Sechs Trends für CTOs im Jahr 2026: Der Wandel hin zum autonomen SDLC

1. Globale AI-Governance: Risiken durch „Shadow AI“ mindern

Unternehmen brauchen AI-Tools, um sich weiterzuentwickeln. Sie müssen jedoch mit dem richtigen Maß an Governance eingerichtet sein, damit geistiges Eigentum nicht nach außen gelangt – oder, schlimmer noch, euer bevorzugtes AI-Tool Zugriff auf PII-Daten hat, ohne dass dieser kontrolliert wird. Wenn eure Plattform nicht standardmäßig ungeprüfte LLM-Endpunkte blockiert, verlässt euer geistiges Eigentum bereits das Unternehmen.

Während wir alle versuchen, der Entwicklung voraus zu sein und den Wettbewerbsvorteil hier und jetzt zu nutzen, vergessen wir oft, dass Richtlinien vorhanden sein und eingehalten werden müssen. Dieses Thema kommt immer wieder auf, doch die Geschwindigkeit von AI und ihr Zugriff auf sensible Informationen machen die Governance-Herausforderung besonders dringend und wichtig.

Wie bei allen guten Geschichten rund um Platform Engineering geht es darum, die richtige Balance zwischen maximaler Freiheit und dem Risiko zu finden, das ihr eingeht. Ich erwarte, dass stärker darauf geachtet wird, die richtigen Tools bereitzustellen und sie so einzurichten, dass ihr nicht auf den Titelseiten der Nachrichten landet.

2. Von Copilots zu autonomen Agenten: Der Wandel hin zu agentengesteuerten Abläufen

Zweifellos hat AI die Branche revolutioniert, und das wird noch eine Weile so bleiben. Ein wichtiger Erfolgsfaktor für die Einführung von AI ist sicherlich, dass sie sehr schnell für alle verfügbar wurde und uns im Alltag unterstützt hat – sei es beim Debuggen von Code oder bei der Entwicklung kreativer Lösungen für ein bestimmtes Problem.

Die bedarfsgerechte Unterstützung unseres Alltags war hilfreich. Der nächste Schritt besteht darin, auf autonome Agenten umzusteigen, die unser Leben sowohl bei der Arbeit als auch in der Freizeit bereichern.

Der Umstieg auf vollständig autonome Agenten braucht zwar Zeit, aber ich erwarte ihren ersten Einsatz im Bereich SRE und Incident Response. So können wir eine hohe Resilienz sicherstellen und möglichst schnell reagieren – unabhängig davon, ob der Agent Aufgaben in der Anwendungslogik, Infrastruktur oder Cybersicherheit übernimmt.

Es geht nicht nur um Infrastruktur, Cybersicherheit und Resilienz: Auch für die gesamte SDLC gibt es großes Verbesserungspotenzial. Ich sehe große Anbieter wie GitHub und Port.io, die diesen Schritt gehen und Agenten in ihre Portale oder ähnliche Lösungen integrieren. Es wäre zwar einfach, groß aufzutreten und den Anspruch auf alle Agenten zu erheben, doch ich sehe einen Trend zu relativ offenen Systemen, die Drittanbieter- und individuelle Agenten ermöglichen.

Glücklicherweise zeichnet sich in der Branche ein Trend ab: Statt halbfertige Lösungen für alles anzubieten, überlassen wir anderen die Expertise in spezifischen Bereichen. Unabhängig davon, ob ihr euch für einen großen Anbieter mit Agentenportalen oder eine andere Alternative entscheidet, wird es entscheidend sein, zu kontrollieren, was läuft, wie es verbunden ist und was es sehen kann.

3. Regulatorische Bereitschaft: Compliance mit dem EU AI Act und dem Cyber Resilience Act

Mit kommenden Gesetzen wie dem EU AI Act und dem EU Cyber Resilience Act, die für viele DORA und NIS2 konkretisieren und für andere etwas Neues darstellen, wird es sehr wichtig sein, eure SDLC unter Kontrolle zu haben. Ihr solltet eure Einrichtung bei Bedarf auditieren und im schlimmsten Fall bei einem Cybervorfall vollständige Audit Trails vorlegen können. 

Dieser hohe Bedarf an Kontrolle macht Platform Engineering unverzichtbar. Gute Platform-Engineering-Praktiken verankern Sicherheit in dem Produkt, das die meisten Entwickler in eurem Unternehmen nutzen sollten. Eine sichere Plattform ist wichtig, doch 2026 werden wir auch immer mehr Compliance as Code sehen. Spezifische Tools für Compliance as Code gibt es noch nicht, aber ich bin sicher, dass viele Anbieter diesen Bereich auf Grundlage ihrer bestehenden Angebote für automatisierte Security Scans und Reports erschließen werden.

4. Cloud-Souveränität: Die Hinwendung zur europäischen Cloud

Bei europäischen Unternehmen zeichnet sich ein zunehmender Trend ab, sich von den großen Cloud-Anbietern zu lösen. Als Folge der DSGVO und anderer Initiativen besteht der Bedarf, die Datenresidenz und operative Souveränität zu kontrollieren und genau zu wissen, welche Rechtsräume betroffen sind. Mit dem bevorstehenden EU Cloud Services Cybersecurity Certification Scheme (EUCS) erwarte ich, dass mehr Unternehmen auf EU-basierte Betriebsmodelle setzen. Dadurch entfallen Diskussionen über Rechtsräume, da die großen Anbieter meist US-Tochtergesellschaften und keine reinen EU-Unternehmen sind.

Da der Markt für Souveränität wächst, sehe ich immer mehr EU-basierte Cloud-Anbieter, die ihre Fähigkeiten erweitern. Was mit Bare-Metal-Angeboten begann, entwickelt sich nun in Richtung Managed Services mit klar beschriebenen Modellen gemeinsamer Verantwortung. Unternehmen können die volle Kontrolle behalten und sicher sein, dass ihre Daten Europa nicht verlassen.

Wie Henri Terho, Principal AI Consultant bei Eficode, prognostiziert, führt die Reibung zwischen EU-Politik und US-Geschäftsmodellen zu einer Migration:

Während Unternehmen ihre Souveränität zurückgewinnen, bleibt eine Frage offen: Was tun wir mit AI-Workloads? Viele EU-basierte Clouds bieten meines Erachtens entweder Bare-Metal-GPU-Optionen an, einige sogar GPU-fähige Kubernetes-Cluster. Es wird mehr Aufwand erfordern, dieselbe Flexibilität zu erreichen wie beim Kauf eines Service in der Cloud. Dafür verlagert sich das Risiko: weg von der Sorge um Datenabfluss hin zum Risiko operativer Exzellenz bei GPU-fähigen Workloads. In diesem Bereich sehe ich einen größeren Bedarf, AI-Funktionen effektiv in eure Entwicklerplattform zu integrieren.

Mehr über Cloud-Souveränität erfahren

Was ist Cloud-Souveränität, und was bedeutet sie in der Praxis für Unternehmen? Welche Branchen und Unternehmen profitieren am meisten von der Einführung einer souveränen Cloud? Was ändert sich für DevOps-Teams bei der Migration in eine souveräne Cloud, insbesondere bei Kubernetes- und AI-Workloads?

5. Platform-Engineering-Strategie: Das Modell „Plattform als Produkt“

Bei allen aufkommenden Trends für 2026 ist der Bedarf an robustem Platform Engineering klar erkennbar. Dabei geht es um mehr als eine einheitliche Arbeitsweise: Ihr müsst eure Plattform mit einem „Product Mindset“ betreiben. Das bedeutet, eure Developer Platform wie jedes andere Produkt in eurem Unternehmen zu führen – mit Roadmaps, Nutzerinterviews und Communities. Noch wichtiger ist jedoch die Investition in die bestmögliche Plattform für eure Entwickler, damit sie nicht wieder auf Schatten-IT ausweichen.

Nun müsst ihr jedoch sicherstellen, dass die gesamte Organisation und nicht nur die Entwicklungsteams beteiligt ist. Zu den üblichen Rollen, die Platform-Engineering-Initiativen abdecken, gehören Entwickler, Platform Engineers und die Infrastruktur. Eure Plattform muss alle befähigen – von Engineering Managern über FinOps-Praktiker bis hin zu C-Level-Führungskräften –, den aktuellen Gesamtzustand der Organisation sofort zu erfassen.

Da immer mehr Rollen Einblick in die Developer Platforms eurer Organisation erhalten werden, passt dies meiner Ansicht nach gut zum Wandel weg von IT als Betriebskostenfaktor hin zur Verantwortung einzelner Geschäftsbereiche für Gewinn und Verlust. Wenn ihr ein profitables Unternehmen führen wollt, müsst ihr sicherstellen, dass die richtigen Personen den monetären Wert eines Services bewerten und entscheiden, ihn abzuschalten, wenn er nicht rentabel ist.

6. AI FinOps: GPU-Kosten mit Kubernetes DRA optimieren

Da AI offensichtlich bleiben wird, sehe ich eine steigende Nachfrage danach, das Maximum aus der teureren Hardware für AI-Workloads herauszuholen. Obwohl die Mehrheit der Unternehmen, die ich sehe, größere Modelle in der Cloud nutzt, bauen Kunden auch On-Premise AI-Funktionen auf.

Um bei kostspieligen Investitionen einen höheren Return on Investment zu erzielen, geht der Trend erfreulicherweise zum Bin-Packing von AI-Workloads.

In der Kubernetes-Welt habe ich beobachtet, wie Dynamic Resource Allocation (DRA) definiert, angepasst und bereitgestellt wurde, um beispielsweise GPUs auf standardisierte Weise zu verwalten. Bei Workloads, die anderswo laufen, erwarte ich, dass viele unserer bestehenden und potenziellen Kunden die Infrastruktur gezielt an die jeweiligen Workloads anpassen, um rentable Lösungen zu schaffen.

Um das bestmögliche Ergebnis aus euren Investitionen zu erzielen, braucht ihr ein robustes Platform-Engineering-Setup mit klar definierten Fähigkeiten, Modularität und einer engagierten Organisation, die interne Kunden unterstützt.