AI Code Review

Wat is AI Code Review?

AI code review is het gebruik van een large language model om codewijzigingen te onderzoeken op bugs, beveiligingsproblemen, logicafouten, en stijlproblemen, doorgaans als geautomatiseerde eerste doorgang op pull requests. Het vult menselijke review aan door mechanische defecten vroeg te vangen, zodat mensen zich kunnen richten op architectuur, intentie, en geschiktheid voor het doel.

De belangrijkste punten

• AI-review werkt op diff-niveau met repositorycontext, dus vangt hij inconsistenties tussen bestanden en gemiste call sites die linters en statische analyse niet zien.
• Zijn beste plek in de pipeline is voor menselijke review: het model ruimt de mechanische bevindingen op zodat menselijke aandacht naar ontwerp en juistheid van intentie gaat.
• Het wordt belangrijker, niet minder, naarmate teams agentic coding adopteren, omdat het volume gegenereerde code de menselijke reviewcapaciteit overtreft. Tegen maart 2026 had GitHub Copilot alleen al 60 miljoen codereviews uitgevoerd, meer dan één op de vijf codereviews op GitHub, waarbij 71% bruikbare feedback opleverde met gemiddeld 5,1 comments per review [1].
• Het model kan je businessregels of roadmap niet kennen. Het verifieert de code tegen de code, en tegen de spec alleen als je er een geeft.
• False positives zijn de adoptiedoder. Teams stemmen reviewprompts en ernstdrempels af zoals ze linters afstemmen, of engineers leren de bot te negeren.

Hoe het werkt

Een reviewagent triggert op een pull request, leest de diff, en trekt omringende context erbij: de volledige bestanden die veranderen, aanroepers en aangeroepenen van gewijzigde functies, projectconventies uit AGENTS.md of CLAUDE.md, en soms het gelinkte ticket of de spec. Hij redeneert dan door de wijziging op zoek naar echte defecten: null-paden, race conditions, gebroken invarianten, ontbrekende foutafhandeling, injectierisico's, en afwijking tussen wat de PR-beschrijving beweert en wat de diff doet. Bevindingen komen terug als inline comments, meestal met een ernst en een voorgestelde fix die de auteur met één klik kan toepassen.

Producten in deze ruimte, waaronder GitHub Copilot code review, CodeRabbit, Graphites Diamond, en reviewers gebouwd op Claude Code of vergelijkbare agents in CI, verschillen vooral in contextdiepte en ruisbeheersing. De vraag kwam snel: meer dan 1 miljoen developers gebruikten Copilot code review tijdens de ongeveer één maand durende publieke preview voordat het in april 2025 algemeen beschikbaar werd [2]. De betere leren van opgeloste en afgewezen comments, toetsen de diff aan de vastgelegde conventies van het team, en blijven stil wanneer ze niets boven de vertrouwensdrempel hebben. Sommige teams sluiten de lus volledig voor agent-geschreven wijzigingen: één agent schrijft de code, een anders geprompte agent reviewt hem, en een mens arbitreert meningsverschillen, wat human-in-the-loop-oordeel houdt waar het het meest oplevert.

Plaatsing doet er evenveel toe als capaciteit. Voor menselijke review gedraaid, verkort de AI-doorgang de menselijke. Gedraaid als verplichte check met een sterke prompt over ernst, wordt het een AI-guardrails-laag voor wijzigingen waar niemand om review heeft gevraagd, zoals geautomatiseerde dependency-upgrades.

Voorbeeld

Een team bedraadt een AI-reviewer in CI als niet-blokkerende check. Op een PR die sessieopslag naar Redis migreert, laat de bot drie comments achter: de TTL-constante is het oneens met de waarde gedocumenteerd in de config-README, één call site in een cron-job construeert nog steeds het oude sessieobject, en de nieuwe client wordt per request aangemaakt in plaats van gepoold. De eerste twee zijn echte bugs die de auteur in tien minuten herstelt. De derde is opzettelijk voor het verkeer van deze service, dus wijst de auteur het af met een notitie, die het geheugen van de reviewer registreert om te voorkomen dat de comment op toekomstige PR's wordt herhaald. De menselijke reviewer besteedt haar tijd dan aan de echte vraag, of het cutoverplan van de migratie veilig is, in plaats van verouderde call sites op te sporen.

Veelvoorkomende misvattingen

De fout is AI-review behandelen als vervanging voor menselijke review in plaats van een filter ervoor. Een model controleert de wijziging op interne defecten; het kan niet weten dat de feature een beslissing tegenspreekt die in een meeting is genomen, dat deze module gepland staat voor verwijdering, of dat de "fix" een dieper ontwerpprobleem toedekt dat een senior engineer al volgt. Teams die kleine PR's rechtstreeks doorsturen naar merge op een groene bot-doorgang, ontdekken dit langzaam en kostbaar. De betrouwbare taakverdeling: AI reviewt de code, mensen reviewen de intentie, en niets merget waar geen enkele mens ooit over heeft nagedacht. De voorzichtigheid is gerechtvaardigd en breed gedeeld, want 30% van de respondenten in het DORA-onderzoek van 2025 rapporteerde weinig of geen vertrouwen in AI-gegenereerde code [3].

FAQ

Kan AI een volledige PR-review zelfstandig doen? Voor mechanische kwaliteit, grotendeels ja: een AI-PR-review-doorgang vangt bugs, stijldrift, en beveiligingssignalen met goede recall. Voor goedkeuringsbeslissingen, nee. Het model heeft geen kennis van intentie voorbij de artefacten die je aanlevert en geen verantwoordelijkheid voor de uitkomst, dus moet een persoon eigenaar zijn van elke merge.

Vangt AI code review beveiligingskwetsbaarheden? Het vangt veel gangbare, waaronder injectiepatronen, ontbrekende autorisatiechecks, en geheimen in diffs, en het redeneert beter over nieuwe code dan signature-gebaseerde scanners. Het vult dedicated SAST-tooling aan in plaats van het te vervangen, en kan compliance niet certificeren.

Wat maakt AI-review effectief voor door agents gegenereerde code? Volume en onafhankelijkheid. Agents produceren meer diffs dan mensen diepgaand kunnen lezen, en gegenereerde code faalt op karakteristieke manieren: aannemelijk ogende aanroepen naar functies die niet bestaan, subtiel fout randgedrag, tests die te weinig toetsen. Een reviewermodel met een andere prompt, en idealiter een ander gezichtspunt, vangt een betekenisvol deel hiervan voordat een mens ooit kijkt, en de menselijke review die volgt begint vanaf een schonere diff.

Bronnen

1. GitHub Blog. "60 miljoen Copilot-codereviews, aandeel van reviews op GitHub, en percentage bruikbare feedback." https://github.blog/ai-and-ml/github-copilot/60-million-copilot-code-reviews-and-counting/. Geraadpleegd augustus 2026.
2. GitHub Changelog. "Algemene beschikbaarheid van Copilot code review en gebruik tijdens publieke preview." https://github.blog/changelog/2025-04-04-copilot-code-review-now-generally-available/. Geraadpleegd augustus 2026.
3. Google Cloud / DORA. "2025 DORA-rapport: vertrouwen in AI-gegenereerde code." https://cloud.google.com/blog/products/ai-machine-learning/announcing-the-2025-dora-report. Geraadpleegd augustus 2026.