När en AI-agent får tillgång till interna system, data och verktyg kan den utföra uppgifter som tidigare krävde mänsklig handling. Inom marknadsföring kan generativ AI gå från att stötta idéarbetet till att producera och anpassa innehåll för olika målgrupper. Inom utveckling kan agenter skriva och testa kod. Inom säkerhet kan de upptäcka avvikelser och föreslå, eller i vissa fall genomföra, åtgärder. 

Det skapar en ny typ av styrningsfråga: var går gränsen mellan det AI får göra självständigt och det som fortfarande kräver mänskligt omdöme? 

Ett förslag är en sak. En handling är något annat. 

Under den första vågen av generativ AI var ansvarsfördelningen relativt tydlig. En modell genererade ett svar och en människa bestämde vad som skulle hända med det. 

Agentisk AI förändrar den relationen. 

Ett system som kan planera en uppgift, använda olika verktyg och genomföra flera steg på egen hand har en helt annan förmåga att påverka verksamheten. Skillnaden mellan att låta AI formulera ett kundmejl och att låta den skicka det kan tyckas liten tekniskt, men ur ett ansvarsperspektiv är den betydande. Detsamma gäller skillnaden mellan att identifiera en säkerhetsrisk och att automatiskt förändra ett produktionssystem för att hantera den. 

Ju mer autonomt ett system blir, desto viktigare blir därför frågan om vilka mandat det faktiskt ska ha. 

Det är också här AI governance börjar lämna policydokumenten och flytta in i systemarkitekturen. EU:s AI-förordning illustrerar detta konkret: enligt artikel 14 ska AI-system med hög risk utformas så att de kan övervakas effektivt av människor under användning, med inbyggda funktioner som gör det möjligt att förstå systemets output, ingripa, avbryta eller stoppa det via en ”stopp”-funktion, och åsidosätta eller ignorera dess rekommendationer. Artikel 26 går ett steg längre och kräver att organisationer som använder sådana system utser specifika personer med rätt kompetens, utbildning och befogenhet för att utöva denna tillsyn – tillsyn ska alltså inte bara finnas som princip, utan ha en namngiven ägare. Behörigheter, tillgång till data, vilka verktyg en agent får använda och vilka handlingar som kräver godkännande behöver designas in från början. 

AI governance är inte längre bara en techfråga 

Det här är inte en isolerad teknikfråga. Samma utveckling sker redan i många delar av verksamheten, även om riskerna ser olika ut. 

För ett utvecklingsteam kan det handla om vilka miljöer en kodagent får arbeta i och när en människa måste godkänna förändringar. Inom cybersecurity handlar det om vilka åtgärder ett AI-system får vidta när det identifierar ett potentiellt hot. Inom HR kan gränsen gå mellan att använda AI för att sammanställa information och att låta tekniken påverka beslut om människor. 

Marknadsföring står inför sin egen version av samma fråga. Generativ AI används redan för text, bild, video, personalisering och kampanjoptimering. När produktionen blir snabbare och mer automatiserad blir det samtidigt mindre realistiskt att varje enskild output ska passera samma manuella granskningsprocess som tidigare. 

Det innebär inte att mänsklig kontroll blir mindre viktig. Däremot behöver organisationer bli betydligt mer precisa kring var den faktiskt behövs. 

Människan kan inte granska allt 

”Human-in-the-loop” har blivit en vanlig princip för ansvarsfull AI. Som utgångspunkt är den rimlig, men den säger ganska lite om hur en organisation faktiskt ska arbeta. 

Om varje steg i en automatiserad process kräver mänskligt godkännande försvinner snabbt mycket av värdet med automatiseringen. Om kontrollpunkterna är för få kan organisationen i stället upptäcka problem först efter att systemet redan har agerat. 

En agent som sammanställer information innebär en annan risk än en agent som kan förändra kunddata. AI-genererat internt arbetsmaterial behöver inte hanteras på samma sätt som kommunikation som publiceras externt under företagets varumärke. Ett system som rekommenderar en åtgärd kräver en annan styrning än ett system som själv genomför den. 

Kontrollpunkterna behöver därför utgå från vad systemet har tillgång till, konsekvensen om något går fel och hur enkelt en handling går att upptäcka, stoppa och återställa. 

Det handlar mindre om maximal mänsklig kontroll och mer om rätt kontroll vid rätt tillfälle. 

En policy kan inte stoppa en AI-agent 

Det här förändrar också vilka som behöver vara involverade när organisationer bygger och skalar AI. 

Legal behöver tolka regelverk och krav – inte minst EU AI Act:s tillsynskrav enligt artikel 14 och 26. Security behöver förstå hotbilden och vilka tekniska skydd som krävs. Utveckling och arkitektur behöver omsätta kraven i faktiska system och behörigheter. Verksamheten behöver förstå processerna tillräckligt väl för att avgöra vilka beslut som kan automatiseras och var mänskligt omdöme fortfarande är avgörande. 

Ingen av funktionerna kan lösa frågan ensam. 

Det är också därför AI governance riskerar att bli otillräckligt när det behandlas som ett separat complianceprojekt. En policy kan slå fast att känsliga beslut kräver mänsklig kontroll, men någon behöver fortfarande definiera vad det betyder i ett specifikt arbetsflöde – och bygga systemen så att kontrollen faktiskt sker. 

När AI blir en del av verksamhetens infrastruktur behöver governance bli en del av samma designarbete. 

Tydligare gränser kan ge AI större frihet 

För många organisationer är nästa utmaning inte att hitta fler användningsområden för AI. Experimenten finns redan och tekniken blir snabbt både mer kapabel och mer integrerad i de verktyg vi använder varje dag. Den svårare frågan är vilka lösningar som går att flytta från experiment till verklig verksamhet – och det är ingen självklarhet. Gartner förutspår att över 40 procent av alla agentiska AI-projekt kommer att läggas ner senast 2027, ofta på grund av stigande kostnader, otydligt affärsvärde och just governance-utmaningar. 

Här möts AI, cybersecurity, systemutveckling och verksamhetsförståelse. För att en AI-lösning ska kunna skalas behöver organisationen förstå både vilket värde den skapar och vilka konsekvenser dess handlingar kan få. Därefter behöver rätt begränsningar, behörigheter och kontrollpunkter byggas in i lösningen. 

Det behöver inte innebära mindre automatisering. Tvärtom kan tydliga mandat göra det möjligt att låta AI göra mer, eftersom organisationen vet var gränserna går och vad som ska hända när något avviker. 

När AI går från att hjälpa människor att arbeta till att själv börja utföra arbetet kommer governance därför allt mindre att handla om generella principer och allt mer om konkreta beslut i varje system och process. 

Frågan är inte längre bara om organisationen är redo att använda AI. 

Den är hur mycket handlingsutrymme organisationen är redo att ge den. 

Redo att ge AI större handlingsutrymme? 

På HiQ hjälper vi organisationer att ta AI från idé och experiment till lösningar som fungerar i verklig verksamhet. Genom att kombinera kompetens inom AI, mjukvaruutveckling, cybersecurity och verksamhetsutveckling kan vi hjälpa till att identifiera rätt användningsområden, designa säkra AI- och agentlösningar och bygga in rätt kontrollpunkter från början. 

Vill du utforska var AI kan få större handlingsutrymme i din verksamhet – utan att tappa kontrollen? Låt oss ta ett samtal.