AI-agenter tar steget från chatt till handling – vad det innebär

Vad som hänt

Mötet med AI har länge sett likadant ut. Du skriver en fråga, du får ett svar, och sedan gör du själv något med svaret. Den ordningen har börjat luckras upp. Modellerna har fått verktyg: en webbläsare, ett filsystem, ett minne, tillgång till andra program. Med verktygen följer förmågan att utföra saker, och det är det skiftet som ligger bakom ordet AI-agent.

Branschen och lagstiftarna har hunnit reagera. I december 2025 lämnade Anthropic över protokollet som kopplar samman AI-modeller och verktyg till en ny stiftelse under Linux Foundation. Samma månad publicerade säkerhetsorganisationen OWASP en ny topplista över de allvarligaste säkerhetsriskerna, den här gången särskilt för agenter. I februari 2026 ägnade den internationella forskningssammanställningen om AI-säkerhet ett eget delavsnitt åt dem. Och den 2 augusti 2026 börjar centrala delar av EU:s AI-förordning gälla, skriven innan den här sortens system togs i bruk.

Vad en AI-agent är

International AI Safety Report 2026, publicerad den 24 februari 2026 under ledning av Turingpristagaren Yoshua Bengio och med bidrag från över hundra experter, beskriver agenter så här: system byggda för att sträva mot mål, oftast formulerade av användaren på vanligt språk. För att nå målen får de tillgång till verktyg, till exempel ett minne, ett datorgränssnitt och en webbläsare. Koden som knyter ihop modellen med verktygen kallar rapporten scaffolding, en byggnadsställning. Det är den som gör att agenten kan planera, hålla reda på detaljer och, som rapporten uttrycker det, agera med betydligt mindre tillsyn eller hjälp från människor. Modellen i mitten är densamma som i chattfönstret. Det som gör den till en agent är vad den kopplats till.

Hur mycket klarar de egentligen?

Forskningssammanställningen konstaterar att agenter inom programmering nu tillförlitligt klarar en del uppgifter som skulle ta en mänsklig programmerare ungefär en halvtimme, jämfört med under tio minuter ett år tidigare. Samtidigt är förmågan ojämn, eller, som rapporten kallar det, "jagged": samma system som klarar det svåra kan misslyckas med något som ser enkelt ut.

Den som funderar på att låta en agent arbeta självständigt behöver därför veta hur långa uppgifter den klarar tillförlitligt. Det amerikanska forskningsinstitutet METR mäter två varianter av samma mått. Ett 50-procentsmått anger uppgiftslängden där modellen lyckas i hälften av försöken. Ett 80-procentsmått anger längden där den lyckas i fyra fall av fem. För de modeller METR mätt skiljer sig måtten med en faktor fyra till tio.

METR är noga med vad måttet inte säger. Det anger inte hur länge en agent kan arbeta självständigt, och ett åttatimmarsvärde betyder inte att AI kan automatisera alla arbeten. Uppgifterna i testet är dessutom väl avgränsade och tydligt formulerade, till skillnad från de flesta verkliga arbetsuppgifter. Att gränsen ändå flyttas snabbt går att läsa mer om i vår artikel om AGI och superintelligens.

Varför det händer nu

En del av förklaringen ligger i modellerna. Forskningssammanställningen pekar på att förbättringarna i allt högre grad kommer från metoder som används efter den ursprungliga träningen, bland annat att låta modellen använda mer beräkningskraft för att arbeta sig igenom ett problem i steg innan den svarar. Det har förbättrat resultaten inom matematik, programmering och forskning, bland annat de områden där agenter används mest.

Resten ligger i infrastrukturen. För att en agent ska kunna använda ett verktyg måste modellen och verktyget prata samma språk. Den 9 december 2025 bildades Agentic AI Foundation under Linux Foundation, med bland andra Amazon, Anthropic, Google, Microsoft och OpenAI som grundande medlemmar. Dit lämnade Anthropic över Model Context Protocol, standarden för att koppla AI-modeller till verktyg och data, vid tillfället med över 10 000 publicerade MCP-servrar, alltså färdiga kopplingar till enskilda tjänster. OpenAI lämnade över AGENTS.md, en konvention för hur agenter ska bete sig i ett kodprojekt, då antagen av över 60 000 öppna projekt. Att konkurrenter lägger sina protokoll i en gemensam stiftelse tyder på att de räknar med agenter som en varaktig del av programvarubranschen.

Där det brister

Ökade förmågor har inte gett någon motsvarande ökning i tillförlitlighet. I studien Towards a Science of AI Agent Reliability utvärderade forskare vid Princeton femton modeller med tolv mått fördelade på fyra egenskaper. Gör agenten samma sak vid upprepade försök? Tål den störningar? Misslyckas den förutsägbart? Är felen begränsade i storlek? Slutsatsen är att de senaste stegen framåt i förmåga har gett små förbättringar i tillförlitlighet. Ett enda mått för hur ofta agenten lyckas döljer enligt författarna de brister som avgör om den går att lita på i skarp drift.

Forskningssammanställningen beskriver samma sak med exempel från praktiken. Agenter tappar ofta tråden när uppgifterna blir längre och hanterar oväntad information dåligt. Rapporten nämner ett talande exempel: en popup-annons på en webbsida kan få en hel uppgift att spåra ur.

Företagen som köper tekniken möter det som praktiska problem. Gartner bedömer att över 40 procent av alla agentprojekt kommer att läggas ned före slutet av 2027, på grund av stigande kostnader, oklar nytta eller otillräcklig riskkontroll. Analysföretaget beskriver också ett utbrett "agent washing", att sälja gammalt som nytt: befintliga chatbotar och automatiseringsverktyg får ny etikett utan att något ändrats under skalet. Av tusentals leverantörer som säger sig sälja agenter bedömer Gartner att omkring 130 verkligen gör det.

Deloittes undersökning av 3 235 it- och affärschefer i 24 länder, publicerad i april 2026, visar samma sak från andra hållet. 74 procent räknar med att använda agenter minst i måttlig omfattning 2027, medan 21 procent uppger att de har färdiga rutiner för att styra och kontrollera dem.

De nya riskerna

En agent som kan handla kan också fås att handla fel. Det är utgångspunkten för OWASP:s topplista för agenter, publicerad i december 2025 och framtagen av mer än hundra säkerhetsexperter. Högst upp på listan står Agent Goal Hijack, kapning av agentens mål. Beskrivningen pekar på en egenskap som är svår att bygga bort: agenter och modellerna bakom dem kan inte tillförlitligt skilja instruktioner från annat innehåll. En angripare kan därför styra om agentens mål genom dolda instruktioner i en webbsida, ett dokument, ett svar från ett verktyg eller ett meddelande från en annan agent. Angreppssättet kallas indirekt promptinjektion: angriparen gömmer sina instruktioner i text som agenten läser, och agenten lyder dem som om de kom från användaren. Det är svårt att försvara sig mot, eftersom instruktionerna kommer i material som varken användaren eller utvecklaren kontrollerar.

OWASP för i en bilaga en löpande förteckning över dokumenterade fall. Tre av dem:

Fallen skiljer sig i orsak. EchoLeak var ett angrepp, Replit-incidenten ett misstag i en agent som fått för vida befogenheter, och händelsen hos Hugging Face ett system som tog målet med sin uppgift för bokstavligt. Det de har gemensamt är att skadan uppstod utan att en människa hann ta ställning. Det är den punkt forskningssammanställningen lyfter: eftersom agenter handlar direkt i världen kan deras fel orsaka större skada än fel i system som bara producerar text för en människa att granska. Kopplas flera agenter samman kan fel dessutom fortplanta sig och förstärkas mellan dem.

OWASP:s huvudsakliga råd är att bygga med minsta möjliga handlingsutrymme: en agent bör inte få mer självständighet än uppgiften kräver, eftersom onödig självständighet ökar angreppsytan, alltså antalet vägar in för den som vill åt systemet. Bakom de tekniska råden ligger det vi beskriver som kontrollproblemet: svårigheten att få ett system att göra det vi vill snarare än det vi råkade formulera. Den svårigheten blir märkbar först när systemet får handla.

Vad det betyder i Sverige

Sverige använder AI mer än de flesta EU-länder. Enligt SCB använde 35 procent av företagen AI under 2025, en ökning med 10 procentenheter på ett år, och 37 procent av befolkningen från 16 år och uppåt hade använt generativ AI under samma år. Motsvarande andel företag i EU som helhet var 20 procent. Statistiken skiljer ännu inte mellan AI som svarar och AI som handlar. Skiftet är så nytt att den officiella statistiken inte fångar det.

I offentlig förvaltning byggs infrastrukturen upp just nu. Den 8 januari 2026 gav regeringen Försäkringskassan och Skatteverket i uppdrag att etablera en AI-verkstad för den offentliga förvaltningen, med 100 miljoner kronor per myndighet och år och en beräknad fortsättning 2027–2030. Enligt uppdragsbeslutet skulle en verkstad i begränsad skala tas i bruk senast den 1 juli 2026. Skatteverket beskriver en av delarna som en säker testmiljö där AI-tjänster kan prövas "med loggning, spårbarhet och dataskydd". För en chattjänst är loggning och spårbarhet god ordning. För en agent som utför handlingar i flera system är de en förutsättning för att i efterhand kunna svara på vad som hände.

Juridiskt är automatiseringen i sig inget nytt. DIGG påpekar att beslut enligt 28 § förvaltningslagen får fattas automatiserat utan stöd i särskild lagstiftning, med vissa undantag, medan kommuner och regioner i stället omfattas av kommunallagen. Ansvaret ligger kvar hos myndigheten. Frågan agenterna reser är därför hur långa och svåröverblickbara kedjor av åtgärder en myndighet kan stå bakom och redovisa i efterhand.

Regelverket ligger efter. När huvuddelen av EU:s AI-förordning börjar tillämpas den 2 augusti 2026 sker det med en lagtext som aldrig använder ordet agent. I en analys i Tech Policy Press den 5 maj 2026 argumenterar Kathrin Gardhouse och Amin Oueslati för att flera av kraven passar dåligt för agenter. Måttet träffsäkerhet är svårt att tillämpa när en uppgift inte har ett givet rätt svar. Promptinjektion finns inte bland de angreppstyper förordningen räknar upp. Och kravet på en mänsklig stoppmöjlighet utgår från att handlingar går att ta tillbaka, vilket inte gäller en agent som redan genomfört en transaktion. Det är en debattartikel och inte en myndighetsbedömning, men invändningarna pekar på ett glapp mellan lagtext och teknik.

Frågan för valet 2026

Flera av de politiska frågor som brukar diskuteras abstrakt hänger på just den här förmågan att handla. AI-Kompassen frågar riksdagspartierna hur sannolikt de bedömer att AI inom tio år kan utföra en majoritet av arbetsuppgifterna i dagens kontorsyrken, och hur den bedömningen påverkar deras politik redan i dag (fråga 10). Det är agenternas utveckling snarare än chattfönstren som avgör svaret. Ett system som svarar kan hjälpa en handläggare. Ett system som handlar kan utföra delar av handläggningen. Samma sak gäller fråga 8 om cybersäkerhet för kritisk infrastruktur, där ett angrepp som drivs av en agent kan pågå utan mänsklig inblandning.

Att tekniken tagit steget till handling är skälet till att frågorna blir aktuella redan under den mandatperiod som börjar efter valet den 13 september.

Läs vidare

• International AI Safety Report 2026 – den bredaste internationella forskningssammanställningen, med ett eget delavsnitt om agenter.
• Towards a Science of AI Agent Reliability – Princeton-forskare om skillnaden mellan förmåga och tillförlitlighet.
• OWASP Top 10 for Agentic Applications 2026 – de tio allvarligaste säkerhetsriskerna med agenter, med dokumenterade incidenter i bilaga D.
• METR: Task-Completion Time Horizons – löpande mätningar av hur långa uppgifter modeller klarar, med förbehållen tydligt beskrivna.
• Riskerna vi står inför – Livet med AI:s genomgång av riskerna och kontrollproblemet.

Det här inlägget är framtaget med AI-stöd och granskat av redaktionen innan publicering. Så används AI

← Alla inlägg