Det har hänt något med AI-projekten det senaste året. Assistenter som föreslår text har fått sällskap av agenter som gör saker: bokar, registrerar, skickar, uppdaterar system. Skillnaden låter liten men är principiell. En assistent som formulerar ett dåligt utkast kostar en pinsam genomläsning. En agent som skickar fel mejl till fel kund har redan gjort det när någon upptäcker saken.
Det är därför styrningsfrågan har seglat upp som agentårens viktigaste, och den är påfallande frånvarande i det mesta som skrivs på svenska. Entusiasmen finns, vi har själva beskrivit vad agentskiftet innebär och hur en agent byggs i praktiken. Den här artikeln handlar om det tråkigare och viktigare: ramarna som gör att en agent kan gå i drift utan att hålla någon vaken om nätterna.
Styrning av AI-agenter innebär att sätta tekniska och organisatoriska ramar för vad en agent får göra: vilka behörigheter den har, hur dess handlingar loggas, när den måste lämna över till en människa och hur den stängs av.
Vad kan gå fel, konkret?
Riskbilden är inte längre teoretisk. OWASP, organisationen bakom webbsäkerhetens mest använda referenslistor, publicerade i december 2025 sin första topplista över risker i agentiska AI-system, framtagen av över hundra säkerhetsexperter och byggd på dokumenterade verkliga incidenter. Där finns mönster som verktygsmissbruk, där agenten använder sina kopplingar på oavsedda sätt, förgiftat minne som styr agentens framtida beteende, och kaskadfel där ett litet fel fortplantar sig genom en kedja av automatiska steg.
Gartner räknar kallt med att rättsprocesserna kommer: i sina förutsägelser från hösten 2025 spår analysfirman fler än 2 000 stämningar kopplade till bristande AI-skyddsräcken före slutet av 2026, och pekar på realtidsövervakning, revisionsspår och mänsklig kontroll som motmedlen.
Uppräkningen ska inte avskräcka från agenter. Den ska avskräcka från agenter utan ramar. Skillnaden mellan de två är fyra principer.
En AI-agent i drift behöver fyra saker: minsta möjliga behörighet, loggning av varje handling, tydliga gränser för när människor tar över och en avstängning som fungerar direkt.
Princip 1: Minsta möjliga behörighet
Den vanligaste genvägen är att låta agenten arbeta med en anställds inloggning. Det fungerar direkt, och det är precis därför det är farligt: agenten ärver allt personen kommer åt, långt mer än uppgiften kräver, och dess handlingar blandas med människans i alla loggar.
Ge agenten ett eget tjänstekonto i stället. Rättigheter enbart till de system uppgiften kräver, läsåtkomst som standard, skrivåtkomst punktvis. Samma logik som IT-avdelningen redan tillämpar på integrationer, och samma mönster vi beskrivit för behörigheter i skugg-AI-sammanhang: åtkomstfrågan avgör hur stor en incident kan bli.
Princip 2: Logga allt agenten gör
Varje åtgärd agenten vidtar ska lämna spår: vad den gjorde, när, på vilket underlag och med vilket resultat. Inte för att reglerna kräver det i dag, för det gör de i regel inte än, utan för att driften kräver det. En agent som inte kan förklaras kan inte felsökas, och en agent som inte kan felsökas förlorar organisationens förtroende vid första konstiga utfall.
Loggningen är också er försäkring den dag någon frågar varför ett beslut blev som det blev. Frågan kommer, från en kund, en revisor eller så småningom en tillsynsmyndighet, och "det vet vi inte" är ett svar som kostar mer än loggarna någonsin gjort.
Princip 3: Bestäm var människan tar över
Varje agent behöver en uttalad gräns mellan det den avgör själv och det den lämnar vidare. Belopp över en nivå, ärenden med juridiska inslag, allt som avviker från mönstret den tränats mot. Gränsen ska sättas av verksamheten, inte av utvecklaren, och den ska vara snäv i början för att vidgas i takt med förtroendet.
En AI-agent bör få sitt körkort stegvis, och trappan ser likadan ut oavsett bransch. Först kör agenten med handledare: varje åtgärd granskas av en människa innan den verkställs. Sedan får den köra själv på raksträckorna, alltså de ärendetyper där utfallet visat sig pålitligt, medan korsningarna fortfarande kräver mänskligt beslut. Statistiken från handledarfasen är beslutsunderlaget: när agenten föreslagit rätt åtgärd i hundra fall av hundra på en ärendetyp finns belägg för att släppa fram den där, och bara där. Samma statistik styr åt andra hållet: faller träffsäkerheten efter en systemuppdatering, en ny produktlinje eller ett ändrat regelverk, snävas gränsen in igen utan prestige. Så kör en av våra kunder sin offertagent i dag: fullt autonom på standardsortimentet, alltid människa på specialbeställningar, och gränsen mellan de två flyttas efter månadsvis genomgång av loggarna. Förtroende för en agent är inget man beslutar om, det är något loggarna får bevisa.
Princip 4: Avstängningen ska vara en knapp, inte ett projekt
Fråga er själva: om agenten börjar bete sig fel klockan sju en fredagkväll, vem stänger av den, och hur lång tid tar det? Om svaret innehåller orden "utvecklaren" eller "på måndag" är styrningen inte klar. Avstängning ska vara omedelbar, dokumenterad och möjlig för fler än en person: i praktiken att tjänstekontots åtkomst dras in på ett ställe. Det är också ett skäl att undvika agentlösningar som är så sammanvävda med era flöden att de inte går att pausa utan att verksamheten stannar.
Vad kräver reglerna, och vad är bara klokt?
Regelverket är mildare än många tror, än så länge. EU:s AI-förordning ställer sedan augusti 2026 transparenskrav enligt artikel 50, medan de tunga kraven på högrisksystem, inklusive uttryckliga loggkrav, börjar tillämpas i december 2027 och träffar en minoritet av användningsfallen. Den som vill ha en struktur att luta sig mot kan titta på ISO 42001, standarden för ledningssystem för AI, men för de flesta SME är principerna ovan viktigare än certifikatet. Regelöversikten finns i vår genomgång av EU AI Act och GDPR.
Redo att släppa fram en agent, med ramarna på plats?
Vi bygger agentlösningar med behörigheter, loggning och eskaleringsgränser som en del av leveransen, inte som ett tillägg efteråt. Läs om vår AI-utveckling eller boka ett samtal om ni vill resonera kring ett konkret flöde. Byron Calles är en AI-konsultbyrå med hemvist i Stockholm och kunder i hela Sverige.
Vanliga frågor
Vilka behörigheter ska en AI-agent ha?
En AI-agent ska ha minsta möjliga behörighet för sin uppgift, aldrig en människas fulla åtkomst. Ge agenten ett eget tjänstekonto med rättigheter enbart till de system och datamängder uppgiften kräver, med läsrättigheter som standard och skrivrättigheter bara där de behövs. Då går det att se exakt vad agenten gjort, begränsa skadan om något går fel och stänga av åtkomsten på ett ställe.
Måste AI-agenters beslut loggas enligt AI-förordningen?
Loggkraven i EU:s AI-förordning gäller fullt ut för högrisksystem, och de kraven börjar tillämpas i december 2027 efter omnibusuppskjutningen. De flesta agenter i administrativa flöden är inte högrisk, så där är loggning i dag inte ett uttryckligt lagkrav. Den är ändå nödvändig i praktiken: utan spårbarhet kan ni varken felsöka, förbättra eller visa i efterhand varför agenten agerade som den gjorde.
