AI Agent 开始替你发邮件后,团队必须有一张授权表

一家公司的销售团队上线了一个 AI Agent。

最初，它只做三件事：

整理客户关注点。

起草跟进邮件。

销售确认以后再发送。

使用一段时间后，团队觉得每封邮件都要点确认太慢，于是放开了自动发送权限。

前几周没有问题。

直到一次报价谈判中，Agent 根据历史邮件里的旧政策，给客户自动发出了一项已经取消的折扣承诺。

客户接受了。

销售说：“邮件不是我发的。”

技术说：“系统是按授权执行的。”

业务负责人问：“是谁批准它可以在价格谈判里直接对外承诺？”

会议室里没有人回答。

团队有工具管理员，有模型配置，有提示词，有操作日志。

唯独没有一份组织层面的授权：

哪些事情只能建议？

哪些事情可以写入系统？

什么动作必须逐次审批？

谁对最终结果负责？

出了问题谁可以立即叫停？

AI 从“帮你写”走向“替你做”以后，管理问题已经变了。

这不再只是输出质量问题，而是组织授权问题。

2026 年 7 月，PwC 在 AI Agent 治理报告中提出，每个 Agent 都应该有可验证身份、明确角色、任务级权限、可审计记录和清晰的自主行动边界；自主程度和后果越高，人的监督越需要加强。

世界经济论坛发布的 Agent 行动手册也把授权配置作为从试点走向规模化的关键工具。

员工不能因为“AI 做的”就免除责任，组织也不能因为“技术允许”就默认完成授权。能力属于工具，责任仍然属于组织。

很多公司的 AI 规则仍停留在第一阶段：

哪些工具可以使用。

输出必须人工核验。

不能泄露公司信息。

这些规则主要面对聊天式 AI。

员工提问，AI 回答，员工决定是否采用。

Agent 不同。

它可能自己选择步骤、调用多个工具、读取持续更新的数据、写回业务系统、向外部联系人发消息，并在没有人盯着的时间运行。

当动作链变长，责任也会被拆散。

授权数据的人不一定理解它会做什么动作。

批准上线的人不一定看到每次运行。

最终受影响的客户或员工，更不知道决定经过了哪些系统。

如果没有明确授权，组织很容易出现三种假象。

第一，有审批按钮就等于有人负责。

实际上，审批者每天面对几十条请求，只会形成“确认疲劳”，最后机械点击。

第二，Agent 没有越权，因为权限是管理员配置的。

技术权限不等于业务授权。系统允许发送邮件，不等于组织允许它承诺价格、解释政策或处理投诉。

第三，有日志就能追责。

日志只能告诉你发生了什么。如果事前没有负责人、边界和叫停规则，事后看到完整记录也无法弥补结果。

Gartner 在 2026 年 5 月提出按自主程度进行分级治理，并预测到 2027 年，40% 的企业可能因为上线后才暴露治理缺口，而降级或停用自主 Agent。

其四级思路非常适合管理者理解授权差异。

Agent 只能读取被限定的数据，完成检索、总结、解释和异常扫描。

它不能修改记录，也不能对外行动。

例如：读取项目文档并列出逾期风险；读取知识库回答员工问题。

管理重点是数据范围、身份认证、使用日志和输出准确性。

Agent 可以生成方案、邮件草稿、分析和拟执行动作，但由人完成最终操作。

例如：起草客户回复，由销售修改并发送；提出采购补货建议，由负责人下单。

风险不只在事实错误，还在“自动化锚定”：人看到一份完整建议后，可能放弃独立判断。

所以审批者不能只检查格式，而要检查证据、边界和后果。

Agent 可以写数据、发送通信或修改配置，但每个动作都需要人明确批准。

例如：生成退款方案，客服主管确认后由 Agent 执行；生成客户邮件，销售确认收件人、承诺和附件后发送。

这一级最容易出现假监督。

如果审批界面只显示“是否同意”，却不显示原始依据、将要修改的内容和不可逆后果，审批就只是把责任推给一个按钮。

Agent 在事先定义的边界里自动运行，人主要处理异常、查看日志和聚合结果。

例如：自动把低风险内部工单分配给对应队列；在库存低于阈值时创建内部补货草稿。

到了这一级，组织必须具备持续监控、强制边界、快速回滚、熔断机制和明确责任人。

能力越强，不代表应该直接进入 L4。

同一个 Agent 的不同动作，也可能属于不同等级。

起草回复是 L2。

确认后发送是 L3。

无需确认自动承诺解决方案，则接近 L4。

所以授权对象不应该只是“这个 Agent”。

而应该是“这个 Agent 在这个场景下的这类动作”。

授权卡不是技术文档，也不是一篇模糊的 AI 使用制度。

它是业务负责人、技术、数据、合规和使用者之间的一份组织契约。

至少写清八项。

它为谁解决什么问题？

不要写“提高销售效率”。

要写：“根据已确认的客户会议纪要，生成跟进邮件草稿，帮助销售减少整理时间，不替代销售做价格与承诺判断。”

允许读取哪些系统、字段、时间范围和对象？

客户联系方式、历史报价、内部利润、员工评价的敏感程度不同，不能因为都在一个系统里就一并开放。

它能检索、总结、建议、写入、发送、删除还是配置？

每一种动作的后果不同，要分别授权。

明确列出绝不能触碰的动作。

例如：不能自动承诺价格；不能修改合同条款；不能对外解释法律责任；不能删除客户记录；不能向未核验地址发送附件。

禁止事项比一句“谨慎处理”更能保护组织。

谁有资格批准？批准时必须看到什么信息？谁对业务结果负责？

不能写“相关负责人”。

需要写到角色，必要时写到姓名和替补人。

用金额、频率、时间、对象和风险等级限定自主范围。

例如：只处理内部邮件；一天最多运行 50 次；单笔金额超过 500 元必须升级；工作时间外不发送外部消息。

必须能回看：使用了哪些输入、调用了什么工具、生成了什么建议、谁批准、执行了什么动作、结果如何。

日志要服务于复盘和纠错，而不只是技术留痕。

谁可以暂停 Agent？出现什么信号必须自动停止？写错数据后怎样恢复？外发错误后谁负责通知和修复？

叫停权不能只掌握在开发者手里。

离业务后果最近的人，也必须知道如何快速停止运行。

很多团队以为，只要设置人工确认，就完成了 Human-in-the-loop。

但低质量审批可能比没有审批更危险，因为它制造了安全感。

一个有效审批界面，至少要让人看见：

依据来自哪里。

与原数据相比改变了什么。

涉及哪些对象。

最坏后果是什么。

是否可以撤销。

审批者也要有足够时间和能力判断。

如果一个基层员工被要求审批自己并不理解的模型判断，或者一个主管每天需要确认数百个几乎相同的动作，人的存在只是形式。

可以通过三种方式避免审批疲劳。

第一，降低进入审批队列的数量。

对重复、低风险动作建立清楚规则，只把异常送给人。

第二，按后果分层。

高金额、外部承诺、敏感数据、员工权益和法律后果，配置更高等级审批。

第三，抽样检查常规动作。

不要把所有动作都交给人逐条确认，也不要全部放开。低风险动作可以自动运行，但需要定期抽样和异常监控。

真正的人机协作，不是每一步都加一个人。

而是把人的判断放在后果最大、语境最复杂、最需要责任承担的位置。

很多 Agent 从 L2 升到 L4，只经过一句话：

“已经用了一个月，没什么问题，放开吧。”

没出事不等于系统可靠。

可能只是运行次数少、场景简单、错误没有被发现，或者后果还没有显现。

更稳妥的方式，是分阶段升级。

使用历史数据，不连接真实生产动作。

看它在哪些场景判断错误、遗漏边界或使用不该使用的信息。

Agent 生成建议，但人仍按原流程工作。

比较两者结果，检查 Agent 是否真正增加价值，而不是只生成更多材料。

允许 Agent 执行动作，但每一次都由人确认。

统计人工驳回率、修改率、异常率和审批耗时。

低风险、规则稳定的动作自动执行；高风险和异常动作继续审批。

管理者定期抽样，检查 Agent 是否出现行为漂移。

只有在质量稳定、日志完整、可快速回滚、责任人明确、熔断机制经过演练后，才扩大自主范围。

每次增加数据源、工具、动作或适用人群，都要重新评估授权。

权限不是上线时配置一次就结束。

它会随着 Agent 能力、业务流程和风险后果持续变化。

Agent 事故以后，团队最容易把问题交给技术：优化提示词、换模型、增加规则。

这还不够。

一次完整复盘要追四层。

Agent 生成了什么错误内容？错误在哪一步出现？

为什么这个错误内容有权进入真实系统或到达外部对象？

谁批准了这类动作？授权依据、范围和审批设计是否合理？

为什么业务、技术、合规和使用者之间没有人发现责任空白？

回到开头的折扣邮件。

真正的问题不只是 Agent 使用了旧政策。

还包括：旧政策为什么仍在可读取范围；价格承诺为什么允许自动发送；审批为何被取消；谁负责监控外部承诺；出了错后有没有快速撤回和客户修复流程。

如果只改提示词，组织仍然保留同一个事故结构。

下一次只是换一种方式出错。

过去，管理者通过岗位、流程、授权书和审批权限管理人的行动。

现在，组织里会出现越来越多可以读取、判断和执行的非人行动者。

它们不会因为职位边界自然知道什么该做、什么不该做。

它们只会在系统允许、指令要求和上下文理解的范围里行动。

所以 AI Agent 的治理不能只是 IT 的事。

数据负责人必须定义可访问范围。

技术团队必须实现权限、日志和熔断。

合规团队必须识别不可授权事项。

使用者必须知道何时相信、何时升级。

管理者必须对最终结果负责。

高级管理不是把所有 Agent 锁死。

也不是为了效率把权限一次放到底。

而是让每一份行动力都拥有与后果匹配的边界、证据和责任。

在团队里找出一个已经能“写入、发送、修改或删除”的 AI 工作流。

不要先改提示词。

先用一页纸写清：

任务目标、数据范围、动作权限、禁止事项、审批责任、运行边界、证据日志、叫停回滚。

只要其中一项答不上来，就先把它降到 L2：

只给建议，由人执行。

这不是保守。

这是让组织在扩大 AI 行动力之前，先把责任接回来。

本篇点亮：B13｜Agent 授权治理

署名：FENIX