Agent AI w firmie: co robi sam, a co zatwierdza człowiek
Jak podzielić pracę agenta AI w małej firmie: co może robić sam, co tylko jako szkic do akceptacji, a gdzie decyzja zostaje przy człowieku i dlaczego.
Agent AI może sam czytać, wyszukiwać, streszczać i przygotowywać szkice. Człowiek zatwierdza wszystko, czego nie da się cofnąć, co wychodzi poza firmę albo kosztuje pieniądze: wysyłkę maila do klienta, fakturę w KSeF, przelew, anulowanie zamówienia, decyzję o konkretnej osobie. O podziale nie decyduje to, jak „mądry” jest agent, tylko dwie cechy samej czynności: czy da się ją odwrócić i ile kosztuje pomyłka.
Tak samo stawiają sprawę twórcy modeli i standardy bezpieczeństwa. OpenAI w praktycznym przewodniku po budowie agentów pisze, że działania wrażliwe, nieodwracalne albo o wysokiej stawce powinny przechodzić przez nadzór człowieka, dopóki nie wzrośnie zaufanie do agenta. OWASP, organizacja zajmująca się bezpieczeństwem aplikacji, zaleca, żeby człowiek zatwierdzał działania o dużym wpływie, zanim zostaną wykonane.
Jak ocenić jedną czynność agenta
Agent to model językowy, który nie tylko odpowiada na pytania, ale sam wywołuje narzędzia: czyta skrzynkę, pyta program handlowy, zapisuje plik. Każde takie narzędzie oceniasz osobno. OpenAI proponuje nadać każdemu poziom ryzyka (niskie, średnie, wysokie) według czterech pytań:
| Pytanie | Niskie ryzyko | Wysokie ryzyko |
|---|---|---|
| Czyta czy zapisuje? | tylko czyta | zapisuje, zmienia, usuwa |
| Da się to cofnąć? | tak, jednym kliknięciem | nie albo tylko korektą |
| Na jakim koncie działa? | konto z wąskimi uprawnieniami | konto administratora, dostęp do wszystkiego |
| Dotyka pieniędzy? | nie | płatności, zwroty, ceny |
Wynik przekłada się na trzy koszyki: agent robi sam, agent przygotowuje szkic do akceptacji, czynność tylko z zatwierdzeniem człowieka.
Co agent może robić sam
Sam robi to, co tylko czyta i niczego nie zmienia poza własną odpowiedzią:
- streszcza pocztę i wskazuje maile wymagające reakcji;
- odpowiada na pytania o dane w programie: stany, zaległe płatności, historię klienta;
- przygotowuje zestawienia i raporty do wglądu;
- szuka w dokumentach firmy, umowach, cennikach.
Warunek: narzędzie naprawdę tylko czyta. OWASP podaje przykład wprost: dodatek, który streszcza maile, potrzebuje wyłącznie czytania, więc nie powinien umieć ich usuwać ani wysyłać. Jeśli korzystasz z Subiekta GT, tak działa nasz darmowy serwer MCP: czyta bazę, nie wystawia dokumentów, nie edytuje kartotek i niczego nie kasuje. Czym jest samo MCP, wyjaśniamy we wpisie MCP po polsku.
Nawet tutaj warto, żeby agent zostawiał ślad: co czytał i co odpowiedział. OWASP zaznacza, że logi i limity liczby działań nie zapobiegną błędom, ale ograniczą szkody, bo pozwolą je wcześniej zauważyć.
Szkic do akceptacji: agent przygotowuje, człowiek klika
Środkowy koszyk to czynności, które zapisują coś na zewnątrz, ale łatwo je sprawdzić przed wykonaniem. Agent przygotowuje gotowy szkic, a pracownik czyta i klika „wyślij” albo „zapisz”:
- odpowiedź do klienta albo dostawcy;
- przypomnienie o zaległej płatności;
- oferta lub zamówienie u dostawcy przed wysłaniem;
- wpis w CRM po rozmowie.
Agent oszczędza tu pisanie, a człowiek zachowuje kontrolę nad tym, co wychodzi z firmy. Ryzyko jest konkretne. OWASP opisuje scenariusz, w którym spreparowany mail przychodzący skłania model do przeszukania skrzynki i przesłania poufnych danych atakującemu. Takie zjawisko nazywa się prompt injection: polecenie ukryte w treści, którą agent czyta. Jedna z obron, które OWASP wymienia, to właśnie wymaganie, żeby człowiek sam przejrzał i kliknął „wyślij” przy każdym mailu przygotowanym przez agenta.
Tylko z zatwierdzeniem człowieka
Trzeci koszyk to czynności nieodwracalne, finansowe albo dotyczące konkretnych ludzi. OpenAI podaje jako przykłady anulowanie zamówień, duże zwroty i płatności.
W polskiej firmie dochodzi faktura w KSeF. Jak wyjaśnia Ministerstwo Finansów w pytaniach i odpowiedziach o KSeF, faktura po przyjęciu do systemu staje się dokumentem prawnym i nie można jej zmieniać, tylko skorygować. KSeF nie sprawdza też danych kontrahenta ani rachunków: faktura ze złym NIP zostanie przyjęta, a poprawka to korekta do zera i nowa faktura. Agent, który sam wystawia faktury, nie ma więc w urzędzie żadnej siatki bezpieczeństwa. Szkic faktury od agenta to dobry pomysł, wysyłka bez spojrzenia człowieka już nie.
Osobna grupa to decyzje o ludziach: odrzucenie kandydata, odmowa kredytu kupieckiego, blokada klienta. RODO w art. 22 daje osobie prawo, by nie podlegać decyzji opartej wyłącznie na zautomatyzowanym przetwarzaniu, jeśli ta decyzja wywołuje skutki prawne albo podobnie istotnie na nią wpływa. Gdy taka decyzja jest dopuszczalna, bo np. jest niezbędna do umowy, firma musi zapewnić co najmniej prawo do interwencji człowieka, do wyrażenia własnego stanowiska i do zakwestionowania decyzji. Najprościej: agent przygotowuje rekomendację z uzasadnieniem, decyzję podejmuje człowiek.
To nie jest porada prawna. Jeśli agent ma oceniać klientów, kandydatów albo pracowników, zapytaj radcę prawnego albo inspektora ochrony danych, zanim go uruchomisz. Szerzej o AI i danych osobowych piszemy we wpisie czy AI w firmie łamie RODO.
Dlaczego „napisaliśmy agentowi, żeby pytał” to za mało
Polecenie w instrukcji („zawsze pytaj przed wysłaniem”) agent zwykle respektuje, ale model może się pomylić albo dać się zmanipulować treścią, którą czyta. Dlatego OWASP zaleca, żeby o tym, co wolno, decydował system docelowy, a nie model. OWASP wskazuje też trzy typowe przyczyny, przez które agent może narobić szkód: ma funkcje, których nie potrzebuje, uprawnienia szersze niż zadanie i za dużo swobody bez zatwierdzania.
W praktyce oznacza to trzy ustawienia:
- Tylko potrzebne narzędzia. Agent do streszczania poczty nie dostaje funkcji wysyłania.
- Osobne konto o wąskich uprawnieniach. Agent łączy się z programem i pocztą przez konto, które może tylko to, czego wymaga zadanie, a nie przez konto właściciela.
- Potwierdzenie w aplikacji. Specyfikacja MCP, protokołu, przez który agenci podłączają się do programów, wymaga, żeby aplikacja uzyskała wyraźną zgodę użytkownika przed wywołaniem narzędzia, i zaleca, żeby przy narzędziach zawsze był człowiek, który może odmówić. Nie wyłączaj tych potwierdzeń dla narzędzi z trzeciego koszyka.
Dobrze też ustawić hamulec na wypadek pętli. OpenAI radzi limit prób, po którego przekroczeniu sprawa trafia do człowieka, a Anthropic opisuje punkty kontrolne i warunki stopu, np. maksymalną liczbę kroków.
Co zrobić w tym tygodniu
Wypisz czynności, które chcesz oddać agentowi, i przy każdej odpowiedz na cztery pytania z tabeli wyżej. Każdą wpisz do jednego koszyka: sam, szkic do akceptacji, tylko człowiek. Jeśli proces nie jest jeszcze spisany, zacznij od opisu procesu przed automatyzacją.
Na start zostaw agentowi wyłącznie pierwszy koszyk i szkice. Po kilku tygodniach przejrzyj logi: które szkice pracownicy akceptowali bez poprawek. Dopiero te czynności są kandydatami do większej samodzielności, a trzeci koszyk zostaje przy człowieku. Jeśli chcesz rozpisać to na procesy w swojej firmie, umów bezpłatną konsultację.