AI-kodningsparadokset: 97 % adoption, 90 % flaskehalse og en governance-krise

AI-kodningsassistenter er gået fra eksperimentel nysgerrighed til industristandard på under to år. Black Ducks rapport The State of AI-Powered Software Development fra 2026 sætter et opsigtsvækkende tal på skiftet: 97 % af alle softwareudviklingsteams bruger aktivt AI-kodningsværktøjer . Men under den overflade gemmer sig en langt mere ubehagelig erkendelse – infrastrukturen til at gennemgå, sikre og styre al den kode er slet ikke fulgt med.

Kun 30 % af organisationerne har en fuldt styret tilgang til AI-overvågning . For de øvrige 70 % producerer AI kode i en hastighed, som de eksisterende arbejdsprocesser ikke kan absorbere. Resultatet er, hvad Black Duck kalder et "voksende governance-underskud" – og det spiser stille og roligt de produktivitetsgevinster, som værktøjerne ellers var designet til at levere .

De tre flaskehalse, der udsletter gevinsterne

Rapporten identificerer et klart mønster: AI-værktøjer accelererer skrivningen af kode, men den hastighed skaber trykpunkter overalt i forløbet. Ni ud af ti teams rapporterede problemer med AI-genereret kode et eller andet sted i deres workflow . Problemerne fordeler sig ikke tilfældigt. De koncentrerer sig i tre downstream-aktiviteter, der tilsammen sluger den tid, der blev sparet tidligere i cyklussen:

• Manuel kodegennemgang (52 %) – reviewerer behandler nu en større mængde AI-genereret kode end menneskeskreven kode, og den mængde vokser
• Sikkerhedstest (51 %) – AI-genereret kode introducerer nye typer sårbarheder, der ikke fandtes i de håndskrevne ækvivalenter, især omkring afhængighedsinjektion, hardcodede hemmeligheder og forældede biblioteksanbefalinger
• Efterbehandling af genereret kode (48 %) – næsten halvdelen af teams rapporterer, at de bruger betydelig tid på at rette, refaktorere eller omskrive AI-output, før det kan frigives

Dette mønster har nu fået et navn: toil shift – arbejdsforskydning. I stedet for at eliminere arbejde flytter AI det fra skabelsesfasen til verifikations-, test- og genopretningsfaserne . Black Ducks formulering er kontant: "de fleste organisationer producerer AI-genereret kode hurtigere, end de kan gennemgå, sikre eller styre den" .

Governance: Den reelle ROI-multiplikator

Hvis der er én konklusion fra rapporten, som ingeniørledere bør handle på, er det denne: governance er ROI-multiplikatoren . Forskellen mellem teams, der styrer AI-anvendelsen, og dem, der ikke gør, er ikke marginal – det er forskellen på at indkassere effektivitetsgevinster og se dem forsvinde ud ad sidedøren.

Black Duck fandt, at organisationer med fulde governance-rammer rapporterede 90 % markante effektivitetsgevinster fra AI-kodningsværktøjer. Teams uden struktureret overvågning? Tallet falder til 44 % .

Governance i denne sammenhæng betyder ikke bureaukrati. Det betyder, at man har definerede politikker for, hvilke værktøjer der bruges, hvordan AI-genereret kode gennemgås, hvilke sikkerhedsbarrierer der skal passeres, og hvem der ejer outputtet. Det er forskellen på "udviklere bruger, hvad de vil" og "udviklere bruger godkendte værktøjer inden for en struktureret, reviderbar pipeline."

Problemet med Shadow AI

En komplicerende faktor for governance er fremkomsten af Shadow AI – udviklere, der bruger AI-værktøjer imod eller uden for virksomhedens politikker. Black Duck fandt, at 18 % af organisationerne rapporterer shadow AI som en betydelig uhåndteret risiko . Når værktøjer som Cursor, Windsurf eller Claude Code tages i brug på individuelt udviklerniveau uden at gå gennem indkøbs- eller sikkerhedsafdelingen, mister organisationen overblikket over sin angrebsflade .

Forsyningskæderisici: Hvad AI-genereret kode arver

Konsekvenserne for forsyningskæderne er dér, hvor governance-hullerne bliver til konkrete sårbarheder. Black Ducks arbejde – herunder den relaterede 2026 OSSRA-rapport – fremhæver tre indbyrdes forbundne risici, der er særlige for AI-kodningsassistenter:

Licenshvidvask. AI-assistenter trænet på open source-repositorier kan generere kodestumper fra copyleft-kilder uden at bevare den oprindelige licensinformation . 2026 OSSRA-rapporten fandt, at to tredjedele af reviderede kodebaser indeholder licenskonflikter – den højeste andel i rapportens historie . Organisationer risikerer at frigive kode, de ikke har ret til at bruge, uden at vide det.

Eksplosion i afhængigheder. Antallet af open source-komponenter pr. kodebase steg 30 % år-til-år, og gennemsnitlige sårbarheder pr. kodebase steg med hele 107 % . AI-kodningsassistenter accelererer denne tendens, fordi de sammensætter løsninger hurtigere og fra bredere træningskorpora – hvilket betyder, at hver AI-genereret funktion kan trække afhængigheder ind, som udvikleren ikke selv har valgt.

Compliance-kløften. Kun 24 % af organisationerne udfører omfattende IP-, licens-, sikkerheds- og kvalitetsevalueringer af AI-genereret kode . Det betyder, at tre fjerdedele af organisationer ikke kan svare pålideligt på spørgsmålet: "Hvilke juridiske og sikkerhedsmæssige forpligtelser har vi lige påtaget os?"

Udviklertillid: Adoptionen stiger, mens tiltroen falder

Black Ducks resultater står ikke alene. Flere uafhængige undersøgelser offentliggjort i samme periode understøtter og uddyber tillidsbilledet med detaljerede data:

• Sonars 2026 State of Code Developer Survey (1.100+ udviklere) fandt, at 96 % af udviklerne ikke fuldt ud stoler på den funktionelle nøjagtighed af AI-genereret kode . Alligevel verificerer kun 48 % den altid, før de committer – hvilket betyder, at kode, udviklerne selv mistror, rutinemæssigt sendes i produktion .
• Stack Overflows 2025 Developer Survey (49.009 respondenter) viste, at tilliden til AI-nøjagtighed faldt fra 40 % til 29 % på et år. Aktiv mistillid steg til 46 %, mens positiv holdning faldt fra 72 % til 60 % .
• Harness' State of AI-Driven Software Releases 2026 (500 ingeniørledere) fandt, at 57 % stadig kræver "human-in-the-loop"-gennemgang for hver linje AI-genereret kode, og 29 % bruger mere tid på kodegennemgang nu end før indførelsen af AI-assistenter .

Konsensus på tværs af disse undersøgelser er bemærkelsesværdigt ensartet: udviklere kan ikke arbejde uden AI-værktøjer, men de kan heller ikke stole fuldt ud på dem. Kløften mellem generering og verifikation er blevet den nye flaskehals.

Diana Kelley, CISO hos Noma Security, indfangede kernespændingen: "Hurtigere kode er ikke det samme som mere sikker kode" .

Hvad governance faktisk indebærer

Black Ducks anbefaling er ikke abstrakt. Rapporten peger på en række konkrete tiltag, der adskiller de 30 % med fuld governance fra resten:

1. Strukturerede AI-governance-rammer – ikke uformelle retningslinjer, men dokumenterede, håndhævede politikker, der dækker værktøjsgodkendelse, outputgennemgang og ansvarlighed
2. Pipeline-integrerede review-gates – en bevægelse væk fra manuelle sikkerhedsafleveringer, som 46 % af virksomheder stadig bruger, mod automatiserede kvalitets- og sikkerhedstjek, der kører på hvert AI-assisteret commit
3. Kontinuerlig overvågning efter udrulning – Black Duck bemærker, at en "strategy kun baseret på shift-left ikke længere er tilstrækkelig", fordi risiko introduceres, opdages og skal håndteres på tværs af hele softwareudviklingslivscyklussen
4. Rationalisering af sikkerhedsværktøjskæden – over 71 % af respondenterne rapporterede værktøjsspredning som en stor friktionskilde, og en konsolidering på færre, bedre integrerede værktøjer er en forudsætning for at skalere AI sikkert

Den bundlinje

Black Duck-rapporten argumenterer ikke for at droppe AI-kodningsassistenter. Den argumenterer for, at det er selvmodsigende at bruge dem uden en tilsvarende governance. Når 97 % af teams genererer kode med hidtil uset hastighed, men kun 30 % har overvågningsinfrastrukturen til at håndtere det, skriver industrien kollektivt under på checks, den ikke kan indløse.

Sammenhængen mellem governance og effektivitetsgevinster – 90 % mod 44 % – gør business casen umisforståelig. Organisationer, der bygger sikkerhedsbarrieren først, vil indkassere den produktivitet, AI lover. Dem, der ikke gør, vil gang på gang opdage, at den tid, der spares ved tastaturet, bliver brugt i køen til kodegennemgang.