Sechs Trends für CTOs im Jahr 2026: Der Wandel hin zu einem autonomen SDLC

1. Globale AI-Governance: Risiken durch „Shadow AI“ minimieren

Unternehmen brauchen AI-Tools, um sich weiterzuentwickeln. Diese müssen jedoch mit der richtigen Governance eingerichtet sein, damit kein geistiges Eigentum verloren geht oder – noch schlimmer – das bevorzugte AI-Tool auf PII-Daten zugreifen kann, ohne dass dies kontrolliert wird. Wenn eure Plattform nicht standardmäßig ungeprüfte LLM-Endpunkte blockiert, verlässt euer geistiges Eigentum bereits das Unternehmen.

Während wir alle versuchen, der Entwicklung voraus zu sein und den Wettbewerbsvorteil genau hier und jetzt zu nutzen, vergessen wir oft, dass Richtlinien vorhanden sein und befolgt werden sollten. Dieses Thema kommt immer wieder auf, doch die Geschwindigkeit von AI und ihr Zugriff auf sensible Informationen machen die Governance-Herausforderung besonders dringend und wichtig.

Wie bei allen guten Geschichten rund um Platform Engineering geht es darum, die richtige Balance zwischen maximaler Freiheit und dem Risiko zu finden, das ihr selbst übernehmt. Ich erwarte einen stärkeren Fokus darauf, die richtigen Tools bereitzustellen und sie so einzurichten, dass ihr nicht auf der Titelseite der Nachrichten landet.

2. Von Copilots zu autonomen Agenten: Der Wandel zu agentengesteuerten Abläufen

Es steht außer Frage, dass AI die Branche revolutioniert hat – und dies noch eine Weile tun wird. Ein wesentlicher Erfolgsfaktor für die Einführung von AI ist sicherlich, dass sie sehr schnell für alle verfügbar wurde und uns im Alltag unterstützt hat. Sei es beim Debuggen von Code oder bei der Entwicklung kreativer Lösungen für ein bestimmtes Problem.

Die bedarfsgerechte Unterstützung unseres Alltags war hilfreich. Der nächste Schritt besteht darin, auf autonome Agenten umzusteigen, die unser Leben bei der Arbeit und in der Freizeit bereichern.

Auch wenn der Umstieg auf vollständig autonome Agenten Zeit braucht, erwarte ich ihren ersten Einsatz im Bereich SRE und Incident Response. So stellen wir sicher, dass unsere Resilienz hoch ist und wir möglichst schnell reagieren können – unabhängig davon, ob der Agent Aufgaben in der Anwendungslogik, Infrastruktur oder Cybersicherheit übernimmt.

Es geht nicht nur um Infrastruktur, Cybersicherheit und Resilienz – AI bietet großes Potenzial, unseren gesamten SDLC zu verbessern. Ich sehe große Anbieter wie GitHub und Port.io, die diesen Schritt gehen und Agenten in ihre Portale oder ähnliche Lösungen integrieren. Es wäre zwar einfach, alles auf eine Karte zu setzen und den Bereich für sämtliche Agenten zu beanspruchen, doch ich sehe einen Trend zu recht offenen Systemen, die Drittanbieter- und kundenspezifische Agenten zulassen.

Glücklicherweise zeichnet sich in der Branche ein Trend ab: Statt halbfertige Lösungen für alles zu liefern, sind wir zunehmend offen dafür, andere als Experten in bestimmten Bereichen anzuerkennen. Unabhängig davon, ob ihr euch für einen großen Anbieter mit Agentenportalen oder eine andere Alternative entscheidet: Entscheidend wird sein, zu kontrollieren, was läuft, wie es verbunden ist und was es sehen kann.

3. Regulatorische Bereitschaft: Compliance mit dem EU AI Act und dem Cyber Resilience Act

Mit kommenden Rechtsvorschriften wie dem EU AI Act und dem EU Cyber Resilience Act, die für viele DORA und NIS2 konkretisieren und für andere etwas Neues darstellen, wird es sehr wichtig sein, euren SDLC unter Kontrolle zu haben. Ihr solltet eure Konfiguration bei Bedarf auditieren und im schlimmsten Fall vollständige Audit Trails vorlegen können, falls es zu einem Cybervorfall kommt.

Dieser hohe Kontrollbedarf macht Platform Engineering unverzichtbar. Gute Platform-Engineering-Praktiken verankern Sicherheit in dem Produkt, das die meisten Entwickler in eurem Unternehmen nutzen sollten. Eine sichere Plattform ist zwar wichtig, doch 2026 werden wir auch zunehmend Compliance as Code sehen. Spezifische Tools für Compliance as Code haben sich bisher noch nicht etabliert, aber ich bin sicher, dass viele Anbieter diesen Bereich auf Basis ihrer aktuellen Angebote für automatisierte Sicherheitsscans und Reports erschließen werden.

4. Cloud-Souveränität: Die Hinwendung zur europäischen Cloud

Bei europäischen Unternehmen zeigt sich ein wachsender Trend, sich von den großen Cloud-Anbietern abzuwenden. Als Folge der DSGVO und anderer Initiativen besteht der Bedarf, die Datenresidenz zu kontrollieren, operative Souveränität zu gewährleisten und genau zu wissen, welche Rechtsräume gelten. Mit dem kommenden EU Cloud Services Cybersecurity Certification Scheme (EUCS) erwarte ich, dass mehr Unternehmen auf EU-basierte Betriebsmodelle umsteigen. Damit entfallen Diskussionen über Rechtsräume, da die großen Anbieter meist US-Tochtergesellschaften und keine reinen EU-Unternehmen sind.

Da der Markt für Souveränität wächst, sehe ich immer mehr EU-basierte Cloud-Anbieter, die ihre Fähigkeiten ausbauen. Was mit Bare-Metal-Angeboten begann, entwickelt sich nun in Richtung Managed Services mit klar beschriebenen Shared-Responsibility-Modellen. Unternehmen können die volle Kontrolle behalten und sicher sein, dass Daten nicht außerhalb Europas übertragen werden.

Wie Eficodes Principal AI Consultant Henri Terho prognostiziert, zwingt die Reibung zwischen EU-Politik und US-Geschäftsmodellen zu einer Migration:

Während Unternehmen ihre Souveränität zurückgewinnen, bleibt eine Frage offen: Was tun wir mit AI-Workloads? Viele EU-basierte Clouds bieten meiner Beobachtung nach Bare-Metal-GPU-Optionen, einige sogar GPU-fähige Kubernetes-Cluster. Es wird mehr Aufwand erfordern, dieselbe Flexibilität wie beim Kauf eines Cloud-Service zu erreichen. Das Risiko verlagert sich jedoch von der Sorge vor Datenexfiltration hin zum Risiko operativer Exzellenz bei GPU-fähigen Workloads. In diesem Bereich sehe ich einen größeren Bedarf, AI-Funktionen effektiv in eure Developer Platform zu integrieren.

Mehr über Cloud-Souveränität erfahren

Was ist Cloud-Souveränität, und was bedeutet sie in der Praxis für Unternehmen? Welche Branchen und Organisationen profitieren am meisten von der Einführung einer souveränen Cloud? Was ändert sich für DevOps-Teams bei der Migration in eine souveräne Cloud, insbesondere bei Kubernetes- und AI-Workloads?

5. Platform-Engineering-Strategie: Das Modell „Plattform als Produkt“

Bei allen aufkommenden Trends für 2026 wird deutlich, wie wichtig ein solides Platform Engineering ist. Es geht über eine einheitliche Arbeitsweise hinaus: Ihr müsst eure Plattform mit einem „Product Mindset“ betreiben. Das bedeutet, dass eure Entwicklerplattform wie jedes andere Produkt in eurem Unternehmen geführt werden muss – mit Roadmaps, Nutzerinterviews und Communities. Vor allem aber braucht es Investitionen in die bestmögliche Plattform für eure Entwickler, wenn ihr nicht wollt, dass sie wieder auf Shadow IT zurückgreifen.

Jetzt müsst ihr jedoch sicherstellen, dass die gesamte Organisation und nicht nur die Entwicklungsteams beteiligt ist. Zu den üblichen Rollen, die bei Platform-Engineering-Initiativen berücksichtigt werden, gehören Entwickler, Platform Engineers und die Infrastruktur. Eure Plattform muss alle befähigen – von Engineering-Managern über FinOps-Experten bis hin zu Führungskräften auf C-Level –, den aktuellen Zustand der gesamten Organisation auf einen Blick zu erfassen.

Während immer mehr Rollen Einblick in die Entwicklungsplattformen eurer Organisation erhalten sollen, passt dies meiner Meinung nach gut zu der Entwicklung, IT nicht länger als Betriebskosten zu betrachten, sondern die Verantwortung für Gewinn und Verlust einzelnen Geschäftsbereichen zu übertragen. Wenn ihr ein profitables Unternehmen führen wollt, müsst ihr sicherstellen, dass die richtigen Personen den finanziellen Wert eines Services im Blick haben und entscheiden, ihn abzuschalten, wenn er nicht rentabel ist.

6. AI FinOps: GPU-Kosten mit Kubernetes DRA optimieren

Da AI eindeutig gekommen ist, um zu bleiben, beobachte ich eine steigende Nachfrage danach, die teure Hardware für AI-Workloads maximal auszunutzen. Obwohl die meisten, die ich sehe, größere Modelle in der Cloud nutzen, bauen Kunden auch On-Premise AI-Kapazitäten auf.

Um eine höhere Rendite aus kostspieligen Investitionen zu erzielen, geht der Trend glücklicherweise zum Bin-Packing von AI-Workloads.

In der Kubernetes-Welt habe ich beobachtet, wie Dynamic Resource Allocation (DRA) definiert, angepasst und verfügbar gemacht wurde, um beispielsweise eine standardisierte Verwaltung von GPUs zu ermöglichen. Bei Workloads, die anderswo laufen, erwarte ich, dass sich viele unserer bestehenden und potenziellen Kunden darauf konzentrieren werden, die Infrastruktur an die jeweiligen Workloads anzupassen, um rentable Lösungen zu schaffen.

Um das bestmögliche Ergebnis aus euren Investitionen zu erzielen, braucht ihr ein solides Platform-Engineering-Setup mit klar definierten Fähigkeiten, Modularität und einer engagierten Organisation, die interne Kunden betreut.