Was wir im Cyber Resilience Act lesen — und was wir dabei finden, wie maschinengenerierte Arbeit bewertet wird. Datiert, belegt und schriftlich korrigiert, wenn wir uns irren.
Drei unabhängige Studien, drei verschiedene Methoden — eine gezielte Schwachstellenstudie, ein kontrollierter Mensch-Modell-Vergleich und eine einjährige Untersuchung realer Repositories — kommen zum selben Befund: KI-generierter Code trägt messbare Qualitätskosten, die den Produktivitätsgewinn überdauern, mit dem sie kamen.
KI kann heute an einem Nachmittag Tausende Schwachstellenbefunde erzeugen. Ein Befund ist ein Zeuge, kein Urteil — und das eine Feld, das niemand prüfen kann, ist das, das alle aufblähen. So liest man die Flut, ohne in ihr zu ertrinken.
KI hat die Kosten des Schwachstellenfindens kollabieren lassen. In Bitcoins Open-Source-Ökosystem kam diese Kollision diesen Monat an — und Brüssel hat eine Uhr darauf gestellt, was als Nächstes geschieht.
Ein Änderungsentwurf würde die Normen zur Schwachstellenbehandlung im CRA nach hinten schieben. Artikel 14 bleibt unberührt — Hersteller dokumentieren damit eine Pflicht, deren Maßstab noch geschrieben wird.