KI-agenten bør ikke få blankofullmakt

En KI-assistent som foreslår et svar, og en KI-agent som sender det, er ikke samme verktøy. Forskjellen er ikke hvor intelligent modellen virker. Forskjellen er hvem som kan handle på våre vegne.

Vi stiller feil spørsmål når vi spør om agenten «kan gjøre jobben». Vi bør først spørre hva den får lov til å gjøre når den misforstår oppgaven. Den grensen må settes i systemet, ikke overlates til en høflig instruks i et samtalevindu.

Et utkast er ikke en utsendelse

Tenk deg en agent som skal hjelpe med en full innboks. Å lese en avgrenset melding, foreslå et svar og legge det som utkast kan spare arbeid. Å sende svaret, legge til nye mottakere eller hente vedlegg fra andre mapper er andre handlinger. De kan få konsekvenser for mennesker som aldri var med i samtalen med agenten.

Dette er et tenkt eksempel, ikke en beskrivelse av en bestemt virksomhet. Poenget er at hver ny rettighet endrer risikoen. Et feilaktig sammendrag kan korrigeres. En feiladressert e-post kan ikke hentes tilbake med samme sikkerhet.

Derfor bør «hjelp meg med e-posten» ikke automatisk bety «du kan sende fra min konto». La agenten begynne med lesetilgang til det den faktisk trenger og lagring av utkast. Gi sendetilgang bare for en tydelig avgrenset arbeidsflyt, og krev en egen kontroll når mottaker, vedlegg eller innhold faller utenfor rammen.

Tre grenser som betyr mer enn et løfte om å være forsiktig

Hva kan agenten se? En agent som skal oppsummere ett dokument, trenger ikke hele dokumentarkivet. En agent som skal undersøke en faktura, trenger ikke tilgang til alle kundesaker. Tilgang bør følge oppgaven og datamengden, ikke personen som bestilte den.

Hva kan agenten endre? Lesing, utkast, publisering, sletting og betaling er ulike fullmakter. Det er fristende å gi brede rettigheter for å slippe avbrudd. Men når agenten kan utføre irreversible eller offentlig synlige handlinger, bør et eget kontrollpunkt avgjøre om handlingen faktisk er autorisert.

Hvordan oppdager vi avvik? En logg bør vise hvilken oppgave som ble bestilt, hvilke verktøy som ble brukt, og hva som faktisk ble endret, uten å lagre unødvendige personopplysninger. En stoppmekanisme og en realistisk tilbakevei må være på plass før agenten får arbeide uten tett oppfølging.

Dette er ikke et argument mot automatisering. Det er et argument for å gjøre den brukbar også den dagen modellen tar feil. En arbeidsflyt som stadig krever at noen følger med på alt i sanntid, har dessuten ikke fjernet den manuelle belastningen; den har bare flyttet den.

Fullmakt må være smalere enn ambisjonen

Tekniske råd peker i samme retning. OWASP anbefaler minste nødvendige verktøyrettigheter, særskilt autorisasjon for følsomme handlinger og menneskelig kontroll ved høy risiko. NISTs rammeverk for KI-risiko legger vekt på definerte roller, oppgaver og prosesser for menneskelig tilsyn. Kildene er ikke en fasit for hver eneste arbeidsplass, men de støtter ett grunnprinsipp: Handlingsrommet må utformes før agenten får handle.

Det gjelder også inputen. Før en agent får lese en melding eller et dokument, må vi avgjøre hvilke opplysninger vi kan dele med KI-verktøyet. Ellers har vi gitt fra oss kontrollen allerede før den første verktøyhandlingen.

Konklusjonen er enkel: La KI-agenten få nok myndighet til å hjelpe, men ikke nok til å gjøre en vag bestilling om til en vid fullmakt. Autonomi er nyttig når grensene er tydelige. Uten grenser er det bare en raskere måte å overlate ansvaret til noe som ikke kan bære det.