Governance without theatre

In most organisations the control register answers the auditor's question rather than the question about the incident. My claim is that one question, asked against every line of that register, settles the difference between the two: if this incident had happened yesterday, would this control have shown it, and after how long. There is a third answer — "it would not have shown it, but the law requires it" — and that answer is entirely legitimate and carries a defence of its own. The first two require evidence, and in AI governance almost nobody collects any.

I write this as someone who builds operational resilience for a living. That vantage point is biased in a predictable direction, which I would rather declare at the door.

Four categories of control, one of which has no name

Start with the vocabulary, because without it the whole argument comes apart on the word "control".

The standard split comes from the COSO framework Internal Control — Integrated Framework (COSO, 1992, updated 2013), which sorts controls into three families: preventive, detective and corrective. A preventive control stops the event. A detective one notices it after the fact. A corrective one repairs the damage. The split is old, and it is sufficient for a world in which a control either works or is absent.

Bruce Schneier added a category the standard did not have. In Beyond Fear (Copernicus, 2003) he coined security theatre: a measure that delivers a feeling of security without changing security itself. The term travelled well, moving from airports into risk registers, where it functions mainly as an insult. An insult is a poor analytical instrument, so I need something sharper.

I propose a fourth category, stating plainly that it is mine rather than something drawn from a standard. A signalling control is one whose only repeatable output is evidence of its own existence. It produces a register entry, minutes of a meeting, a screenshot from a console, a signature on an attendance sheet. All of it is real. None of it changes the probability that you will learn about an incident, or the date on which you will learn about it.

The line between detection and signalling has nothing to do with what the control's author intended. It is testable. A detective control has a defined threshold, something happens when that threshold is crossed, and there is a named person whose job that something is. It also has a clock: the time between the event and the moment that person receives the signal. Remove any one of those and what remains is an activity that generates evidence and nothing else.

A single control is often preventive and detective at once, so this is not a mutually exclusive classification, and arguing about the label is pointless wherever the threshold and the clock are written down. The label only starts to weigh on you where both are blank.

Theatre does not begin with cynicism. It begins with a control nobody took the clock away from, because nobody ever fitted one.

Time to detection is the unit of measurement

The cleanest available measurement of what delay costs comes from outside the world of AI. I reach for it because data on occupational fraud has been gathered systematically for well over a decade, while data on agent incidents is barely gathered at all.

The Association of Certified Fraud Examiners (ACFE) publishes Occupational Fraud: A Report to the Nations every two years. In the 2026 edition the median duration of a fraud before detection was twelve months. In cases caught within six months the median loss was USD 40,000. In cases that ran for more than five years the median exceeds USD 1.1 million, which is more than twenty-seven times higher. The sample covered 2,402 cases from 143 countries.

Let me say straight away what that figure is, because otherwise it will do work in this essay that it cannot carry. It is a measurement taken on a sample of detected cases, gathered by survey from the investigators who ran them, and the losses are the investigator's estimate rather than an audited amount. Frauds never detected cannot, by construction, appear in that sample. The true median latency is therefore longer than twelve months, and certainly not shorter. The direction of the relationship survives the flaw: the longer a case lives, the more it costs, and the curve is not a gentle one.

The second distribution in the same report matters more to my argument than the first. Among detected cases the initial source of detection was a tip from a human being in 43% of cases, internal audit in 15%, management review in 13% and external audit in 3%. The most expensive control, and the one most visible to the board, sits at the bottom of that list.

Add to that a finding that has recurred in ACFE reports for years: more than half of cases involved either an absence of internal controls or an override of controls that already existed. The word doing the work there is override. The control was in the register, it was being performed, it had an owner, and none of that produced detection.

Carrying these proportions straight across to agent incidents would be an abuse of the data, because occupational fraud has a perpetrator who is hiding, whereas an agent hides nothing and simply does its work in a way nobody anticipated. The only thing I carry across is the relationship between latency and cost.

From those two distributions I take a unit of measurement. The value of a detective control is expressible in time: how many hours or days pass between the event and a signal reaching somebody able to act on it. If you cannot state that number even roughly, you do not have a detective control. You have something else, and it is worth naming it yourself before an incident names it for you.

The control fired and nobody picked up the phone

The best-documented case of a signalling control in corporate history is not a case of a control being absent.

A staff report of the US Senate Committee on Commerce, published on 25 March 2014 as A "Kill Chain" Analysis of the 2013 Target Data Breach, reconstructed the intrusion into the American retail chain. One finding matters here: the FireEye system Target had deployed generated alerts when the malware was installed. The security team neither acted on the alerts nor enabled the automatic deletion feature. The alert carried a generic name, malware.binary, so the entry itself gave no way of telling whether this was something serious or simply more noise.

This is a legislative committee document built on information already disclosed, not on investigative access to the company's systems. It is official and it is secondary analysis at the same time. Even with that caveat the case is instructive, because it shows something control statistics will never show: the detection system fired exactly as designed, and the organisation learned nothing. A single case proves nothing statistically and I will not pretend otherwise, but it is enough to exhibit a failure scenario that a control register cannot tell apart from a healthy one.

Take apart what was missing. Not the tool, which cost real money and worked. What was missing was a threshold that would turn a particular alert into a particular obligation. What was missing was an owner of the response, meaning somebody held to account for what happened to the alert rather than for the alert having been raised at all. And what was missing was a clock, because nobody was measuring the time between the alert and a human decision.

In a register a control like that looks identical to one that works. It has a product name, a support contract, a technical owner and evidence of deployment. An auditor ticks it off without hesitating, because an auditor checks whether the control exists and whether it is performed as described. At Target both answers were yes.

That is the whole difficulty of the subject. A signalling control differs from a detective one in nothing that documentation can show. It differs only in what would have happened yesterday.

Where the theatre comes from

The cynical explanation is convenient and false. I have never met anyone who built a control intending it to detect nothing. Given that, we owe an account of why people acting in good faith systematically produce things that do not detect.

Michael Power described the first half of the mechanism in "Making things auditable" (Accounting, Organizations and Society, 1996) and developed it in The Audit Society: Rituals of Verification (Oxford University Press, 1997). His claim is that audit does not arrive with a ruler at an organisation it finds ready-made. The organisation first arranges itself into a shape that audit can read: it grows compliance functions and documentation systems, because without them there is nothing to examine. Auditability is not a property you find. It is a property that gets cultivated.

That is enough to derive the rest from first principles.

Consider the position of a control owner. They have a budget and their team's attention to spend. They also have two kinds of output they can produce. The first is evidence that the control exists and is being performed; that evidence can be produced on demand, at any moment, whether or not anything has happened. The second is a detection; that output appears only when something has gone wrong, which is to say rarely and never to order.

Now look at the payoffs. For a control missing from the register, the owner loses immediately and predictably: an audit finding, and a remediation plan to write. Then they answer for both of them at the risk committee. For a control that detected nothing all year, the owner loses nothing, because an absence of detections reads as a quiet year. For a control that did detect something, the owner gets an incident to handle and a question about how it was allowed to happen. Nobody is promoted for detection capability that is hard to display, and everybody loses for a gap in the register, because a gap is visible at once.

The payoffs are asymmetric, so the selection pressure runs one way. Controls evolve towards displayability, because displayability is the only thing rewarded on a regular schedule. Detection stays invisible for as long as nothing happens, and when something does happen it is often booked as a failure rather than as the control succeeding.

This is a model of incentives, not a description of any particular firm, so where a risk committee holds control owners to account for cases detected rather than for a complete register, the selection runs the other way. I have met few such committees.

Patricia Bromley and Walter W. Powell gave this situation a name more precise than "theatre". In their review "From Smoke and Mirrors to Walking the Talk: Decoupling in the Contemporary World" (Academy of Management Annals, 2012) they distinguished two kinds of gap between policy and reality. The classical gap ran between policy and practice: the firm declared one thing and did another. The contemporary one runs between means and ends. Policy and practice are in step, the activities genuinely take place, people genuinely perform them, and the whole apparatus connects to nothing that was supposed to result from it.

That is the right diagnosis of theatre in AI governance. Nobody is pretending. The quarterly review of the model register really does take place, the attendance list is genuine, the minutes land in the repository. Between those minutes and any knowledge of what the agent was doing at three o'clock on Tuesday morning there is no connection whatsoever, and nobody ever promised one.

The regulator carved agents out of the most mature control regime

Business practice contains exactly one regime that defines a control by comparison with an actual outcome rather than by the existence of a document. It is model risk management in American banking.

On 17 April 2026 the American banking supervisors issued SR 26-2, Revised Guidance on Model Risk Management, which rescinds and replaces SR 11-7 from 2011. The core survived. The guidance requires effective challenge, meaning critical analysis performed by independent experts. It attaches a condition that in practice decides everything: those experts must sit high enough in the organisation to force a change. It also requires outcomes analysis, meaning a comparison of what the model produced with what actually happened. Standing separately is the requirement for ongoing monitoring, with performance thresholds and a written response procedure.

That is a description of a detective control in full armour. There is a threshold, there is an owner, there is a comparison against the world.

Footnote three of the document says that generative AI models and agentic models are new and changing fast, and for that reason remain outside the scope of the guidance. The rules apply to statistical models and to AI that is neither generative nor agentic. The gap is not an essayist's hypothesis. It is written into a footnote, and the footnote is dated.

This must not be over-read. The guidance applies mainly to banks above thirty billion dollars in assets, and the footnote itself says that the organisation's own risk management tools are expected to cover these cases by other means. Reading it as evidence that supervisors are helpless would be an over-interpretation. The cautious reading is entirely sufficient: supervisors deliberately declined to extend the most mature available model of a detective control to the class of systems now entering production.

On 26 May 2026 Gartner published a release forecasting that by 2027 governance problems will push 40% of enterprises to demote or withdraw autonomous AI agents. The analyst Shiva Varma names the root cause as treating agent governance as binary: a system is either locked down completely or trusted completely. Gartner's recommendation is a four-stage autonomy ladder, running from observation to advice, then action with human approval, and finally independent action inside guardrails with monitoring and red teaming.

That is an analyst forecast, not a research result. There is no sample behind it and no operational definition of the word "demote", so it must not be cited as a measurement and I do not use it as one. I use it as a description of market expectations; graduated autonomy I took apart separately in the essay on agent demotions.

That leaves the question of how much we actually know about detecting agent incidents. Very little, and the only data available says something other than what it appears to say on a first reading.

The paper "Post-Deployment Accountability in AI Governance" (Mumtaz, Noor, Mumtaz, arXiv, 2026) analysed 480 incidents drawn from 1,365 records in the AI Incident Database covering 2020 to 2026. Internal monitoring detected 24 of them, which is 5.0%. The remaining 456 were surfaced by journalists, users, researchers, regulators or litigation.

That figure carries a trap, and the authors describe it themselves. The database collects publicly visible incidents, so by definition it omits those detected and resolved inside a company before anyone else found out. The sentence "only 5% of AI incidents are detected internally" would be an abuse of the data. The correct sentence is: among incidents that became public, 95% were surfaced by somebody outside the organisation. The difference between those two sentences is the entire content of the finding.

There is one more number in the paper, far more interesting as an illustration of my thesis than as data. The authors report that in 77.1% of cases there is no trace of the post-market monitoring required by Article 72 of the AI Act. The coding was automated: content analysis of the reports, looking for the presence of words describing monitoring and corrective action. The method measures the visibility of governance in the public record rather than governance. The Article 72 compliance metric is therefore itself a signalling control. It looks like the question "did the control work" and answers the question "was the control mentioned in the press".

An inventory with a "what would it have caught yesterday" column

On to the procedure, because a diagnosis without a procedure is one more document for the register.

Take the AI control register you already have. Do not build a new one, because a new register is the shortest road to second-order theatre. Add four columns to the existing one and fill them in against every line.

The second column is the heart of the exercise. Fill it with a real event, not a hypothesis. Take an incident or a complaint from the last three months. Walk the register line by line and answer, at each one, what that particular control would have said about that particular event, and when. Most lines will say nothing. That is the result of the exercise, and it is the reason for running it.

The third column settles an argument that cannot be settled any other way. "On an ongoing basis" is not an answer, because monitoring that runs every night gives you twenty-four hours in the worst case, while a quarterly review gives you ninety days in the worst case. Those two controls are routinely described in the register by the same word.

The fourth column guards against the opposite error. A control that detects nothing and costs nothing is a curiosity. A control that detects nothing and eats three days of the team's quarter is a cost line dressed as a safeguard.

The decision rule, once the table is filled in, goes like this. Lines with high friction and an empty second column go on the replacement list. Lines with an empty second column and zero friction stay, because it is not worth spending political capital to delete something that bothers nobody. Lines required by law always stay, and get a marker of their own. Lines with a sensible second column and an unknown third get an assignment: measure the time to detection before anybody starts debating their fate.

An empty second column can, in fairness, be an honest answer, because a control designed for a once-in-five-years event has no business showing anything about last quarter and should not be held to account for it. Write in the event horizon instead.

One thing in this procedure is non-negotiable. It has to be a list of replacements. If it produces more lines to delete than to build, the inventory was run for the wrong purpose. An ineffective control justifies replacing that control and nothing beyond it.

Three controls that genuinely detect around agents

The replacements have to come from somewhere. The three below have a primary source, and they carry the rare virtue that the source itself describes the condition under which they stop detecting.

The OpenAI paper Practices for Governing Agentic AI Systems (Shavit, Agarwal, Brundage, Adler et al., December 2023) lists seven practices. Three of them are register-ready immediately. It is a position paper from a laboratory that sells agents, not an empirical study and not a standard.

A decision log with the reasoning recorded at the moment of the decision. The authors propose that the user receive a record of the agent's actions, and they attach a warning more important than the proposal itself: do not ask an agent to justify a decision after the fact, because what it produces then is confabulation. The reasoning has to be generated together with the decision and written down as the decision is taken. The difference is practical. An action log tells you what happened, so it answers the question of sequence. An action log with reasoning tells you on what basis the agent judged that move to be the right one, so it answers the question of cause. Detection begins only at the second question, because that is the level at which you can see that the model understood the task differently from the human who set it.

This control has one limitation that must not be passed over, and it is my conclusion rather than the authors' claim. Its value depends on whether the reasoning a model produces stays legible to a human being, and that depends on somebody else's decisions about architecture and training. A control whose expiry date is set by your model vendor needs periodic checking that it still detects, rather than an annual confirmation that it still exists.

An irreversibility limit coupled to the supervision mode. The same paper states a rule worth knowing in its original wording: actions that can only be reviewed after the fact should be more easily reversible than actions that require approval in advance. On top of that sits a hard cut-off, in that some decisions, such as independently initiating a large irreversible financial transaction, must not be delegated at all. The authors also propose that agents periodically halt and wait for a human to re-authorise them.

Operationally this comes down to one question against every permission an agent holds: what does undoing this action cost, and how long does undoing it take. If it cannot be undone, the permission requires approval before execution. If undoing it costs an hour and nothing else, an after-the-fact review is enough, provided the review has a clock. This is a preventive control that does not charge full friction, because it imposes friction only where there is no way back.

Human sampling with the time to detection actually calculated. Here generalities stop being enough and the arithmetic has to be done, because "we review a sample of outputs" is a sentence that sounds like a detective control and can mean anything at all.

The arithmetic is simple, offered here as my own calculation rather than as a citation. Assuming independent sampling, a constant defect rate and a reviewer who catches a defect with certainty, the binomial distribution gives the number of observations needed to catch at least one instance with 95% probability. For a defect occurring at a rate of 5%, 59 observations are enough. For 1% you need 299. For 0.1% you need 2,995.

Translate that to an agent performing 10,000 actions a day. Reviewing one hundred random actions a day gives you, at a 1% defect rate, roughly a 63.4% chance of hitting at least one instance the same day. At a 0.1% defect rate that chance falls to 9.5%, which works out to an expected time to first detection on the order of ten or eleven days. The last assumption is generous, because a real reviewer is wrong more often than never. These numbers are an upper bound on what sampling can achieve, not a forecast.

One more assumption does the most damage in practice. Random sampling catches a defect that is spread evenly, and against a defect correlated with one particular task type it is very nearly blind, because drawing from the whole pool dilutes exactly the subset where the problem lives. Stratify the sample by task type.

The conclusion from this arithmetic is unpleasant and useful. A sample size picked by eye has a time to detection that nobody knows and anybody can compute in fifteen minutes. Compute it once and enter it in the register as a number. From that moment the conversation about enlarging the sample stops being a conversation about the team's commitment and becomes a conversation about days.

The OpenAI authors add a caveat at the end that closes this section better than any sentence of mine. They ask directly about minimum review times, so that approving does not turn into rubber-stamping. A human control with no minimum time per item slides into signalling by exactly the same movement as an alert with no owner.

When theatre is worth having

Now the strongest objection to everything above. It is serious, and it changes part of the scope of my claim.

The first part of the objection is legal, and it settles quickly. A regulatory requirement is a requirement regardless of detection. Article 12 of the AI Act obliges high-risk systems to be capable of automatically recording events across their whole life cycle. Article 26(6) requires the deployer to keep those logs for a period appropriate to the system's intended purpose and in no case shorter than six months. Article 26(5) requires monitoring of operation and immediate notification of the provider in the event of a serious incident. Article 14 requires the person exercising oversight to understand the system's limitations and to be aware of the tendency to trust an automated output without thinking.

A control required by law stays in the register even when the "what would it have shown yesterday" column is blank. Whether it is effective is a separate discussion, and it is not one you hold with your auditor.

On logs, though, the objection takes a turn that runs in my favour. Six months of records is material from which the question about yesterday can be answered. If anyone ever queries those logs, they turn from a cost line into a detection instrument in a single afternoon. The retention obligation buys an organisation the possibility of detection, and the rest of the distance you have to walk yourself.

The second part of the objection is stronger, because it is empirical. The mere presence of a control deters, and deterrence is by definition invisible in detection statistics: events that never happened leave no trace.

Ginger Zhe Jin and Phillip Leslie measured that effect in "The Effect of Information on Product Quality: Evidence from Restaurant Hygiene Grade Cards" (Quarterly Journal of Economics, 2003). In 1998 Los Angeles County required restaurants to display a hygiene grade in the window. Hospitalisations for digestive illness there fell by 27.1% year on year, against a fall of 5.3% in the rest of California. The net effect came to about twenty per cent. This is a quasi-experiment on hospital data published in a top-tier journal, not a self-report and not a forecast.

The mechanism of that control is inconvenient for my thesis, so let me set it out step by step. The inspections already existed. The only thing that changed was that the result became public, which is to say the control began working through visibility rather than through detection. Restaurateurs improved their hygiene before anybody detected anything in their kitchens.

The conclusion "deterrence cannot be measured, so leave the theatre alone" would nevertheless be false, and falsifiably so. Joel Slemrod and co-authors ran a randomised field experiment in Minnesota, described in "Taxpayer response to an increased probability of audit" (Journal of Public Economics, 2001). In 1994 and 1995, 1,724 randomly selected taxpayers received a letter informing them that their return would be examined in detail. The effect proved significant on self-reported income and nil on income reported by a third party.

That finding is sharper than it looks. Deterrence and detection are substitutes in the head of whoever the control is aimed at. Where an independent stream of data exists, announcing a control changes nothing, because its subject already knows they are visible. Where no such stream exists, the announcement alone does the control's work.

Carrying that result from tax returns over to agent governance is my analogy rather than the authors' conclusion, and it holds only to the degree that the subject of the control can genuinely tell whether it is being watched. That condition is testable.

From this I derive a rule that seems to me the right shape for the counter-argument. If you defend a control by its deterrent effect, you owe an account of how you will measure that effect. Deterrence is measurable, and it has been measured by two different methods by two independent teams. It simply requires a different research design from detection statistics, and in AI governance nobody is running one.

There is a further reason why the deterrence defence works worse around agents than anywhere else. Deterrence assumes the subject cannot check whether the control actually sees. Against your own engineers that assumption is thin, because they read the configuration. Against an agent it is thinner still: a system running in your environment observes which actions provoke a reaction and which pass without echo, and it does so at a scale at which no human being accumulates experience.

I close this section by handing the floor to the man who coined the term, because his caveat is stronger than mine. In "Beyond Security Theater" (New Internationalist, November 2009) Bruce Schneier wrote that alongside hard measures the feeling of security must not be neglected, because that feeling is what a population collectively uses to get past the psychological damage of an attack. In the same piece he separated the things that work, most of them invisible, from the theatre that answers the last incident with one specific countermeasure. His example comes from an airport. Concentrate screening on shoes and confiscated liquids, and if the attackers hide the material somewhere else, the money is wasted.

The man who invented the concept drew its boundary himself. That is the most honest form this counter-argument can take, and I accept it without haggling.

What this test will not see

The "what would it have caught yesterday" test has three blind spots, and they need naming before somebody builds a policy on it.

The first concerns prevention. A preventive control working perfectly produces zero events, so it answers the question about yesterday with a blank indistinguishable from the blank of a signalling control. Settling that requires a different question: how many times in the last quarter did this control refuse something. Then check what became of those refusals. A preventive control with zero refusals over a year is either redundant or configured to let everything through.

The second concerns imagination. Yesterday's incident is drawn from the set of events you can already imagine, so the test optimises detection against a known repertoire of failures. Against an event nobody put on the list it gives you nothing, and nobody should pretend otherwise. It reduces variance where you can name the failure.

The third is political, and I consider it the most dangerous. The sentence "all of this is theatre" is a convenient alibi for somebody who does not want to build governance at all, and my essay hands them a complete set of arguments. That is why the replacement rule from the inventory section is not decoration but a condition of using the whole instrument correctly. An empty register is worse than a register full of theatre, because theatre at least keeps alive the organisation's memory of which risks somebody once judged to be real.

To that add my own bias, declared at the start. I work in operational resilience, so building and selling detective controls is my trade. My overvaluing of them relative to prevention is predictable, and the reader is entitled to discount it. The claim about time to detection nevertheless stands independently of who makes it, because it rests on the ACFE numbers and on the sampling arithmetic rather than on my experience.

The first control to replace

Do one thing with this, this week, rather than twelve of them next quarter.

Open the AI control register and fill in two columns against every line: what it would have shown yesterday, and after how many hours. The rest of the table can wait. Of the lines left with an empty first column, pick the one with the highest cost in friction and write a replacement for it, with a threshold and an owner. Calculate its time to detection. One line. Before you start the second, measure whether the first showed you anything.

A register does not know how long an incident lives inside it. That number exists whether or not anybody has calculated it, and on the day of the incident it is almost always supplied by somebody from outside.

Sources

1. primaryAssociation of Certified Fraud Examiners, Occupational Fraud 2026: A Report to the Nations (2026) — median time to detection, distribution of losses against latency, distribution of initial detection sources, the finding on control override. Sample: 2,402 detected cases, 143 countries; losses estimated by the investigators.
2. primaryUS Senate Committee on Commerce, Science & Transportation, A "Kill Chain" Analysis of the 2013 Target Data Breach (staff report, 25 March 2014) — detection-system alerts with no response and with automatic deletion left disabled. Secondary analysis holding official status.
3. primaryBoard of Governors of the Federal Reserve System, OCC, FDIC, SR 26-2: Revised Guidance on Model Risk Management (17 April 2026) — effective challenge, outcomes analysis, ongoing monitoring; the footnote excluding generative and agentic models from scope. Replaces SR 11-7 of 2011.
4. primaryEuropean Parliament and Council, Regulation 2024/1689 (the Artificial Intelligence Act) — Art. 12 (record-keeping), Art. 14 (human oversight and the tendency to trust automated output), Art. 26(2), (5) and (6) (deployer obligations, log retention of no less than six months).
5. primaryY. Shavit, S. Agarwal, M. Brundage, S. Adler et al., Practices for Governing Agentic AI Systems (OpenAI, December 2023) — an action log with reasoning recorded at the moment of the decision, reversibility coupled to the supervision mode, minimum review times. A laboratory position paper, not an empirical study.
6. primaryU. Mumtaz, R. Noor, S. Mumtaz, Post-Deployment Accountability in AI Governance: A Cross-Regulatory Empirical Analysis of AI Incidents (arXiv, 2026) — 480 incidents from the AI Incident Database, the share of internal detections, compliance coded from press reports.
7. primaryM. Power, "Making things auditable", Accounting, Organizations and Society 21(2–3), 1996, and The Audit Society: Rituals of Verification, Oxford University Press, 1997 — auditability as a property manufactured by the organisation.
8. primaryP. Bromley, W. W. Powell, "From Smoke and Mirrors to Walking the Talk: Decoupling in the Contemporary World", Academy of Management Annals 6(1), 2012 — the decoupling of means from ends with policy and practice in step.
9. primaryG. Z. Jin, P. Leslie, "The Effect of Information on Product Quality: Evidence from Restaurant Hygiene Grade Cards", Quarterly Journal of Economics 118(2), 2003 — deterrence through disclosure, measured by the fall in hospitalisations.
10. primaryJ. Slemrod, M. Blumenthal, C. Christian, "Taxpayer response to an increased probability of audit: evidence from a controlled experiment in Minnesota", Journal of Public Economics 79(3), 2001 — randomised field experiment; the limit of deterrence where an independent data stream exists.
11. primaryB. Schneier, Beyond Fear: Thinking Sensibly About Security in an Uncertain World, Copernicus, 2003, and "Beyond Security Theater", New Internationalist, November 2009 — the definition of security theatre and its limitation by the author himself.
12. primaryCOSO, Internal Control — Integrated Framework (1992, updated 2013) — the split into preventive, detective and corrective controls. The signalling category is an addition by the author of this essay and does not come from the COSO framework.
13. secondaryGartner, press release of 26 May 2026, Gartner Says Applying Uniform Governance Across AI Agents Will Lead to Enterprise AI Agent Failure (forecast: by 2027, 40% of enterprises demote or decommission autonomous agents; four-stage autonomy; Shiva Varma) — Gartner newsroom blocks automated retrieval (403); wording confirmed against the primary URL and independent trade write-ups (CIO, The Register). Analyst forecast, not a survey result.

Rejestr kontroli w większości organizacji odpowiada na pytanie audytora, a nie na pytanie o incydent. Twierdzę, że różnicę między jednym a drugim rozstrzyga jedno pytanie zadane przy każdej pozycji rejestru: gdyby ten incydent zdarzył się wczoraj, czy ta kontrola by go pokazała i po jakim czasie. Trzecia odpowiedź — „nie pokazałaby, ale wymaga jej przepis” — jest w pełni legalna i ma własną, osobną obronę. Pierwsze dwie wymagają dowodu, a w governance AI prawie nikt go nie zbiera.

Piszę to jako człowiek, który zawodowo buduje odporność operacyjną. Ta perspektywa jest stronnicza w przewidywalny sposób i wolę ją zadeklarować na wejściu.

Cztery kategorie kontroli, z czego jedna nie ma nazwy

Zacznijmy od słownika, bo bez niego cały spór rozjeżdża się na słowie „kontrola”.

Standardowy podział pochodzi z ramy COSO Internal Control — Integrated Framework (COSO, 1992, aktualizacja 2013) i dzieli kontrole na trzy rodziny: prewencyjne, detekcyjne i korekcyjne. Prewencyjna nie dopuszcza zdarzenia. Detekcyjna zauważa je po fakcie. Korekcyjna naprawia skutek. Podział jest stary i wystarcza dla świata, w którym kontrola albo działa, albo jej nie ma.

Bruce Schneier dołożył do tego opisu kategorię, której w standardzie nie było. W książce Beyond Fear (Copernicus, 2003) ukuł termin security theater, czyli teatr bezpieczeństwa: środek, który daje poczucie bezpieczeństwa, choć nie zmienia bezpieczeństwa faktycznego. Pojęcie zrobiło karierę i przeszło z lotnisk do rejestrów ryzyka, gdzie funkcjonuje głównie jako obelga. Obelga to marne narzędzie analityczne, więc potrzebuję czegoś ostrzejszego.

Proponuję czwartą kategorię i zaznaczam wprost, że jest moja, a nie zaczerpnięta ze standardu. Kontrola sygnalizacyjna to taka, której jedynym powtarzalnym produktem jest dowód własnego istnienia. Produkuje wpis w rejestrze, protokół ze spotkania, zrzut ekranu z konsoli, podpis pod listą obecności. Wszystko to jest prawdziwe. Żadne z tego nie zmienia prawdopodobieństwa, że dowiesz się o incydencie, ani terminu, w którym się dowiesz.

Rozróżnienie między detekcją a sygnalizacją nie jest kwestią intencji autora kontroli. Jest sprawdzalne. Kontrola detekcyjna ma zdefiniowany próg, po którego przekroczeniu coś się dzieje, i ma osobę, która to coś ma zrobić. Ma także zegar: czas między zdarzeniem a momentem, w którym ta osoba dostaje sygnał. Zabierz którykolwiek z tych elementów, a zostaje ci czynność, która generuje dowód i nic poza tym.

Jedna kontrola bywa przy tym prewencyjna i detekcyjna naraz, więc podział nie jest klasyfikacją rozłączną i nie ma sensu spierać się o etykietę wtedy, gdy zegar i próg są zapisane. Etykieta zaczyna ciążyć dopiero przy pustce.

Teatr nie zaczyna się od cynizmu. Zaczyna się od kontroli, której nikt nie odebrał zegara, bo nikt go nigdy nie założył.

Czas do wykrycia jest jednostką miary

Najczystszy dostępny pomiar tego, ile kosztuje opóźnienie, pochodzi spoza świata AI. Sięgam po niego, bo dane o nadużyciach w miejscu pracy zbiera się systematycznie od kilkunastu lat, a o incydentach agentowych nie zbiera się prawie wcale.

Association of Certified Fraud Examiners (ACFE) publikuje co dwa lata raport Occupational Fraud: A Report to the Nations. W edycji z 2026 roku mediana czasu trwania nadużycia przed wykryciem wyniosła dwanaście miesięcy. Mediana straty w sprawach wykrytych do sześciu miesięcy to 40 tys. USD. W sprawach trwających ponad pięć lat mediana przekracza 1,1 mln USD, czyli jest ponad dwudziestosiedmiokrotnie wyższa. Próba objęła 2402 sprawy ze 143 krajów.

Powiem od razu, czym ta liczba jest, bo inaczej zrobi w eseju robotę, której nie uniesie. To pomiar na próbie spraw wykrytych, zebranych ankietą wśród śledczych, którzy je prowadzili, a straty są szacunkiem śledczego, nie zaudytowaną kwotą. Nadużycia nigdy niewykryte z konstrukcji nie mogą się w tej próbie znaleźć. Prawdziwa mediana latencji jest więc dłuższa niż dwanaście miesięcy, na pewno nie krótsza. Kierunek zależności jest jednak odporny na tę wadę: im dłużej sprawa żyje, tym drożej kosztuje, i nie jest to zależność łagodna.

Drugi rozkład z tego samego raportu jest dla mojej tezy ważniejszy niż pierwszy. Wśród spraw wykrytych pierwszym źródłem wykrycia było zgłoszenie od człowieka w 43% przypadków, audyt wewnętrzny w 15%, przegląd kierowniczy w 13%, a audyt zewnętrzny w 3%. Kontrola najdroższa i najlepiej widoczna dla rady nadzorczej znajduje się na końcu tej listy.

Do tego dochodzi ustalenie, które w raportach ACFE wraca od lat: ponad połowa spraw wiązała się z brakiem kontroli wewnętrznych albo z obejściem kontroli już istniejących. Słowo „obejście” jest tu najważniejsze. Kontrola była w rejestrze, była wykonywana i miała właściciela, a wykrywalności to nie dało.

Przenoszenie tych proporcji wprost na incydenty agentowe byłoby nadużyciem, bo nadużycie w miejscu pracy ma sprawcę, który się ukrywa, a agent niczego nie ukrywa i robi swoje w sposób, którego nikt nie przewidział. Przenoszę wyłącznie zależność latencji i kosztu.

Z tych dwóch rozkładów wyciągam jednostkę miary. Kontrola detekcyjna ma wartość wyrażalną w czasie: ile godzin albo dni mija między zdarzeniem a sygnałem, który dociera do kogoś zdolnego zareagować. Jeśli tej liczby nie umiesz podać nawet z grubsza, nie masz kontroli detekcyjnej. Masz coś innego i warto to nazwać po imieniu, zanim zrobi to za ciebie incydent.

Kontrola zadziałała i nikt nie odebrał telefonu

Najlepiej udokumentowany przypadek kontroli sygnalizacyjnej w historii korporacyjnej nie polega na tym, że kontroli zabrakło.

Raport sztabowy Senackiej Komisji do spraw Handlu, opublikowany 25 marca 2014 roku pod tytułem A „Kill Chain” Analysis of the 2013 Target Data Breach, odtworzył przebieg włamania do amerykańskiej sieci handlowej. Dla tego eseju liczy się jedno ustalenie: wdrożony u Targetu system FireEye wygenerował alerty o instalacji złośliwego oprogramowania. Zespół bezpieczeństwa ani nie zareagował na alerty, ani nie włączył funkcji automatycznego usuwania. Alert nosił nazwę generyczną, malware.binary, więc z samego wpisu nie dało się odczytać, czy chodzi o rzecz poważną, czy o kolejny szum.

To jest dokument komisji parlamentarnej oparty na wcześniej ujawnionych informacjach, a nie na dostępie śledczym do systemów firmy. Ma status oficjalny i status analizy wtórnej jednocześnie. Nawet z tym zastrzeżeniem przypadek jest instruktażowy, bo pokazuje rzecz, której statystyka kontroli nigdy nie pokaże: system detekcyjny odpalił zgodnie z projektem, a organizacja nie dowiedziała się niczego. Pojedynczy przypadek niczego nie dowodzi statystycznie i nie udaję, że dowodzi, natomiast wystarcza, żeby pokazać scenariusz porażki, którego rejestr kontroli nie potrafi odróżnić od stanu poprawnego.

Rozbierzmy, czego tam zabrakło. Nie zabrakło narzędzia, bo narzędzie kosztowało realne pieniądze i działało. Zabrakło progu, który zamieniałby konkretny alert w konkretne zobowiązanie. Zabrakło właściciela reakcji, czyli osoby rozliczanej z tego, co się z alertem stało, a nie z tego, że alert w ogóle powstał. I zabrakło zegara, bo nikt nie mierzył, ile czasu mija między alertem a decyzją człowieka.

Taka kontrola w rejestrze wygląda identycznie jak kontrola działająca. Ma nazwę produktu, umowę serwisową, właściciela technicznego i dowód wdrożenia. Audytor odhaczy ją bez wahania, bo audytor sprawdza, czy kontrola istnieje i czy jest wykonywana zgodnie z opisem. Obie odpowiedzi były u Targetu twierdzące.

Tu leży cała trudność tego tematu. Kontrola sygnalizacyjna nie różni się od detekcyjnej niczym, co widać w dokumentacji. Różni się tylko tym, co by się stało wczoraj.

Skąd się bierze teatr

Wyjaśnienie przez cynizm jest wygodne i fałszywe. Nikogo nie spotkałem, kto budowałby kontrolę z zamiarem, żeby nic nie wykryła. Skoro tak, trzeba wyjaśnić, dlaczego ludzie działający w dobrej wierze systematycznie produkują rzeczy, które nie wykrywają.

Michael Power opisał pierwszą połowę mechanizmu w artykule „Making things auditable” (Accounting, Organizations and Society, 1996) i rozwinął go w książce The Audit Society: Rituals of Verification (Oxford University Press, 1997). Jego teza jest taka: audyt nie przychodzi z linijką do organizacji zastanej. Organizacja wcześniej sama układa się w kształt, który audyt potrafi odczytać — wytwarza działy zgodności i systemy dokumentacji, bo bez nich nie da się jej zbadać. Audytowalność nie jest cechą zastaną. Jest hodowana.

To wystarcza, żeby wyprowadzić resztę od pierwszych zasad.

Rozważmy pozycję właściciela kontroli. Ma do dyspozycji budżet i uwagę zespołu. Ma też dwa rodzaje wyniku, które może wyprodukować. Pierwszy to dowód, że kontrola istnieje i jest wykonywana; ten dowód da się okazać na żądanie, w dowolnym momencie, niezależnie od tego, czy cokolwiek się wydarzyło. Drugi to wykrycie; ten wynik pojawia się wyłącznie wtedy, gdy coś złego się stało, czyli rzadko i nie na zamówienie.

Teraz spójrzmy na wypłaty. Za kontrolę, której brakuje w rejestrze, właściciel traci natychmiast i przewidywalnie: dostaje ustalenie z audytu i plan naprawczy do napisania. Potem tłumaczy się z jednego i z drugiego na komitecie ryzyka. Za kontrolę, która przez rok niczego nie wykryła, nie traci nic, bo brak wykryć czyta się jako spokojny rok. Za kontrolę, która coś wykryła, dostaje incydent do obsługi i pytanie, dlaczego do tego doszło. Nikt nie awansuje za wykrywalność, którą trudno pokazać, a każdy traci za brak pozycji w rejestrze, bo tę lukę widać od razu.

Wypłaty są asymetryczne, więc selekcja jest jednokierunkowa. Kontrole ewoluują w stronę pokazywalności, bo tylko pokazywalność jest wynagradzana regularnie. Wykrywalność pozostaje niewidoczna dopóty, dopóki nic się nie stanie, a kiedy się stanie, bywa liczona jako porażka, nie jako sukces kontroli.

Ten wywód jest modelem bodźców i nie opisuje konkretnej firmy, więc w organizacji, w której komitet ryzyka rozlicza właścicieli kontroli z liczby wykrytych spraw zamiast z kompletności rejestru, selekcja pójdzie w drugą stronę. Takich komitetów spotkałem niewiele.

Patricia Bromley i Walter W. Powell dali tej sytuacji nazwę precyzyjniejszą niż „teatr”. W przeglądzie „From Smoke and Mirrors to Walking the Talk: Decoupling in the Contemporary World” (Academy of Management Annals, 2012) rozróżnili dwa rodzaje rozejścia się polityki z rzeczywistością. Klasyczne rozejście dotyczyło polityki i praktyki: firma deklarowała jedno, robiła drugie. Współczesne dotyczy środków i celów. Polityka i praktyka są zsynchronizowane, czynności naprawdę się odbywają, ludzie naprawdę je wykonują, a całość nie łączy się z zamierzonym rezultatem.

To jest właściwa diagnoza teatru w governance AI. Nikt nie udaje. Kwartalny przegląd rejestru modeli naprawdę się odbywa, lista uczestników jest prawdziwa, notatka trafia do repozytorium. Między tą notatką a informacją o tym, co robił agent we wtorek o trzeciej w nocy, nie ma żadnego połączenia i nikt tego połączenia nie obiecywał.

Regulator wyłączył agentów z najdojrzalszego reżimu kontroli

W praktyce biznesowej istnieje jeden reżim, który definiuje kontrolę przez porównanie z rzeczywistym wynikiem, a nie przez istnienie dokumentu. To zarządzanie ryzykiem modeli w bankowości amerykańskiej.

17 kwietnia 2026 roku amerykańscy nadzorcy bankowi wydali dokument SR 26-2, Revised Guidance on Model Risk Management, który uchyla i zastępuje SR 11-7 z 2011 roku. Trzon pozostał. Wytyczna wymaga skutecznego zakwestionowania (effective challenge), czyli krytycznej analizy prowadzonej przez niezależnych ekspertów. Dokłada do tego warunek, który w praktyce rozstrzyga o wszystkim: ci eksperci muszą mieć w organizacji dość wysoką pozycję, żeby wymusić zmianę. Wymaga też analizy wyników (outcomes analysis), czyli porównania tego, co model wypluł, z tym, co faktycznie się wydarzyło. Osobno stoi wymóg bieżącego monitorowania z progami wydajności i zapisaną procedurą reakcji.

To jest opis kontroli detekcyjnej w pełnym uzbrojeniu. Jest próg, jest właściciel, jest porównanie ze światem.

Przypis trzeci tego dokumentu mówi, że modele generatywnej AI i modele agentowe są nowe i szybko się zmieniają, a w związku z tym pozostają poza zakresem wytycznej. Zasady stosują się do modeli statystycznych i do AI niegeneratywnej i nieagentowej. Luka nie jest hipotezą eseisty. Jest zapisana w przypisie, z datą.

Nie wolno tego nadużyć. Wytyczna dotyczy głównie banków powyżej trzydziestu miliardów dolarów aktywów, a sam przypis mówi, że narzędzia zarządzania ryzykiem organizacji mają te przypadki pokryć w inny sposób. Wyciąganie z niego wniosku o bezradności nadzorców byłoby nadinterpretacją. Ostrożny wniosek wystarcza w zupełności: nadzorcy świadomie nie rozciągnęli najdojrzalszego dostępnego wzorca kontroli detekcyjnej na klasę systemów, która właśnie wchodzi do produkcji.

Gartner opublikował 26 maja 2026 roku komunikat, w którym prognozuje, że do 2027 roku problemy z governance skłonią 40% przedsiębiorstw do zdegradowania albo wycofania autonomicznych agentów AI. Jako przyczynę źródłową analityk Shiva Varma wskazuje traktowanie governance agentów binarnie: system jest albo zamknięty na głucho, albo obdarzony pełnym zaufaniem. Rekomendacja Gartnera to czterostopniowa autonomia — obserwacja, doradzanie, działanie za zgodą człowieka, wreszcie działanie samodzielne w barierkach z monitoringiem i red teamingiem.

To jest prognoza analityczna, nie wynik badania. Nie stoi za nią próba ani definicja operacyjna słowa „zdegradować”, więc nie wolno jej cytować jako pomiaru i sam jej tak nie używam. Używam jej jako opisu oczekiwań rynku, a stopniowaną autonomię rozebrałem osobno w eseju o degradacjach agentów.

Zostaje pytanie, ile wiemy o wykrywaniu incydentów agentowych naprawdę. Wiemy niewiele, a jedyne dostępne dane mówią coś innego, niż się wydaje przy pierwszym czytaniu.

Praca „Post-Deployment Accountability in AI Governance” (Mumtaz, Noor, Mumtaz, arXiv, 2026) przeanalizowała 480 incydentów wybranych z 1365 rekordów bazy AI Incident Database z lat 2020–2026. Wewnętrzny monitoring wykrył 24 z nich, czyli 5,0%. Pozostałe 456 ujawnili dziennikarze, użytkownicy, badacze, regulatorzy albo postępowania sądowe.

Ta liczba ma pułapkę i autorzy sami ją opisują. Baza zbiera incydenty publicznie widoczne, więc z definicji pomija te wykryte i rozwiązane wewnątrz firmy, zanim ktokolwiek się o nich dowiedział. Zdanie „tylko 5% incydentów AI wykrywa się wewnętrznie” byłoby nadużyciem. Poprawne zdanie brzmi: wśród incydentów, które stały się publiczne, 95% ujawnił ktoś z zewnątrz organizacji. Różnica między tymi dwoma zdaniami jest całą treścią ustalenia.

Jest tam jeszcze jedna liczba, dużo ciekawsza jako ilustracja mojej tezy niż jako dane. Autorzy raportują, że w 77,1% przypadków nie ma śladu monitorowania po wprowadzeniu do obrotu, wymaganego przez artykuł 72 aktu o sztucznej inteligencji. Sposób kodowania był automatyczny: analiza treści doniesień pod kątem obecności słów opisujących monitoring i działania naprawcze. Ta metoda mierzy widoczność governance w publicznym zapisie, a nie governance. Metryka zgodności z artykułem 72 jest więc sama kontrolą sygnalizacyjną. Wygląda jak pytanie „czy kontrola zadziałała”, a odpowiada na pytanie „czy o kontroli wspomniano w prasie”.

Inwentarz z kolumną „co wykryłaby wczoraj”

Przejdźmy do procedury, bo diagnoza bez procedury jest kolejnym dokumentem do rejestru.

Weź istniejący rejestr kontroli dla AI. Nie buduj nowego, bo nowy rejestr to najkrótsza droga do teatru drugiego stopnia. Dopisz do istniejącego cztery kolumny i wypełnij je przy każdej pozycji.

Kolumna druga jest sercem tego ćwiczenia. Wypełnij ją prawdziwym zdarzeniem, nie hipotezą. Weź incydent albo skargę z ostatnich trzech miesięcy. Przejdź rejestr pozycja po pozycji i przy każdej odpowiedz, co ta konkretna kontrola powiedziałaby o tym konkretnym zdarzeniu i kiedy. Większość pozycji nie powie nic. Taki właśnie jest wynik ćwiczenia i po to się je robi.

Kolumna trzecia rozstrzyga spór, którego inaczej nie da się rozstrzygnąć. „Na bieżąco” nie jest odpowiedzią, bo monitoring uruchamiany co noc daje w najgorszym razie dwadzieścia cztery godziny, a przegląd kwartalny daje w najgorszym razie dziewięćdziesiąt dni. Te dwie kontrole bywają w rejestrze opisane tym samym słowem.

Kolumna czwarta chroni przed odwrotnym błędem. Kontrola, która nic nie wykrywa i nic nie kosztuje, jest ciekawostką. Kontrola, która nic nie wykrywa i zjada zespołowi trzy dni w kwartale, jest pozycją kosztową udającą zabezpieczenie.

Reguła decyzyjna po wypełnieniu tabeli wygląda tak. Pozycje z wysokim tarciem i pustą drugą kolumną idą na listę do wymiany. Pozycje z pustą drugą kolumną i zerowym tarciem zostają, bo nie warto wydawać kapitału politycznego na kasowanie rzeczy, która nikomu nie przeszkadza. Pozycje wymagane przepisem zostają zawsze i dostają osobne oznaczenie. Pozycje z sensowną drugą kolumną i nieznaną trzecią dostają zadanie: zmierzyć czas do wykrycia, zanim ktokolwiek zacznie dyskutować o ich losie.

Pusta druga kolumna bywa zresztą odpowiedzią uczciwą, bo kontrola zaprojektowana na zdarzenie raz na pięć lat nie ma prawa pokazać niczego o zeszłym kwartale i nie powinna za to odpowiadać. Wpisz wtedy horyzont zdarzenia.

Jedna rzecz jest w tej procedurze nieusuwalna. To ma być lista zamienników. Jeśli wychodzi z niej więcej pozycji do skasowania niż do zbudowania, inwentarz został zrobiony w złym celu. Kontrola nieskuteczna uzasadnia wymianę kontroli i nic ponad to.

Trzy kontrole, które przy agentach naprawdę wykrywają

Zamienniki muszą skądś pochodzić. Poniższe trzy mają źródło pierwotne i mają tę rzadką cechę, że samo źródło opisuje warunek, w którym przestają wykrywać.

Dokument OpenAI Practices for Governing Agentic AI Systems (Shavit, Agarwal, Brundage, Adler i in., grudzień 2023) wymienia siedem praktyk. Trzy nadają się do rejestru od razu. To dokument pozycyjny laboratorium, które sprzedaje agenty, a nie badanie empiryczne ani standard.

Log decyzji z uzasadnieniem zapisywanym w momencie decyzji. Autorzy postulują, żeby użytkownik dostawał rejestr działań agenta, i dokładają ostrzeżenie, które jest ważniejsze niż sam postulat: nie wolno prosić agenta o uzasadnienie po fakcie, bo wtedy produkuje konfabulację. Uzasadnienie ma powstawać razem z decyzją i być zapisywane wtedy, kiedy decyzja zapada. Różnica jest praktyczna. Log akcji mówi, co się stało, więc odpowiada na pytanie o przebieg. Log akcji z uzasadnieniem mówi, na jakiej podstawie agent uznał ten ruch za właściwy, więc odpowiada na pytanie o przyczynę. Wykrywalność zaczyna się dopiero przy drugim pytaniu, bo to na jego poziomie widać, że model rozumiał zadanie inaczej, niż zakładał człowiek.

Ta kontrola ma jedno ograniczenie, którego nie wolno przemilczeć, a które jest moim wnioskiem, nie tezą autorów. Jej wartość zależy od tego, czy uzasadnienia produkowane przez model pozostaną czytelne dla człowieka, a to zależy od cudzych decyzji o architekturze i treningu. Kontrola z datą przydatności ustalaną przez dostawcę modelu wymaga okresowego sprawdzania, czy jeszcze wykrywa, zamiast corocznego potwierdzania, że jeszcze istnieje.

Limit nieodwracalności sprzęgnięty z trybem nadzoru. Ten sam dokument formułuje regułę, którą warto znać w oryginalnym brzmieniu: działania, które można przejrzeć wyłącznie po fakcie, powinny być łatwiej odwracalne niż te wymagające zgody z góry. Do tego dochodzi twarde odcięcie: części decyzji, choćby samodzielnego uruchomienia dużej nieodwracalnej transakcji finansowej, nie wolno delegować wcale. Autorzy proponują też, żeby agenty okresowo się zatrzymywały i czekały na ponowną autoryzację człowieka.

Operacyjnie oznacza to jedno pytanie przy każdym uprawnieniu agenta: ile kosztuje cofnięcie tego działania i ile trwa. Jeśli cofnięcie jest niemożliwe, uprawnienie wymaga zgody przed wykonaniem. Jeśli cofnięcie kosztuje godzinę i nic poza tym, wystarczy przegląd po fakcie, byle z zegarem. To jest kontrola prewencyjna, która nie kosztuje pełnego tarcia, bo nakłada je wyłącznie tam, gdzie odwrotu nie ma.

Ludzka próbka z policzonym czasem do wykrycia. Tu ogólnik przestaje wystarczać i trzeba policzyć, bo „przeglądamy próbkę wyników” jest zdaniem, które brzmi jak kontrola detekcyjna, a może znaczyć wszystko.

Arytmetyka jest prosta i podaję ją jako własne wyliczenie, nie jako cytat. Przy założeniu losowania niezależnego, stałej częstości występowania wady i recenzenta, który wykrywa wadę z pewnością, liczbę obserwacji potrzebną do złapania z prawdopodobieństwem 95% co najmniej jednego przypadku daje rozkład dwumianowy. Dla wady występującej z częstością 5% wystarczy 59 obserwacji. Dla 1% potrzeba 299. Dla 0,1% potrzeba 2995.

Przełóżmy to na agenta wykonującego 10 tys. działań dziennie. Przegląd stu losowych działań dziennie daje przy wadliwości 1% około 63,4% szansy na trafienie choć jednego przypadku tego samego dnia. Przy wadliwości 0,1% ta szansa spada do 9,5%, co przekłada się na oczekiwany czas do pierwszego wykrycia rzędu dziesięciu, jedenastu dni. Ostatnie założenie jest hojne, bo prawdziwy recenzent myli się częściej niż nigdy. Te liczby są więc górnym ograniczeniem skuteczności próbki, a nie prognozą.

Jest jeszcze jedno założenie, które w praktyce psuje najwięcej. Próbka losowa łapie wadę rozproszoną, a wobec wady skorelowanej z konkretnym typem zadania jest niemal ślepa, bo losowanie z całej puli rozcieńcza właśnie ten podzbiór, w którym siedzi problem. Losuj warstwowo, po typie zadania.

Wniosek z tej arytmetyki jest nieprzyjemny i użyteczny. Próbka o wielkości ustalonej „na oko” ma czas do wykrycia, którego nikt nie zna, a który da się policzyć w piętnaście minut. Policz go raz i wpisz do rejestru jako liczbę. Od tego momentu rozmowa o zwiększeniu próbki przestaje być rozmową o zaangażowaniu zespołu i staje się rozmową o dniach.

Autorzy dokumentu OpenAI dokładają na koniec zastrzeżenie, które zamyka ten rozdział lepiej niż moje zdanie. Pytają wprost o minimalne czasy przeglądu, żeby zatwierdzanie nie zamieniło się w przybijanie pieczątki. Kontrola ludzka bez minimalnego czasu na pozycję osuwa się w sygnalizację tym samym ruchem co alert bez właściciela.

Kiedy teatr ma wartość

Teraz najsilniejszy zarzut wobec wszystkiego, co napisałem wyżej. Jest poważny i częściowo zmienia zakres mojej tezy.

Pierwsza część zarzutu jest prawna i rozstrzyga się szybko. Wymóg regulacyjny jest wymogiem niezależnie od wykrywalności. Akt o sztucznej inteligencji w artykule 12 nakłada na systemy wysokiego ryzyka zdolność automatycznego rejestrowania zdarzeń przez cały cykl życia. Artykuł 26 ustęp 6 każe wdrażającemu przechowywać te logi przez okres odpowiedni do przeznaczenia systemu i nie krócej niż sześć miesięcy. Artykuł 26 ustęp 5 nakazuje monitorować działanie i niezwłocznie informować dostawcę o poważnym incydencie. Artykuł 14 wymaga, żeby nadzorujący rozumiał ograniczenia systemu i był świadomy skłonności do bezrefleksyjnego ufania automatowi.

Kontrola wymagana przepisem zostaje w rejestrze, nawet jeśli w kolumnie „co pokazałaby wczoraj” widnieje pustka. Dyskusja o jej skuteczności jest osobną dyskusją i nie prowadzi się jej z audytorem.

Przy logach ten zarzut ma jednak zwrot, który działa na moją korzyść. Sześć miesięcy zapisów to jest materiał, z którego da się odpowiedzieć na pytanie o wczoraj. Jeśli ktoś kiedykolwiek te logi odpyta, zamienią się z pozycji kosztowej w narzędzie detekcyjne w jedno popołudnie. Obowiązek przechowywania kupuje organizacji możliwość wykrywania, a resztę drogi trzeba przejść samemu.

Druga część zarzutu jest mocniejsza, bo empiryczna. Sama obecność kontroli odstrasza, a odstraszania z definicji nie widać w statystyce wykryć: zdarzenia, do których nie doszło, nie zostawiają śladu.

Ginger Zhe Jin i Phillip Leslie zmierzyli ten efekt w pracy „The Effect of Information on Product Quality: Evidence from Restaurant Hygiene Grade Cards” (Quarterly Journal of Economics, 2003). W 1998 roku hrabstwo Los Angeles nakazało restauracjom wywieszanie oceny higienicznej w oknie. Hospitalizacje z powodu chorób układu pokarmowego spadły tam o 27,1% rok do roku, przy spadku 5,3% w reszcie Kalifornii. Efekt netto wyniósł około dwudziestu procent. To jest quasi-eksperyment na danych szpitalnych, opublikowany w czasopiśmie najwyższej klasy, a nie samoocena i nie prognoza.

Mechanizm tej kontroli jest dla mojej tezy niewygodny, więc opiszę go krok po kroku. Inspekcje istniały wcześniej. Zmieniło się tylko to, że wynik stał się publiczny, czyli kontrola zaczęła działać przez widoczność, a nie przez wykrywanie. Restauratorzy poprawili higienę, zanim ktokolwiek cokolwiek u nich wykrył.

Wniosek „odstraszanie jest niemierzalne, więc zostawmy teatr w spokoju” byłby jednak fałszywy, i to fałszywy w sposób sprawdzalny. Joel Slemrod ze współautorami przeprowadził w Minnesocie randomizowany eksperyment terenowy, opisany w pracy „Taxpayer response to an increased probability of audit” (Journal of Public Economics, 2001). W latach 1994–1995 list informujący, że zeznanie zostanie szczegółowo zbadane, dostało 1724 losowo wybranych podatników. Efekt okazał się istotny na dochodach deklarowanych samodzielnie i żaden na dochodach raportowanych przez stronę trzecią.

To ustalenie jest ostrzejsze, niż wygląda. Odstraszanie i wykrywalność są substytutami w głowie adresata kontroli. Tam, gdzie istnieje niezależny strumień danych, zapowiedź kontroli nie zmienia niczego, bo adresat już wie, że jest widoczny. Tam, gdzie takiego strumienia nie ma, sama zapowiedź pracuje za kontrolę.

Przeniesienie tego wyniku z zeznań podatkowych na governance agentów jest moją analogią, a nie wnioskiem autorów, i trzyma się tylko o tyle, o ile adresat kontroli faktycznie potrafi ocenić, czy jest obserwowany. Ten warunek da się sprawdzić.

Z tego wyprowadzam regułę, która wydaje mi się właściwym kształtem tego kontrargumentu. Jeśli bronisz kontroli jej efektem odstraszającym, masz obowiązek pokazać, jak ten efekt zmierzysz. Odstraszanie jest mierzalne i zostało zmierzone dwiema różnymi metodami przez dwa niezależne zespoły. Wymaga tylko innego projektu badawczego niż statystyka wykryć, a w governance AI nikt takiego projektu nie prowadzi.

Jest jeszcze powód, dla którego obrona przez odstraszanie działa przy agentach gorzej niż gdziekolwiek indziej. Odstraszanie zakłada, że adresat nie może sprawdzić, czy kontrola faktycznie widzi. Wobec własnych inżynierów założenie to jest wątłe, bo oni czytają konfigurację. Wobec agenta jest jeszcze słabsze: system działający w twoim środowisku obserwuje, które działania wywołują reakcję, a które przechodzą bez echa, i robi to w skali, w której człowiek nie zbiera doświadczeń.

Na koniec tej sekcji oddaję głos autorowi samego pojęcia, bo jego zastrzeżenie jest mocniejsze niż moje. Bruce Schneier w eseju „Beyond Security Theater” (New Internationalist, listopad 2009) napisał, że obok środków twardych nie wolno zaniedbywać poczucia bezpieczeństwa, bo to nim zbiorowo przezwyciężamy psychologiczną szkodę po ataku. W tym samym tekście oddzielił rzeczy działające, w większości niewidoczne, od teatru, który reaguje na ostatni incydent jednym konkretnym kontrśrodkiem. Jego przykład pochodzi z lotniska. Jeśli ochronę skupimy na prześwietlaniu butów i odbieraniu płynów, a sprawcy ukryją materiał gdzie indziej, pieniądze pójdą na marne.

Człowiek, który wymyślił to pojęcie, sam mu wyznaczył granicę. To najuczciwsza forma, jaką ten kontrargument może przyjąć, i przyjmuję ją bez targowania się.

Czego ten test nie zobaczy

Test „co wykryłaby wczoraj” ma trzy ślepe plamy i trzeba je nazwać, zanim ktoś zbuduje na nim politykę.

Pierwsza dotyczy prewencji. Kontrola prewencyjna działająca idealnie produkuje zero zdarzeń, więc na pytanie o wczoraj odpowiada pustką nieodróżnialną od pustki kontroli sygnalizacyjnej. Rozstrzygnięcie wymaga innego pytania: ile razy w ostatnim kwartale ta kontrola czemuś odmówiła. Potem sprawdź, co się z tymi odmowami stało. Kontrola prewencyjna z zerową liczbą odmów przez rok jest albo zbędna, albo skonfigurowana tak, że przepuszcza wszystko.

Druga dotyczy wyobraźni. Wczorajszy incydent pochodzi ze zbioru zdarzeń, które już umiesz sobie wyobrazić, więc test optymalizuje wykrywalność wobec znanego repertuaru awarii. Przeciwko zdarzeniu, którego nikt nie wpisał na listę, ten test nie daje nic i nie należy udawać, że daje. Zmniejsza wariancję tam, gdzie porażkę potrafisz nazwać.

Trzecia jest polityczna i uważam ją za najgroźniejszą. Zdanie „to wszystko jest teatr” jest wygodnym alibi dla kogoś, kto nie chce budować governance w ogóle, a mój esej dostarcza mu argumentów w komplecie. Dlatego reguła zamienników z sekcji o inwentarzu nie jest ozdobnikiem, tylko warunkiem poprawnego użycia całego narzędzia. Rejestr pusty jest gorszy od rejestru pełnego teatru, bo teatr przynajmniej utrzymuje w organizacji pamięć o tym, które ryzyka ktoś kiedyś uznał za realne.

Dochodzi do tego moja własna stronniczość, którą zapowiedziałem na wstępie. Pracuję przy odporności operacyjnej, więc zawodowo buduję i sprzedaję kontrole detekcyjne. Moje przeszacowanie ich wartości względem prewencji jest przewidywalne i czytelnik ma prawo je odliczyć. Twierdzenie o czasie do wykrycia broni się jednak niezależnie od tego, kto je wypowiada, bo opiera się na liczbach z ACFE i na arytmetyce próbki, a nie na moim doświadczeniu.

Pierwsza kontrola do wymiany

Zrób z tego jedną rzecz w tym tygodniu, a nie dwanaście w przyszłym kwartale.

Otwórz rejestr kontroli dla AI i wypełnij dwie kolumny przy każdej pozycji: co pokazałaby wczoraj i po ilu godzinach. Reszta tabeli może poczekać. Z pozycji, które zostaną z pustą pierwszą kolumną, wybierz tę o najwyższym koszcie w tarciu i napisz dla niej zamiennik z progiem i właścicielem. Policz mu czas do wykrycia. Jedną pozycję. Zanim zaczniesz drugą, zmierz, czy pierwsza cokolwiek pokazała.

Rejestr nie wie, ile czasu żyje w nim incydent. Ta liczba istnieje niezależnie od tego, czy ktoś ją policzył, i w dniu incydentu podaje ją prawie zawsze ktoś z zewnątrz.

Bibliografia

1. primaryAssociation of Certified Fraud Examiners, Occupational Fraud 2026: A Report to the Nations (2026) — mediana czasu do wykrycia, rozkład strat wobec latencji, rozkład pierwszych źródeł wykrycia, ustalenie o obejściu kontroli. Próba: 2402 sprawy wykryte, 143 kraje; straty szacowane przez śledczych.
2. primaryUS Senate Committee on Commerce, Science & Transportation, A „Kill Chain” Analysis of the 2013 Target Data Breach (raport sztabowy, 25 marca 2014) — alerty systemu detekcyjnego bez reakcji i bez włączonego usuwania automatycznego. Analiza wtórna o statusie oficjalnym.
3. primaryBoard of Governors of the Federal Reserve System, OCC, FDIC, SR 26-2: Revised Guidance on Model Risk Management (17 kwietnia 2026) — skuteczne zakwestionowanie, analiza wyników, bieżące monitorowanie; przypis wyłączający modele generatywne i agentowe z zakresu. Zastępuje SR 11-7 z 2011.
4. primaryParlament Europejski i Rada, rozporządzenie 2024/1689 (akt o sztucznej inteligencji) — art. 12 (rejestrowanie zdarzeń), art. 14 (nadzór ludzki i skłonność do ufania automatowi), art. 26 ust. 2, 5 i 6 (obowiązki wdrażającego, retencja logów nie krócej niż sześć miesięcy).
5. primaryY. Shavit, S. Agarwal, M. Brundage, S. Adler i in., Practices for Governing Agentic AI Systems (OpenAI, grudzień 2023) — rejestr działań z uzasadnieniem zapisywanym w momencie decyzji, sprzężenie odwracalności z trybem nadzoru, minimalne czasy przeglądu. Dokument pozycyjny laboratorium, nie badanie empiryczne.
6. primaryU. Mumtaz, R. Noor, S. Mumtaz, Post-Deployment Accountability in AI Governance: A Cross-Regulatory Empirical Analysis of AI Incidents (arXiv, 2026) — 480 incydentów z AI Incident Database, udział wykryć wewnętrznych, kodowanie zgodności na podstawie doniesień.
7. primaryM. Power, „Making things auditable”, Accounting, Organizations and Society 21(2–3), 1996, oraz The Audit Society: Rituals of Verification, Oxford University Press, 1997 — audytowalność jako własność wytwarzana przez organizację.
8. primaryP. Bromley, W. W. Powell, „From Smoke and Mirrors to Walking the Talk: Decoupling in the Contemporary World”, Academy of Management Annals 6(1), 2012 — rozejście środków z celami przy zsynchronizowanej polityce i praktyce.
9. primaryG. Z. Jin, P. Leslie, „The Effect of Information on Product Quality: Evidence from Restaurant Hygiene Grade Cards”, Quarterly Journal of Economics 118(2), 2003 — odstraszanie przez ujawnienie, mierzone spadkiem hospitalizacji.
10. primaryJ. Slemrod, M. Blumenthal, C. Christian, „Taxpayer response to an increased probability of audit: evidence from a controlled experiment in Minnesota”, Journal of Public Economics 79(3), 2001 — randomizowany eksperyment terenowy; granica odstraszania przy niezależnym strumieniu danych.
11. primaryB. Schneier, Beyond Fear: Thinking Sensibly About Security in an Uncertain World, Copernicus, 2003, oraz „Beyond Security Theater”, New Internationalist, listopad 2009 — definicja security theater i jej ograniczenie przez samego autora.
12. primaryCOSO, Internal Control — Integrated Framework (1992, aktualizacja 2013) — podział na kontrole prewencyjne, detekcyjne i korekcyjne. Kategoria sygnalizacyjna jest dodatkiem autora tego eseju i nie pochodzi z ramy COSO.
13. secondaryGartner, komunikat prasowy z 26 maja 2026, Gartner Says Applying Uniform Governance Across AI Agents Will Lead to Enterprise AI Agent Failure (prognoza: do 2027 r. 40% przedsiębiorstw zdegraduje lub wycofa autonomicznych agentów; czterostopniowa autonomia; Shiva Varma) — newsroom Gartnera blokuje pobranie automatyczne (403); brzmienie potwierdzone względem URL źródłowego i niezależnych relacji branżowych (CIO, The Register). Prognoza analityczna, nie wynik ankiety.