Кибернетика и социотехника

Эта глава — теоретический фундамент для самого рискованного решения во всём проекте безлюдного бизнес-движка: где именно в контуре управления оставить человека, а где его можно и нужно убрать. Инженер, проектирующий «компанию без людей», неизбежно повторяет путь, который кибернетики, социотехники и исследователи автоматизации прошли за последние восемьдесят лет — сначала на паровых регуляторах и зенитных орудиях, потом на угольных шахтах, атомных станциях, кабинах аэробусов и, наконец, на корпорациях Amazon и Bridgewater. Их главные выводы контринтуитивны. Во-первых, у любой автоматизации управления есть жёсткий математический предел — закон необходимого разнообразия Эшби, и его нельзя обойти хитрым промптом. Во-вторых, чем больше вы автоматизируете, тем важнее и сложнее становится роль оставшегося человека — это «ирония автоматизации» Бейнбридж, подтверждённая падением рейса Air France 447 и статистикой Tesla Autopilot. В-третьих, оптимизация только техники без пересборки социальной ткани ломает систему целиком — урок Тавистокских угольных шахт, который сегодня дословно повторяется при внедрении AI-агентов. Глава последовательно разбирает механизмы: контур обратной связи и гомеостаз Винера, пять систем жизнеспособной модели Бира и чилийский Cybersyn, социотехническую совместную оптимизацию, десять уровней автоматизации Шеридана—Парасурамана, теорию нормальных аварий Перроу и практики высоконадёжных организаций. Затем — детальные разборы двух самых последовательных попыток превратить компанию в машину: механизмы Amazon (working backwards, шестистраничники, single-threaded ownership, программа Hands off the Wheel) и алгоритмический менеджмент Рэя Далио с его Dot Collector. Завершают главу закон Конвея в мире, где «сотрудники» — агенты, оргдизайн микрокоманд и свежая дискуссия 2024–2026 годов об организации как графе людей и агентов, human oversight по EU AI Act и новой роли agent manager. Для проектировщика движка RMR это глава о том, что автоматизировать — легко, а спроектировать место человека в автоматизированной системе — и есть настоящая инженерная задача.

• 1948Норберт Винер, «Кибернетика».

  Управление любой системой — циркуляция информации по контуру обратной связи; качество управления определяется задержкой и шумом петли.

• 1951Тависток: Трист и Бэмфорт.

  Угольные шахты доказывают: оптимизация техники при разрушенной социальной ткани роняет систему целиком. Рождение социотехники.

• 1956Эшби, закон необходимого разнообразия.

  Регулятор не может поглотить больше разнообразия, чем имеет сам, — математический предел любой автоматизации.

• 1971Cybersyn в Чили.

  Стаффорд Бир строит кибернетическое управление экономикой на ~500 телексах — VSM в национальном масштабе, уничтожен переворотом 1973-го.

• 1983Бейнбридж, «Иронии автоматизации».

  Чем совершеннее автоматика, тем важнее и труднее вклад оставшегося человека; пассивный надзор гарантированно деградирует.

• 1984Перроу, «Нормальные аварии».

  В интерактивно сложных и жёстко связанных системах крупные аварии статистически неизбежны; защитные слои добавляют путей отказа.

• 2024EU AI Act, статья 14.

  Human oversight и automation bias впервые кодифицированы законом: надзор должен быть эффективным, а не подписью.

• 2025Microsoft Work Trend Index: Frontier Firm.

  Организация как граф людей и агентов, human-agent ratio и «агентный руководитель» — теория 80 лет переупаковывается в AI-оргдизайн.

8.1 Кибернетика Винера: обратная связь, гомеостаз и предел Эшби

Кибернетика родилась не из философии, а из инженерной задачи. Во время Второй мировой войны Норберт Винер работал над системой наведения зенитного огня: чтобы попасть в манёвренный самолёт, орудие должно предсказывать его будущее положение, непрерывно корректируя прогноз по расхождению между ожидаемой и наблюдаемой траекторией. Из этой задачи выросла книга «Кибернетика, или управление и связь в животном и машине» (Norbert Wiener, Cybernetics: Or Control and Communication in the Animal and the Machine, 1948), где Винер сформулировал центральную идею: управление любой системой — живой, механической или социальной — сводится к циркуляции информации по контуру обратной связи (feedback loop).

Механизм контура стоит разобрать точно, потому что каждый процесс безлюдного движка — это его реализация. В контуре четыре элемента: уставка (setpoint) — целевое значение регулируемой величины; сенсор, измеряющий фактическое состояние; компаратор, вычисляющий рассогласование (error signal) между целью и фактом; и исполнительный механизм (actuator), воздействующий на систему так, чтобы рассогласование уменьшилось. Отрицательная обратная связь (negative feedback) гасит отклонения — это термостат, автопилот, бюджетный контроль. Положительная обратная связь усиливает отклонения — это банковская паника, вирусный рост, каскадный сбой. Ключевой инсайт Винера: качество управления определяется не силой воздействия, а качеством информационного канала — задержкой (latency), шумом и пропускной способностью петли. Регулятор с идеальным актуатором, но запаздывающим сенсором раскачивает систему вместо стабилизации: он реагирует на прошлое состояние как на текущее. Для бизнес-движка это переводится буквально: месячная управленческая отчётность — это сенсор с задержкой 30+ дней, и любые «сильные решения», принятые по ней, могут попадать в противофазу с реальностью. Автоматизация ценна прежде всего тем, что сокращает задержку петли с недель до секунд.

Второе понятие — гомеостаз (homeostasis), заимствованный Винером у физиолога Уолтера Кеннона: способность системы поддерживать существенные переменные (essential variables) в жизнеспособных пределах при возмущениях среды. Организм держит температуру 36,6° не потому, что среда стабильна, а потому, что тысячи вложенных контуров непрерывно компенсируют её нестабильность. Компания гомеостатична по тем же законам: её «существенные переменные» — денежный поток, маржа, отток клиентов, юридическая чистота — должны удерживаться в коридорах, и вопрос проектирования движка звучит так: какой контур держит каждую существенную переменную, с какой задержкой и кто (или что) в нём компаратор.

Закон необходимого разнообразия Эшби

Самый важный для этой книги результат кибернетики принадлежит не Винеру, а британскому психиатру и кибернетику Уильяму Россу Эшби. В книге «Введение в кибернетику» (W. Ross Ashby, An Introduction to Cybernetics, 1956) он сформулировал закон необходимого разнообразия (Law of Requisite Variety): только разнообразие может поглотить разнообразие (only variety can absorb variety). Разнообразие (variety) здесь — строгая мера: число различимых состояний, которые может принимать система. Если среда способна предъявить регулятору N различных возмущений, а регулятор располагает лишь M < N различных ответных действий, то часть возмущений гарантированно пройдёт неотрегулированной — какие-то состояния существенных переменных выйдут за допустимые пределы. Это не эмпирическое наблюдение, а теорема, родственная теореме Шеннона о пропускной способности канала: Эшби и Роджер Конант позже усилили её результатом «каждый хороший регулятор системы должен быть моделью этой системы» (Conant & Ashby, "Every good regulator of a system must be a model of that system", International Journal of Systems Science, 1970) — регулятор не может управлять лучше, чем позволяет точность его внутренней модели управляемого объекта.

Из закона Эшби следуют ровно три стратегии, и других не существует. Первая — ослабление разнообразия среды (variety attenuation): сузить то, с чем система вообще сталкивается. Стандартизация продуктов, типовые договоры, ограниченный список принимаемых валют, форма заявки вместо свободного письма — всё это фильтры разнообразия на входе. Вторая — усиление разнообразия регулятора (variety amplification): дать управляющему контуру больше различимых состояний и ответов. Наём экспертов, делегирование, правила и плейбуки, и — главное для нашего сюжета — LLM-агенты, которые радикально дешевле людей наращивают разнообразие ответов (агент «понимает» произвольный текст письма, а жёсткий скрипт — только регулярное выражение). Третья — пересмотр целей: расширить допустимые коридоры существенных переменных, то есть согласиться, что часть возмущений не регулируется.

Вся история автоматизации бэк-офиса — это движение по первым двум осям. Классическая автоматизация (ERP, RPA, BPM) работает почти исключительно ослаблением разнообразия: она заставляет мир заполнять формы. Именно поэтому она хрупка: любой кейс, не влезший в форму, становится «исключением», уходит человеку, и в зрелых процессах обработка исключений съедает большую часть труда. Генеративные модели впервые в истории дали дешёвое усиление разнообразия регулятора — и это точная кибернетическая формулировка того, почему нынешняя волна автоматизации отличается от предыдущих. Но закон Эшби задаёт и предел: разнообразие агента ограничено разнообразием его модели мира (теорема Конанта—Эшби). Агент, у которого в контексте нет представления о том, что контрагент может обанкротиться, не отрегулирует банкротство контрагента. Отсюда фундаментальный вывод для проектировщика: автоматизировать можно ровно ту часть потока возмущений, которую покрывает модель регулятора, а для «хвоста» распределения — редких, новых, беспрецедентных возмущений — в системе обязан существовать регулятор с максимальным доступным разнообразием. Пока таким регулятором остаётся человек. Место человека в безлюдном движке — это, строго говоря, место поглотителя остаточного разнообразия (residual variety), и весь дальнейший материал главы — о том, как это место спроектировать, не разрушив его (раздел 8.4 покажет, что оно разрушается само собой, если его не проектировать).

8.2 Стаффорд Бир: жизнеспособная система, POSIWID и Cybersyn

Если Винер и Эшби дали физику управления, то британский исследователь операций Стаффорд Бир (Stafford Beer) построил из неё архитектуру организации. Бир, руководивший в 1950-х исследованием операций в сталелитейной United Steel, а затем консультировавший правительства и корпорации, задал вопрос: какова минимально необходимая и достаточная структура любой жизнеспособной системы (viable system) — системы, способной поддерживать отдельное существование в меняющейся среде? Ответ — модель жизнеспособной системы (Viable System Model, VSM), изложенная в книгах «Мозг фирмы» (Brain of the Firm, 1972) и The Heart of Enterprise (1979).

VSM утверждает: любая жизнеспособная система — от клетки до государства — содержит пять подсистем, и отсутствие или атрофия любой из них ведёт к гибели. Система 1 (Operations) — первичные операции, производящие то, ради чего система существует; в холдинге это сами бизнес-активы. Каждая единица Системы 1 обладает собственным управлением и максимально возможной автономией — Бир был радикальным противником микроменеджмента, потому что центр физически не располагает разнообразием для управления деталями операций (это прямое следствие закона Эшби). Система 2 (Coordination) — антиосцилляционный механизм: общие календари, стандарты, протоколы, разрешающие конфликты между единицами Системы 1 без эскалации наверх; в бизнесе это общие справочники, единый план счетов, регламенты очередей на общие ресурсы. Система 3 (Control/Delivery) — оперативное управление «здесь и сейчас»: распределяет ресурсы между единицами, заключает с ними «ресурсный торг» (resource bargain: автономия в обмен на подотчётность), и владеет каналом 3* — спорадическим аудитом, прямым зондированием операций в обход регулярной отчётности (внезапная инвентаризация, прослушивание звонков, sampling транзакций). Канал 3* критичен: без него Система 3 знает об операциях только то, что операции сами о себе сообщают. Система 4 (Intelligence) — взгляд «снаружи и в будущее»: разведка среды, рынка, технологий, моделирование сценариев; она ведёт постоянный диалог с Системой 3 (настоящее против будущего). Система 5 (Identity/Policy) — идентичность, ценности и арбитраж между 3 и 4: кто мы и чем не станем заниматься даже ради денег.

Два свойства модели делают её непосредственно применимой к проектированию движка. Первое — рекурсивность (recursion): каждая единица Системы 1 сама является полной жизнеспособной системой со своими пятью подсистемами, на любом уровне вложенности. Холдинг Алексея в терминах VSM: управляющая компания — это Системы 2–5 верхнего уровня рекурсии, каждый бизнес-актив — Система 1, внутри которой должна существовать своя полная пятёрка. Ошибка проектирования, которую VSM ловит мгновенно: построить в УК мощные Системы 3 и 2 (контроль и координацию), забыв про Систему 4 (разведку) — организация становится «слепым силачом», идеально исполняющим устаревшую стратегию. Вторая типовая патология — Система 3, подменяющая автономию Системы 1 микроуправлением: по Эшби это гарантированно провалится, центр не имеет требуемого разнообразия. Второе свойство — VSM формулируется в терминах каналов и преобразователей (transducers) с требованиями к пропускной способности: каждый канал между системами должен нести больше разнообразия в единицу времени, чем порождает передающая сторона, иначе канал становится бутылочным горлышком управления. Это превращает оргдизайн в инженерную дисциплину: проектируются не квадратики на схеме, а информационные каналы с задержками и ёмкостью.

Биру же принадлежит афоризм, ставший принципом системного анализа: POSIWID — «цель системы — то, что она делает» (The Purpose Of a System Is What It Does). Бесполезно судить систему по декларациям: если «система контроля качества» месяцами штампует согласования, не отклонив ни одного релиза, её фактическая цель — производить согласования, а не качество. Для автоматизации POSIWID — рабочий инструмент аудита: перед тем как автоматизировать процесс, следует установить, что процесс фактически делает (по логам и результатам), а не что написано в регламенте; автоматизация деклараций вместо реальности — типовой провал внедрений.

Cybersyn: кибернетическое управление экономикой

Самая известная и самая поучительная попытка применить VSM в масштабе — проект Cybersyn (исп. Synco) в Чили, 1971–1973. Правительство Сальвадора Альенде национализировало сотни предприятий, и двадцативосьмилетний технический директор госкорпорации CORFO Фернандо Флорес пригласил Бира построить кибернетическую систему управления этим сектором. Детальная история проекта восстановлена историком MIT Эден Мединой в книге Cybernetic Revolutionaries: Technology and Politics in Allende's Chile (Eden Medina, MIT Press, 2011). Архитектура Cybersyn воспроизводила VSM: Cybernet — сеть из ~500 телексов, ежедневно передававших с заводов около десятка ключевых индикаторов (выпуск, запасы сырья, абсентеизм); Cyberstride — статистическое ПО, фильтровавшее поток по методам Харрисона—Стивенса и поднимавшее тревогу только при значимых отклонениях (алгоритмическое management by exception — машина решала, что заслуживает внимания человека); CHECO — симулятор национальной экономики для Системы 4; и Opsroom — знаменитая футуристическая ситуационная комната с семью креслами и экранами, спроектированная так, чтобы решения принимались группой в диалоге с данными. Существенно: у Cybersyn был единственный мейнфрейм (IBM 360/50 — по разным источникам также Burroughs 3500) на всю страну; «реальное время» достигалось не вычислительной мощью, а правильной топологией дешёвых каналов — телексов. Система прошла боевое испытание в октябре 1972 года, когда забастовка гильдии грузовиков (при поддержке оппозиции) парализовала снабжение: правительство через сеть телексов в круглосуточном режиме координировало ~200 лояльных грузовиков и обходные маршруты, и снабжение устояло. После военного переворота 11 сентября 1973 года проект был уничтожен, Opsroom разгромлена военными.

Уроки Cybersyn для проектировщика движка двоякие. Позитивный: связность и правильно спроектированные петли обратной связи дают управляемость даже при мизерных вычислительных ресурсах — топология каналов важнее мощности узлов. Негативный: Медина показывает, что система не выдержала конфликта с политической реальностью — данные с заводов зависели от добровольного сотрудничества людей, интермедиаты искажали цифры, а амбиция «управлять экономикой из комнаты» столкнулась с тем самым дефицитом разнообразия, о котором предупреждал Эшби. Бир до конца жизни настаивал, что Cybersyn проектировался как инструмент децентрализации и автономии заводов, но сама Opsroom стала для критиков (в том числе в статье в британском New Scientist и в чилийской прессе) символом технократического централизма. POSIWID применим и здесь: неважно, что задумывал архитектор — важно, как система фактически перераспределяет власть.

8.3 Социотехнические системы: уроки угольных шахт Тавистока

Кибернетика описывает организацию как контуры и каналы; социотехническая школа добавила к этому второе измерение, без которого автоматизация регулярно проваливается: любая производственная система состоит из двух взаимозависимых подсистем — технической и социальной, и оптимизация одной за счёт другой снижает результат целого.

Открытие было сделано эмпирически. В конце 1940-х Эрик Трист (Eric Trist) и его соавтор Кен Бэмфорт (Ken Bamforth, сам бывший шахтёр) из лондонского Тавистокского института человеческих отношений (Tavistock Institute of Human Relations) изучали парадокс британской угольной отрасли: механизация добычи по «длинному забою» (longwall method) — конвейеры, врубовые машины, поточная организация по образцу фабрики — должна была поднять производительность, но вместо этого отрасль получила падение выработки, рост абсентеизма, конфликтов и психосоматических расстройств. Классическая статья Триста и Бэмфорта «Некоторые социальные и психологические последствия длиннозабойного метода угледобычи» (Trist & Bamforth, "Some Social and Psychological Consequences of the Longwall Method of Coal-Getting", Human Relations, vol. 4, 1951) вскрыла механизм. До механизации добыча велась малыми составными артелями (composite work groups): пара-тройка взаимозаменяемых рабочих с подручными вела свой участок цикла целиком, сама распределяла работу, сама подбирала состав и несла коллективную ответственность за результат; группа была одновременно производственной единицей и социальной опорой в опасной среде. Новый метод разрезал цикл на специализированные смены (одна рубит, вторая грузит, третья передвигает крепь и конвейер) по логике тейлоровской фабрики. Техническая подсистема была локально оптимизирована — но социальная разрушена: рабочий больше не видел целого, смены перекладывали друг на друга последствия недоделок (недоделанная работа первой смены каскадно ломала работу второй и третьей — а в шахте, в отличие от фабрики, условия каждого забоя уникальны и требуют постоянной адаптации), исчезла взаимовыручка, возникла, по выражению авторов, «реактивная индивидуалистическая защита»: норма выработки стала предметом торга, а не общей целью. Позже Трист с Хью Марри описали шахты, где рабочие стихийно изобрели «композитный длиннозабойный метод» — та же техника, но с многофункциональными самоуправляемыми группами, сквозной ответственностью за цикл и единой оплатой группы: производительность и показатели здоровья оказались устойчиво выше при идентичном оборудовании.

Из этого выросли два принципа, составляющие ядро социотехнического дизайна (sociotechnical systems design, STS). Первый — совместная оптимизация (joint optimization): проектировать нужно одновременно техническую и социальную подсистемы, поскольку экстремум целого не совпадает с суммой локальных экстремумов; система, в которой блестящая техника обслуживается демотивированными, деквалифицированными и не понимающими целого людьми, работает хуже, чем «средняя техника + сильная социальная организация». Второй — принцип Альберта Чернса минимальной критической спецификации (minimal critical specification, Cherns, "The Principles of Sociotechnical Design", Human Relations, 1976): фиксировать жёстко следует только то, что действительно критично (цели, границы, ключевые ограничения), оставляя исполнителям — людям или группам — свободу в способах; сверхспецификация убивает ту самую адаптивность, которая по Эшби и есть источник разнообразия регулятора. Родственный принцип — контроль вариаций у источника (variance control at source): отклонение должно обрабатываться там, где возникает, а не экспортироваться по цепочке.

Перенос на безлюдный движок прямолинеен и неприятен для наивного автоматизатора. Когда компания внедряет агентов «повзводно» — разрезая живой процесс на автоматизированные фрагменты и оставляя людям несвязные ошмётки (проверить вывод агента №3, перенести из системы А в систему Б то, что не смог агент №5), — она в точности воспроизводит длиннозабойную ошибку 1951 года: техническая подсистема оптимизирована, социальная превращена в набор бессмысленных ролей без целого, без автономии и без обратной связи от результата. Предсказание социотехники (и оно уже подтверждается практикой внедрений) — падение вовлечённости, тихий саботаж, «торг с метриками» и потеря последних носителей знания о процессе. Альтернатива по Тристу: единицей проектирования делать не задачу, а целостный поток с командой-владельцем, где люди и агенты вместе образуют «составную артель» — маленькую группу, владеющую результатом целиком, с правом менять способ работы. Забегая вперёд: ровно к этому же выводу с другой стороны придут Amazon с single-threaded owner (раздел 8.7) и современный AI-оргдизайн (раздел 8.11).

8.4 Иронии автоматизации: Бейнбридж, Air France 447 и Tesla Autopilot

В 1983 году когнитивный психолог Лизанна Бейнбридж (Lisanne Bainbridge, University College London) опубликовала в журнале Automatica четырёхстраничную статью «Иронии автоматизации» ("Ironies of Automation", Automatica, vol. 19, no. 6, 1983), которая стала, вероятно, самым цитируемым текстом в инженерии человеческого фактора и читается сегодня как написанная про LLM-агентов. Её центральный тезис: чем совершеннее автоматизированная система, тем важнее — и тем труднее — вклад оставшегося человека-оператора.

Механика ироний разворачивается цепочкой. Исходная ирония: проектировщик, считающий человека источником ошибок и стремящийся его вытеснить, всё равно оставляет человеку задачи — но не спроектированные, а остаточные: то, что не удалось автоматизировать (обычно самое сложное), плюс две новые роли — мониторинг автоматики и подхват управления при её отказе. Дальше срабатывают четыре механизма деградации. Первый: ручные навыки угасают без практики (skill decay) — оператор, годами наблюдающий за автопилотом, физически теряет моторные и когнитивные навыки ручного управления; при этом принимать управление ему придётся именно в нештатной ситуации, то есть в момент, требующий максимальной, а не средней квалификации. Автоматика снимает лёгкие режимы и оставляет человеку хвост самых тяжёлых — бывший оператор должен стать лучше прежнего, практикуясь меньше прежнего. Второй: когнитивные навыки понимания системы тоже строятся на практике — оператор, не ведущий процесс руками, теряет актуальную ментальную модель его динамики и в аварийной ситуации вынужден диагностировать незнакомое состояние незнакомой системы под жёстким лимитом времени. Третий: человек — плохой монитор. Исследования бдительности (vigilance studies) ещё с 1940-х показывают, что способность человека замечать редкие события при пассивном наблюдении заметно падает уже спустя полчаса; а чем надёжнее автоматика, тем реже события и тем глубже падение. На этом фундаменте стоит понятие автоматизационной самоуспокоенности (automation complacency) и родственное предвзятости к автоматике (automation bias) — склонности принимать вывод машины без проверки именно потому, что она почти всегда права. Возникает порочный круг: надёжность → доверие → отключение внимания → неспособность поймать редкий отказ. Четвёртая ирония — организационная: чтобы поддерживать навыки, оператору нужно давать реальную практику и тренажёры высокой точности, то есть самые автоматизированные системы требуют самых больших вложений в человека — ровно противоположное тому, ради чего автоматизацию затевали (сократить расходы на людей).

Air France 447: анатомия иронии

Хрестоматийная иллюстрация — катастрофа рейса Air France 447 (Рио-де-Жанейро — Париж, Airbus A330, ночь на 1 июня 2009 года, 228 погибших), разобранная в финальном отчёте французского бюро BEA (2012). Последовательность: на эшелоне ~35 000 футов кристаллы льда временно забили трубки Пито, автопилот и автотяга отключились, система управления перешла из normal law (режим с полной защитой от сваливания) в alternate law, где защита ограничена. Пилотирующий — младший из трёх пилотов; командир отдыхал. Столкнувшись с противоречивыми показаниями скорости и непривычной ручной задачей на большой высоте, пилотирующий потянул ручку на себя и удерживал кабрирование; самолёт вышел на закритические углы атаки и свалился. Сигнализация сваливания срабатывала многократно (в общей сложности звучала десятки секунд), но экипаж, чья ментальная модель говорила «этот самолёт не может свалиться» (что верно только в normal law), так и не выполнил простейшее действие — отдать ручку от себя. Падение с эшелона до океана заняло около трёх с половиной минут. Выводы BEA и последующий разбор (см. анализ IEEE Spectrum «Air France Flight 447 Crash Causes in Part Point to Automation Paradox») читаются как конспект Бейнбридж: экипаж имел ничтожную практику ручного пилотирования на больших высотах (автоматика забрала её десятилетием ранее), не был натренирован на распознавание сваливания в alternate law, а эффект испуга (startle effect) при внезапной передаче управления довершил дело. Автоматика не «сломалась» — она корректно самоустранилась, вручив управление людям, которых сама же годами лишала практики. Отраслевой ответ показателен: после AF447 авиация не сократила автоматизацию, а перестроила подготовку — вернула обязательные упражнения по ручному пилотированию и восстановлению из сваливания (upset prevention and recovery training), пересмотрела индикацию и процедуры передачи управления.

Tesla Autopilot: самоуспокоенность как системный дефект

Второй кейс показывает, что ирония масштабируется на миллионы неподготовленных операторов. Национальная администрация безопасности дорожного движения США (NHTSA), закрывая в апреле 2024 года трёхлетнее расследование EA22002, проанализировала 956 аварий с участием Tesla Autopilot и установила: как минимум 467 столкновений связаны с паттерном, при котором внимание водителя ушло из контура, включая 13 аварий со смертельным исходом, связанных с неправильным использованием системы. Формулировка регулятора — у системы «критический разрыв безопасности» (critical safety gap): слабый контроль вовлечённости водителя в сочетании с «разрешительной» логикой работы порождает предсказуемое злоупотребление — водитель делегирует машине больше, чем она умеет (данные по отчёту NHTSA, апрель 2024; см. также разборы TechCrunch и CNBC). Инженерный смысл кейса: автоматизация «второго уровня», которая почти всегда справляется сама, но требует мгновенного человеческого подхвата, — это худшая из возможных конфигураций по Бейнбридж, потому что она систематически производит самоуспокоенность и одновременно рассчитывает на бдительность. Человек не способен часами следить за системой, которая «почти никогда» не ошибается, — это не недостаток дисциплины, а свойство когнитивной архитектуры человека.

Перенос на бэк-офис буквален. Агент, который 99% счетов проводит правильно, а «сложные случаи отправляет на проверку человеку», воспроизводит кабину AF447: проверяющий, месяцами не видевший ошибок и давно не ведший учёт руками, штампует «одобрить» (automation bias), а когда агент ошибается по-крупному, у человека нет ни свежей ментальной модели, ни навыка, ни контекста, чтобы это поймать. Дизайн «human-in-the-loop как резиновый штамп» — это не контроль, а его имитация, создающая юридическую видимость надзора при физическом его отсутствии (moral crumple zone — термин Мадлен Элиш для человека, назначенного виноватым в ошибке автоматики).

8.5 Нормальные аварии и высоконадёжные организации: когда безлюдная система становится опасной

Прежде чем проектировать распределение функций между людьми и машинами, нужно понять, при каких структурных условиях автоматизированная система становится опасной независимо от качества компонентов. Ответ дают две конкурирующие исследовательские традиции.

Социолог Чарльз Перроу (Charles Perrow) в книге «Нормальные аварии» (Normal Accidents: Living with High-Risk Technologies, 1984), написанной по следам аварии на АЭС Три-Майл-Айленд (1979), предложил двумерную классификацию систем. Первое измерение — интерактивная сложность (interactive complexity): степень, в которой компоненты системы могут взаимодействовать неожиданными, не предусмотренными проектировщиком способами (скрытые связи, общие ресурсы, петли, нелинейности). Второе — жёсткость связывания (tight coupling): насколько быстро и неотвратимо возмущение распространяется по системе — есть ли буферы, запасы, паузы, возможность импровизации и отката. Тезис Перроу: в системах, которые одновременно интерактивно сложны и жёстко связаны, крупные аварии нормальны — то есть статистически неизбежны, потому что: (а) в сложной системе всегда найдётся непредвиденная комбинация мелких отказов; (б) жёсткое связывание не оставляет времени понять происходящее; (в) — ключевой парадокс — добавление защитных слоёв увеличивает сложность и порождает новые пути отказа (на Три-Майл-Айленд операторов запутали именно показания приборов и сработавшие защиты). Централизация управления нужна для жёсткого связывания, децентрализация — для сложности, и требования противоречат друг другу.

Матрица Перроу — прямой инструмент аудита безлюдного движка. Автоматизация почти всегда двигает систему в опасный квадрант по обеим осям сразу: агенты соединяют системы, которые раньше разделял медленный человек (рост интерактивной сложности — агент, читающий почту и имеющий доступ к платежам, создаёт путь отказа «фишинговое письмо → платёж», которого не существовало), и убирают человеческие паузы, служившие буферами (рост жёсткости связывания — цепочка агент-к-агенту исполняется за секунды, каскад ошибки опережает любой мониторинг). Флэш-крэш 2010 года и каскады алгоритмической торговли — канонические «нормальные аварии» безлюдных систем. Отсюда контринтуитивное правило: в критических контурах движка намеренно проектируются разрывы связывания — лимиты, стейджинг, задержки исполнения необратимых операций (платежи, удаление данных, внешние коммуникации), идемпотентность и возможность отката. Медленность в нужном месте — это не недостаток, а буфер Перроу.

Вторая традиция — школа высоконадёжных организаций (High Reliability Organizations, HRO; Карлин Робертс, Тодд Ла Порт, Джин Рохлин из Беркли, затем Карл Вейк и Кэтлин Сатклифф) — возникла как эмпирический ответ Перроу: существуют организации, работающие в его «запретном квадранте» почти без катастроф — палубная авиация авианосцев, диспетчеризация авиатрафика, атомные подлодки. Вейк и Сатклифф в книге «Управляя неожиданным» (Weick & Sutcliffe, Managing the Unexpected, 2001; 3-е изд. 2015) свели их практики к пяти принципам «коллективной осознанности» (collective mindfulness). Три принципа предвидения: озабоченность отказами (preoccupation with failure — любой сбой, даже мелкий, трактуется как сигнал о состоянии системы; культура доносить о слабых сигналах вознаграждается); нежелание упрощать интерпретации (reluctance to simplify — против сведения аномалии к «известной причине»); чувствительность к операциям (sensitivity to operations — руководство держит живую картину переднего края, а не отчётную). Два принципа сдерживания: приверженность устойчивости (commitment to resilience — способность импровизировать и восстанавливаться, тренировки на отказ) и уважение к экспертизе (deference to expertise — в кризисе решения мигрируют к компетенции, а не к рангу: на палубе авианосца матрос может остановить взлётные операции). HRO-школа, по сути, описывает организационную реализацию требований Эшби и Бейнбридж: разнообразие удерживается высоким принудительно, через постоянные учения, ротацию и культ слабых сигналов.

Для движка с минимумом людей пять принципов переводятся в архитектуру, а не в культуру: озабоченность отказами — телеметрия near-miss (агентские «почти-ошибки», отловленные валидаторами, анализируются как инциденты); нежелание упрощать — обязательные post-mortem с поиском системных причин, а не «агент ошибся»; чувствительность к операциям — владелец движка регулярно читает сырые трейсы агентов, а не только дашборд; устойчивость — регулярные game days с отключением компонентов; уважение к экспертизе — право любого человека в контуре остановить автоматический процесс без согласований (аналог андонского шнура Toyota).

8.6 Уровни автоматизации: инженерия распределения функций между человеком и машиной

Вопрос «автоматизировать или нет» — ложная дихотомия. Инженерия человеческого фактора ещё в 1970-х заменила её шкалой. Томас Шеридан и Уильям Верпланк (Sheridan & Verplank, Human and Computer Control of Undersea Teleoperators, MIT, 1978) предложили десять уровней автоматизации (levels of automation, LOA) — градаций распределения полномочий между человеком и компьютером в задаче «решить и сделать». В канонической редакции (по Parasuraman, Sheridan & Wickens, 2000) шкала выглядит так:

1. Компьютер не помогает: человек делает всё сам.
2. Компьютер предлагает полный набор альтернатив действий.
3. Компьютер сужает набор до нескольких вариантов.
4. Компьютер предлагает одну альтернативу.
5. Компьютер исполняет её, если человек одобрил (human-in-the-loop, подтверждение).
6. Компьютер даёт человеку ограниченное время наложить вето перед автоматическим исполнением.
7. Компьютер исполняет автоматически и обязательно информирует человека.
8. Компьютер информирует после исполнения только по запросу человека.
9. Компьютер информирует после исполнения, только если сам сочтёт нужным.
10. Компьютер решает и действует полностью автономно, игнорируя человека.

Ценность шкалы не в номерах, а в двух приёмах работы с ней. Первый: Парасураман, Шеридан и Уикенс (Parasuraman, Sheridan & Wickens, "A Model for Types and Levels of Human Interaction with Automation", IEEE Transactions on Systems, Man, and Cybernetics — Part A, 2000) показали, что уровень назначается не задаче целиком, а каждой из четырёх стадий обработки отдельно: сбор информации (information acquisition), анализ информации (information analysis), выбор решения (decision selection) и исполнение действия (action implementation). Система может собирать и анализировать на уровне 10 (никто не в силах читать все транзакции), а исполнять необратимые действия на уровне 5–6. Смешивать эти стадии в одном решении «внедряем агента» — методологическая ошибка номер один. Второй приём — критерии выбора уровня. Авторы предложили оценивать последствия уровня через четыре человеческих издержки: ментальная нагрузка, ситуационная осведомлённость (situation awareness), самоуспокоенность, деградация навыка — и через цену ошибки решения. Практическое правило, выведенное из этой рамки и из ироний Бейнбридж: для стадий решения и исполнения с высокой ценой необратимой ошибки опасно застревать на средних уровнях (5–7) без специальных мер — они максимизируют самоуспокоенность; система должна быть либо честно ниже (человек реально решает), либо честно выше, но с архитектурными предохранителями из раздела 8.5 (лимиты, откат, слепой контроль). Заметим, что современные грейды автономности AI-агентов (и уровни SAE J3016 для автопилотов) — прямые потомки этой шкалы.

Из шкалы следует и главный проектный артефакт главы — карта распределения функций (function allocation map): таблица «процесс × стадия (сбор/анализ/решение/исполнение) × уровень LOA × цена ошибки × механизм отката × носитель остаточного навыка». Исторический ориентир при её заполнении — списки Фиттса (Fitts lists, 1951): машины сильнее в скорости, повторяемости, параллельности и бдительности к заданному сигналу; люди — в индукции по бедным данным, распознавании беспрецедентного и суждении о ценностях. LLM сдвинули границу (машина теперь неплохо обобщает по бедным данным), но не отменили её: суждение о том, что считать хорошим исходом, остаётся по Эшби у той стороны, чья модель мира богаче — и в вопросах репутации, права и стратегии это по-прежнему человек.

8.7 Amazon как организация-механизм

Если искать действующую корпорацию, наиболее последовательно построенную как кибернетическая машина, это Amazon. Её операционная система описана изнутри в книге двух многолетних топ-менеджеров — Колина Брайара и Билла Карра «Работая в обратную сторону» (Colin Bryar, Bill Carr, Working Backwards: Insights, Stories, and Secrets from Inside Amazon, 2021) — и снаружи в дилогии Брэда Стоуна (The Everything Store, 2013; Amazon Unbound, 2021). Ключ к пониманию Amazon — фраза Джеффа Безоса, ставшая внутренним законом: «Добрые намерения не работают. Работают механизмы» ("Good intentions don't work. Mechanisms do."). Когда что-то идёт не так, запрещено отвечать «будем внимательнее» — требуется механизм. Механизм в амазоновском смысле — это замкнутый контур из трёх обязательных частей: инструмент (tool — то, что делает желаемое поведение лёгким или неизбежным), внедрение (adoption — принуждение и обучение, чтобы инструментом реально пользовались) и инспекция (inspection — регулярная проверка метрик и аудит, что механизм даёт результат, с коррекцией). Читатель узнает здесь контур Винера: инструмент — актуатор, внедрение — гарантия связности контура, инспекция — сенсор и компаратор. Механизм без инспекции — разомкнутая петля, то есть добрые намерения в красивой обёртке.

Три механизма Amazon заслуживают детального разбора, потому что все три — про замену менеджерской воли на воспроизводимый процесс. Первый — working backwards и PR/FAQ: любой новый продукт начинается не с плана разработки, а с написания пресс-релиза о ещё не существующем продукте плюс FAQ с самыми жёсткими вопросами (клиентскими и внутренними — про экономику, риски, «почему это вообще сработает»). Документ итерируется десятки раз до первой строчки кода. Механика эффекта: пресс-релиз — это дешёвый прототип ценности; он принуждает мыслить от клиента назад к технологии (а не от имеющейся технологии вперёд) и убивает слабые идеи за недели, а не за годы разработки. Второй — шестистраничник (6-pager): Безос в 2004 году запретил презентации PowerPoint на серьёзных совещаниях; решение готовится в виде связного повествовательного меморандума до шести страниц, который все участники молча читают первые 20–30 минут встречи. Механика: связный текст, в отличие от слайдов, не позволяет спрятать разрыв в логике за буллетами и харизмой докладчика; чтение в комнате гарантирует общий контекст (никто не «не успел прочитать») и уравнивает интровертов с шоуменами. По сути, шестистраничник — это стандартизованный формат передачи разнообразия по управленческому каналу, спроектированный под пропускную способность читающего мозга. Третий — single-threaded owner / single-threaded leader (однопоточный владелец): у каждой важной инициативы есть ровно один руководитель, для которого она — единственная работа («лучший способ провалить проект — сделать его чьей-то работой на полставки»). Вместе с two-pizza teams (команды, которых хватает накормить двумя пиццами, то есть менее десяти человек, с собственными метриками и минимумом зависимостей) это организационное следствие закона Конвея (раздел 8.9): хочешь слабосвязанную архитектуру сервисов — построй слабосвязанную структуру команд. Брайар и Карр честно описывают эволюцию: сами по себе two-pizza teams не сработали в функциях с плотными зависимостями; работающим оказалось сочетание «автономная команда + однопоточный владелец + разделяемые API», выросшее из знаменитого мандата Безоса начала 2000-х о том, что все команды общаются только через программные интерфейсы. Идеологическая рамка всего этого — культура Дня 1 (Day 1): из акционерного письма Безоса 2016 года — «День 2 — это застой, за ним следуют нерелевантность, мучительный упадок и смерть»; признаки Дня 2 — управление по прокси-метрикам вместо результата и процесс как самоцель (снова POSIWID).

Hands off the Wheel: вывод людей из закупок

Для темы безлюдного движка важнейший амазоновский кейс — программа Hands off the Wheel («руки прочь от руля», середина 2010-х) в ритейл-подразделении: перевод решений о закупках, прогнозировании спроса, ценообразовании и пополнении складов от вендор-менеджеров к алгоритмам. Программа детально описана в репортажах Алекса Кантровица (книга Always Day One, 2020, и статья "How Amazon Automated Work and Put Its People to Better Use", Harvard Business Review, сентябрь 2020) и упоминается у Стоуна. Механика внедрения показательна: сначала алгоритмы давали рекомендации, которые люди могли принять или отклонить (уровень 4–5 по Шеридану), при этом система мерила частоту отклонений и их исход — оказалось, что человеческие «поправки» в среднем ухудшали результат; затем целевой показатель автоматизации внесли в цели подразделения, и решения стали исполняться автоматически (уровень 7+), а людям осталась обработка исключений и переговоры, где нужна человеческая рука. Бывший вендор-менеджер Элейн Квон описывала это как явную стратегию: «руки прочь от руля» произносилось буквально как установка. Существенно, что Amazon не уволил ритейл-команды массово: людей передвинули «вверх по стеку» — в дизайн новых категорий, работу с крупными брендами и в построение самих систем; но численность функции перестала расти с оборотом — это и есть экономическая сигнатура безлюдного движка: рост GMV без роста хедкаунта функции. Одновременно кейс даёт и предостережение из разделов 8.3–8.4: журналистика тех лет фиксировала у оставшихся сотрудников чувство «оператора при чужом решении», а качество алгоритмических закупок в нештатных ситуациях (пандемийный слом спроса 2020 года) потребовало массового ручного вмешательства — остаточное разнообразие никуда не делось.

8.8 Рэй Далио: компания как машина и предел алгоритмизации менеджмента

Если Amazon механизировал процессы, то Рэй Далио, основатель крупнейшего в мире хедж-фонда Bridgewater Associates, предпринял самую радикальную попытку механизировать сам менеджмент. Его книга «Принципы» (Ray Dalio, Principles: Life and Work, 2017) начинается с тезиса, который мог бы стать эпиграфом этой главы: организация — это машина (machine), состоящая из двух компонентов — культуры и людей; менеджер должен смотреть на себя не как на участника машины, а как на её проектировщика, стоящего над ней: сравнивать выходы машины с целями и настраивать не результаты, а конструкцию (людей и процессы), которая их производит. Ошибка в терминах Далио — не повод для наказания, а «данные для калибровки машины»: каждая проблема — сигнал о расхождении между дизайном и реальностью, и петля «боль + рефлексия = прогресс» — это буквально контур обратной связи Винера, применённый к оргстроительству.

Дальше Далио делает шаг, на который не решился больше никто: алгоритмизирует принятие решений людьми. Основа — радикальная правдивость и радикальная прозрачность (radical truth, radical transparency): почти все совещания в Bridgewater записываются и доступны сотрудникам; критика в лицо обязательна, за спиной — запрещена. На этой прозрачности работает взвешивание по правдоподобию (believability-weighted decision making): голоса в споре взвешиваются не по должности и не «один человек — один голос», а по доказанной компетентности конкретного человека в конкретном классе вопросов. Правдоподобие (believability) операционализировано: у каждого сотрудника есть публичная «бейсбольная карточка» (baseball card) с рейтингами по десяткам качеств (синтез, надёжность, креативность...), собранными из тестов, истории решений и оценок коллег. Инструмент сбора — приложение Dot Collector: во время любого совещания участники в реальном времени ставят друг другу «точки» (dots) — оценки по конкретным атрибутам, и система тут же показывает взвешенную по правдоподобию картину мнений комнаты; Далио демонстрировал это в известном выступлении TED (Ray Dalio, "How to build a company where the best ideas win", TED 2017). Замысел — «меритократия идей», где решает не иерархия, а трек-рекорд, а данные о людях становятся таким же управляемым активом, как рыночные данные. В 2010-х Далио пошёл ещё дальше: нанял Дэвида Ферруччи, создателя IBM Watson, строить «Систематизированный интеллект» — программный слой (в прессе фигурировало название PriOS), который должен был со временем принимать значительную часть управленческих решений — от найма до разрешения споров — по формализованным принципам (репортаж Wall Street Journal "The World's Largest Hedge Fund Is Building an Algorithmic Model From Its Employees' Brains", 2016).

Критика этого эксперимента не менее поучительна, чем сам эксперимент. Журналист Роб Коупленд в книге «Фонд» (Rob Copeland, The Fund: Ray Dalio, Bridgewater Associates, and the Unraveling of a Wall Street Legend, 2023) на материале сотен интервью описывает разрыв между декларацией и POSIWID-реальностью: рейтинговая система оказалась во многом циркулярной — оценки самого Далио весили столько, что могли перевешивать комнату несогласных, то есть «меритократия идей» на практике умела воспроизводить мнение основателя, придавая ему видимость объективности; радикальная прозрачность порождала не только честность, но и страх, слежку за лояльностью и текучку (значительная доля новичков не выдерживала первых лет); а флагманский алгоритмический проект так и не стал обещанным «автопилотом менеджмента». К схожим выводам о культуре приходили и более ранние публикации (WSJ, New York Times). Из академической перспективы проблема формулируется строже: оценки людей людьми — это не независимые сенсорные данные, а социальное поведение, которое немедленно начинает подчиняться закону Гудхарта (метрика, ставшая целью, перестаёт мерить) и отражать структуру власти; «объективная машина из субъективных оценок» наследует субъективность на входе, но добавляет ей авторитет числа. Тем не менее хоронить идею целиком — ошибка: ядро (решения взвешиваются трек-рекордом, разногласия разрешаются протоколом, а не рангом; каждая ошибка — данные для перепроектирования машины) сегодня реализуемо чище, чем во времена Далио, потому что у агентных систем трек-рекорд объективен по построению: точность прогнозов агента, доля откатов его решений, исходы его рекомендаций логируются автоматически и не зависят от симпатий комнаты. Ирония в том, что believability-weighting, сомнительный для людей, — это готовая спецификация маршрутизации решений между агентами и людьми в безлюдном движке.

8.9 Закон Конвея и обратный манёвр Конвея: архитектура повторяет коммуникации

В 1968 году программист Мелвин Конвей опубликовал в журнале Datamation статью «Как изобретают комитеты?» ("How Do Committees Invent?"), главный тезис которой Фред Брукс позже окрестил законом Конвея: «организации, проектирующие системы, вынуждены производить проекты, являющиеся копиями коммуникационных структур этих организаций». Механизм закона прост и неустраним: чтобы два модуля системы корректно взаимодействовали, их проектировщики должны договориться об интерфейсе; следовательно, граф возможных интерфейсов системы — это подграф графа фактических коммуникаций между людьми. Там, где команды не разговаривают, чистого интерфейса не будет; там, где сидят четыре команды, компилятор получится четырёхпроходным. Эмпирическая проверка — «гипотеза зеркалирования» (mirroring hypothesis): Алан Маккормак с коллегами из Harvard Business School, сравнивая парные продукты (открытые сообщества против коммерческих команд), показали, что распределённые слабосвязанные организации систематически производят более модульные архитектуры, чем собранные в одном здании иерархии (MacCormack, Rusnak, Baldwin, "Exploring the Duality between Product and Organizational Architectures", Research Policy, 2012).

Раз закон неустраним, его можно использовать в обратную сторону. Обратный манёвр Конвея (inverse Conway maneuver; термин закрепили консультанты Thoughtworks в середине 2010-х) — сознательное проектирование структуры команд под желаемую архитектуру: хочешь независимые сервисы — сначала создай маленькие автономные команды с чёткими границами ответственности, и архитектура «намагнитится» по ним. Каноническим учебником манёвра стала книга Мэттью Скелтона и Мануэля Пайса «Топологии команд» (Matthew Skelton, Manuel Pais, Team Topologies: Organizing Business and Technology Teams for Fast Flow, IT Revolution, 2019): четыре типа команд — потоковые (stream-aligned, владеющие потоком ценности конец-в-конец), платформенные (platform, снижающие когнитивную нагрузку потоковых, предоставляя внутренние сервисы «как продукт»), поддерживающие (enabling, временно прокачивающие чужие компетенции) и команды сложных подсистем (complicated-subsystem) — и всего три разрешённых режима взаимодействия (тесная коллаборация, «X-как-сервис», фасилитация). Центральная переменная дизайна у Скелтона и Пайса — когнитивная нагрузка команды (team cognitive load): границы ответственности нарезаются не по технологиям и не по проектам, а так, чтобы система, которой владеет команда, помещалась в её голову.

Теперь ключевой для этой книги поворот: что означает закон Конвея, когда значительная часть «сотрудников» — агенты? Коммуникационная структура агентной организации — это не курилка и не встречи: это буквально артефакты конфигурации — системные промпты, топология оркестрации (кто кого может вызвать), схемы общей памяти и права доступа к инструментам. То, что у людей складывается стихийно (кто с кем обедает), у агентов задаётся файлом — а значит, впервые в истории закон Конвея из ограничения превращается в ручку прямого управления: оргструктура и архитектура проектируются одним и тем же актом. Отсюда три следствия. Первое: граф коммуникаций агентов нужно рисовать и ревьюить как архитектурный артефакт первого класса — стихийно разросшаяся сеть «все агенты видят всё и зовут всех» произведёт неразделимый комок (big ball of mud) и по Конвею, и по Перроу (раздел 8.5: максимальная интерактивная сложность). Второе: топологии Скелтона—Пайса переносятся на смешанные ячейки — потоковой команде из двух человек и десятка агентов нужна платформенная команда, владеющая самим движком (инфраструктура агентов «как сервис»), иначе каждая ячейка утонет в самодельной оркестрации; когнитивная нагрузка как лимит нарезки никуда не исчезает, просто теперь она измеряется и для человека (сколько агентов он способен содержательно контролировать), и для агента (контекстное окно и качество модели мира — предел Конанта—Эшби). Третье: зеркалирование работает и в тёмную сторону — архитектура вашего движка неизбежно отпечатает реальную структуру власти в холдинге; если два актива не договорились об общем справочнике клиентов, никакой агент этот интерфейс не «отрастит».

8.10 Оргдизайн микрокоманд: почему маленькая команда с движком бьёт иерархию

Классическая теория организации выводила форму иерархии из одного ограничения — нормы управляемости (span of control): сколько подчинённых способен эффективно вести один руководитель. Литовско-французский консультант Вячеслав Грайкунас ещё в 1933 году показал, почему это число мало: руководитель управляет не n людьми, а сетью отношений — прямых, перекрёстных и групповых, — и число этих отношений растёт быстрее экспоненты (при 5 подчинённых — десятки связей, при 10 — тысячи). Отсюда классические 5–9 прямых подчинённых и неизбежное следствие: организация в 180 человек обязана иметь 3–4 слоя иерархии, а каждый слой — это дополнительная задержка и шум в контуре обратной связи (раздел 8.1) плюс искажение информации при пересказе. Фред Брукс в «Мифическом человеко-месяце» (Frederick Brooks, The Mythical Man-Month, 1975) дал вторую половину закона: число парных коммуникационных каналов в группе из n человек равно n(n−1)/2, поэтому добавление людей в отстающий программный проект делает его ещё более отстающим — прирост производительной мощности съедается квадратичным ростом издержек координации, обучения и дробления задач. Иерархия, регламенты, процессные роли — всё это исторически было технологией сжатия координационных издержек между большим числом людей. Ничем другим средний слой менеджмента, по большому счёту, не занят: он ретранслирует контекст вниз и агрегирует состояние вверх — работает живой шиной данных с частотой обновления «еженедельный статус».

Из этого следует арифметика, объясняющая феномен «маленькая команда + движок бьёт большую иерархию». Команда из 5 человек несёт 10 каналов координации и ноль слоёв ретрансляции: контекст у всех общий, петля решения — часы. Организация из 180 человек несёт тысячи потенциальных каналов, подавленных иерархией ценой 3–4 слоёв задержки и потери разнообразия при каждой агрегации (менеджер по Эшби — это аттенюатор разнообразия: он обязан упрощать, иначе канал наверх захлебнётся). Если исполнение и рутинную координацию забирает движок — агенты не устают, не обижаются, мгновенно делятся контекстом через общую память и не требуют мотивационных бесед, — то человеческая команда сохраняет плотность малой группы при операционном охвате большой: люди принимают решения с высокой ценой ошибки и держат остаточное разнообразие (раздел 8.1), машины несут масштаб. Практика 2023–2026 годов дала этому паттерну громкие подтверждения: компании уровня Midjourney и Anysphere/Cursor достигали сотен миллионов долларов выручки с командами в десятки человек (точные цифры компании не раскрывают — непроверено), а Сэм Альтман публично держал пари о скором появлении «компании-единорога из одного человека». Цифры анекдотичны, но механизм за ними — строгий: выручка на сотрудника растёт там, где координация переложена с иерархии на движок.

Сюда же примыкает и нашумевшее эссе Пола Грэма «Режим основателя» (Paul Graham, "Founder Mode", сентябрь 2024, paulgraham.com/foundermode.html), написанное по следам выступления Брайана Чески (Airbnb) перед основателями Y Combinator. Тезис Грэма: стандартный совет «наймите хороших людей и не мешайте им» — режим менеджера (manager mode), при котором CEO общается только с прямыми подчинёнными и относится к остальной организации как к чёрным ящикам, — систематически ломает компании, которыми управляют основатели; Чески, следуя этому совету, довёл Airbnb до кризиса и вылечил компанию противоположным: прямым погружением через уровни (skip-level), деталями, «неприличным» для профессионального менеджмента вмешательством (образец — ежегодный выезд Стива Джобса со 100 самыми важными людьми Apple независимо от их места в иерархии). В терминах нашей главы founder mode — это Система 5 Бира, отказывающаяся получать информацию только через аттенюаторы Системы 3, и канал 3* (прямое зондирование операций) в исполнении первого лица. Важно и ограничение: Грэм сам оговаривает, что founder mode — не микроменеджмент всего подряд, а выборочная глубина. Безлюдный движок снимает главную причину, по которой манера Чески считалась немасштабируемой: когда операции оцифрованы и агентны, «погружение через уровни» не требует изнурительных обходов — первое лицо может читать сырые трейсы любого процесса за минуты. Движок делает founder mode дешёвым.

8.11 AI-оргдизайн 2024–2026: организация как граф агентов и людей

Всё изложенное выше — теория, созданная до эпохи агентов. В 2024–2026 годах она стремительно переупаковывается в новую дисциплину — AI-оргдизайн, и его текущий консенсус полезно зафиксировать, отделив проверяемое от маркетинга.

Самая цитируемая рамка — годовой отчёт Microsoft Work Trend Index 2025 («The Frontier Firm is born», апрель 2025, опрос 31 000 работников в 31 стране плюс телеметрия Microsoft 365). Отчёт вводит понятие пограничной фирмы (Frontier Firm) — организации, перестроенной вокруг «интеллекта по требованию» (intelligence on tap), и предлагает три стадии эволюции: сначала AI как ассистент человека, затем человеко-агентные команды (human-agent teams), где агенты — «цифровые коллеги» с делегированными задачами, и наконец процессы, управляемые людьми, но исполняемые агентами (human-led, agent-operated). Два концепта отчёта вошли в язык индустрии. Первый — переход от оргсхемы к карте работы (org chart → work chart): устойчивой единицей становится не должность в иерархии, а динамическая команда вокруг конкретной цели, куда люди и агенты собираются по потребности задачи, — организация как граф людей и агентов, рёбра которого пересобираются чаще, чем перерисовывается штатное расписание. Второй — агентный руководитель (agent boss): прогноз, что каждый сотрудник — от аналитика до администратора — станет «менеджером агентов», то есть будет ставить им задачи, оценивать выход и отвечать за результат; Microsoft прямо вводит и метрику human-agent ratio — проектное соотношение людей и агентов на процесс, которое предстоит подбирать под каждый вид работы. К прогнозам отчёта уместен скептицизм (Microsoft продаёт агентов), но диагноз совпадает с независимой академической линией: Итан Моллик (Wharton; книга Co-Intelligence, 2024, и блог One Useful Thing) описывает те же сдвиги снизу, от полевых экспериментов — производительность растёт там, где человек остаётся «человеком в контуре» осмысленно, и падает в режим штамповки там, где контроль формален (его термин для бездумного делегирования — «выключенный мозг»; ср. раздел 8.4). На инженерной стороне за 2024–2026 годы оформилась и профессия: в вакансиях появились роли agent manager / agent operations (AgentOps) — люди, владеющие парком агентов: жизненный цикл, права доступа, оценка качества (evals), маршрутизация эскалаций, post-mortem инцидентов. Это прямой наследник SRE, но предмет надзора — не сервисы, а решения.

Вторая опора нового консенсуса — регуляторная. Европейский AI Act (Регламент ЕС 2024/1689, вступил в силу 1 августа 2024 года; обязанности для высокорисковых систем по приложению III применяются со 2 августа 2026 года) впервые превратил «место человека» из инженерного вкуса в юридическое требование. Статья 14 «Человеческий надзор» (Human Oversight) требует, чтобы высокорисковые системы проектировались так, чтобы физические лица могли эффективно надзирать за ними, и перечисляет, что надзирающий должен быть способен делать: понимать возможности и ограничения системы; сохранять осознание автоматизационной предвзятости (automation bias — регламент называет её по имени, впервые в истории законодательства кодифицируя вывод Бейнбридж); корректно интерпретировать выход; иметь право не использовать систему или отменить её решение; и вмешаться или остановить её работу («кнопка стоп»). Статья 26 возлагает на эксплуатанта обязанность поручить надзор людям с необходимой компетентностью, подготовкой и полномочиями. Юристы (см. анализ Мелани Финк, "Human Oversight under Article 14 of the EU AI Act", SSRN, 2025) подчёркивают главный риск исполнения: формальный человек-подписант без времени, данных и квалификации — это не надзор, а перенос ответственности на самое слабое звено (та самая «зона моральной деформации» из раздела 8.4); эффективный надзор по смыслу статьи 14 — это спроектированная система работы, а не должность. Для российского холдинга EU AI Act напрямую не обязателен, но он быстро становится глобальным эталоном должной осмотрительности (как GDPR в приватности), и клиенты-корпорации уже транслируют его требования в договоры.

Синтез главы теперь можно собрать в одно утверждение. Организация как граф людей и агентов — это не метафора, а буквальная конструкция: узлы — люди и агенты с измеренным разнообразием (Эшби), рёбра — каналы с задержкой и пропускной способностью (Винер, Бир), топология графа осознанно проектируется под целевую архитектуру (обратный Конвей) и под уровни автоматизации по стадиям решений (Шеридан—Парасураман), опасные подграфы «сложно + жёстко связано» разряжаются буферами (Перроу), а немногие оставшиеся люди — не «пока не автоматизированные», а спроектированные носители остаточного разнообразия, чья бдительность и навык поддерживаются принудительно (Бейнбридж, HRO) и чья роль закреплена юридически (статья 14). Человек в безлюдном движке — не пользователь машины и не её деталь; он — та часть машины, которая умеет её перепроектировать.

Источники и куда копать глубже

Книги

Видео и подкасты

Статьи и научные работы

Блоги, отчёты и сообщества