Hur mycket ska agenten få göra?

[musik] Vem kan stoppa den? Tänk dig en liten verksamhet. Strax före sex en morgon. Lokalen är mörk, lampan i receptionen är släckt och en kaffemaskin någonstans börjar puttra.

På en telefon som ligger på hyllan lyser en rad. Nio nya mejl, två bokningsförfrågningar och en leverans som har flyttats. Raden kommer från en AI-agent som har gått igenom mejlen, kalendern och veckans kassaexport medan ägaren sov. Ingen hade bett om raden.

Den kom ändå. Alla ser det smidiga. Det som är värt att fråga är vad agenten har fått lov att göra utöver att läsa och hur man säger stopp. Och den sortens agent finns redan.

Den tjugoförsta oktober 2026 presenterade Anthropic, bolaget bakom Claude, en app som heter Duet, där Claude arbetar som en proaktiv agent. Den finns än så länge som en förhandsversion och under förhandsversionen bara i USA. Enligt Anthropics lanseringstext går den igenom de konton man har kopplat på med några timmars mellanrum. Välkomna till Gästen först.

Jag heter Olivia och det här är torsdagens avsnitt. Med mig har jag som vanligt Rickard Wilhelmsson. Hej Rickard. Hej Olivia.

Den här veckan har vi pratat om AI-agenter, vad de är och vad de gör. Idag kommer frågan som ligger under alla de andra och den handlar mindre om tekniken än om oss. Hur mycket ska vi låta en agent göra? Med oss i dag är Linda som driver en frisersalong och Daniel som driver ett litet företag och har en bakgrund inom IT.

Välkomna båda två. Tack. Jag kommer med många frågor och väldigt få svar. Så jag passar bra här.

Tack. Jag kommer med en lång lista över saker jag vill ha kontroll över. Det här blir bra. Några saker innan vi börjar.

Allt vi säger är allmän information, inte juridisk rådgivning. Vi nämner bolag och produkter för att de är avsnittets ämne och vi utser ingen av dem till bäst. Det vi säger om produkterna bygger på vad bolagens egna sidor beskriver, så som de såg ut när vi spelade in det här i slutet av oktober. Och det kan ha ändrats när du lyssnar.

Och ingen av oss har egna tester att berätta om. Vi går på vad sidorna säger och resonerar om vad en verksamhet skulle behöva. Vi börjar med Duet. Linda, om en sådan agent fanns i din salong och kunde läsa bokningsinkorgen, vad skulle du vilja veta först?

Vad den får göra på egen hand. Allt annat kommer efter det. Jag vill veta var gränsen går mellan att läsa något och att skicka något i salongens namn. Då är Anthropics egna ord en bra början.

Hjälpsidan säger att Duet är gjord för att fråga innan den skickar ett meddelande, gör en betalning, signerar ett dokument eller raderar något. Vissa saker är spärrade även om man svarar ja. Till exempel handel med värdepapper och flytt av pengar mellan konton. Duet vänder sig enligt Anthropic till yrkesverksamma och småföretagare som har mer på sitt bord än de hinner hålla reda på.

På sin sida om säkerhet skriver Anthropic att kontrollen körs utanför den modell som gör jobbet så att instruktioner som gömts på en webbsida inte kan påverka utfallet. Samma sida skriver också att skydden ibland missar något. Det är ett sätt att bygga det om det är som de beskriver. Men jag kan bara läsa vad de skriver.

Jag kan inte se hur det är byggt. Duet har dessutom en egen virtuell dator med en egen webbläsare så din telefon eller dator behöver inte vara påslagen. Och enligt Anthropic ser Duet aldrig dina lösenord, det som webbläsaren sparar om dina inloggningar eller de inloggningsbevis som de anslutna apparna loggar in med. Som jag ser det är det bra saker att läsa, men de ändrar inte frågan.

Det som står där är vad leverantören beskriver. Vad som händer hos dig beror på vad du kopplar på och på hur du svarar varje gång den frågar. Anthropics sidor beskriver också vad Duet inte gör bra. De skriver att den kan feltolka en tråd eller bedöma fel vad som är brådskande och att något brådskande kan komma in mellan genomgångarna.

Den ringer inte och skickar inga SMS till andra och på personliga ärenden, till exempel att boka biljetter, är den enligt Anthropic inte lika stark. Mellan genomgångarna ja. En avbokning klockan nio ser den kanske först klockan tolv. Då är den en medarbetare som kommer in vid lunch.

Några timmars mellanrum är ett val och det går att leva med om man vet om det. Det betyder bara att det inte är en receptionist som sitter vid telefonen. Och om man vill stoppa den mitt i ett uppdrag? I de sidor vi tittat på beskrivs ingen paus eller stoppknapp.

Man kan styra den mitt i en uppgift och koppla bort en app och Anthropic skriver att den då slutar komma åt appen från det ögonblicket. Det den redan har sparat finns kvar tills man raderar eller återställer sin historik. Raderar man kontot raderas allt som Duet har lagrat. Så det närmaste en stoppknapp jag har är att koppla bort mina konton från den.

Det är vad sidorna beskriver när vi spelar in det här. Mer än så ska man inte läsa in i det. Daniel, som IT-människa, vad är det mest intressanta i hur Duet beskrivs? Att den frågar innan den gör fyra saker.

Skicka, betala, signera och radera. Det är fyra saker som inte går att ta tillbaka, så det är ett sätt att välja var människan ska stå. Det jag inte kan utläsa av de meningarna är vad som gäller för allt annat. Till exempel att läsa, sammanfatta eller flytta något.

Där behöver man ta reda på hur det fungerar innan man kopplar på. Alltså, det den får göra utan att fråga är precis den lista jag vill ha på papper. Och så läget. Duet är en förhandsversion som man får via en väntelista och först ut är betalande abonnenter i USA.

Den som inte har ett Claude-konto i USA kan alltså lära sig frågorna men inte själv pröva produkten ännu. Nästa är det Anthropic kallar Cowork. Enligt Anthropics sidor är det byggt för kunskapsarbete som inte är kodning. Arbetet körs på Anthropics servrar i en isolerad miljö och skrivbordsappen behövs om det ska nå filer på din egen dator eller styra den.

Och hur mycket får det göra utan att fråga? Det går att välja. Det finns ett läge där man godkänner själv, ett där en säkerhetsgranskning godkänner åt den och ett läge där godkännandena i stort sett hoppas över. Om det sista skriver Anthropic att ingenting kontrollerar agentens handlingar automatiskt.

Ett undantag finns. Innan den raderar filer för gott frågar den alltid, enligt Anthropic, i alla lägen. De skriver också att man ska undvika att ge åtkomst till lokala filer med känslig information, till exempel ekonomiska dokument, och att risken för en attack fortfarande inte är noll. Kassaexporten är ett ekonomiskt dokument och gästlistan är full av personuppgifter.

Då vet jag vilken sorts fil jag inte skulle lägga i en mapp som en agent får öppna. Ett läge där ingenting granskar finns i många verktyg som gör saker på egen hand. Frågan är vem som slår på det och om den personen har tänkt på vad det innebär. Sedan Claude Code, Anthropics verktyg för den som skriver program.

Det läser koden, ändrar filer och kör kommandon. I standardläget kräver kommandon och filändringar ett ja. Dokumentationen säger att läget som hoppar över frågorna bara ska nyttjas i isolerade miljöer, som en virtuell maskin där det inte kan göra skada. Den sortens mening finns i dokumentationen till många verktyg som kör kommandon.

Kör det i en låda så stannar felet i lådan. För de flesta som driver en salong eller en restaurang är det ett verktyg man inte har skäl att röra, som jag ser det. Det är byggt för dem som skriver kod. Och så två som man installerar själv.

Openclaw är en AI-assistent med öppen källkod och MIT-licens som körs på din egen dator eller server. Man kopplar den till meddelandetjänster som WhatsApp, Telegram och Slack och väljer själv modell, antingen en som någon annan driver eller en som körs lokalt. Hermes Agent har också öppen källkod och MIT-licens och kan köras på en egen dator, på en server eller i en sandlåda i molnet. Där hör jag hemma.

Det är min sorts verktyg. Jag hör hemma i salongen och ordet sandlåda lät som en förskola. Det är samma sak. En sandlåda är en plats där barnen får göra sönder sakerna utan att göra sönder huset.

Så vi har tre sorters agenter på bordet. En som arbetar på sin egen virtuella dator hos leverantören, som Duet. En som arbetar i en isolerad miljö på leverantörens servrar och som vid behov når dina filer, som det Anthropic kallar Cowork. Och en som du själv installerar och driver, som Openclaw och Hermes Agent.

Hur mycket man styr själv skiljer sig mellan dem. Men en sak är gemensam. Någon tillåter och någon bär följderna. I en sal finns det en ordning för det.

Vem som får öppna, vem som får stänga kassan, vem som får ge en gäst en rabatt. Den ordningen finns för att ett fel ska stanna där det uppstår. Samma tanke fungerar för en agent som jag ser det. Man bestämmer i förväg hur långt ett misstag kan nå.

I min värld heter det minsta möjliga behörighet. Man ger inte ett program mer åtkomst än det behöver för att göra sitt jobb. Det låter självklart och det är det som glöms mest. Då är vi framme vid det som ligger under alla de här produkterna.

Vem bär ansvaret? Integritetsskyddsmyndigheten, IMY, har i en rapport från februari 2025 gett vägledning om dataskydd för den som tar generativ AI i bruk. Den är skriven för offentlig sektor, men IMY skriver att den i huvudsak är vägledande även för privata verksamheter. Jag är nog den i rummet som har mest att förlora.

Gästernas namn och telefonnummer ligger i mina bokningar. Vad står det om dem? Tre saker ur vägledningen. Den verksamhet som tar generativ AI i bruk för sitt uppdrag är som utgångspunkt personuppgiftsansvarig.

En leverantör kan vara personuppgiftsbiträde och då krävs ett biträdesavtal. Och nyttjar man i arbetet en tjänst som man har tecknat som privatperson saknas ofta ett biträdesavtal och då kan det strida mot dataskyddsförordningen. Det här är allmän information, inte juridisk rådgivning. Det som är lätt att råka göra är att man tecknar ett abonnemang som privatperson för att det går fort och sedan kopplar på verksamhetens inkorg.

Det liknar det fall som IMY beskriver. Ett biträdesavtal är avtalet mellan verksamheten och leverantören om hur gästernas uppgifter får hanteras. Hos Anthropic ingår ett sådant avtal enligt deras dataskyddssida automatiskt i de kommersiella villkoren och de villkoren gäller bolagets företagsprodukter, till exempel deras API. Vilka abonnemang som omfattas av det avtalet går vi inte in på här och inte heller om Duet omfattas.

Det står i villkoren och är man osäker frågar man leverantören eller en jurist. Då är det en fråga att ställa innan man kopplar på något. Vilka villkor gäller för det abonnemang jag har? För varje leverantör, inte bara den här.

Det gäller alla vi nämner i veckan och alla vi inte nämner. Och så en regel som inte alla känner till. EU-kommissionens webbplats för AI-förordningen återger artikel fyra som handlar om AI-kunnighet. Skyldigheten har gällt sedan den andra februari 2025.

I den lydelse som gäller sedan den tjugosjunde juli 2026 ska den som tar AI i bruk i sin verksamhet vidta åtgärder för att främja AI-kunnighet hos personalen. Ingen viss nivå behöver garanteras och EU-kommissionen och medlemsländerna ska stödja företagens arbete, särskilt hos små och medelstora företag. Så det är ingen examen för mina medarbetare. Texten säger att man ska vidta åtgärder och att ingen viss nivå behöver garanteras.

Den anger också vad man ska ta hänsyn till, bland annat personalens kunskap och erfarenhet och sammanhanget där AI tas i bruk. Vad som är rimliga åtgärder för en salong med tre anställda säger den inte. Som jag ser det bör det prövas mot någon som kan det här juridiskt. Linda, om du skulle gå igenom det här med dina medarbetare, hur skulle du börja?

Vi skulle sitta en timme i personalrummet och gå igenom vad agenten får göra och vad den aldrig får röra. Sedan skulle jag fråga vem som har ansvar för att godkänna. Det får inte bli så att alla tror att någon annan gör det. Den femtonde maj 2026 publicerade det brittiska NCSC, landets myndighet för cybersäkerhet, också ett blogginlägg om att tänka efter innan man tar AI-agenter i bruk.

Orden här är vår egen översättning. Börja smått och låt agenter bara sköta uppgifter med låg risk. Ge agenter bara den minsta åtkomst de behöver, så kort tid som krävs. Och om man inte kan förstå, övervaka eller begränsa vad en agent gör är den inte redo att tas i bruk.

Förstå, övervaka och begränsa. Det är tre saker jag kan bocka av innan jag kopplar på något. NCSC skriver också att det är människor som ansvarar för den åtkomst agenten har fått och för följderna av vad den gör. Enligt NCSC ska man dessutom i förväg bestämma vem som godkänner åtkomsten, vem som följer vad den gör och i slutändan vem som kan stoppa den.

Den meningen är värd att ha på väggen. Den som har jobbat i en sal vet att en ny medarbetare börjar med att bära tallrikar, inte med att sköta kassan. Lite åtkomst först, sen mer. Det går att göra samma sak med en agent.

Och vad räknas som låg risk? Det är ju det som avgör var man börjar. Som jag ser det är det sådant som går att ångra och som inte lämnar huset. Att sortera fakturor i en mapp är låg risk.

Att svara en arg gäst är det inte. Och om agenten ändå skickar något fel till en gäst, vems fel är det då? NCSC skriver att det är människor som ansvarar för den åtkomst agenten har fått och för följderna av vad den gör. Och IMY skriver att verksamheten är personuppgiftsansvarig.

I de delar vi har tittat på ligger ansvaret kvar hos verksamheten och det flyttas inte över till agenten. Vad leverantören själv svarar för står i avtalet och i lagen och det är en fråga till leverantören och till en jurist. Då blir svaret på frågan hur mycket den ska få göra ganska konkret. Så mycket som du är beredd att stå för.

Det är ingen teknisk mätning, det är ett val och det är ditt. Anthropic skriver om instruktioner som gömts på en webbsida och OpenClaw skriver i sin dokumentation att inkommande meddelanden ska behandlas som indata man inte ska lita på. Daniel, förklara för oss andra vad det betyder. En agent läser text.

Den kan inte alltid skilja mellan text den ska läsa och text som är en order. Skriver någon en instruktion i ett mejl eller gömmer den på en webbsida kan agenten i värsta fall behandla den som en uppgift. Därför är det viktigt vad agenten får göra med det den läser. Alltså kan vem som helst skicka mig ett mejl och skriva till min assistent utan att jag vet om det.

Vi har ingen siffra på hur ofta det sker och jag påstår inte att det är vanligt. Både Anthropic och OpenClaw beskriver i sin dokumentation att risken finns och det räcker som skäl att begränsa vad agenten får göra. Och om den frågar mig fem gånger i timmen slutar jag läsa vad den frågar om. Då är godkännandet bara ett klick.

Det är en bra poäng. Ett godkännande som man klickar bort är värt lika lite som ingen kontroll alls. Då tar vi fyra scenarier. De bygger på vad bolagens egna sidor beskriver att den här sortens agent kan göra.

För varje scenario ställer vi två frågor. Vad får agenten läsa och skriva? Och vad måste en människa godkänna? Första scenariot.

Tänk dig att agenten får en egen mapp för leverantörsfakturor. Den får läsa och skriva i den mappen och den sorterar fakturorna efter leverantör. Vill den radera något eller flytta något ut ur mappen godkänner du det först. Den egna mappen är det viktiga.

Då är åtkomsten verkligen begränsad och en agent som sorterar fel har rört till en mapp, inte ett bokslut. Och betalar gör jag själv. Sorteringen får den ta. Betalningen har den ingenting med att göra.

Andra scenariot. Tänk dig att agenten får läsa en enda fil, veckans kassaexport, och skriva en ny fil, en rapport Rapporten granskar du innan den delas med någon. Jag sa förut att jag inte skulle lägga kassaexporten där en agent kommer åt den. Gör jag det ändå vill jag kontrollera siffrorna mot kassan själv första gången.

Anthropic skriver ju själva att Duet kan feltolka. Rapporten är ett utkast. Den som delar den står för den och det är där ditt godkännande gör nytta. Tredje scenariot: Agenten läser bokningsinkorgen och skapar svarsutkast, men en människa godkänner varje utskick.

Det är det jag själv helst skulle vilja ha. Men en bokningsinkorg innehåller gästernas namn och nummer och ibland en allergi mot en hårfärg. Det är personuppgifter och en allergi kan vara en uppgift om hälsa som har särskilt skydd. Då är vi tillbaka vid biträdesavtalet och vid vilket abonnemang det här egentligen går på.

I det här scenariot är det en människa som trycker på skicka och inte agenten. Fjärde scenariot: En morgonsammanfattning om dagens bokningar och leveranser. Agenten läser kalender och mejl men skickar ingenting. Och här gäller det Anthropic skriver om Duet.

Något brådskande kan komma mellan genomgångarna. Det är scenariot med minst risk eftersom agenten inte skickar något. Men den kan läsa fel och om jag litar på sammanfattningen utan att titta själv är det mitt fel. Så morgonsammanfattningen är en skylt vid vägen, men det är fortfarande jag som kör bilen.

Vi lägger dem bredvid varandra. Fakturorna: Läsa och skriva i en mapp och människan godkänner radering och flytt. Rapporten: Läsa en fil och skriva en ny och människan granskar före delning. Bokningssvaren: Läsa inkorgen och skapa utkast och människan godkänner varje utskick.

Morgonsammanfattningen: Läsa kalender och mejl och ingenting skickas. Fyra scenarier och samma mönster. Begränsad åtkomst och en människa som godkänner det som lämnar huset eller inte går att ångra. Vem kan stoppa den?

Det är frågan jag vill ta med oss nu, för här blir det svårare. Daniel, du sa att du hör hemma bland de som installerar själva. Egen dator eller molnet, vad väljer du? Jag skulle hellre köra själv.

Openclaw och Hermes skulle jag kunna installera redan i dag. Koden är öppen, jag skulle kunna läsa den och själv välja var den körs och vilken modell den får. Och med en lokal modell behöver modellen inte ligga hos någon annan. Ingen väntelista, ingen leverantör vars villkor jag måste rätta mig efter.

Då är du din egen säkerhetsavdelning och den avdelningen består av en person. Det har den alltid gjort. Openclaws egen dokumentation skriver att agenter med meddelandeverktyg som standard kan skicka meddelanden mellan konversationer och kanaler. Samma sida beskriver också att okända avsändare i privata chattar som standard får en kod för att kopplas ihop istället för att agenten tar emot deras meddelanden.

Resten ställer du in själv. I Hermes agent nekas ett kommando som standard om ingen svarar på frågan. Men väljer man att alltid godkänna, sparas den sortens kommando på en permanent lista och enligt deras dokumentation godkänns det tyst i alla kommande sessioner. Ett klick en trött tisdag och om den sortens kommando frågar den inte mer.

Då skulle jag inte klicka på det och jag skulle begränsa kanalerna från början. Det är ingen ny sorts arbete för mig. Men du ska göra det rätt vid varje uppdatering och varje ny koppling och ingen annan tittar dig över axeln. Det stämmer.

Men du har inget svar på det här. Duets sidor beskriver ingen stoppknapp. Min egen dator har en strömbrytare. Jag kan se vad som körs och dra ur sladden.

I Duet kan jag koppla bort ett konto och det den redan har sparat finns kvar tills jag raderar eller återställer historiken. Det kan jag inte säga emot. Sidorna beskriver ingen paus eller stoppknapp och det är ett skäl att börja smått. De beskriver att man kan styra den mitt i en uppgift och koppla bort appar.

Men du har inget svar på mitt. På din egen dator kan en felinställd agent nå allt som finns där. Dina mejl, dina filer, din kassa om du inte har byggt en avgränsning först. Duet har enligt Anthropic en egen virtuell dator.

Hos dig är avgränsningen ditt jobb. Det är sant, den måste byggas och jag lovar inte att jag skulle ställa in rätt varje gång. Men jag väljer hellre ett fel jag kan se än ett jag inte kommer åt. Rickard, finns det något du håller med Daniel om?

Ja, öppen källkod går att granska och det är en verklig fördel. Den som kan läsa koden kan se vad den gör. Det gäller bara den som kan läsa den och det kan långt ifrån alla som driver en salong eller en restaurang. Och det kan jag.

Därför säger jag inte att du ska låta bli. Jag säger att du ska veta att det är du som bär det. Och jag väljer hellre en avgränsning som någon annan har byggt och beskrivit, även om jag inte kan stoppa agenten med en knapp. Där tycker vi olika.

Och din liknelse med salen håller inte hela vägen. I en sal finns det en kollega som ser när något går snett. På en egen dator är en agent ensam klockan tre på natten. Duet arbetar också medan du sover med en egen dator hos leverantören.

Natten är densamma. Det som skiljer är vems sladd det är och vem som kan dra ur den. Linda, du har suttit tyst en stund. Vem av dem har rätt?

Ingen av dem för min del, för ni pratar om er själva Jag har gästers uppgifter. Namn, nummer, tider. Egen dator eller moln, de är mina att svara för. Det är min verksamhet som är personuppgiftsansvarig för gästernas uppgifter.

Så för mig kommer en annan fråga före er. Har jag rätt att låta en agent komma åt de uppgifterna? Och vad säger avtalet? Kör jag både modell och agent på min egen dator och kopplar inte på något utifrån, lämnar uppgifterna inte maskinen och då finns det ingen leverantör som är biträde.

Kopplar jag på WhatsApp eller Slack finns det plötsligt en leverantör med. Men det är fortfarande jag som svarar för att den inte skickar fel sak till fel gäst. Ansvaret försvinner inte för att uppgifterna stannar hemma. Nej, det kan jag inte säga emot.

Vad skulle få någon av er att ändra sig? Om någon visar mig att en lokal agent inte går att ställa in snävt nog. Visar det sig så, går jag till molnet. Om Duets sidor beskrev ett sätt att pausa den mitt i arbetet, då skulle mitt svar bli ett annat.

För mig räcker ett tydligt svar om vilket avtal som gäller. Då kan jag börja smått. Om agenten fick ett visitkort på sin första dag, vad skulle det stå på? Receptionist, prövotid.

Får inte röra kassan. Praktikant, tre månader, bara läsbehörighet. Ny medarbetare, första veckan. Den som har jobbat i en sal vet att man inte ger en ny kollega allt på en gång.

En tankelek. Vad hade hänt om agenten bara fick läsa och aldrig ändra eller skicka något alls? Då är den som en brevbärare som ser all post men inte kan svara på den. Det tar bort det mesta av min oro.

Det tar bort den största delen av frågan, men inte hela. En sammanfattning som är fel är också ett underlag man fattar beslut på. Om en verksamhet bara hinner göra en enda sak innan en agent kopplas på, vad ska det vara? Skriva en lista på papper över vad agenten får läsa, vad den får skriva och vad jag alltid ska godkänna.

Innan den kopplas på. Ge den ett eget konto, aldrig mitt. Börja med att låta den bara läsa. Att skriva och skicka kommer senare.

En fråga till var och en. Vilken fråga skulle ni ställa till en leverantör innan ni kopplade på en agent? Vilka uppgifter den får se, hur länge de sparas och vem som kan radera dem. Och vilket avtal som gäller för just mitt abonnemang.

Vad den loggar och om jag själv kan läsa loggen. Först då kan jag avgöra om den gjorde det jag trodde. Hur jag stoppar den mitt i och vad som händer med det den redan har sparat. Det är de två frågor jag skulle vilja ha svar på tydligt.

Tillbaka till morgonen strax före sex och raden på telefonen. Vad hade ni velat att den sa? Att den bara läste och att ingenting gick ut. Och en rad längst ner om vad den lät bli att göra.

Och vem som kan stoppa den, tydligt skrivet. Lokalen ligger fortfarande tyst strax före sex. Telefonen lyser och agenten har redan varit i gång i flera timmar. Vem kan stoppa den?

Det är frågan att ställa innan man släpper in en agent och den som ställer den får ett bättre svar än den som bara frågar vad agenten kan. Tack Linda, tack Daniel. Tack. Jag går hem och skriver min lista.

Tack. Jag börjar smått. Nästa vecka sitter vi här igen med en ny fråga på bordet. Vilken?

Det får du veta då. Lyssna på nästa avsnitt. Tack för att du lyssnade på Gästen först. Det vi säger om produkterna bygger på bolagens och projektens egna sidor och på myndigheternas texter som de såg ut i slutet av oktober.

Det här är allmän information, inte juridisk rådgivning. Lite åtkomst först, sen mer. Rösten du hör när jag pratar är en AI-kopia av min egen, gjord med mitt godkännande. Olivia, Linda och Daniel är också AI-genererade röster och Linda och Daniel är gestaltade roller, inte verkliga personer.

Det vi har sagt är skrivet i förväg.