AI-agents zonder vastlegging zijn een risico

Een jaar verder

Vijfentwintig jaar softwareoplevering managen. SaaS-bedrijven, grote programma's bij ondernemingen, opleverorganisaties die rapporteerden aan toezichthouders en raden van bestuur. Tools kwamen en gingen. Het onderliggende werk bleef hetzelfde. Strategie bepaalt de richting. De tactische laag plant. Teams voeren uit. Iemand, ergens, tekent voor elk besluit dat in productie gaat.

Ik gebruik AI nu ruim een jaar in softwareontwikkeling. Elke dag. Als belangrijkste gereedschap, niet langer als experiment.

De eerste maanden voelden zoals sociale media blijven beweren. Een echte sprong vooruit. Refactors die ik zou hebben uitgesteld omdat ze geen weekend waard waren, waren klaar tussen twee koppen koffie door. Taken die vroeger een avond kostten, kostten ineens een uur.

Toen merkte ik iets wat me niet beviel.

De discipline werd dunner

De reflexen die ik in vijfentwintig jaar in teams had ingebouwd (wie besliste wat, wie controleerde wat, waarom de ene architectuur en niet de andere) hadden nergens meer houvast.

Bij een soloproject is dat prima. Ik ben de architect. Ik ben de reviewer. Ik ben degene die om 2 uur 's nachts wordt gebeld als er iets stukgaat. De agent levert op, ik teken, het ligt allemaal bij mij.

Een zorgvuldige organisatie werkt zo niet. Een echte opleverorganisatie heeft een CTO die maandagochtend aan de CEO uitlegt wat er in productie misging. Een Change Advisory Board die vraagt waarom de encryptiebibliotheek is vervangen. Een auditor die vraagt welke persoon, bij naam, de wijziging goedkeurde die de facturatieservice raakte. Een platformteam dat drie weken later ontdekt dat een nieuwe afhankelijkheid in vier services is ingebouwd, en het niet eens is met die keuze.

Die hele machinerie gaat ervan uit dat aan elk besluit een naam hangt. Haal Claude Code, Cursor, Copilot of een van de andere in die omgeving binnen en de namen worden vaag. De agent heeft het gemaakt. De ontwikkelaar drukte op accepteren. Wie heeft er eigenlijk besloten? Wat is er eigenlijk gecontroleerd? In de meeste organisaties is het eerlijke antwoord nu: dat weten we niet zeker.

Het volledig agentische antwoord schaalt niet

Een serieuze beweging gokt erop dat dit allemaal wordt opgelost doordat de modellen beter worden. Schonere code, minder hallucinaties, agents die langer doorwerken zonder te ontsporen. Prima. De modellen worden beter. Maar modelkwaliteit lost dit probleem niet op.

Verantwoording is geen kwestie van modelkwaliteit. Een auditor die vraagt wie een wijziging goedkeurde, neemt geen genoegen met "de agent besliste, en de agent was er heel zeker van." Een bestuurder die vraagt waarom voor deze leverancier is gekozen, neemt geen genoegen met "de agent heeft de opties beoordeeld." Verantwoording is een menselijk begrip. Een governancebegrip. Een slimmer model automatiseert dat niet.

Het tweede probleem met de volledig agentische positie is schaal. De huidige demo is één ontwikkelaar die op een zaterdag agents een prototype laat bouwen. Ik heb zelf zo gebouwd. Het is een echte mogelijkheid, geen gimmick. Maar er ontbreekt een governancemodel. Zo leveren serieuze organisaties geen software op. Complexe producten worden gebouwd door teams, door treinen van teams, door gecoördineerde groepen mensen die met elk hun eigen expertise werken aan gedeelde systemen met gedeelde gevolgen. Eén ontwikkelaar met een agent wordt niet naar die wereld opgeschaald door er meer agents bovenop te stapelen. Dat lukt door governance toe te voegen.

Elke nieuwe mogelijkheid opent een governancekloof

Ik heb dit patroon nu drie of vier keer zien gebeuren. Elke mogelijkheid die de snelheid van uitvoering echt verandert, opent een governancekloof. Het internet opende er een, de cloud opende er een, de smartphone opende er een en nu doet AI het. Steeds was het antwoord dat echt werkte niet "rustiger aan." Het was: bouw het governancemodel dat de nieuwe snelheid veilig maakt. Bouw het logboek. Bouw de toewijzing. Bouw de reviewdiscipline. Laat de teams snel blijven werken.

Door AI gegenereerde code is hetzelfde patroon op grotere schaal. Sneller dan alles wat eraan voorafging. De kloof gaat sneller open, omdat de hoeveelheid code groter is en de weg van besluit naar commit korter. Governance moet ook sneller worden, anders wint de kloof.

Conductor bevat geen AI

Dit is het deel dat mensen steeds verkeerd begrijpen.

Ze zien "AI-gestuurd SDLC-platform" en nemen aan dat Conductor zelf een AI-platform moet zijn. Nog een Cursor. Nog een Copilot met meningen. Iets dat de grote AI-labs op hun eigen terrein probeert te verslaan.

Dat is het niet. Conductor bevat van binnen geen AI. U neemt uw eigen AI mee.

Wat Conductor levert, is het raamwerk. Elke wijziging is toe te wijzen aan een architect, bij naam. Elk besluit heeft een logboek dat langer bestaat dan de sessie. Werk doorloopt een vaste reeks modi (Interrogation, Context Interpretation, Exploration, Plan, Execution, Validation), zodat niets productie bereikt zonder elke poort te passeren. Project Guardrails begrenzen wat de agent mag aanraken. Skills leggen vast hoe uw organisatie software echt opgeleverd wil zien, per project te kiezen. ThreadBriefs leggen de redenering achter elk stuk werk vast, niet alleen de diff.

De AI is een gebruiksartikel geworden. Governance niet.

AI-agents zonder vastlegging zijn een risico. De snelheid is echt. Het risico is ook echt. Beide kunnen tegelijk waar zijn.

Discipline uit de oude wereld, agents uit de nieuwe

Tientallen jaren management van software- en IT-oplevering werden niet overbodig toen agentisch programmeren zijn intrede deed. Het omgekeerde gebeurde. De oude discipline is precies wat agents uit de nieuwe wereld nodig hebben, want die discipline ging eigenlijk nooit over mensen. Ze ging erover dat besluiten herleidbaar, controleerbaar en verdedigbaar zijn. Toevallig waren het mensen die het werk deden.

Als u niet kunt beantwoorden "wie veranderde wat, en waarom" over wat uw agents vorige sprint hebben opgeleverd, heeft u geen AI-probleem. U heeft een governanceprobleem. Governanceproblemen worden op specifieke, voorspelbare manieren duur: auditbevindingen, overtredingen van regelgeving, architectuur die uit de koers raakt, storingen die niemand kan verklaren, vragen van klanten die niemand kan beantwoorden.

Discipline uit de oude wereld. Agents uit de nieuwe. Meer is Conductor niet.