Самый трудный вопрос в проекте с AI-агентом звучит не «какая модель» и не «сколько стоит». Он звучит так: что этот агент может сделать в нашей CRM, никого не спросив. Пока агент только читает и отвечает, риск небольшой. В день, когда он получает право записи, меняется всё сразу: цена внедрения, объём тестов и список того, что может сломаться тихо.
Ниже то, что я реально закладываю в проекты: матрица прав, правила постановки шлюза согласования, обязательный аудиторский след и план отката. Без теории про governance, с конкретными полями и цифрами.
Момент, когда агент перестаёт читать и начинает писать
Опубликованные польские вилки показывают этот порог лучше любого объяснения. В прайсах подрядчиков агент, отвечающий по базе знаний, и агент, пишущий данные в систему, - это два разных продукта.
| Объём агента | Вилки польских подрядчиков | Поддержка |
|---|---|---|
| Простой ассистент на готовой платформе | 700-3 500 € (3 000-15 000 zł) | 120-580 €/мес |
| Отвечает по базе знаний, в системы только заглядывает | 4 600-14 000 € (20 000-60 000 zł) | 470-1 900 €/мес |
| Читает и пишет данные в CRM, ERP или логистику | 18 500-58 000 € (80 000-250 000 zł) | 1 900-9 300 €/мес |
Скачок между второй и третьей строкой возникает не из-за модели. Он возникает потому, что при записи кто-то должен спроектировать права, обработать ошибки, предусмотреть откат изменения и собрать логи, которые переживут разговор с проверяющим.
Если ваш случай - «хочу, чтобы клиенты получали ответы по нашей документации», оставайтесь в верхних строках таблицы, то есть в зоне чат-бота с базой знаний. Запись в систему оправдана только тогда, когда кто-то вручную переносит одни и те же данные десятки раз в неделю.
Матрица прав: таблица, которую подписывает владелец
Это документ, с которого я начинаю любое внедрение AI-агента с доступом к системам. Одна страница, пять колонок, согласование до первой строчки кода.
| Действие в CRM или ERP | Риск | Право агента | Шлюз согласования | Что уходит в лог |
|---|---|---|---|---|
| Чтение карточки клиента и истории контактов | низкий | чтение | нет | id записи, запрос, время |
| Добавление заметки к сделке | низкий | запись | нет | текст заметки, автор «агент» |
| Создание лида из письма или формы | низкий | запись | нет | источник, заполненные поля |
| Смена этапа в воронке продаж | средний | запись | да, если сумма выше 4 600 € (20 000 zł) | старый этап, новый этап, причина |
| Письмо клиенту с корпоративного адреса | средний | запись и отправка | да, при первом контакте | полный текст, адресат, вложения |
| Подготовка коммерческого предложения | высокий | только черновик | всегда | версия, цены, скидка, маржа |
| Изменение цены, скидки, условий оплаты | высокий | без записи, только предложение | всегда, руками | предложенное значение, обоснование |
| Выставление счёта и отправка в налоговую систему | высокий | без записи | всегда, нажимает человек | полный payload документа |
| Изменение остатков, резерв товара | высокий | запись в пределах лимита | сверх лимита | SKU, разница, склад |
| Удаление записи, слияние контрагентов | критический | запрещено | не применяется | сама попытка и её отказ |
| Выгрузка списка клиентов или персональных данных | критический | запрещено | не применяется | сама попытка и её отказ |
Три правила, которые держат эту таблицу:
- По умолчанию ноль. У агента нет ни одного права, пока не добавлена строка. Не наоборот.
- Одна строка - одно действие, а не модуль. «Доступ к модулю продаж» не значит ничего. «Смена этапа сделки» значит.
- Критическая категория остаётся пустой. Удаление, слияние и выгрузка персональных данных не входят в зону агента ни в одном варианте. Просьба сделать исключение обычно означает, что чинить надо сам процесс.
Технический аккаунт вместо логина сотрудника
Самый частый способ сэкономить время на пилоте: агенту дают логин менеджера, потому что так быстрее. Отсюда три проблемы разом. Агент наследует все права этого человека, включая забытые. В истории записи стоит фамилия сотрудника, и через два месяца никто не отличит его правки от правок модели. А когда человек увольняется и аккаунт отключают, агент встаёт посреди дня.
Правильный вариант: отдельный технический аккаунт со своим отображаемым именем, своим ключом API, своим набором ролей и своим лимитом запросов. В HubSpot, Pipedrive, Bitrix или Comarch ERP это час настройки. Результат: в каждой записи видно, что правку сделал агент, а отзыв доступа не задевает никого в команде.
Шлюз согласования: что доходит до человека и за какое время
Шлюз согласования - это не окно «вы уверены». Это отдельный шаг процесса с конкретным адресатом и временем реакции. Без этих двух вещей он превращается в очередь, которую никто не читает.
У меня это работает так. Агент готовит действие целиком, сохраняет черновик и шлёт одно сообщение в Slack или на почту: что хочет сделать, в какой записи, на каком основании, плюс две кнопки. Без затаскивания человека в админку. Если никто не ответил за оговорённое время, действие сгорает и дело уходит в ручной список. Оно никогда не выполняется «по умолчанию да».
Сроки, которые работают в небольшой компании: предложение и расчёт - до 4 рабочих часов, первое письмо новому клиенту - до 1 часа, смена этапа выше порога - до конца дня. У агента для записи клиентов граница проходит иначе: свободный слот в рабочие часы агент берёт сам, перенос чужого визита или время вне графика идёт человеку.
Сколько дел реально уходит на проверку
Этот вопрос определяет бюджет, а не безопасность. Практики, которые ведут агентов в проде, сходятся на 5-15% случаев, требующих человека, и говорят, что это постоянная статья расходов, а не дефект, который можно вычистить. Сверху ложатся 100% действий высокого риска: они идут через шлюз по определению.
Арифметика на торговой компании, 400 дел в месяц:
- разбор исключений: 400 × 10% = 40 дел по 3 минуты, то есть 2 часа в месяц
- согласование предложений: 60 штук × 4 минуты, то есть 4 часа в месяц
- согласование первых писем: 80 × 1 минута, около 1,5 часа
Итого меньше 8 часов в месяц на одного человека против снятых десятков часов ручного переноса данных. Этот расчёт стоит сделать до внедрения: если выходит 40 часов проверки, лучше строить обычную автоматизацию на жёстких правилах.
Проверять всё подряд тоже не работает. Человек, нажимающий «согласовать» пятидесятый раз подряд, перестаёт читать через неделю. Шлюз должен стоять там, где в таблице написано «высокий», остальное идёт само и падает в лог.
Сужение радиуса: фильтры, лимиты и белый список полей
Право «запись в CRM» слишком широкое. Я сужаю его по четырём осям, и все они прописаны в конфигурации, а не в промпте.
- По записи. Агент видит только дела своей очереди, а не всю базу. Ключевые клиенты вне зоны доступа.
- По полю. Белый список полей на запись, остальное только на чтение. NIP, данные владельца, условия договора и бухгалтерские поля туда не попадают никогда.
- По сумме и количеству. Выше 4 600 € (20 000 zł) по сделке или выше фиксированного лимита штук агент только предлагает.
- По статусу. Закрытые дела, дела с уже выставленным счётом и спорные заблокированы целиком.
Лимиты должны сидеть в API и правах системы, а не в инструкции для модели. Инструкцию обходят одним грамотно составленным письмом от клиента. OWASP в отчёте по безопасности агентов за 2026 год ставит prompt injection в центр агентных рисков и приводит рост числа атак на 340% год к году, с задокументированными случаями против Slack AI, Microsoft 365 Copilot и GitHub MCP. Вывод простой: то, что агенту нельзя сделать в API, должно быть невозможно независимо от того, что он прочитает.
Аудиторский след: что обязано остаться после каждого действия
Агенты редко падают громко. Типичный отказ выглядит так: агент вызывает правильный инструмент с правдоподобными, но неверными параметрами, и этого неделю никто не замечает. OWASP приводит средний охват мониторингом агентных систем в проде - 52%, то есть почти половина внедрённых агентов не наблюдается вообще.
Минимальная запись в логе, которой хватает для разбора:
| Поле | Пример содержимого | Зачем |
|---|---|---|
| Время и идентификатор сессии | 2026-09-02 11:42, сессия 8f31 | связь действия с диалогом |
| Кто инициировал | клиент, сотрудник, расписание | ответственность |
| Вызванный инструмент и параметры | crm.update_deal, id 4127, stage=won | что именно ушло в систему |
| Версия промпта и модели | v14, gpt-5.1 | воспроизводимость после апдейта модели |
| Состояние до и после | stage: было negotiation, стало won | откат изменения |
| Результат шлюза | согласовал Марек К., 11:48 | доказательство надзора человека |
Дальше идёт юридическая часть, поэтому оговорка: я разработчик, а не юрист. Компания, использующая ИИ-систему под своим именем, в терминах AI Act является деплойером, и обязанности лежат на ней, а не только на подрядчике. В Польше добавился национальный надзор: Комиссия по развитию и безопасности искусственного интеллекта получает полномочия проверять, вести производство и штрафовать с 28 октября 2026 года. Лог действий агента - единственное, что можно показать в таком разговоре.
План отката: как отключить агента за минуту
Часть, которая обычно выпадает из объёма работ и больнее всего бьёт, когда её нет. Три уровня, протестированные до запуска, а не после инцидента:
- Пауза. Один переключатель останавливает запись, чтение остаётся. Доступен владельцу, а не только подрядчику.
- Отсечение. Отзыв ключа API технического аккаунта: секунды в панели CRM, эффект мгновенный.
- Откат. Запрос по логу: все действия агента за последние N часов с состоянием до изменения и возвратом пачками. Без этого придётся листать историю по одной записи.
Gartner ожидает, что больше 40% агентных проектов будут отменены до конца 2027 года, и приводит цифру: 89% пилотов не доходят до прода. Значительная часть этих провалов выглядит именно так: пилот работал, потом сделал глупость, никто не смог быстро сказать что и сколько раз, и проект закрыли.
С чего начать
Порядок, который работает: две недели только на чтение, затем запись в категориях низкого риска, затем по одному действию среднего риска в неделю. Высокий риск остаётся за шлюзом навсегда.
Если непонятно, какие процессы у вас вообще пригодны для записи агентом, начните с аудита AI за 4 900 zł (около 1 140 €): на выходе матрица прав и смета внедрения, иногда - ответ, что хватит обычной автоматизации. Агент продаж с интеграцией CRM у меня начинается от 2 500 €, мультиинструментальный агент - от 4 500 €. Как это выглядит со стороны бизнеса, я разбирал на примере внедрений в Гданьске.
Есть конкретный процесс в CRM или ERP и нужно понять, где ставить шлюз? Напишите, пройдём матрицу прав по вашему случаю.
FAQ
Какие права дать AI-агенту в CRM на старте? На старте только чтение и запись в категориях низкого риска: заметка к сделке, лид из письма, обновление контактных данных. Смена этапа сделки, письмо клиенту и всё, что касается цены, подключается позже и через шлюз согласования. Удаление записей, слияние контрагентов и выгрузка персональных данных отключаются навсегда.
Какие действия агента обязаны проходить через человека? Всё, что меняет деньги или создаёт обязательство перед клиентом: коммерческое предложение и расчёт, изменение цены, скидки или условий оплаты, выставление счёта и отправка документа в налоговую систему, изменение остатков сверх лимита. Плюс первое письмо новому клиенту и любая смена сделки выше порога суммы, например 4 600 € (20 000 zł). Остальное может идти автоматически при условии, что попадает в лог.
Сколько дел агент отправляет на проверку человеку? Практики, которые ведут агентов в проде, называют 5-15% случаев как постоянную операционную статью, независимо от качества модели. Сверху идут 100% действий высокого риска, они проходят шлюз по определению. При 400 делах в месяц обычно выходит 6-8 часов работы одного человека. Если расчёт даёт десятки часов, выгоднее строить автоматизацию на жёстких правилах.
Что нужно логировать при каждом действии агента? Шесть элементов: время и идентификатор сессии, кто инициировал действие, вызванный инструмент с параметрами, версия промпта и модели, состояние записи до и после, результат шлюза с именем согласовавшего. Такого набора хватает, чтобы восстановить событие и откатить изменения пачками. OWASP приводит средний охват мониторингом агентных систем в проде - 52%.
Сколько стоит AI-агент с записью в CRM или ERP? Польские подрядчики публикуют вилки 4 600-14 000 € (20 000-60 000 zł) за агента, отвечающего по базе знаний, и 18 500-58 000 € (80 000-250 000 zł) на внедрение плюс 1 900-9 300 € в месяц за агента, который читает и пишет данные в CRM, ERP или логистике. Скачок объясняется проектированием прав, обработкой ошибок и логированием, а не моделью. У меня агент продаж с интеграцией CRM начинается от 2 500 €, мультиинструментальный - от 4 500 €.
Опасен ли prompt injection для агента с доступом к системам? Да, и именно поэтому лимиты должны лежать в правах API, а не в инструкции для модели. OWASP в отчёте за 2026 год ставит prompt injection в центр агентных рисков и приводит рост числа атак на 340% год к году, с задокументированными случаями против Slack AI, Microsoft 365 Copilot и GitHub MCP. Одного грамотно написанного письма от клиента достаточно, чтобы агент попробовал сделать что-то вне сценария. Если действия нет в ролях технического аккаунта, попытка заканчивается отказом и записью в логе.
Как быстро можно отключить агента от системы? На трёх уровнях. Пауза записи - один переключатель, после которого у агента остаётся только чтение. Отзыв ключа API технического аккаунта занимает секунды в панели CRM и действует сразу. Откат - это запрос по логу о действиях агента за последние часы с состоянием до изменения. Все три уровня нужно проверить до запуска, а не после инцидента.
