97 % vývojářů používá AI asistenty – jen 30 % je má pod kontrolou

AI asistenti pro programování se během necelých dvou let proměnili z experimentální novinky v průmyslový standard. Zpráva Black Duck The State of AI-Powered Software Development z roku 2026 přináší zarážející číslo: 97 % vývojových týmů aktivně používá nástroje pro AI kódování . Pod tímto titulkem se ale skrývá mnohem znepokojivější zjištění – infrastruktura pro revizi, zabezpečení a správu všeho toho kódu s tímto tempem jednoduše nedokázala držet krok.

Pouze 30 % organizací má plně řízený přístup k dohledu nad AI . Zbylých 70 % produkuje kód rychlostí, kterou stávající pracovní postupy nedokážou vstřebat. Výsledkem je to, co Black Duck nazývá „rostoucí deficit řízení“ – a ten v tichosti pohlcuje právě ty zisky z produktivity, které tyto nástroje měly přinést .

Tři úzká místa, která mažou zisky z generování kódu

Zpráva identifikuje jasný vzorec: AI nástroje zrychlují psaní kódu, ale tato rychlost vytváří tlak v každém dalším kroku. Devět z deseti týmů hlásilo problémy s AI generovaným kódem někde ve svém pracovním postupu . Tyto problémy se neobjevují náhodně. Koncentrují se do tří navazujících činností, které společně pohltí čas ušetřený na začátku cyklu:

• Manuální revize kódu (52 %) – revizoři nyní zpracovávají větší objem AI generovaného kódu než kódu psaného lidmi, a tento objem stále roste
• Bezpečnostní testování (51 %) – AI generovaný kód přináší nové třídy zranitelností, které se v ručně psaném ekvivalentu nevyskytovaly, zejména v oblasti vkládání závislostí, natvrdo zadaných tajemství a doporučování zastaralých knihoven
• Přepracovávání vygenerovaného kódu (48 %) – téměř polovina týmů uvádí, že tráví významný čas opravami, refaktorováním nebo přepisováním výstupu AI před jeho nasazením

Tento vzorec už má své jméno: přesun úmorné práce (toil shift). Místo eliminace práce ji AI přesouvá z fáze tvorby do fází ověřování, testování a nápravy . Vyjádření Black Duck je nekompromisní: „většina organizací produkuje AI generovaný kód rychleji, než ho dokáže revidovat, zabezpečit nebo řídit“ .

Správa (governance): Skutečný multiplikátor návratnosti investic

Pokud existuje jedno zjištění ze zprávy, na které by vedoucí inženýři měli reagovat, je to toto: řízení (governance) je multiplikátorem ROI . Rozdíl mezi týmy, které používání AI řídí, a těmi, které ne, není marginální – je to rozdíl mezi získáním efektivity a jejím ztracením.

Black Duck zjistil, že organizace s plnohodnotnými rámci řízení dosáhly 90% zásadního zvýšení efektivity z AI nástrojů pro kódování. U týmů bez strukturovaného dohledu? Toto číslo klesá na 44 % .

Řízení v tomto kontextu neznamená byrokracii. Znamená to mít definované zásady pro to, které nástroje se používají, jak se AI generovaný kód reviduje, přes jaké bezpečnostní brány musí projít a kdo nese odpovědnost za výstup. Je to rozdíl mezi „vývojáři používají, co chtějí" a „vývojáři používají schválené nástroje ve strukturovaném, auditovatelném řetězci."

Problém stínové AI (Shadow AI)

Správu komplikuje nárůst stínové AI – vývojáři používající AI nástroje v rozporu s firemní politikou nebo mimo ni. Black Duck zjistil, že 18 % organizací považuje stínovou AI za významné neřízené riziko . Když jsou nástroje jako Cursor, Windsurf nebo Claude Code přijaty na úrovni jednotlivého vývojáře bez schválení nákupním oddělením nebo bezpečnostní prověrky, organizace ztrácí přehled o svém prostoru pro útoky .

Rizika dodavatelského řetězce: Co AI generovaný kód dědí

Dopady na dodavatelský řetězec jsou místem, kde se mezery v řízení mění na konkrétní zranitelnosti. Práce Black Duck – včetně související zprávy 2026 OSSRA – odhaluje tři propojená rizika specifická pro asistenty AI kódování:

Praní licencí. AI asistenti trénovaní na open-source repozitářích mohou generovat úryvky kódu z copyleftových zdrojů bez zachování původních licenčních informací . Zpráva 2026 OSSRA zjistila, že dvě třetiny auditovaných kódových bází obsahují licenční konflikty – nejvyšší míru v historii zprávy . Organizace mohou nasazovat kód, který nemají právo používat, aniž by o tom věděly.

Exploze závislostí. Počet open-source komponent na kódovou bázi vzrostl meziročně o 30 % a průměrný počet zranitelností na kódovou bázi vyskočil o 107 % . AI asistenti pro kódování tento trend zrychlují, protože skládají řešení rychleji a z rozsáhlejších trénovacích korpusů – každá AI generovaná funkce tak může přitáhnout závislosti, které vývojář explicitně nezvolil.

Mezera v dodržování předpisů (compliance). Pouze 24 % organizací provádí komplexní hodnocení AI generovaného kódu z hlediska duševního vlastnictví, licencí, bezpečnosti a kvality . To znamená, že tři čtvrtiny organizací nemohou spolehlivě odpovědět na otázku: „K jakým právním a bezpečnostním závazkům jsme se právě upsali?"

Důvěra vývojářů: Adopce roste, zatímco důvěra klesá

Zjištění Black Duck neexistují ve vakuu. Několik nezávislých průzkumů zveřejněných ve stejném období posiluje a rozšiřuje obrázek o důvěře o podrobná data:

• Průzkum Sonar 2026 State of Code Developer Survey (1 100+ vývojářů) zjistil, že 96 % vývojářů plně nedůvěřuje funkční správnosti AI generovaného kódu . Přesto ho pouze 48 % vždy před commitem ověří – což znamená, že kód, kterému sami vývojáři nedůvěřují, je pravidelně nasazován do produkce .
• Průzkum Stack Overflow 2025 Developer Survey (49 009 respondentů) ukázal, že důvěra v přesnost AI klesla z 40 % na 29 % za jediný rok. Aktivní nedůvěra vzrostla na 46 %, zatímco pozitivní obliba klesla ze 72 % na 60 % .
• Zpráva Harness State of AI-Driven Software Releases 2026 (500 vedoucích pracovníků ve strojírenství) zjistila, že 57 % stále vyžaduje revizi každého řádku AI generovaného kódu člověkem a 29 % tráví revizí kódu více času než před zavedením AI asistentů .

Shoda napříč těmito průzkumy je pozoruhodně konzistentní: vývojáři nemohou bez AI nástrojů pracovat, ale nemohou jim ani plně důvěřovat. Propast mezi generováním a ověřováním se stala novým úzkým hrdlem.

Diana Kelley, CISO ve společnosti Noma Security, vystihla jádro napětí: "Rychlejší kód není totéž co bezpečnější kód" .

Jak vlastně vypadá správa v praxi

Recept Black Duck není abstraktní. Zpráva poukazuje na soubor konkrétních opatření, která odlišují oněch 30 % s plnohodnotnou správou od zbytku:

1. Strukturované rámce řízení AI – nikoli neformální směrnice, ale zdokumentované, vynucované politiky pokrývající schvalování nástrojů, revizi výstupu a odpovědnost
2. Revizní brány integrované do pipeline – odklon od manuálního předávání do fronty bezpečnostního testování, které stále používá 46 % firem, směrem k automatizovaným kontrolám kvality a bezpečnosti, které běží při každém AI asistovaném commitu
3. Průběžné monitorování po nasazení – Black Duck poznamenává, že "strategie pouze 'shift-left' již nestačí", protože riziko je zaváděno, objevováno a musí být řízeno napříč celým životním cyklem vývoje softwaru
4. Racionalizace bezpečnostního toolchainu – přes 71 % respondentů uvedlo roztříštěnost nástrojů jako hlavní zdroj tření a konsolidace na menší počet lépe integrovaných nástrojů je předpokladem pro bezpečné škálování AI

Shrnutí

Zpráva Black Duck neargumentuje proti používání AI asistentů pro kódování. Argumentuje, že jejich používání bez odpovídající správy je kontraproduktivní. Když 97 % týmů generuje kód bezprecedentní rychlostí, ale pouze 30 % má infrastrukturu dohledu, aby to zvládlo, celé odvětví kolektivně vystavuje šeky, které nemůže proplatit.

Korelace mezi správou a nárůstem efektivity – 90 % oproti 44 % – činí obchodní argument jednoznačným. Organizace, které nejprve postaví zábradlí, zachytí produktivitu, kterou AI slibuje. Ty, které tak neučiní, budou opakovaně zjišťovat, že čas ušetřený u klávesnice se utratí ve frontě na revizi.