leitfaden teilt den Einsatz in 3 Bereiche: Design und Nutzererlebnis (Ideen und Prototypen), Programmierung (Code schreiben und verbessern) und Tests (Testpläne, Testdaten und Fehleranalyse). Er zitiert Microsoft mit der Aussage, dass diese Werkzeuge rund 30% des intern produzierten Codes erzeugen, und Google mit der Aussage, dass rund 25% seines neuen Codes von KI erzeugt und dann vor dem Merge von Menschen geprüft werden. Die Botschaft ist klar: Die größten Unternehmen nutzen diese Werkzeuge täglich, aber innerhalb eines Prüfsystems.
Die wichtigste Regel: KI-Ergebnisse sind Entwürfe
Die erste Definition im Leitfaden ist der «KI-generierte Entwurf»: Jedes Ergebnis, das das System erzeugt, bleibt ein nicht freigegebener erster Entwurf, bis es menschlich geprüft, verifiziert und freigegeben wurde. Das Prinzip «Human-in-the-loop» (der Mensch im Regelkreis) beschreibt er als verpflichtendes Governance-Prinzip seiner Methodik. Er ergänzt, dass menschliches Eingreifen verpflichtend wird, wenn KI-Werkzeuge Ausführungsrechte erhalten, die erhebliche betriebliche, rechtliche oder geschäftliche Folgen haben können.
In der Sprache eines Unternehmers: Wenn ein KI-Werkzeug ein Update Ihrer App veröffentlichen oder Ihre Kundendatenbank ändern kann, ohne dass jemand zustimmt, ist das genau das, wovor der Leitfaden warnt. Zur Klarstellung: Der Leitfaden ist eine Empfehlung, keine Vorschrift mit Sanktionen, aber er ist bislang die klarste offizielle saudische Referenz dafür, was als «verantwortungsvoller Einsatz» dieser Werkzeuge gilt, und er ergänzt das nationale Rahmenwerk für das KI-Risikomanagement.
4 Risiken, die der Leitfaden nennt, und wie sie in Ihrem Projekt auftauchen
- Halluzination: Code, der solide aussieht, aber APIs aufruft, die es nicht gibt, oder erfundene bzw. nicht mehr unterstützte Pakete und Bibliotheken empfiehlt. Die Folge sind Integrationsfehler mit Ihren anderen Systemen und womöglich eine Sicherheitslücke, wenn jemand ein vorgeschlagenes Paket ungeprüft nach Namen installiert.
- Übermäßiges Vertrauen: generierten Code ohne Sicherheits- oder Funktionsprüfung übernehmen oder ihn direkt in die Live-Umgebung bringen, die Ihre Kunden nutzen.
- Oberflächliche Abdeckung: eine generische Sicherheitsanalyse, die Schwachstellen übersieht, und unvollständige Tests, die Ihnen das falsche Gefühl geben, alles sei in Ordnung.
- Nicht deterministische Ergebnisse: Derselbe Prompt liefert jedes Mal anderen Code, was Ergebnisse schwer reproduzierbar und schwer prüfbar macht.
6 Dinge, die KI nicht garantiert
Der Leitfaden nennt 6 grundlegende Grenzen: KI versteht die Absicht Ihres Geschäfts nur so weit, wie Sie sie ausformuliert haben; sie kann die Risiken oder Prioritäten Ihrer Organisation nicht einschätzen; sie ersetzt weder Architekturdenken noch Designentscheidungen; sie garantiert nicht, dass Code korrekt oder für den echten Einsatz geeignet ist; sie liefert nicht immer identische Ergebnisse; und ihre Ergebnisse sind weder ein formaler Testnachweis noch ein Ersatz für echte Tests. Der Leitfaden sagt es deutlich: Die Verantwortung für Prüfung, Tests und Freigabe ist «vollständig menschlich».
5 menschliche Prüfpunkte, bevor Code Ihre Kunden erreicht
- Jede Codeänderung prüfen, bevor sie in den Hauptzweig gemergt wird.
- Jedes Release auf Reife prüfen, bevor es ausgerollt wird.
- Die Entscheidung über Deployment oder Rollback überwachen.
- Jedes unerwartete Verhalten im Betrieb erklären.
- Entwicklungspläne und die langfristige technische Roadmap freigeben.
Fragen an Ihren Entwickler oder Dienstleister in dieser Woche
- Wer prüft KI-geschriebenen Code vor dem Merge, und gibt es für jede Änderung ein dokumentiertes Review?
- Werden Tests tatsächlich gegen das System ausgeführt, oder hat das Werkzeug nur «gesagt», dass der Code funktioniert?
- Welche Rechte haben die KI-Werkzeuge? Können sie deployen oder auf die echte Datenbank zugreifen? (Sehen Sie, was mit Coding-Agenten passierte, die den Befehl eines Angreifers ausführten.)
- Sind die Testdaten synthetisch? Der Leitfaden verlangt Testdaten, die Datenschutzregeln einhalten und die Nutzung echter oder sensibler Daten ausschließen, was für die personenbezogenen Daten Ihrer Kunden wichtig ist.
- Wer gibt ein Release frei, bevor es live geht, und wer entscheidet über den Rollback, wenn etwas schiefgeht?
Wenn Sie auf drei dieser fünf Fragen keine klare Antwort bekommen, liegt das Problem nicht am KI-Werkzeug, sondern an der Arbeitsweise. Wenn Sie einen neuen Entwicklungspartner auswählen, nehmen Sie diese Fragen in Ihre Kriterien für die Wahl eines Softwareunternehmens auf.
Die Sicht von Origami
Wir setzen KI-Werkzeuge in Design, Programmierung und Tests ein, weil sie unseren Kunden echte Zeit sparen. Aber wir behandeln, was sie schreiben, genau so, wie es der Leitfaden der SDAIA beschreibt: als Entwurf. Jede Änderung durchläuft das Review eines Entwicklers, Tests werden tatsächlich ausgeführt, echte Kundendaten gelangen nie in die Testumgebung, und ein Mensch trifft die Entscheidung über das Deployment. Geschwindigkeit ohne Prüfung bezahlt man später mit Ausfällen und Sicherheitslücken. Wenn Sie einen Prototyp mit KI gebaut haben und daraus ein System machen wollen, auf das sich Ihre Kunden verlassen können, sprechen Sie mit uns.
Quellen
Häufige Fragen
Ist der Vibe-Coding-Leitfaden der SDAIA für mein Unternehmen verbindlich?
Der Leitfaden ist eine Empfehlung, keine Vorschrift mit Sanktionen, und richtet sich an technische Teams in Behörden und in der Privatwirtschaft. Dennoch ist er die klarste offizielle saudische Referenz zum verantwortungsvollen Einsatz von KI-Programmierwerkzeugen und bezeichnet die menschliche Prüfung als verpflichtendes Governance-Prinzip seiner Methodik.
Kann ich eine komplette App mit KI und ohne Entwickler bauen?
Sie können einen schnellen Prototyp bauen, um eine Idee zu testen. Für ein System, auf das sich Ihre Kunden verlassen, sagt der Leitfaden, dass KI weder die Richtigkeit noch die Einsatztauglichkeit des Codes garantiert und dass die Verantwortung für Prüfung, Tests und Freigabe vollständig beim Menschen liegt. Sie brauchen also einen Entwickler, der vor dem Start prüft.
Was ist das größte Risiko bei KI-geschriebenem Code?
Der Leitfaden nennt 4 Risiken: Halluzination, etwa Vorschläge für Bibliotheken oder APIs, die es nicht gibt; übermäßiges Vertrauen, wenn Code ohne Sicherheitsprüfung in die Produktion geht; oberflächliche Abdeckung bei Analysen und Tests; und Ergebnisse, die sich jedes Mal ändern.
Wie stelle ich sicher, dass mein Entwickler KI-generierten Code prüft?
Fragen Sie nach den 5 Prüfpunkten des Leitfadens: jede Änderung vor dem Merge prüfen, die Release-Reife bewerten, Deployment oder Rollback freigeben, unerwartetes Verhalten erklären und den Entwicklungsplan freigeben. Verlangen Sie, dass Reviews und Testläufe dokumentiert werden, nicht nur versprochen.
