Cillian Kieran, zakladatel a generální ředitel Ethyca – rozhovor

Cillian Kieran, zakladatel a generální ředitel Ethyca, je zkušený podnikatel a odborník na ochranu soukromí s více než dvěma desetiletími zkušeností s budováním datově intenzivních technologických firem. Před založením Ethyca v roce 2019 vedl digitální agenturu CKSK po dobu deseti let a poté založil BrandCommerce, využívaje své zkušenosti v softwarovém inženýrství, uživatelském prostředí a velkých podnikových datových programech. V Ethyce se Kieran zaměřil na transformaci ochrany soukromí a řízení dat z převážně manuálního procesu compliance na infrastrukturu, která může být přímo vestavěna do způsobu, jakým organizace budují a provozují technologii.

Ethyca vyvíjí důvěryhodnou datovou infrastrukturu, která pomáhá podnikům objevit citlivé informace, spravovat souhlas, plnit požadavky na ochranu soukromí a vymáhat pravidla pro použití dat napříč konvenčními aplikacemi a systémy umělé inteligence. Jejich platforma je postavena kolem Fides, otevřeného jazyka pro řízení, který vytváří konzistentní rámec pro definování, auditování a vymáhání povolených použití dat napříč systémy, API a umělými inteligencími kanály. Společnost nyní spouští Astralis, vrstvu pro řízení umělé inteligence, která kombinuje automatizované regulační hodnocení s přístupovými kontrolami založenými na účelu, umožňující organizacím určit, proč modely a agenti přistupují k určitým datům, a vymáhat tyto povolení v reálném čase. Ethyca uvádí, že platforma může snížit hodnocení, která tradičně vyžadují 40 až 60 hodin manuální práce, na přibližně 20 až 40 minut, což pomáhá podnikům rozšiřovat nasazení umělé inteligence bez toho, aby procesy řízení se staly úzkým místem.

Založil jste několik společností před spuštěním Ethyca v roce 2019, včetně vybudování CKSK na globální digitální konzultantskou firmu, která slouží společnostem z žebříčku Fortune 500. Jaké zkušenosti během této cesty vás přesvědčily, že řízení dat, místo samotných modelů umělé inteligence, se stane definujícím úzkým místem pro přijetí umělé inteligence v podnikovém prostředí?

Strávil jsem roky budováním digitální konzultantské firmy, která slouží velkým podnikům, jako jsou Heineken, Sony a Pepsi, během zlatého věku digitálního marketingu a sociálních médií. Opakovaně jsem viděl stejný vzorec. Silná technologie přijde, všichni se ji snaží adoptovat, a až poté, co je již zabudovaná do podniku, přicházejí regulátoři a nastavují ochranná opatření, nechávající týmy compliance řešit důsledky. Vezměme si GDPR, první skutečný zásah do toho, jak společnosti využívají osobní data. Regulátoři zasáhli až poté, co martech a sociální média již využívání dat proměnily v základní pilíř svých obchodních modelů. Bylo mi jasné, že stejný vzorec se bude opakovat i u umělé inteligence.

To, co tuto moji domněnku utvrdilo, byla práce na souladu s předpisy, kterou jsem prováděl v Ethyce. Při budování systémů compliance pro velké podniky jsem si uvědomil, že je možné vytvořit vrstvu kolem dat společnosti, která by vyhodnocovala každou žádost na základě tří věcí: co jsou data, co je povoleno s nimi dělat, a jaké je riziko, pokud se s nimi něco udělá. Práce na tomto projektu mi ukázala skutečné omezení. Podniky nejsou krátké na data. Jsou krátké na vrstvu řízení, která určuje, která data je povoleno používat. To byla sázka, kterou jsme udělali v roce 2019, a od vzniku umělé inteligence se to stalo ještě relevantnější.

Podle Gartneru by se mohlo stát, že průměrná společnost z žebříčku Fortune 500 bude mít do roku 2028 až 150 000 agentů umělé inteligence, oproti pouze 15 v roce 2025. Jak by měli lídři podniků přehodnotit řízení v světě, kde autonomní agenti mohou překročit počet lidských zaměstnanců, kteří pracují s daty?

Do roku 2028 budou agenti, kteří přistupují k datům společnosti, překročit počet zaměstnanců, kteří to dělají. Kdykoli jsou aktéry, kteří využívají vaše data, převážně stroje, kdo je zodpovědný? Starý model umístil zodpovědnost do konečného lidského schválení, ale když většina těchto rozhodnutí není učiněna ani přezkoumána člověkem, zodpovědnost se musí přesunout ze lidí na systémy.

Bankovnictví již tento krok učinilo. Důvěřujeme bance ne proto, že úředník ručně počítá bankovky. Důvěřujeme jí proto, že kontrolní mechanismy jsou v pořádku, a existují lidé, kteří jsou zodpovědní za jejich udržování. Řízení dat musí udělat totéž. Důkaz toho, že společnost zpracovává data zodpovědně, přestává být tím, že člověk to přezkoumal, a stává se tím, že systém automaticky vymáhá politiku při každém použití, a může poskytnout důkaz o tom, takže zodpovědnost je vestavěna. To umožní lídrům podniků soustředit se na to, co jsou dobrí: aplikovat úsudek, stanovit pravidla a stát za systémem.

Astralis kombinuje Large Language Regulatory Model (LLRM) s Purpose-Based Access Control (PBAC). Můžete vysvětlit, jak tyto dvě technologie spolupracují, aby zajistily, že systémy umělé inteligence rozumí nejen tomu, kdo může přistupovat k datům, ale také proč by k nim měli mít přístup?

Tradiční kontrola přístupu zjišťuje, kdo jste, a zda vaše identita umožňuje přístup k určitým datům.

Ale ochrana soukromí je jiná; nejde o to, kdo má přístup. Osoba může být dokonale oprávněna k přístupu k datové sadě a přesto ji použít pro něco, co nebylo nikdy povoleno. Otázka, která se stává důležitou, je, k čemu jsou data použita, a zda je tento účel povolen. To je to, co PBAC zjišťuje a vymáhá.

Náročné je to, že účel není technickým faktem, který lze odečíst z databáze. Závisí na tom, co dělá vaše podnikání, co jste slíbili zákazníkům, a co dovoluje zákon. To je to, k čemu slouží LLRM. Naučí se, jak vaše konkrétní podnikání funguje, a poté projde regulacemi, které se na něj vztahují. Výstupem je jasný závěr o tom, k čemu lze která data použít a která ne. PBAC poté vymáhá tento závěr v okamžiku přístupu. LLRM rozumí, PBAC jedná.

Váš oznámení o spuštění uvádí, že hodnocení umělé inteligence lze snížit z 40 až 60 hodin manuální práce na pouhých 20 až 40 minut. Které části dnešního procesu řízení jsou nejinefektivnější, a kde automatizace vytváří největší zisky?

Většina z těch 40 až 60 hodin není strávena ničím, co by vyžadovalo lidský úsudek. Jsou stráveny sestavením. Někdo mapuje data ručně, drží je v tabulce a poté hledá kontext napříč týmy. Do té doby, než je vše shromážděno, skutečné hodnocení, část, která vyžaduje lidský úsudek, je malá část práce. Zbytek je profesionál, který funguje jako sběratel informací, které podnik již má, ale které jsou rozptýleny napříč týmy.

Frustrující je to, že tato práce nikdy nekončí. Hodnocení je okamžité snímání, ale případy umělé inteligence neustále přicházejí. Nové se objevují neustále, a každá z nich potřebuje vlastní přezkum. Takže manuální proces není jen pomalý jednou, je trvale pozadu za tempem, ve kterém chce podnik fungovat, a stane se neřídoucí, jakmile budou společnosti

Zisky z efektivnosti přicházejí z změny toho, kdo co dělá. Systém sám sbírá metadata, takže nikdo nemusí ručně shromažďovat kontext. Pouze předkládá otázky, které může člověk skutečně zodpovědět – skutečné úsudky – místo toho, aby člověk musel procházet polemi, která může stroj vyplnit. A záznam o auditování se vytváří sám, zatímco se hodnocení provádí, místo toho, aby někdo psal o něm později z paměti. To je místo, kde 40 hodin se stává 40 minutami.

Jedna z více překvapivých tvrzení je, že majoritní americká finanční instituce zpracovává přibližně 6 000 žádostí o řízení za sekundu prostřednictvím Astralis. Co vás to učí o budoucích požadavcích na infrastrukturu pro podnikovou umělou inteligenci?

Lekce je taková, že řízení nemůže být samostatným krokem již nữa. Při 6 000 rozhodnutích za sekundu musí k tomu docházet uvnitř datové cesty samotné, ve stejné rychlosti jako dotazy a modely, které řídí. Pro umělou inteligenci musí řízení být infrastrukturou: vždy zapnutou a vždy v řadě, ne zprávou vygenerovanou na straně. Musí to být rychlé, protože pokud je řízení pomalé, stává se tím, co lidé přeskočí, aby splnili termíny.

Regulace umělé inteligence se rychle vyvíjí po celé Spojené státy i Evropě. Jak můžete postavit platformu pro řízení, která se dokáže přizpůsobit měnícím se právním rámcům, aniž by donutila podniky k neustálým manuálním aktualizacím zásad?

Chyba, kterou většina nástrojů pro compliance dělá, je vtisknutí pravidel do produktu, takže když se zákon změní, jste uvězněni ve čekání na to, až dodavatel produkt přepracuje. Astralis je postaven opačně. Na jeho základně je společný jazyk pro popis dat a jejich použití, a neobsahuje žádná pravidla. Pravidla sedí samostatně, v vrstvě zásad nad ním. LLRM čte regulaci, vyhodnocuje, co to znamená pro váš konkrétní podnik, a poté zapisuje zásady podle toho. PBAC poté vymáhá to, co říká zásada, v okamžiku přístupu – takže změna pravidel ponechává mechanismus vymáhání zcela nedotčený.

Když nová regulace přijde, veškeré úsilí společnosti může jít do práce na tom, co to znamená pro jejich podnikání; žádné úsilí nemusí jít do přepracování jejich systémů pro ochranu soukromí.

Mnozí výkonní ředitelé se obávají, že agenti umělé inteligence mohou činit neautorizovaná rozhodnutí nebo přistupovat k citlivým informacím. Jak reálné je toto obavy dnes, a jaké praktické záruky by měly organizace implementovat před nasazením agentů umělé inteligence ve velkém?

Je to zcela reálné, a již se to děje. Kalifornie uložila Disneyovi pokutu 2,75 milionu dolarů, protože jeho systémy nemohly spolehlivě vymáhat něco tak základního, jako je opt-out zákazníka. V jejich systémech zákazník, který se odhlásil na jednom zařízení, zůstal přihlášen na ostatních, a pokyny pro odhlášení na úrovni prohlížeče nebyly považovány za platné požadavky. Tento incident nebyl způsoben tím, že agent jednal nepředvídatelně, ale byl způsoben prostým rozdílem mezi tím, co Disney řekl zákazníkům, a tím, co jeho systémy byly schopny vymáhat.

Záruky, které skutečně předcházejí tomuto, jsou nezajímavé: víte, která data máte, a co jste se zavázali udělat s nimi, a držte je všechny na jednom místě, protože většina těchto selhání pochází z toho, že jeden tým slíbil něco, co druhý tým neměl v databázi.

Pohledem do budoucna na tři až pět let, co budete považovat za to, co odliší podniky, které úspěšně provozují umělou inteligenci, od těch, jejichž iniciativy umělé inteligence zůstávají uvězněny v pilotních projektech, a jakou roli bude řízení hrát při vytváření tohoto konkurenčního výhod?

Rozdíl bude spočívat v tom, zda má společnost jeden systém pro řízení všech svých dat, nebo zda se rozhodne přidružit řízení k каждému databázi a týmu zvlášť. Společnosti, které budou řídit svá data odděleně, budou nadále narážet na zdi, protože umělá inteligence sahá přes oddělení podle designu. Každý podnik je informován, aby nasadil umělou inteligenci rychle a aby se nedostal do dopisu regulátorovi, a dosud tyto dva požadavky táhly proti sobě. Kdo vyřeší obojí, místo aby se spokojil s jedním, vyhraje dekádu.

Děkuji za skvělý rozhovor, čtenáři, kteří si chtějí přečíst více, by měli navštívit Ethyca nebo Astralis.