Codex-Code prüfen: Checkliste vor der Übernahme

Das Problem

Codex ist ein KI-Werkzeug von OpenAI, das Programmcode schreiben und ändern kann. Man beschreibt eine Aufgabe, etwa «Füge dem Kontaktformular ein Pflichtfeld hinzu», und Codex schlägt Änderungen an Dateien vor. Das spart Zeit. Aber wer sagt, dass die Änderung richtig ist?

Frau Müller verantwortet in ihrem Betrieb die Website oder ein internes Programm, ohne selbst zu programmieren. Ein Entwickler oder ein externer Dienstleister hat mit Codex Änderungen erzeugt. Nun soll sie entscheiden: übernehmen oder nicht? Ohne Fachwissen ist das schwierig. Sie muss den Code nicht selbst lesen können, aber sie sollte wissen, welche Fragen die Fachperson beantworten muss, bevor etwas live geht.

KI-Code wirkt oft überzeugend und sauber geschrieben, kann aber Fehler enthalten: eine Randbedingung vergessen, Sicherheitsregeln aufgeweicht, nebenbei weitere Dateien geändert oder Tests so angepasst, dass sie bestehen, obwohl die Funktion nicht stimmt. Eine geordnete Prüfung ist deshalb Pflicht, nicht Kür.

So lösen Sie es mit KI – Schritt für Schritt

1. Aufgabe und Erwartung festhalten. Notieren Sie in zwei Sätzen, was geändert werden sollte und woran man erkennt, dass es funktioniert. Das ist der Massstab für die Prüfung.
2. Änderungen sichtbar machen. Lassen Sie sich eine Übersicht der geänderten Dateien und Zeilen zeigen, in der Fachsprache «Diff». Codex und Versionsverwaltung (Git) liefern sie. Je kleiner die Änderung, desto leichter die Prüfung.
3. Umfang prüfen. Wurden nur die erwarteten Dateien angefasst? Unerwartete Änderungen an Einstellungen, Zugangsdaten oder Sicherheitsregeln sind ein Warnzeichen.
4. Verständlichkeit prüfen. Kann die Fachperson in eigenen Worten erklären, was der Code tut? Falls nicht, lassen Sie Codex die Änderung erläutern und prüfen Sie die Erklärung am Code.
5. Tests ausführen. Laufen die vorhandenen Tests durch? Gibt es neue Tests für die neue Funktion? Wurden Tests verändert oder entfernt? Siehe Tests mit Codex erstellen.
6. Sicherheit und Daten prüfen. Sind Passwörter, Schlüssel oder Kundendaten im Code? Werden Eingaben geprüft? Werden neue Software-Pakete eingebunden? Siehe Abhängigkeiten prüfen.
7. Im Testsystem ausprobieren. Probieren Sie die Funktion in einer Testumgebung aus, mit Testdaten, nicht mit echten Kundendaten, und auch mit ungewöhnlichen Eingaben.
8. Zweite Person gegenlesen lassen. Das Vier-Augen-Prinzip gilt auch für KI-Code. Eine Person erzeugt oder beauftragt, eine andere prüft.
9. Freigeben, dokumentieren, Rückweg sichern. Halten Sie fest, wer geprüft hat, und sorgen Sie dafür, dass die Änderung rückgängig gemacht werden kann. Siehe Codex-Änderungen rückgängig machen.

Vorlage zum Kopieren

Diese Prüfanweisung können Sie der Fachperson geben oder Codex bzw. einem zweiten KI-Werkzeug als Aufgabe für eine Zweitmeinung stellen. Fügen Sie nur Code ein, den Ihr Betrieb dafür freigegeben hat:

Prüfe die folgende Änderung als kritischer Reviewer.
Aufgabe, die gelöst werden sollte: [Beschreibung in 1–2 Sätzen]
Änderung (Diff): [Diff einfügen]
Beantworte in dieser Reihenfolge:
1. Löst die Änderung die Aufgabe? Was fehlt?
2. Wurden Dateien oder Bereiche geändert, die nicht zur Aufgabe gehören?
3. Mögliche Fehler, Sonderfälle und Randbedingungen, die nicht behandelt sind.
4. Sicherheits- und Datenschutzrisiken (Eingaben, Zugangsdaten, Berechtigungen, Protokolle).
5. Sind Tests vorhanden, sinnvoll und nicht nachträglich abgeschwächt?
6. Neue Abhängigkeiten oder Einstellungen?
7. Empfehlung: übernehmen / nachbessern / ablehnen, mit Begründung.
Nenne nur Punkte, die du am Code belegen kannst, und kennzeichne Vermutungen als solche.

Das Ergebnis ist ein Hinweisgeber, nicht die Freigabe. Die Verantwortung bleibt bei der Fachperson und der Leitung.

Checkliste für die Freigabe

Worauf Sie achten müssen

• Überzeugend heisst nicht richtig. KI-Code ist oft gut formuliert und trotzdem fehlerhaft. Prüfen Sie am Verhalten, nicht am Eindruck.
• Abgeschwächte Tests. Manchmal ändert die KI Tests, damit sie bestehen. Vergleichen Sie Testdateien vor und nach der Änderung.
• Zu grosse Änderungen. Wer in einem Schritt hunderte Zeilen übernimmt, kann nicht seriös prüfen. Lassen Sie Aufgaben in kleine Schritte teilen. Siehe Aufgaben aufteilen.
• Lizenzen und Rechte. Ob und wie KI-erzeugter Code genutzt werden darf, ist rechtlich nicht in jedem Fall geklärt. Siehe KI-Code und Lizenzen.
• Verantwortung. Der Betrieb haftet für Software im Einsatz, nicht das KI-Werkzeug.

Ein Beispiel aus der Praxis

Ein Beispiel: Ein Reinigungsunternehmen in Wil hat ein kleines internes Programm zur Einsatzplanung. Der Teilzeit-Entwickler Herr Frei lässt Codex eine Funktion ergänzen, die Überstunden berechnet. Die Geschäftsführerin Frau Aeschbacher soll freigeben.

Vorher: Sie hat nur die Zusage «funktioniert», keine Details. Nachher: Sie lässt sich die Checkliste ausfüllen. Dabei zeigt sich, dass Codex auch eine Zeile bei der Lohnberechnung geändert hat, die nicht Teil der Aufgabe war. Herr Frei nimmt sie zurück, ein Kollege prüft, die Tests laufen durch, und die Änderung geht erst danach in den Betrieb.

So hilft Ihnen Alpasana

Wer KI-Werkzeuge bei der Programmierung sicher einsetzen und Ergebnisse systematisch prüfen lernen möchte, findet bei absofort den Kurs KI für Developer mit Claude und Codex: Codegenerierung, Debugging, Refactoring und Review, Delegieren und Verifizieren von Ergebnissen, ein Entwickler-Playbook mit Prompts, Review-Regeln, Tests und Datenschutzgrenzen sowie ein verifizierbares Zertifikat.

Häufige Fragen

Muss ich als Leitung den Code verstehen?

Nein, aber Sie sollten die Prüffragen kennen und auf einer sorgfältigen Prüfung durch eine Fachperson bestehen.

Reicht es, wenn Codex seine Änderung selbst prüft?

Eine KI-Zweitmeinung ist nützlich, ersetzt aber keine menschliche Prüfung und keine Tests. Fehler, die ein Modell macht, übersieht es oft auch bei der Selbstkontrolle.

Wie viel Zeit braucht eine Prüfung?

Das hängt vom Umfang ab. Kleine Änderungen sind in Minuten geprüft, grosse in Stunden. Ein Zeichen, dass die Änderung zu gross war, ist, wenn niemand sie in vernünftiger Zeit versteht.

Gilt das auch für andere KI-Werkzeuge?

Ja, die Checkliste gilt für Code von jeder KI. Für Claude Code siehe Claude Code als zweite Prüfung.