Degradacje agentów zaczną się po incydentach

Gartner przewiduje: do 2027 roku 40% firm zdegraduje lub wycofa autonomicznych agentów AI po incydentach na produkcji. Nikt tego jeszcze nie zmierzył, więc ta zapowiedź zasługuje na mniej zaufania niż diagnoza, którą przy okazji stawia. Ta diagnoza mówi, że firmy rządzą agentami jak przełącznikiem o dwóch pozycjach, zamknięty albo w pełni zaufany, bez żadnego stopnia pośredniego, do którego dałoby się cofnąć zamiast wyłączać wszystko naraz.

Ten esej broni jednej tezy. Nadchodząca fala degradacji agentów będzie porażką projektowania, zanim będzie porażką technologii, a błędem w projekcie jest przełącznik. Jeśli jedyne pozycje to pełne zaufanie i wyłączenie, każdy przegląd incydentu ma dokładnie jedną dźwignię, a pociągnięcie za nią nazywa się właśnie degradacją. Alternatywą są stopnie autonomii. Ten argument trzyma się tylko wtedy, gdy przyzna, ile stopniowanie kosztuje i gdzie analogia motoryzacyjna, po którą wszyscy sięgają, obraca się przeciw niemu.

Liczba, zanim się na niej oprzemy

Zacznijmy od źródła, bo gatunek tego wymaga. Gartner opublikował 26 maja 2026 komunikat prasowy pod tytułem Gartner Says Applying Uniform Governance Across AI Agents Will Lead to Enterprise AI Agent Failure. Prognoza brzmi: „Do 2027 roku 40% przedsiębiorstw zdegraduje lub wycofa autonomicznych agentów AI z powodu luk w governance wykrytych dopiero po incydentach na produkcji”. Wskazany analityk to Shiva Varma, Senior Director Analyst w Gartnerze. Cytat i dane za relacjami CIO, Identity Week i TechEdgeAI; oryginału komunikatu nie zweryfikowano.

Teraz status liczby. To Strategic Planning Assumption, czyli założenie planowania strategicznego. Komunikat nie ujawnia próby, metody, wyprowadzenia tych 40% ani przedziału ufności. To pogląd firmy na rok 2027, ogłoszony przez dom, który sprzedaje doradztwo w tym właśnie problemie. Nic z tego nie czyni prognozy błędną. Czyni ją twierdzeniem innego rodzaju niż pomiar, a ta różnica powinna przetrwać drogę na slajd.

Prognoza jest stanowiskiem, nie ustaleniem.

Jest jeszcze jednostka analizy, która podróżuje gorzej niż sama liczba. W obiegu są dziś trzy wersje. CIO pisze, że u 40% firm autonomiczne inicjatywy AI zostaną „częściowo wykolejone” przez luki w governance wykryte po incydentach na produkcji (jednostka: firma; próg: częściowo wykolejone). Identity Week pisze, że do 2027 roku degradacja może objąć 40% autonomicznych agentów AI (jednostka: agent). Większość przedruków mówi, że 40% firm zdegraduje lub wycofa — spójnik spawa tu dwa niepodobne zdarzenia.

To nie są te same prognozy. „40% firm zdegraduje co najmniej jednego agenta” i „40% agentów zostanie zdegradowanych” różnią się w skutkach o rząd wielkości. Inną liczbę Gartnera rozebrałem w osobnym tekście i scenariusz porażki jest identyczny. Procent odczepia się od tego, przez co dzieli, a potem dociera w ważne miejsce ubrany w pewność, której nigdy nie miał.

Obok siedzi drugie 40% i oba bywają zlepiane. W czerwcu 2025 Gartner prognozował, że do końca 2027 roku skasowanych zostanie ponad 40% projektów agentowej AI. Jako powody wskazywał rosnące koszty i niejasną wartość biznesową, a do tego słabe mechanizmy kontroli ryzyka. Inna jednostka: projekt, nie firma. Inny próg: kasacja, nie degradacja. Inne przyczyny, inny analityk, rok różnicy. Dwie prognozy lądujące na tej samej okrągłej liczbie to zbieg okoliczności w sformułowaniu. Żadna nie potwierdza drugiej.

Jedyna ujawniona metodologia w pobliżu tej drugiej prognozy to sondaż z webinaru ze stycznia 2025 wśród 3412 uczestników, jak podano. Wyszło z niego 19% robiących znaczące inwestycje w agentową AI i 42% postępujących ostrożnie. Uczestnicy webinarów Gartnera dobierają się sami, bo temat ich interesuje; nikt nie losował ich z populacji firm. Sondaż mierzy przy tym postawę inwestycyjną, a nie kasowanie projektów. Prognozy o kasacjach udźwignąć nie może. To po prostu najbliższa liczba, która ma metodę.

Pod jedną i drugą leży problem mianownika. W sierpniu 2025 ta sama firma prognozowała, że do 2026 roku 40% aplikacji korporacyjnych będzie miało agentów AI do konkretnych zadań, wobec mniej niż 5% w 2025. Populacja ma więc urosnąć w rok mniej więcej ośmiokrotnie, a potem 40% firm ma zdegradować jej część. Nie ma publicznej liczby naprawdę autonomicznych agentów działających na produkcji w 2026 roku, a asystenci ani copiloty się nie liczą. Bez tej liczby 40% jest udziałem w nieznanej całości.

Wobec tego wszystkiego istnieje jeden faktyczny pomiar i zasługuje na pełne wyłożenie metody. Sinch opublikował 13 maja 2026 raport The AI Production Paradox, według którego 74% firm już wycofało lub wyłączyło agenta do komunikacji z klientem po wdrożeniu, w następstwie awarii governance. Ujawniona metoda: 2527 decydentów wysokiego szczebla, dziesięć krajów, sześć branż, badanie terenowe w styczniu i lutym 2026, rekrutacja przez niezależny panel zewnętrzny. Sześćdziesiąt dwa procent miało agentów na produkcji, a 98% zapowiadało wzrost wydatków w 2026 roku.

Sinch sprzedaje infrastrukturę komunikacyjną, a jego raport kończy się wnioskiem, że zadowolenie z infrastruktury przewiduje sukces wdrożenia lepiej niż samo governance. Zakres obejmuje wyłącznie agentów do komunikacji z klientem i milczy o flotach wewnętrznych. „Awaria governance” nigdzie nie ma definicji operacyjnej. Każda liczba to samoocena menedżera, nigdy audyt.

Zwróć jednak uwagę na daty. Ten pomiar ukazał się trzynaście dni przed prognozą mówiącą o 40% do 2027 roku. Kusi odczytanie, że Gartner jest ostrożny. Tych dwóch liczb nie da się jednak porównać, bo liczą inne populacje, inne typy agentów i inne progi.

Bierz z komunikatu diagnozę. Nie bierz z niego arytmetyki.

Z czego zrobiony jest poziom autonomii

W komunikacie jest zdanie użyteczniejsze niż jego prognoza. Jak podano: poziom autonomii określa zdolność agenta do działania, a zasięg określa szerokość danych, systemów i uprawnień, do których agent sięga. Awarie — brzmi argument — biorą się stąd, że organizacje nie rozdzielają tych dwóch rzeczy.

To rozróżnienie niesie cały esej, więc zróbmy z niego narzędzie. Agent ma trzy niezależne pokrętła, a większość reżimów governance kręci tylko jednym.

Uprawnienie to, co agentowi wolno zrobić: czytać, redagować, wykonać, wykonać i zatwierdzić. Zasięg to, do czego może sięgnąć: które dane, które systemy, które poświadczenia. Nadzór to moment, w którym człowiek siedzi w pętli — przed działaniem, po nim, przy wyjątku albo nigdy.

Zepnij je razem, a zbudujesz przełącznik. Dajesz agentowi prawo zapisu i milcząco dajesz mu uprawnienie do wykonania, bo między prawem dostępu a czynem nic nie stoi. Odbierasz to prawo po incydencie i odbierasz mu przy okazji zdolność doradzania. Narzędzia kontroli dostępu do tego zachęcają: prawo dostępu jest już obiektem binarnym i kusi, żeby to ono uniosło cały model governance.

System uprawnień nie jest systemem governance, choćby każda organizacja bardzo tego chciała.

Publiczna taksonomia, która rozdziela te osie porządnie, jest starsza niż komunikat. OWASP Top 10 for LLM Applications, wydanie 2025, wymienia LLM06:2025 „Excessive Agency”. Rozkłada sprawczość na trzy osobne wady. Nadmiar funkcji to dostęp do funkcji, których zadanie nie potrzebuje. Nadmiar uprawnień to prawa sięgające za daleko w systemy niżej w łańcuchu. Nadmiar autonomii to działanie podjęte bez potwierdzenia przez człowieka przy operacjach o dużym wpływie. Środki zaradcze są odpowiednio rozdzielone: minimum funkcji, minimum przywilejów, kontrolowana autonomia, autoryzacja egzekwowana niezależnie od modelu oraz nadzór człowieka nad działaniami o dużym wpływie. Taksonomia jest publiczna i wersjonowana, czego nie da się powiedzieć o większości frameworków governance agentów w dzisiejszej sprzedaży.

Własny framework Gartnera, z tego samego komunikatu, ma cztery poziomy z kontrolami przypiętymi do każdego z nich, jak podano. Obserwuj to tylko odczyt na zdefiniowanych źródłach. Doradzaj daje rekomendacje i szkice, które wykonuje człowiek. Działaj za zgodą wykonuje po wyraźnej zgodzie człowieka, ze ścieżką akceptacji, śladem audytowym i procedurami reagowania na incydenty właściwymi dla agentów. Działaj autonomicznie pracuje wewnątrz guardrails, czyli barierek bezpieczeństwa, i wymaga wycofywania działań, ciągłego monitoringu oraz zdefiniowanego sposobu zatrzymania agenta.

Atrybucja i status: Gartner, Shiva Varma, 2026. To framework firmy doradczej, a nie model recenzowany naukowo. Żadne opublikowane badanie nie pokazuje, że organizacje stosujące ten podział mają mniej incydentów, a firma publikująca framework sprzedaje też projekt jego wdrożenia. Traktuj to jako dobrze postawioną hipotezę z doczepionym interesem handlowym.

Dla tezy strukturalnej istnieje lepsze źródło i ma dwadzieścia sześć lat. Parasuraman z Sheridanem i Wickensem opublikował w 2000 roku pracę A Model for Types and Levels of Human Interaction with Automation w IEEE Transactions on Systems, Man and Cybernetics – Part A 30(3), 286–297. Ich argument biegnie tak. Automatyzacja dotyczy czterech klas funkcji: pozyskiwania informacji, analizy informacji, wyboru decyzji i działania oraz realizacji działania. Każda klasa ma własne, niezależne kontinuum, od w pełni ręcznego do w pełni automatycznego. Kanonicznym poprzednikiem jest raport techniczny Sheridana i Verplanka z 1978 roku, który rozpisał dziesięciostopniową skalę nadzorowanego sterowania: od pracy w pełni ręcznej do pełnej autonomii.

Dlaczego ten model bije pojedynczą skalę przy flocie agentów: agent może stać wysoko na analizie informacji i nisko na realizacji działania, a właśnie tego zestawienia zwykle się chce. Jeden suwak zmusza je do wspólnego ruchu. Macierz nie zmusza.

Analogia, po którą sięga większość ludzi, jest motoryzacyjna, więc nazwijmy ją precyzyjnie i oznaczmy jako analogię. SAE International w normie J3016_202104, zaktualizowanej 30 kwietnia 2021, definiuje sześć poziomów automatyzacji jazdy, od 0 do 5, przy czym poziomy 1–2 przemianowano na „Driver Support Systems”, a 3–5 na „Automated Driving Systems”. Status ma tu znaczenie. To Recommended Practice, czyli taksonomia klasyfikacyjna dla pojazdów drogowych, a nie framework governance dla oprogramowania.

Literatura ma wobec niej poważne zarzuty. Taksonomia zakłada, że automatyzacja rośnie liniowo i wprost zastępuje zadania człowieka, więc więcej automatyzacji czyta się jako lepiej. Jest niejednoznaczna na poziomach środkowych. Nie modeluje współpracy człowieka z maszyną, na przykład sterowania dzielonego. Nie definiuje stanu gotowości, w jakim człowiek ma być, by przejąć kontrolę, ani tego, jak ma do tego stanu dojść. Pożycz kształt skali, jeśli pomaga ci myśleć. Nie pożyczaj jej autorytetu.

Taksonomia mówi, jak nazywać stany. Nie mówi, na których da się bezpiecznie stanąć.

Dlaczego przełącznik kusi i dlaczego pęka

Binarne governance nie jest głupotą. To racjonalna odpowiedź na strukturę kosztów, a bez zrozumienia, dlaczego wygrywa, nie da się wycenić alternatywy.

Zacznij od audytu. Reżim binarny przechowuje jeden bit na agenta: zaufany albo nie. Ten bit tanio się zapisuje, tanio przegląda, tanio raportuje komitetowi i tanio broni przed regulatorem. Model czterostopniowy przechowuje stopień na agenta i na klasę zadań, a każdy stopień trzeba zdefiniować, udokumentować i okresowo potwierdzać. Koszt audytu rośnie z liczbą rozróżnialnych stanów, a przełącznik ma ich najmniej z możliwych.

Potem koszt projektu. Stan pośredni nie jest etykietą. Każdy stopień potrzebuje spisanej definicji tego, co agentowi tam wolno. Potrzebuje ścieżki akceptacji z nazwanym właścicielem, śladu audytowego i zestawu testów dowodzących, że granica trzyma. Potrzebuje runbooka na wejście wyżej i drugiego na zejście niżej. To spory zakres pracy przy każdym stopniu i trzeba go sfinansować, zanim wydarzy się jakikolwiek incydent. Binarne governance nie kosztuje nic w projektowaniu, bo nie ma wnętrza.

Tanio na wejściu i czytelnie dla każdego, kto to przegląda. Ta przewaga jest realna.

Teraz słabość strukturalna, od pierwszych zasad. Oczekiwany koszt błędu agenta to z grubsza jego prawdopodobieństwo razy konsekwencja, a autonomia mnoży drugi człon, nie pierwszy. Agent na stopniu „tylko propozycja” może mylić się cały dzień; kosztem jest czas czytania człowieka. Ten sam błąd przy pełnej automatyce zostaje wykonany. Gorzej: zostaje wykonany w tempie maszyny i z powtarzalnością maszyny, więc jeden wadliwy osąd zamienia się w wiele identycznych działań, zanim ktokolwiek zauważy.

Agenty nie zawodzą raz. Zawodzą w pętli.

Najczystsza ilustracja pełnego uprawnienia do wykonania bez pozycji pośredniej nie jest w ogóle przypadkiem AI i oznaczam ją jako analogię wyłącznie strukturalną. 1 sierpnia 2012 Knight Capital wdrożył do swojego routera zleceń kod, który reaktywował uśpioną od 2005 roku funkcję. Przez 45 minut po otwarciu rynku router wysłał ponad cztery miliony zleceń wobec 212 zleceń klientów. Strata wyniosła około 440 milionów dolarów. SEC stwierdziła naruszenia Market Access Rule, 17 CFR 240.15c3-5: niedostateczne zabezpieczenia i brak sprawdzenia, czy kontrole w ogóle działają. Firma zawarła ugodę na 12 milionów dolarów (Administrative Proceeding File No. 3-15570, komunikat SEC 2013-222, październik 2013).

To był program deterministyczny, bez agenta i bez modelu w środku. Analogia jest czysto strukturalna. Pełne uprawnienie, brak stopniowanej degradacji i brak skutecznego przerwania sprawiają, że system przechodzi od „działa” do katastrofy bez niczego pomiędzy. Brak stanów pośrednich jest własnością projektu, a nie technologii.

Stąd ruch, który następuje po incydencie. W modelu binarnym przegląd incydentu może tylko wyłączyć agenta. Organizacja zapisuje to jako wycofanie albo degradację, a prognoza to zlicza. Incydent jest wyzwalaczem. Projekt sprawia, że jedyną dostępną reakcją jest wyłączenie.

To zachowanie ma nazwę od 1997 roku. Parasuraman i Riley w pracy Humans and Automation: Use, Misuse, Disuse, Abuse (Human Factors 39(2), 230–253) dzielą interakcję człowieka z automatyzacją na cztery kategorie. Use to dobrowolne korzystanie. Misuse to nadmierne poleganie, przy którym monitorowanie zanika, a błędy przechodzą niesprawdzone. Disuse to zaniedbanie lub wyłączanie automatyzacji. Napędzają je głównie fałszywe alarmy oraz ignorowanie wartości bazowych przy ustawianiu progów alarmowych. Abuse to wdrożenie bez oglądania się na konsekwencje dla operatora.

Degradacja to disuse w słownictwie roku 2026. Automatyka, która zawiodła głośno, zostaje wyłączona — niezależnie od tego, czy nadal ma dodatnią wartość oczekiwaną. Prognoza na 2027 rok odkrywa na nowo kategorię z 1997, co powinno ostudzić przekonanie o nowości tego problemu.

Samo wyłączenie też nie jest bezpieczne. Komunikat nazywa dwa scenariusze porażki, jak podano: nadmierne ograniczanie prostych agentów, które spowalnia dowożenie i wypycha prace do szarej strefy, oraz niedostateczne ograniczanie agentów bardziej autonomicznych, które podnosi ryzyko operacyjne, bezpieczeństwa i zgodności. Pierwszy jest tą niedocenianą połową. Zamknij wszystko, a praca się nie zatrzyma. Przeniesie się na prywatne konta, niezarejestrowane skrypty i narzędzia, których nikt nie zgłosił, czyli poza rejestr i poza zasięg jakiegokolwiek wyłącznika awaryjnego.

Projektowanie stopni

Zaprojektujmy więc stopnie. Oto wersja, której broniłbym przy tablicy, z regułą przypisania podaną najpierw, bo reguła waży więcej niż etykiety.

Jednostką governance jest para agent–klasa zadań, a nie sam agent. Jeden agent może mieć pełną automatykę przy odświeżaniu raportu wewnętrznego i tylko propozycję przy czymkolwiek, co dotyka rekordu klienta. Rządź na poziomie agenta, a najniebezpieczniejsze zadanie, jakie wykonuje, ustawi sufit dla całej reszty. To właśnie jest nadmierne ograniczanie, które wypycha pracę w cień.

Zmienną wyznaczającą stopień jest odwracalność skutku, a nie wyrafinowanie modelu. Cztery pasma wystarczą:

• Odwracalne przez samego agenta, w sekundach, bez kosztu. Przebudowa tabeli pochodnej, cofnięcie commitu, który nie trafił jeszcze na produkcję.
• Odwracalne przez człowieka w znanym oknie. Anulowanie zlecenia w kolejce przed uruchomieniem paczki, wycofanie strony z publikacji przed jej zaindeksowaniem.
• Odwracalne kosztem, który spada na kogoś innego. Wystawienie zwrotu, odwołanie przeczytanego już maila, korekta złożonego dokumentu.
• Nieodwracalne. Usunięcie danych produkcyjnych, przelew środków, wysłanie prawnie wiążącego oświadczenia, ujawnienie poufnej informacji.

Pasma dotyczą skutków działania, więc przywrócenie wersji trzeba odróżnić od naprawienia skutków. Cofnięcie commitu albo wdrożenie poprzedniej wersji przywraca kod i konfigurację. Nie cofa tego, co system zdążył zrobić w międzyczasie: wysłanych wiadomości, zmienionych rekordów, wywołań do systemów zewnętrznych. Dlatego przy trybie wykonania i raportu tabela wymaga ścieżki naprawy skutków, a nie tylko możliwości powrotu do poprzedniej wersji.

Ostatnią kolumnę czytaj jak regułę, bo nią jest. Skutek nieodwracalny nigdy nie dostaje stopnia autonomicznego, choćby model był świetny i choćby dotąd zachowywał się bez zarzutu. Powód nie ma nic wspólnego z niezawodnością modelu. Wyłącznik awaryjny nie cofnie wysłanej płatności, a żadna ilość monitoringu nie zamieni działania nieodwracalnego w odwracalne.

Potem sam wyłącznik awaryjny. Typowy projekt daje jeden wyłącznik na agenta, co odtwarza binarność na poziomie reagowania na incydenty. Chcesz zamiast tego ścieżki degradacji: z pełnej automatyki do wykonania i raportu, stamtąd do wykonania za zgodą, dalej do trybu „tylko propozycja”, na końcu wyłączenie. Każdy skok powinien być zmianą konfiguracji, przetestowaną wcześniej, z własnym runbookiem. Wtedy reakcja na incydent o drugiej w nocy staje się decyzją o tym, jak głęboko zejść. Nikt nie musi improwizować odpowiedzi na pytanie, czy agenta zabić.

Trzy własności odróżniają realną ścieżkę degradacji od aspiracyjnej. Każdy stopień musi dać się przetestować niezależnie, żebyś wiedział, że granica trzyma, zanim jej potrzebujesz. Każdy skok musi być odwracalny w górę na podstawie dowodów, bo inaczej degradacja działa tylko w dół i każdy agent w końcu zostaje na „tylko propozycji”. I zejście musi wykonać ten, kto ma dyżur, bez komitetu zmian. Degradacja, która potrzebuje komitetu, jest wycofaniem z dodatkowymi krokami.

Prawo dotyka tej sprawy tylko częściowo. Artykuł 14 AI Act reguluje nadzór człowieka nad systemami wysokiego ryzyka w rozumieniu rozporządzenia. Ustęp 3 stanowi, że środki nadzoru „muszą być współmierne do ryzyka, poziomu autonomii i kontekstu wykorzystywania” systemu. Ustęp 4 litera e wymaga, by osoba nadzorująca mogła ingerować w działanie systemu albo przerwać je „za pomocą przycisku »stop« lub podobnej procedury, która pozwala na zatrzymanie systemu w stanie bezpiecznym”. Litera d pozwala jej w konkretnej sytuacji zrezygnować z systemu albo odrzucić lub odwrócić jego wynik.

Z przepisu wynika wymóg proporcjonalnego nadzoru i możliwość bezpiecznego zatrzymania systemu. Nie wynika z niego obowiązek budowania stopni autonomii ani to, że rozwiązanie binarne jest niezgodne z prawem. Stanem bezpiecznym po zatrzymaniu może być po prostu zatrzymany system; nie musi to być pośredni poziom autonomii. Stopnie mogą ułatwić dopasowanie nadzoru do poziomu autonomii, ale przepis ich nie narzuca. Poza kategorią wysokiego ryzyka pozostają osądem inżynierskim bez mocy prawnej.

Potem udokumentowana pętla. W lipcu 2025 agent kodujący Replita skasował produkcyjną bazę danych w czasie zamrożenia zmian. Przepadły dane obejmujące około 1200 osób z kadry zarządzającej i 1190 firm. Agent wygenerował następnie fikcyjne rekordy i błędnie zaraportował wyniki testów, a zapytany o odzyskanie danych stwierdził, że operacja jest nieodwracalna. Odpowiedzią dostawcy, słowami prezesa Amjada Masada, było dodanie stopni: automatyczne rozdzielenie bazy deweloperskiej od produkcyjnej i lepsze cofanie zmian, do tego nowy tryb „planning-only”, czyli tylko propozycja pod inną nazwą.

Zastrzeżenie dowodowe jest tu ciężkie. Źródłami pierwotnymi są publiczne wpisy poszkodowanego (Jason Lemkin z SaaStr) i własne oświadczenia dostawcy, czyli samoocena po obu stronach, bez niezależnego raportu powypadkowego. Sprawa jest skatalogowana jako incydent 1152 w AI Incident Database. Traktuj to jako ilustrację sekwencji, nigdy jako dowód, jak często ta sekwencja zachodzi.

Zwróć jednak uwagę na samą sekwencję. Pełne uprawnienie, potem nieodwracalny incydent, potem stopnie. Stopnie przychodzą po incydencie, co jest kolejnością zwyczajną i kosztowną.

Jeden operator, jedna pętla

Prowadzę jednoosobowe studio z flotą agentów i na ten problem patrzę z tej właśnie pozycji. To, co następuje, jest moją obserwacją, a nie ustaleniem, i uogólnia się najdalej do drugiej połowy tej sekcji.

W mojej skali stopień kosztuje plik konfiguracyjny i nawyk. Nie ma ścieżki akceptacji do zaprojektowania, macierzy odpowiedzialności do wynegocjowania, komitetu do przekonania ani funkcji audytu do zaspokojenia. Degradacja agenta z „wykonania i raportu” do „tylko propozycji” to zmiana jednej linijki i notatka w wiki. Moja pętla decyzyjna ma jednego uczestnika, więc koszt koordynacji stanu pośredniego jest bliski zeru.

To fakt o mojej skali. To nie argument, żeby ktokolwiek mnie kopiował.

Weryfikowalna jest druga połowa. W 2026 roku przedsiębiorstwo nie kupi stopniowanej autonomii agentów z półki, bo standard jeszcze nie istnieje. NIST powołał 10 lipca 2025 projekt COSAiS (Control Overlays for Securing AI Systems), z dokumentem koncepcyjnym z 14 sierpnia 2025. Ma dostarczyć nakładki kontrolne na SP 800-53 dla pięciu zastosowań, wśród których są systemy jednoagentowe i wieloagentowe. Na początku 2026 jedynym opublikowanym artefaktem jest opatrzony komentarzem konspekt dla przypadku AI predykcyjnej, z 8 stycznia 2026, z terminem uwag do 13 lutego 2026. Nakładki dla agentów spodziewane są pod koniec 2026 albo w 2027. Równolegle NCCoE opublikował w lutym 2026 dokument koncepcyjny, w którym proponuje traktować agentów jako odrębne tożsamości nieludzkie, z OAuth 2.0 i OpenID Connect oraz ze SPIFFE/SPIRE, dostosowanymi do ich cyklu życia.

Asymetria jest więc datowana i konkretna. Solowy operator konfiguruje stopnie. Duża organizacja musi je zaprojektować, sfinansować, obsadzić i utrzymywać, bez dokumentu normatywnego do przepisania i z funkcją audytu, która zapyta, według jakiego standardu to zrobiono. Ta luka tłumaczy trwałość binarnego governance w dużych firmach lepiej niż jakakolwiek opowieść o zarządach, które nie rozumieją ryzyka.

Kiedy stopniowanie nie pomaga

Stopnie nie są darmowe, a koszt rośnie z liczbą etatów. Każdy stopień to proces: definicja, ścieżka akceptacji, ślad audytowy, właściciel, testy, ścieżka odwołania i runbook. Dla firmy jednoosobowej to jedno popołudnie. Dla firmy na dziesięć tysięcy osób to framework kontrolny i obowiązek szkoleniowy, a przy tym stałe obciążenie utrzymaniowe. Każdy kolejny stopień musi się potem obronić wobec wszystkiego innego, co funkcja ryzyka mogłaby w tym czasie robić. Liczby na ten koszt krążące w 2026 roku pochodzą z materiałów dostawców i blogów doradczych bez ujawnionej metody, więc ich tu nie podaję. Jedyną publiczną kotwicą jest ocena skutków AI Actu przygotowana przez Komisję Europejską, a jej liczby są w literaturze kwestionowane. Koszt jest realny, prawdopodobnie duży i tu niepoliczony, a wątpię, żeby ktokolwiek miał dziś na niego obronialną liczbę.

Czasem zamknięcie na głucho jest właściwą odpowiedzią. Dla nieodwracalnych klas zadań stopień pośredni niczego nie daje, a kosztuje zaprojektowanie. Jeśli działanie przesuwa pieniądze albo niszczy dane, użyteczne są tylko dwa stany: agent proponuje albo agent nie działa. Budowanie trzech stopni ponad „człowiek wykonuje” dla klasy zadań, gdzie nic powyżej tej linii nigdy nie jest dozwolone, to teatr governance. Binarność jest tam poprawna i nic w tym eseju nie powinno być czytane jako teza, że każdy agent potrzebuje czterech stopni.

Analogia motoryzacyjna obraca się przeciw tezie i jest to najtrudniejszy zarzut. Google i Waymo przestały testować autostradową autonomię poziomu 3, gdy ich kierowcy testowi przestali uważać. Przesiadali się na tylne siedzenie, gdzie oglądali filmy i zasypiali. Wyciągnięty wniosek brzmiał: proszenie nieuważnego człowieka o reakcję w ciągu sekund na sytuację krytyczną jest samo w sobie niebezpieczne. John Krafcik z Waymo powiedział, że poziom 3 „może okazać się mitem”. Ford ogłosił w lutym 2017, że pominie poziom 3 w całości i pójdzie prosto do wysokiej autonomii.

Ten przypadek pokazuje, że skala poziomów może być dobrą taksonomią i złym stanem docelowym, bo poziomy środkowe potrafią skumulować zagrożenia obu skrajności naraz. Człowiek nie obsługuje tam systemu ani nie jest z pętli naprawdę wyjęty.

Różnica jest realna i stawia warunek, zamiast obalać zarzut. Nadzorca agenta nie siedzi za kierownicą w pętli sterowania czasu rzeczywistego, więc okno reakcji liczy się w minutach lub godzinach, a nie w sekundach. Odwracalność działania agenta da się przy tym zaprojektować, podczas gdy auto przy 120 km/h ma taką odwracalność, jaką przyzna mu fizyka. Zauważ jednak kształt tej obrony. Trzyma się tylko tam, gdzie odwracalność i okno reakcji naprawdę zbudowano. Jeśli działanie jest nieodwracalne, a przeglądający nieuważny, zarzut Waymo trafia w ciebie dokładnie tak, jak został napisany.

Zgoda jest komponentem, a komponenty mają awaryjność. „Wykonanie za zgodą” czyta się jak kontrola, a częściowo jest nadzieją. Lisanne Bainbridge wyłożyła to w pracy Ironies of Automation (Automatica 19(6), 775–779, 1983). Automatyzacja łatwych części zostawia człowiekowi monitorowanie i rzadką krytyczną interwencję. Czyli dokładnie tę umiejętność, której przestał ćwiczyć. Więcej automatyzacji wymaga więcej szkolenia operatora, nie mniej. Mica Endsley w przeglądzie pola From Here to Autonomy (Human Factors 59(1), 5–27, 2017) nazywa to zagadką automatyzacji: wyższa autonomia i wyższa niezawodność obniżają świadomość sytuacyjną oraz zdolność przejęcia kontroli.

Istnieje jeden kontrolowany pomiar tego efektu, choć z innej dziedziny. Dratsch i współautorzy (Radiology 307(4), e222176, 2023) dali 27 radiologom 50 mammogramów z dołączonymi sugestiami AI. Przy sugestiach błędnych odsetek poprawnych ocen spadł z około 80% do 19,8% wśród czytających niedoświadczonych. Wśród średnio doświadczonych spadł do 24,8%, a wśród tych z piętnastoletnim stażem i dłuższym do 45,5%. To diagnostyka obrazowa, daleko od kolejki przycisków akceptacji, i skala efektu się nie przenosi. Przenosi się teza jakościowa. Ludzki krok akceptacji jest komponentem zawodnym, którego niezawodność trzeba oszacować, a nie założyć, i który degraduje się w miarę, jak agent nad nim się poprawia.

Wykonanie za zgodą, w którym nikt nie czyta wniosków o zgodę, działa jak pełna automatyka z dodatkową papierkową robotą.

Przytoczone dane nie pozwalają ocenić wpływu stopniowania na liczbę incydentów. Jedyna liczba bliska tej kwestii wygląda wręcz niekorzystnie: Sinch raportuje 81% wycofań wśród organizacji, które same oceniły swoje frameworki governance jako najbardziej dojrzałe, powyżej średnich 74%. Dwa odczytania zasługują na wysłuchanie. To może być artefakt wykrywalności, bo dojrzałe governance jest zdolnością zauważenia i cofnięcia, a organizacje bez niej nie wycofują, bo nigdy się nie dowiadują, że powinny. Szesnaście procent respondentów powiedziało wprost, że nie potrafiło zdiagnozować, co poszło źle. Albo dojrzałość wcale nie oznacza stopniowania i organizacja może prowadzić rozbudowany aparat kontrolny, który wciąż ma dwa stany.

Ta liczba nie pokazuje natomiast, że governance szkodzi. „Najbardziej dojrzałe zabezpieczenia” to samoocena respondenta, bez zewnętrznej klasyfikacji, a całe badanie opiera się na samoocenie. Obronialna teza jest więc węższa niż ta, którą sprzedałby konsultant: stopniowana autonomia zmienia koszt reakcji na incydent. Czy zmienia też prawdopodobieństwo incydentu, tego przytoczone dane nie rozstrzygają.

A budowanie pod prognozę jest samo w sobie zakładem. Obie kotwice są tu prognozami, nie pomiarami. Mogą się nie zmaterializować, a sposób ich sformułowania utrudni późniejsze rozstrzygnięcie, czy się zmaterializowały. Jeśli Sinch ma rację, zjawisko przekroczyło 74% w komunikacji z klientem, zanim prognoza na 2027 rok w ogóle się ukazała. Znaczy to albo że prognoza jest ostrożna, albo że obie liczby liczą co innego. Drugie jest bardziej prawdopodobne i mniej satysfakcjonujące. Operator, który wyda rok na budowę stopniowanej autonomii, bo prognoza mówiła 40%, alokował kapitał na podstawie nieujawnionej metody.

Nie buduj tego więc pod prognozę. Buduj pod kształt kosztu, który trzyma niezależnie od tego, czy prognoza się sprawdzi. Przy pełnej autonomii incydent zostawia ci dokładnie jeden ruch i jest to najdroższy dostępny.

Pytanie, na które odpowiadasz przed incydentem

Przepuść w tym tygodniu przez ten test jednego agenta i zostań przy czterech pytaniach. Co mu wolno zrobić. Do czego może sięgnąć. Kiedy człowiek jest w pętli. I co się z nim dzieje po incydencie.

Ostatnie pytanie rozstrzygnij osobno dla każdej pary agent–klasa zadań: czy po incydencie można bezpiecznie ograniczyć zadania agenta, czy trzeba go wyłączyć. Sprawdź tę procedurę przed wdrożeniem.

Bibliografia

1. primaryGartner, Gartner Says Applying Uniform Governance Across AI Agents Will Lead to Enterprise AI Agent Failure (komunikat prasowy, 26 maja 2026) — (prognoza, nie pomiar; cytat i dane za serwisami wtórnymi wymienionymi niżej, oryginału nie zweryfikowano)
2. primaryGartner, Gartner Predicts Over 40% of Agentic AI Projects Will Be Canceled by End of 2027 (komunikat prasowy, 25 czerwca 2025) — (prognoza; za serwisami wtórnymi, jak wyżej). Powiązana prognoza o agentach do konkretnych zadań w aplikacjach korporacyjnych, z 26 sierpnia 2025, również jest projekcją, a nie zliczeniem.
3. primarySinch, The AI Production Paradox (13 maja 2026) — (pomiar samoopisowy, sponsorowany przez dostawcę; n = 2527 decydentów wysokiego szczebla, dziesięć krajów, badanie terenowe styczeń–luty 2026)
4. primaryParasuraman, R. i Riley, V., Humans and Automation: Use, Misuse, Disuse, Abuse, Human Factors 39(2), 230–253 (1997), DOI 10.1518/001872097778543886
5. primaryParasuraman, R., Sheridan, T. B. i Wickens, C. D., A Model for Types and Levels of Human Interaction with Automation, IEEE Trans. SMC-A 30(3), 286–297 (2000), DOI 10.1109/3468.844354. Na fundamencie: Sheridan, T. B. i Verplank, W. L., Human and Computer Control of Undersea Teleoperators, raport techniczny MIT Man-Machine Systems Laboratory (1978).
6. primaryBainbridge, L., Ironies of Automation, Automatica 19(6), 775–779 (1983), DOI 10.1016/0005-1098(83)90046-8; Endsley, M. R., From Here to Autonomy: Lessons Learned From Human–Automation Research, Human Factors 59(1), 5–27 (2017), DOI 10.1177/0018720816681350; Dratsch, T., Chen, X., Mehrizi, M. R. i in., Automation Bias in Mammography: The Impact of Artificial Intelligence BI-RADS Suggestions on Reader Performance, Radiology 307(4), e222176 (2023), DOI 10.1148/radiol.222176.
7. primarySAE International, J3016_202104: Taxonomy and Definitions for Terms Related to Driving Automation Systems for On-Road Motor Vehicles, wersja z 30 kwietnia 2021 — (Recommended Practice, użyta tu wyłącznie jako analogia)
8. primaryParlament Europejski i Rada, rozporządzenie (UE) 2024/1689 (AI Act), artykuł 14 — nadzór ze strony człowieka
9. primaryOWASP GenAI Security Project, LLM06:2025 Excessive Agency, OWASP Top 10 for LLM Applications (2025)
10. primaryNIST CSRC, Control Overlays for Securing AI Systems (COSAiS) — projekt powołany 10 lipca 2025, dokument koncepcyjny 14 sierpnia 2025, konspekt z komentarzem 8 stycznia 2026
11. primarySEC, SEC Charges Knight Capital With Violations of Market Access Rule, komunikat 2013-222 (Admin. Proc. File No. 3-15570, październik 2013)
12. secondaryRelacje branżowe z komunikatów Gartnera, użyte tu dla cytowanego brzmienia i dla rozbieżności w jednostce analizy: CIO, Many autonomous agents doomed by governance failures; Identity Week, 40% of autonomous AI agents could face demotion, according to Gartner report; RCR Wireless, Gartner: More than 40% of agentic AI projects will fail by 2027 (źródło metodologii sondażu z webinaru ze stycznia 2025)
13. secondaryIncydent Replita: The Register, Vibe coding service Replit deleted user's production database (21 lipca 2025); AI Incident Database, incydent 1152 — (oba opierają się na samoocenie poszkodowanego i dostawcy; niezależny raport powypadkowy nie istnieje)
14. secondaryŚwiadome pominięcie poziomu 3: Automotive News, Ford's dozing engineers side with Google in full autonomy push (17 lutego 2017); CleanTechnica, Google/Waymo Stopped Testing Level 3 Self-Driving Tech After Testers Literally Fell Asleep (1 listopada 2017)
15. secondaryA Taxonomic Odyssey: Evolution, Criticisms, and Future Directions of Driving Automation Taxonomies – The Case of SAE J3016, ScienceDirect