Frågor om ansvar och styrning när AI-agenter agerar för företag
10 oktober 2026 · 2 min läsning
Diskussioner mellan it-chefer och säkerhetsansvariga har lyft fram behovet av att fastställa vem som bär ansvaret när AI-agenter agerar i människors namn. Det finns en växande osäkerhet kring vilka behörigheter dessa agenter ska ha och hur deras handlingar kan spåras och kontrolleras.
Enligt Gartner kan upp till 40 % av företagsapplikationerna integrera specialiserade agenter till slutet av 2026, vilket är en kraftig ökning från mindre än 5 % under 2025. Dessa agenter börjar nu implementeras i operativa, juridiska, finansiella och kommersiella processer.
AI-agenter skiljer sig från mänskliga användare eftersom de kan anpassa sitt beteende och utöka sitt handlingsutrymme baserat på verktyg och instruktioner. De kan agera för en anställd, få tillgång till flera system och delegera uppgifter till andra agenter. Detta gör att de bör behandlas som tillfälliga och begränsade arbetsbelastningsidentiteter snarare än permanenta användare.
En kritisk utmaning är skillnaden mellan teknisk åtkomst och faktisk auktoritet. Det räcker inte att veta vem som kan komma in i ett system, utan det måste fastställas vad agenten får besluta, till exempel om den får ändra kundakter eller binda företaget vid avtal. Risken ökar när agenter delegerar uppgifter till varandra, vilket kan skapa bredare åtkomstkedjor än vad som var avsett.
För att hantera dessa risker krävs styrning i realtid som kan blockera riskfyllda åtkomster och ta bort obefogade behörigheter. Detta sker i ett europeiskt regelverk med AI Act och NIS2, som ställer högre krav på säkerhet, riskhantering och övervakning av AI-system.
Företag uppmanas att inventera sina icke-mänskliga identiteter och tillämpa principen om minsta möjliga behörighet. Varje agent bör ha en utsedd ansvarig, ett tydligt syfte och tidsbegränsade rättigheter. Dessutom bör multifaktorautentisering användas för att skydda sessioner, tokens och konton.