Flaggskeppsrapport
Ordlista
Här förklaras de viktigaste begreppen i den styrda agentiska organisationen (GAO), på vardaglig svenska. Varje begrepp har en egen länk som går att dela och citera.
Grunderna
- Styrd agentisk organisation (GAO)
- En organisation där människor och AI-agenter arbetar tillsammans under uttalade mandat, spårbar identitet, avgränsade befogenheter, verkställbara kontroller, bestående bevis och namngivet mänskligt ansvar.
- Agentisk organisation
- En organisation där AI-agenter gör verkligt arbete. Den blir styrd först när den har en uttalad styrning för vem som får göra vad.
- Grundsats
- Varje styrd agentisk organisation är agentisk, men en agentisk organisation är inte automatiskt styrd.
- Verifierad autonomi
- Principen att en agent får så mycket självständighet som organisationen kan verifiera, men inte mer. Den växer i takt med bevisen, inte med hur kraftfull AI-modellen är, och ska alltid gå att dra tillbaka.
- Autonominivåer (VA0–VA5)
- Sex nivåer för hur mycket en enskild agent får göra på egen hand: observera, rekommendera, utföra efter godkännande, utföra inom mandat, samordna och delegera, samt anpassa sig inom förhandsgodkända gränser.
- Mognadsmodell (M0–M5)
- Sex nivåer för organisationen som helhet, från splittrad AI-användning till GAO i hela organisationen. Mognaden avgörs av den svagaste kritiska kontrollen, inte av genomsnittet.
- GAO-testet
- Tio frågor som en organisation måste kunna besvara för att räknas som en styrd agentisk organisation. Gör testet.
Konstitutionen
- Organisatorisk konstitution
- Reglerna för vem som får agera, varför, inom vilka gränser och vem som svarar: syfte, identitet, befogenhet, mandat, kontroll och ansvar.
- Syfte
- Skälet till att en agent finns: det mål i verksamheten den ska tjäna. En agent ska inte finnas bara för att tekniken gör det möjligt.
- Identitet
- Att organisationen alltid vet vilken agent som gjorde vad. Inloggningsuppgifter, processnamn och API-nycklar räcker inte ensamma som identitet.
- Befogenhet
- Organisationens tillstånd att agera. Att en agent tekniskt kan nå ett system ger den ingen befogenhet att använda det.
- Mandat
- Beskrivningen av agentens uppgift: varför den finns, vilka mål den ska bidra till, vad den ska göra och var den måste stanna. Ett mandat begränsar befogenheten men skapar den inte.
- Kontroll
- En gräns som faktiskt verkställs eller kan kontrolleras: den stoppar, pausar eller visar vad som hände. En policytext är ingen kontroll.
- Bevis
- Bestående spår av vad som hände: vem som agerade, med vilken befogenhet och vilket mandat, vilka kontroller som slog till och vad resultatet blev.
- Ansvar (ansvarsutkrävande)
- Det organisatoriska ansvaret ligger kvar hos namngivna människor och styrande organ. Agenter får avgränsad befogenhet men tar aldrig över ansvaret.
- Grundregel
- Ett mandat ger ingen befogenhet, och teknisk åtkomst ger ingen befogenhet. En agent får bara agera när befogenhet, mandat, gränser och kontroller stämmer samtidigt.
Styrning i praktiken
- Kontrollstack
- Styrningen i fem lager: AI-modellens förmåga längst ned, sedan agenternas utförande, kontrollerna, styrningen av flottan och överst människorna som bär ansvaret. Modellen kan bytas ut; styrningen ligger i lagren ovanför.
- Kontroll-lager (control plane)
- Det lager som verkställer gränserna för vad agenterna gör. Det är i sig en risk som också behöver styras.
- Flottstyrning
- Att styra många agenter mot verksamhetens mål utan att utöka deras befogenheter.
- AI-stabschef
- En AI-agent som samordnar flottan: fördelar arbete och håller ihop prioriteringar. Den fattar inte de viktiga besluten; det gör ansvariga människor. En AI-stabschef är ett sätt att ordna samordningen, inte ett krav.
- Oberoende granskning
- Granskning som ligger utanför den kedja som gör arbetet. Den som bygger en kontroll kan inte vara ensam om att bedöma den, och viktiga fynd måste kunna gå direkt till en ansvarig människa.
- Bevisdisciplin
- Att skilja på det som är utformat, det som är infört och det som är bevisat i drift. Ett policydokument bevisar inte att något verkställs.
- Lös grundorsaken
- Principen att varje betydande fel ska förbättra hela systemet, inte bara rättas en gång.
- Referensimplementation
- Navis Maters egen drift, där GAO-modellen används och prövas i den löpande verksamheten. GAO bygger på erfarenheterna därifrån.
Relaterade ramverk
- NIST AI RMF
- Ett frivilligt ramverk från NIST, det amerikanska standardiseringsinstitutet, för att styra, kartlägga, mäta och hantera AI-risker. GAO kopplar sådana krav till det dagliga arbetet. Vi gör inget anspråk på överensstämmelse.
- ISO/IEC 42001
- Den internationella standarden för ett ledningssystem för AI. GAO kompletterar standarden. Vi gör inget anspråk på överensstämmelse.
- Zero trust
- En säkerhetsprincip: inget förtroende ges automatiskt utifrån nätverksplats eller ägarskap. GAO tillämpar samma tanke på befogenheter: teknisk åtkomst ger ingen rätt att agera.
- Funktionsåtskillnad
- En princip för intern kontroll: samma aktör ska inte både utföra och godkänna viktiga åtgärder. GAO tillämpar den på utförande, granskning och godkännande, och lägger till oberoende eskalering.