Andrew Johnson, CEO společnosti Yardstik – Série rozhovorů

Andrew Johnson, CEO společnosti Yardstik, je zkušený technologický manažer s praxí ve škálování rychle rostoucích softwarových společností, budování go-to-market organizací a řízení podnikového obratu. Do Yardstik nastoupil jako provozní ředitel (Chief Operating Officer) v roce 2022 a byl povýšen na CEO v říjnu 2024. Dříve působil Johnson jako ředitel pro příjmy (Chief Revenue Officer) ve společnosti Branch, kde pomáhal řídit společnost poskytující platby pracovníkům během období rychlého růstu, a strávil více než pět let ve společnosti Dialpad, včetně role vedoucího prodejů pro podniky (Head of Enterprise Sales), kde pomáhal budovat její prodejní operace v USA a Kanadě. Na začátku kariéry zastával obchodní a partnerské rozvojové pozice ve společnosti Compellent Technologies, kterou v roce 2011 získala společnost Dell za přibližně $960 million.

Yardstik je v Minneapolisu sídlící společnost zabývající se technologií důvěry v pracovní sílu, založená v roce 2020, která poskytuje prevenci podvodů, ověřování identity, prověřování zázemí, ověřování oprávnění a kontinuální sledování pracovní síly prostřednictvím své platformy Human Trust Platform. Společnost je postavena na architektuře API‑first, která umožňuje integrovat její technologie přímo do systémů pro sledování uchazečů, platforem pro řízení lidských zdrojů, tržišť pro gig pracovníky a dalších aplikací pro pracovní sílu. Yardstik také podporuje Model Context Protocol (MCP), což umožňuje AI agentům připojit se k její důvěryhodné infrastruktuře a automatizovat pracovní postupy, jako jsou prověrky zázemí, ověřování identity, prověřování oprávnění, opakované prověřování a rozhodování v rámci AI‑řízených náborových a onboardingových systémů.

Před tím, než jste nastoupil do Yardstik, strávil jste více než pět let ve společnosti Branch, kde jste na vlastní oči viděl podvodný kruh používající odcizená čísla sociálního zabezpečení k získání pracovních míst pod cizími identitami. Jak tato zkušenost změnila váš pohled na prověřování zázemí a kdy jste si uvědomil, že ověřování identity musí přesáhnout jednorázovou kontrolu při náboru?

Když jsem byl ve společnosti Branch, jeden z našich největších zákazníků byl napaden podvodným kruhem z Venezuely, což je problém, kterému čelí platformy pro gig práci obecně. Kradli čísla sociálního zabezpečení Američanů a prodávali je lidem, kteří neměli povolení pracovat v USA. Někdo se přihlásil pod odcizenou identitou, začal doručovat a vše vypadalo v pořádku až do daňové sezóny, kdy skutečný držitel SSN obdržel fakturu 1099 za práci, kterou nikdy neprovedl. To byl poprvé, kdy jsem viděl podvod objevit se až po rozhodnutí o náboru, místo během něj.

Ten okamžik pro mě skutečně přehodnotil věci. Uvědomil jsem si, jak často lidé, kteří projdou prověřením zázemí, nejsou osobou, která se na práci objeví. Například někdo s čistým záznamem úspěšně absolvuje kontrolu, ale pak člen rodiny, který by ji nedokázal projít, převezme skutečnou směnu. Prověření zázemí to nedokáže zachytit, protože se dívá jen na žadatele na papíře, jednorázově, na samém začátku. Když jsem nastoupil do Yardstik, přinesl jsem to, co jsem se naučil během své zkušenosti ve společnosti Branch, a spolupracoval s týmem na vytvoření přístupu kontinuálního sledování pro naše zákazníky.

Generativní AI dramaticky snížila bariéru pro vytváření falešných identit, padělaných oprávnění, syntetických profilů a dokonce i přesvědčivých deepfakeů. Které techniky podvodů umožněné AI se dnes vyvíjejí nejrychleji a které podle vás zaměstnavatelé jsou nejméně připraveni čelit?

Nejrychleji se vyvíjející podvod v současnosti není nápadné deepfake video. Jedná se o syntetickou identitu: skutečné číslo sociálního zabezpečení spojené s falešným jménem a vymyšlenou pracovní historií, které jsou spojeny do podoby, jež vypadá čistě při první kontrole. Přidáte-li AI nástroje generující upravený životopis a odpovídající sadu oprávnění, získáte takového uchazeče.

Co zaměstnavatelé jsou nejméně připraveni řešit, je vzdálený nábor, kdy se s osobou nikdy nesetkalo osobně. Platformy pro gig práci, vzdálené IT pozice, virtuální call centra. Pokud nikdo ve společnosti tuto osobu nikdy nevidí, všechny signály, které dříve odhalily podvodníka (např. nervózní rozhovor, doklad, který vypadá trochu nesprávně), zmizí. Přesně tam podvodné kruhy zaměřené na vzdálený nábor operují a většina firem to stále považuje za problém někoho jiného, dokud se to netýká jich samotných.

Yardstik přešel od tradičního prověřování zázemí k širší platformě kombinující AI prevenci podvodů, ověřování identity, ověřování oprávnění a kontinuální sledování. Jakou roli hraje AI při propojení těchto signálů a co může systém odhalit, co konvenční prověření zázemí nedokáže?

Yardstik začal jako společnost zabývající se prověřováním zázemí a pro většinu zákazníků je to stále základní část toho, co děláme. Avšak prověření zázemí je jednorázová transakce: provede se, získá se výsledek a data se zahodí. To, co spojuje prevenci podvodů, ověřování identity, kontrolu oprávnění a sledování do jedné věci, je to, že data nevyhazujeme. Udržujeme profil kandidáta v čase a každé nové prověření jej doplňuje místo toho, aby se začínalo od nuly.

To nám umožňuje zachytit věci, které jednorázová kontrola nikdy nezjistí. Například jeden z našich zákazníků čelil opakovaným pokusům podvodníků získat přístup k účtům agentů s přístupem k daňovým údajům zákazníků. Protože jsme mohli vidět, že se stejný zařízení nebo mírně pozměněná identita objevuje v několika pokusech, dokázali jsme to zastavit dříve, než se to stalo rozhodnutím o prověření. Jednorázová kontrola by každou z těchto žádostí posuzovala izolovaně a všechny by prošly.

Yardstik používá signály jako osobní identifikační údaje, platební aktivitu a indikátory zařízení nebo polohy k odhalování potenciálního podvodu s identitou. Jak oddělujete skutečně podezřelé chování od neobvyklého, ale legitimního chování, zejména když se modely AI stávají zodpovědnými za hodnocení stále složitějších vzorců?

Nesnažíme se vymezit pevnou hranici mezi podezřelým a neobvyklým, protože většinou v okamžiku, kdy to pozorujeme, taková hranice neexistuje. Co děláme, je zvýraznění rozdílu. Pokud žádost někoho uvádí jednu školu a o rok později nová žádost pod stejnou identitou uvádí jinou školu, stojí to za druhý pohled. Pokud někdo vždy podával žádosti z iPhonu a najednou se objeví na Androidu s novou IP adresou, totéž. Žádný z těchto případů sám o sobě neznamená podvod, ale kombinace více signálů začíná zvyšovat rizikový profil. Jsme vrstva, která označuje, co se změnilo od posledního setkání, a poskytuje zaměstnavatelům více údajů, aby mohli činit informovaná rozhodnutí.

Yardstik uvádí, že přibližně jeden z 30 žadatelů neprojde ověřením vládního dokladu totožnosti, zatímco označená nebo duplicitní čísla sociálního zabezpečení jsou denně blokována. Co se z těchto údajů učíte o tom, jak se podvody v pracovních silách vyvíjejí, a jak velká část toho, s čím se setkáváte, vypadá organizovaně spíše než oportunisticky?

Tyto údaje nám ukazují, že podvod s identitou při najímání již není okrajovým problémem. Stal se základní nákladou podnikání v jakémkoli reálném měřítku, podobně jako jsou chargebacky základní v platebním sektoru. Významná část vypadá organizovaně spíše než oportunisticky. Oportunistický podvod bývá jednorázový: někdo nafoukne životopis nebo pozmění datum absolvování. Organizovaný podvod vykazuje vzorec, stejný přístroj nebo téměř totožná identita, která se snaží o stejný typ práce u různých zaměstnavatelů, někdy mění jen jeden detail, aby zjistila, co projde. To je verze, kterou jsem viděl před lety, kdy se prodávala odcizená čísla sociálního zabezpečení, a je to verze, kterou stále vidím dnes. Nyní je to jen automatizované a probíhá v mnohem vyšším objemu, protože generativní nástroje učinily falešné identity levnějšími na výrobu.

Ověřování identity stále častěji zahrnuje vládní doklady, biometriku, kontrolu živosti, signály zařízení a další ukazatele rizika. Jak se generativní modely stávají schopnějšími vytvářet realistické dokumenty, tváře a hlasy, které signály podle vás zůstanou pro útočníky nejnáročnější na padělení?

Vše, co můžete vygenerovat jako jediný artefakt – fotografii, dokument nebo i krátké video – se stále snáze a přesvědčivěji padělá. To, co zůstává obtížné padělat, je konzistence v čase a napříč místy, která nikdo společně neovládá. Syntetická identita může projít jednou kontrolou živosti s dostatečně dobrým deepfake. Je mnohem těžší, aby tato stejná identita měla také odpovídající historii zařízení, shodný vzorec polohy a pracovní historii, která se shoduje tak, jak to dělá skutečná osoba napříč zaměstnavateli a lety. To je ve skutečnosti podstata kontinuálního monitorování místo jednorázového ověření. Starý kontrolní proces vám dává fotografii, jeden snímek, pořízený jednou. Náš funguje spíše jako živý přenos, protože je navržen tak, aby si všiml, kdy snímky přestávají navzájem odpovídat.

Kontinuální monitorování představuje zásadní posun od jednorázového ověření někoho k hodnocení důvěry během celého životního cyklu pracovníka. Jak navrhujete takový systém, aniž by vzniklo zbytečné sledování, falešně pozitivní výsledky nebo rozhodnutí, která pracovníci těžko pochopí či napadnou?

Sledování je pozorování někoho, kdo neví, že je sledován. To takhle nefunguje. Každý pracovník, kterého monitorujeme, poskytl písemný souhlas, přesně ví, co je kontrolováno, a zákon nás zavazuje poskytnout mu kopii všeho, co najdeme, a možnost to napadnout, pokud je to špatně. Nic z toho není volitelné. Je to podle FCRA.

Druhá část spočívá v tom, že rozhodnutí neděláme sami. Pokud se u někoho, koho monitorujeme, objeví zatčení, je to pro zaměstnavatele signál k prověření, nikoli verdikt. Dodržování řádného procesu stále platí. Zaměstnavatelé musí kandidáta informovat, dát mu šanci reagovat a poté učinit konečné rozhodnutí. Naše úloha končí tím, že upozorníme na změnu; zaměstnavatel rozhodne, co to znamená a co s tím udělat, stejně jako by to udělal při kontrole při nástupu. Postavili jsme to tak úmyslně.

Jak se nábor a řízení pracovních sil stávají stále více agentními, kde by měla být hranice mezi AI agentem sbírajícím a vyhodnocujícím signály důvěry a skutečným rozhodnutím o najímání, které má důsledky?

Umístil bych tuto hranici tam, kde ji dnes pro nás stanoví zákon. Dáváme si pozor, abychom se neozývali jako AI společnost, protože naše odvětví má přísný požadavek, aby byl člověk zapojen do všeho, co se týká sporu nebo nepříznivého rozhodnutí. Agent může sbírat signály, hodnotit je, označovat, co se změnilo. Neměl by však sám rozhodovat, zda někdo práci nedostane nebo ji neudrží, protože takové rozhodnutí musí být připojeno k osobě, která je za něj odpovědná a může ho vysvětlit, pokud bude napadeno.

Jak se najímání stává od začátku do konce více automatizovaným, myslím, že tato hranice se stává důležitější, ne méně. Čím snazší je nechat agenta řídit celý proces, tím lákavější je také nechat ho učinit konečné rozhodnutí. Shromažďování a vyhodnocování signálů důvěry je přesně to, co by měl software dělat rychleji. Rozhodování o živobytí člověka není něco, co bych vůbec předal dál.

S novým $30 million Series B, který zvyšuje celkové financování Yardstik na $65 million, které oblasti AI a prevence podvodů podle vás nyní vyžadují největší investice a jaké technické problémy je ještě třeba vyřešit, aby kontinuální ověřování identity fungovalo v mnohem větším měřítku?

Nový kapitál investujeme do částí prevence podvodů, které jsou nejméně okouzlující a nejdražší na kvalitní vybudování. Monitorování zpráv o motorových vozidlech a vyloučení OIG. Automatické upozornění v okamžiku, kdy licence, pojistná smlouva nebo certifikace vyprší, místo čekání na další obnovovací cyklus.

Technickým problémem, který v tomto odvětví nikdo nevyřešil, jsou náklady. Mnoho zemí a států si účtuje vlastní poplatek za získání záznamu, někdy přes $100 za jedno vyhledání například v New Yorku, a tato cena neklesne jen proto, že chcete někoho kontrolovat častěji. Zajistit, aby bylo kontinuální ověřování dostatečně cenově dostupné pro společnost s tisíci gig pracovníky, aby ho mohla provozovat měsíčně místo jednou ročně, je stejně tak problém získávání dat a cenové politiky jako problém strojového učení. To je právě ten, na který nyní nejvíce myslím.

Objevuje se zajímavá zbrojní závod: AI současně usnadňuje podvody s identitou a poskytuje platformám lepší nástroje k jejich odhalování. Jak se obě strany zlepšují, očekáváte, že prokázání, že někdo je skutečně tím, za koho se vydává, se stane podstatně obtížnějším, nebo AI nakonec učiní digitální identitu důvěryhodnější, než kdy předtím?

Obě tvrzení jsou pravdivá a nemyslím si, že se navzájem ruší. Naši zákazníci nám často říkají, že od nás očekávají, že budeme schopni „bojovat oheň ohněm“. Vědí, že potřebují moderní řešení pro moderní problémy. Upřímně si myslím, že digitální identita se stává důvěryhodnější pro systémy, které sledují někoho po léta a napříč platformami, a méně důvěryhodnou pro vše, co stále spoléhá na jednorázovou kontrolu. To znamená, že firmy, které ověřily někoho jen jednou, budou vystaveny riziku, zatímco ti, kteří stavěli na dlouhodobý pohled, budou v retrospektivě vypadat mnohem chytřeji, než jak se dnes možná cítí.

Děkujeme za skvělý rozhovor, čtenáři, kteří se chtějí dozvědět více, by měli navštívit Yardstik.