AI code review: wat de tool mist en jij moet vangen

AI code review is een AI-agent die je pull request leest en commentaar achterlaat voordat een mens dat doet. GitHub's eigen Copilot code review verwerkt inmiddels meer dan 1 op de 5 code reviews op GitHub, tien keer zoveel als bij de start in april 2025. Dat is een goed eerste filter, geen vervanging voor een AI-agent die ook de bedoeling achter je code snapt: dat blijft mensenwerk. Hieronder welke tool voor welke pull request, een voorbeeld met een echte fout, en de grens die je zelf moet trekken.

Wat is AI code review en wat doet het precies met je pull request?

Een AI code reviewer leest de diff van je pull request, vergelijkt die met duizenden bekende bugpatronen en stijlregels, en plaatst commentaar op de regels die afwijken. De nieuwere generatie, waaronder Copilot code review sinds de overstap naar een agentic architectuur, doet meer: hij doorzoekt je hele repository voor context, onthoudt patronen uit eerdere reviews en leest gelinkte issues om te checken of de code wel het juiste probleem oplost.

Dat laatste is meteen de grens. De tool ziet of jouw code intern klopt (geen syntaxfout, geen voor de hand liggende kwetsbaarheid, consistente stijl). Hij ziet niet of de code doet wat de klant of de productmanager bedoelde, tenzij die bedoeling letterlijk in een gelinkt ticket staat. Een linter is deterministisch: dezelfde code geeft altijd dezelfde uitkomst. Een AI-reviewer is semantisch en probabilistisch: hij raadt, op basis van patronen, wat waarschijnlijk een probleem is. Dat verschil bepaalt hoeveel je hem mag vertrouwen.

Hoeveel vangt zo'n reviewer, en hoeveel blijft stil?

GitHub deelt de eigen cijfers zonder omwegen: in 71% van de reviews komt bruikbare feedback naar boven, gemiddeld 5,1 opmerkingen. In de overige 29% zegt de tool bewust niets, omdat "stilte beter is dan ruis". Eén model-upgrade verhoogde de positieve feedback met 6%, maar kostte 16% meer wachttijd, een bewuste ruil die GitHub zelf zo noemt. Dat is geen marketingcijfer maar platformtelemetrie van 60 miljoen reviews, gepubliceerd op 5 maart 2026: een goede ijkwaarde om je eigen tool tegen af te zetten, niet een garantie dat elke reviewer zo scherp is. Onafhankelijk van GitHub zelf schat developer-schrijver Addy Osmani, die meerdere teams over hun AI-reviewpraktijk interviewde, dat een goed ingestelde AI-reviewer 70 tot 80% van de voor de hand liggende problemen vangt: ruwweg dezelfde orde van grootte als GitHub's eigen cijfer.

AI code reviewer kiezen: Copilot, CodeRabbit of een eigen Claude-agent?

Niet elke pull request verdient dezelfde diepte. GitHub Copilot code review werkt met twee niveaus: Lite (snel, gericht op bekende bugs, beveiligingsissues en stijl) en Balanced (een zwaarder redeneermodel voor complexe logica en beveiligingsgevoelige code, standaard ingesteld). Dat kost ook meer: een Lite-review verbruikt ongeveer 0,05 tot 1 Amerikaanse dollar aan AI-credits, Balanced 0,25 tot 5 dollar, afhankelijk van de omvang van de pull request.

CodeRabbit: wat het toevoegt tegenover Copilot code review

CodeRabbit (vanaf 30 dollar per developer per maand, Essentials-plan, prijspeil zie het blok hieronder) werkt los van GitHub zelf en draait ook op GitLab, Bitbucket en Azure DevOps. De toegevoegde waarde zit in de beveiligingslaag: CodeRabbit Secure traceert of een kwetsbaarheid daadwerkelijk bereikbaar is vanaf een aanvaller, hoe moeilijk hij echt te misbruiken is, en wat de impact zou zijn, in plaats van elke mogelijke zwakte te melden. CodeRabbit is daarbij expliciet over de grens: het systeem stelt zelf dat het "nooit zelf" een gevonden probleem samenvoegt, een mens moet elke voorgestelde fix altijd zelf beoordelen en mergen.

Een pr review ai gratis uitproberen

Voor een side-project of een open-source repository hoeft dit niets te kosten. CodeRabbit geeft gratis reviews op openbare repositories, en GitHub Copilot Free geeft toegang tot een basismodel met een beperkt aantal completions per maand. Voor een privérepository met zakelijke code geldt dat niet: dan betaal je per developer per maand (CodeRabbit) of per AI-credit (Copilot), en is een gratis pr review ai optie geen goede keuze zodra er klantdata in je codebase staat.

Een pull request, de AI-review, en wat jij zelf narekent

CodeRabbit toont op zijn eigen productpagina een representatief voorbeeld van het type bevinding dat zijn beveiligingslaag vangt: "The coupon applies after the total is charged. Re-submitting the step refunds the discount against an already-captured payment." Dat is geen verzonnen testcase maar het eigen voorbeeld waarmee de leverancier laat zien wat de tool als "Business logic, High" aanmerkt. Herbouw dat patroon in een checkout-functie en het wordt meteen duidelijk waarom dit precies het soort fout is waar een AI-reviewer goed in is, en waar hij blijft steken.

function applyDiscount(order: Order, code: string) {
  const discount = findDiscountCode(code)
  if (!discount) return order.total

  return order.total - discount.amount
}

De bijbehorende instructie aan de AI-reviewer, als repository-instructie in .github/copilot-instructions.md:

#CONTEXT: Je reviewt checkout-code voor een cursusplatform. Elke
korting mag maar één keer per bestelling worden toegepast, ook als
een klant de bevestigingsstap herhaalt (dubbelklik, terugknop, trage
verbinding).

#DOEL: Vind logicafouten die een klant financieel voordeel geven
waar hij geen recht op heeft.

#WERKWIJZE: Check bij elke functie die een bedrag aanpast of er een
check is die herhaling voorkomt, voordat je naar stijl of naamgeving
kijkt.

#OUTPUT: Eén opmerking per gevonden risico, met de regel waar het
risico ontstaat en een voorstel voor de check die ontbreekt.

Het commentaar dat terugkomt:

Deze functie controleert niet of `code` al eerder is toegepast op
`order`. Als de bevestigingsstap wordt herhaald (dubbelklik, terug-
knop), wordt de korting opnieuw afgetrokken van het al verlaagde
totaal. Voorstel: sla toegepaste codes op bij de order en controleer
die lijst voordat je het bedrag aanpast.

CodeRabbit classificeert dit type bevinding als "High": een patroon dat een AI-reviewer herkent omdat hij "bedrag wijzigen zonder idempotentie-check" al duizenden keren in andere codebases heeft gezien, niet omdat hij deze specifieke checkout-flow begrijpt. Wat de tool niet meegeeft en jij zelf moet narekenen: de voor de hand liggende oplossing (de code simpelweg blokkeren bij een tweede toepassing) zou ook een legitieme situatie blokkeren, zoals een klantenservicemedewerker die de korting handmatig opnieuw moet instellen na een technische storing. De juiste fix gebruikt een idempotency key per bestelpoging, niet een harde blokkade op de kortingscode zelf. Die nuance kent de AI niet, omdat hij de operationele uitzondering niet kent, alleen het codepatroon.

Waar AI code review misgaat: de grootste valkuil

De grootste valkuil is niet dat de AI een bug mist. Het is dat je team hem leert negeren. Een reviewer die bij elke pull request vijftien opmerkingen over naamgeving en importvolgorde geeft, samen met twee keer per maand een echte bug, traint developers om de hele lijst weg te klikken zonder lezen. Dat mechanisme heet alert fatigue: je aandacht voor losse signalen daalt naarmate het aantal signalen stijgt, en dat geldt voor code review net zoals voor een beveiligingsmonitor die te vaak alarm slaat.

Dit is precies waarom GitHub bewust kiest voor stilte in 29% van de reviews in plaats van altijd iets te melden. Stel je eigen reviewer scherper in (hogere confidence-drempel, alleen bugs en beveiliging, geen stijl) dan accepteer je minder opmerkingen maar een hoger aandeel dat klopt. Doe dit niet als je team nog aan het wennen is aan AI-feedback: begin dan juist met alles aan, en schrap categorieën pas als je ziet welke het team structureel negeert.

De tweede, stillere versie van dezelfde valkuil zit in de goedkeuringsknop. GitHub's "Copilot approvals" (in publieke preview) laat een AI-oordeel daadwerkelijk voldoen aan de verplichte-goedkeuringsregel van je repository, op dezelfde manier als een teamgenoot dat zou doen. Zet je dat aan zonder een tweede, verplichte menselijke reviewer in je branch-regel, dan kan een pull request naar productie zonder dat een mens hem ooit gelezen heeft. Nieuwe commits na een AI-goedkeuring maken die goedkeuring ongeldig, maar dat herstelt niets aan een PR die al gemerged was voordat die regel gold.

De derde versie is een volumeprobleem, en die gebeurde al echt. De maintainers van de programmeertaal OCaml wezen in november 2025 een pull request van 13.000 regels AI-gegenereerde code af, niet omdat de code per se slecht was, maar omdat niemand de capaciteit had om een wijziging van die omvang te beoordelen. AI-code reviewen kost aantoonbaar meer aandacht dan het reviewen van code die een mens schreef, precies omdat de reviewer ook moet nagaan of de AI de bedoeling wel begreep. Greg Foster, oprichter van codereviewbedrijf Graphite, trekt daaruit een harde grens die onafhankelijk is van welk AI-reviewmerk je kiest: "I don't ever see [AI agents] becoming a stand-in for an actual human engineer signing off on a pull request." Kies daarom voor kleinere, losse pull requests, ook als een agent een hele feature in één keer zou kunnen opleveren: dat houdt elke review behapbaar voor de mens die hem uiteindelijk goedkeurt.

Welke code mag je wel en niet door een AI code review tool laten checken?

Dependency-bestanden zoals package.json en lockfiles, logbestanden en SVG's reviewt Copilot code review standaard niet, ook niet als je ze meestuurt in de pull request. Dat betekent dat een kwetsbaarheid in een bijgewerkte dependency dit vangnet mist, en dat je daar een los proces voor nodig hebt (Dependabot of een vergelijkbare scanner), niet de code reviewer.

Voor wat de tool wél leest, telt je abonnement. Bij GitHub Copilot's Individual-plannen (Free, Pro, Pro+) gebruikt GitHub je prompts, code en suggesties standaard om het model te trainen, met een opt-out die je zelf moet instellen. Bij Business en Enterprise gebeurt dat niet; daar geldt een official Data Protection Agreement die onder de AVG past. Geef dus nooit broncode met klantdata, API-sleutels in platte tekst, of niet-opensource-bedrijfslogica aan een gratis of persoonlijk account. Een zakelijk abonnement met een verwerkersovereenkomst is hier de bodemregel, niet een instructie in je prompt.

Wat AI code review niet goed kan

Architectuurbeslissingen beoordelen lukt matig: of een nieuwe service logisch in je systeem past, blijft iets dat ervaring en productkennis vraagt. Cross-repository verbanden (deze wijziging breekt de service van een ander team) ziet de tool alleen als die context expliciet is meegegeven via een MCP-server of een gelinkt issue. En een mondelinge afspraak van gisteren ("we doen dit tijdelijk zo vanwege de migratie") bestaat voor de AI niet, tenzij iemand die heeft vastgelegd.

Dat gebrek aan context is meetbaar, niet alleen theoretisch: AI-geschreven code bevat logicafouten 1,75 keer zo vaak en cross-site-scripting-kwetsbaarheden 2,74 keer zo vaak als mensgeschreven code, volgens een academisch onderzoek dat Addy Osmani in zijn overzicht van AI-codereview aanhaalt. Dat is precies de categorie die een patroonherkenner het moeilijkst vindt, omdat elke logicafout anders is terwijl een stijlfout overal hetzelfde patroon volgt. Osmani's eigen beslisregel dekt daarom het echte risico: raakt de wijziging authenticatie, betalingen, geheimen of invoer van buiten je systeem, dan behandel je de AI als een snelle stagiair en voeg je altijd een menselijke dreigingsanalyse en een beveiligingstool toe vóór je merget, nooit de AI-review alleen.

Wat het oplevert, en hoe je het na zeven dagen meet

Klok drie dingen, zonder extra tooling, een week lang.

• Welk deel van de AI-opmerkingen leidt tot een echte code-aanpassing? Vergelijk dat aandeel met GitHub's eigen maatstaf van 71% bruikbare feedback op 60 miljoen reviews. Kom je daar structureel onder, dan staat je scope of effort-niveau te breed: schroef terug naar alleen bugs en beveiliging.
• Hoe vaak vindt een mens alsnog iets dat de AI miste, vooral op logica of architectuur? Dat aantal daalt niet door een betere tool, want dat is precies het deel dat mensenwerk blijft.
• Hoe lang duurt het tussen het openen van de pull request en de eerste reactie, AI en mens samen? Verwacht de AI-reactie binnen enkele minuten; verandert de tijd tot de menselijke reactie niet, dan verschuift er geen werk, alleen een extra stap.

Doe dit deze week

1. Zet één reviewer aan op één repository

   Kies het team dat de meeste pull requests per week heeft. Begin met de standaardinstelling (Balanced bij Copilot, Essentials bij CodeRabbit) voordat je iets verfijnt.

2. Schrijf de repository-instructie uit het voorbeeld hierboven

   Zet in .github/copilot-instructions.md (of het CodeRabbit-equivalent) specifiek wat voor jouw domein een risico is, zoals "elke korting of betaling mag maar één keer worden toegepast". Generieke instructies als "schrijf nette code" leveren niets op.

3. Tel een week lang de drie meetpunten hierboven

   Beslis na zeven dagen op de cijfers, niet op het gevoel. Negeert je team een groter aandeel van de opmerkingen dan de 29% die GitHub zelf al als "geen signaal" bestempelt, verklein dan de scope voor de volgende week.

Wil je dit met je eigen team en jullie eigen codebase opzetten, inclusief de instructiebestanden en de meetpunten? In Claude Code trainen bij jouw team bouwen we dat samen op, of plan een sessie via de Agent Sprint om een eerste reviewworkflow op te zetten. Wie breder wil kijken naar AI in het hele ontwikkelproces, niet alleen de reviewstap, leest verder in AI integreren in softwareontwikkeling.

Bronnen

• GitHub Blog, 60 million Copilot code reviews and counting, 5 maart 2026. Gebruiksgroei, het aandeel van 1 op de 5 reviews, de 71%/29%-signaalverhouding en de ruil tussen feedbackkwaliteit en snelheid.
• GitHub Docs, GitHub Copilot code review. Effort-niveaus (Lite/Balanced), kosten per review, uitgesloten bestandstypen, en de officiële waarschuwing dat Copilot niet gegarandeerd alles vindt.
• GitHub, Copilot plans FAQ. AI-credits, en het onderscheid in datagebruik tussen Individual- en Business/Enterprise-abonnementen voor modeltraining.
• Addy Osmani, Code Review in the Age of AI. Het citaat van Greg Foster (Graphite) dat een AI-agent nooit de plaatsvervanger wordt van een menselijke goedkeuring, de schatting dat correct ingestelde AI-reviewers 70 tot 80% van de voor de hand liggende problemen vangen, en het aangehaalde academische cijfer over logicafouten (1,75x) en XSS-kwetsbaarheden (2,74x) in AI-geschreven code.
• DevClass, OCaml maintainers reject massive AI-generated pull request, 27 november 2025. De afgewezen pull request van 13.000 regels, als voorbeeld van een reviewvolume dat de menselijke capaciteit overschrijdt.
• CodeRabbit, Pricing en CodeRabbit Secure. Abonnementsprijzen en de werking van de beveiligingslaag (bereikbaarheid, uitbuitbaarheid, impact).

Veelgestelde vragen

• Wat is AI code review?

  AI code review is een AI-agent, ook wel een AI code reviewer genoemd, die een pull request leest, vergelijkt met bekende bugpatronen en beveiligingsrisico's, en daar commentaar op plaatst voordat een mens de review doet. De nieuwere versies, zoals Copilot code review, doorzoeken ook de rest van de repository en gelinkte issues voor context, in plaats van alleen naar de losse diff te kijken.

• Kan AI code review een pull request goedkeuren?

  Met de functie "Copilot approvals" (publieke preview) kan een AI-oordeel daadwerkelijk voldoen aan de verplichte-goedkeuringsregel van een repository, op dezelfde manier als een teamgenoot dat zou doen. Zet dit alleen aan naast een verplichte tweede, menselijke reviewer in je branch-regel, anders kan een pull request zonder mensenoog naar productie.

• Is CodeRabbit beter dan GitHub Copilot code review?

  Ze verschillen vooral in platform en diepte, niet in "beter". Copilot code review zit ingebouwd in GitHub en is opgenomen in bestaande Copilot-abonnementen. CodeRabbit werkt ook op GitLab, Bitbucket en Azure DevOps en voegt een eigen beveiligingslaag toe die nagaat of een kwetsbaarheid echt bereikbaar en uitbuitbaar is. CodeRabbit stelt zelf expliciet dat het nooit zelf een fix samenvoegt; een mens beoordeelt en merget die altijd.

• Mag ik bedrijfscode door een AI code review tool laten checken?

  Alleen via een zakelijk abonnement met een verwerkersovereenkomst en modeltraining uitgeschakeld. Bij GitHub Copilot's Individual-plannen (Free, Pro, Pro+) gebruikt GitHub je prompts en code standaard om het model te trainen, tenzij je dat zelf uitzet; bij Business en Enterprise gebeurt dat niet. Geef nooit klantdata of API-sleutels in platte tekst mee aan een gratis of persoonlijk account.

• Is er een gratis AI code review tool of pr review ai optie?

  Voor openbare repositories biedt CodeRabbit gratis reviews aan, en GitHub Copilot Free geeft toegang tot basismodellen met een beperkt aantal completions per maand. Voor privérepositories met zakelijke code is dat niet gratis: dan betaal je per developer per maand of per AI-credit, afhankelijk van het effort-niveau dat je instelt.