Du känner din kund – men känner du kundens AI-agent?

AI-agenter är på väg in i handeln – med förmåga att söka, fatta beslut och genomföra transaktioner åt konsumenten. Men när allt fler beslut flyttas från människor till agenter förändras också säkerhetsfrågan i grunden. 

Det var ett av budskapen från Åsa Kidman, Chief Security Advisor, på Microsoft, när Svensk Handels Paytech Hub samlade handlare, varumärken och experter för att diskutera säkerhet och ansvar i en allt mer agentdriven handel.

Från koll på kunden till koll på AI-agenten

Handeln har länge arbetat med Know Your Customer – att veta vem kunden är. Åsa Kidman pekar på nästa steg: Know Your Agent.

När en AI-agent börjar agera på en människas vägnar behöver handlare och varumärken kunna identifiera agenten, förstå vilket mandat den har och kontinuerligt bedöma vad den faktiskt gör. En statisk bild av kunden räcker inte när beslut kan fattas av en agent på millisekunder.

Det väcker nya frågor: Vilka agenter finns i eller interagerar med verksamheten? Vad har de tillgång till? Vilka handlingar får de utföra? Och vad händer om deras beteende förändras?

När veckor blir sekunder

Samtidigt är det inte bara handlare och varumärken som får tillgång till AI-agenter. Åsa beskriver hur AI redan används för att hitta sårbarheter, lösenord och möjliga vägar in i organisationer. Agenter kan dessutom arbeta tillsammans utan att en människa behöver styra varje steg.

Det som framför allt förändras är hastigheten. Där organisationer tidigare kunde ha veckor eller månader på sig att upptäcka och åtgärda en sårbarhet kan en AI-agent hitta och utnyttja den på sekunder.

Det innebär att kontrollen också behöver ske kontinuerligt. Organisationen måste kunna se vilka agenter som finns, vad de gör och reagera när en agent börjar bete sig på ett sätt den inte ska.

För handeln blir frågan särskilt konkret när AI-agenter får mandat att genomföra köp och betalningar: Vem är ansvarig när en AI-agent genomför en transaktion som den inte borde ha gjort?

Det här kan du göra redan nu

Åsa Kidmans budskap går att omsätta i några konkreta frågor att ta med tillbaka till organisationen:

• Få koll på era AI-agenter
  Inventera vilka agenter som redan används eller testas i verksamheten – även sådana som olika team själva har börjat använda. Åsa lyfter särskilt risken med så kallade shadow agents som organisationen saknar kontroll över.
• Bestäm vad varje agent får göra
  Vilken information får den komma åt? Vilka system får den använda? Vilka beslut och handlingar får den utföra? Ju större mandat en agent får, desto viktigare blir kontrollen.
• Se till att ni kan följa vad agenten faktiskt gör
  Det räcker inte att kontrollera agenten när den sätts upp. Organisationen behöver kunna upptäcka förändrat beteende och risker löpande och agera när något avviker.
• Utse en ansvarig innan något går fel
  Vem i organisationen äger frågan när en agent gör något den inte borde – särskilt när det gäller en transaktion? Den ansvarsfördelningen behöver vara tydlig innan agenter får större mandat.
• Börja ställa frågan: ”Känner vi agenten?
  När AI-agenter börjar agera för kunder blir Know Your Agent en ny dimension av kund- och riskarbetet: Vem eller vad agerar, med vilket mandat – och kan vi bedöma beteendet i realtid?

Kort sagt: Vänta inte med kontrollen tills AI-agenter börjar genomföra köp. Bygg den samtidigt som ni bygger agentförmågan.