J. Paul Haynes, CEO společnosti Cinchy – Interview Series

J. Paul Haynes, CEO společnosti Cinchy, je zkušený manažer v oblasti kybernetické bezpečnosti a technologií s desetiletými zkušenostmi s budováním a rozvojem podnikových bezpečnostních společností. Je nejznámější díky svému vedení v eSentire, kde pomohl společnosti růst do významného poskytovatele Managed Detection and Response, a přináší silný background v oblasti inženýrství, kybernetické bezpečnosti, růstu podporovaného soukromým kapitálem a podnikového rizika do Cinchy, zatímco společnost se zaměřuje na důvěryhodnou adopci AI a governance.

Cinchy je podniková společnost pro AI governance a data collaboration, zaměřená na pomoc organizacím bezpečně spojovat AI, systémy a data. Jejich platforma PeriMind slouží jako kontrolní rovina pro AI akce, poskytující podnikům viditelnost, vynucování politik, bezpečnost a audibilitu toho, jak AI agenti interagují s podnikovými systémy, zatímco jejich Data Collaboration Platform pomáhá týmům spravovat a sdílet řízená data napříč organizací bez závislosti na složitých integracích nebo duplicitních datech silách.

Vy jste strávil více než 15 let pomáháním budovat a rozvíjet eSentire do jedné z nejuznávanějších společností v oblasti kybernetické bezpečnosti. Jaké zkušenosti z této cesty přinášíte do své nové role jako CEO společnosti Cinchy, a proč jste se domníval, že teď je správný čas se zaměřit na AI governance a důvěryhodnou adopci AI?

Jedna z největších zkušeností, které jsem získal v eSentire, je, že organizace nemají potíže kvůli nedostatku technologií. Mají potíže, protože vznikající technologie vytvářejí provozní složitost rychleji, než většina společností může sama zvládnout. Vidím, že AI sleduje podobnou cestu.

Dnešní výzva není dostat zaměstnance k experimentování s AI. Většina organizací již s tím začíná. Skutečná výzva spočívá v přesunu AI do produkce, kde rozhodnutí ovlivňují zákazníky, finanční výsledky, soulad s předpisy a podnikové operace.

Vysoce regulované odvětví, jako jsou finanční služby, ilustrují to dokonale. Nepohybují se pomalu, protože nerozumí AI. Pohybují se opatrně, protože ještě nemohou důvěřovat AI s kritickými úkoly. Předtím, než AI systém může učinit rozhodnutí, organizace potřebují odpovědi na základní otázky: kdo schválil tato rozhodnutí? Jak jsou monitorována? Kdy zasáhne člověk? Co se stane, pokud se model změní, selže nebo stane nedostupným?

Tyto otázky mě připomínají, kde byla kybernetická bezpečnost před patnácti lety. Bezpečnost se vyvinula z technologického problému na provozní disciplínu. Domnívám se, že AI governance je na stejné trajektorii.

Proto jsem se připojil k Cinchy. Věříme, že důvěryhodná adopce AI (ne experimentování s AI) bude definovat příští dekádu, a vidíme, že řízená AI governance se stane stejně důležitou jako řízená kybernetická bezpečnost se stala.

Mnohé podniky experimentovaly s generativní AI za posledních dva roky, ale relativně málo z nich úspěšně nasadilo AI napříč kritickými pracovními postupy. Jaké jsou největší bariéry, které brání organizacím v přesunu z pilotních projektů do produkce?

Nedomnívám se, že společnosti mají potíže, protože technologie není dostatečně dobrá. Domnívám se, že mají potíže, protože sázky se stanou mnohem vyšší, jakmile AI přesáhne experimentování.

Pilotní projekt je jedna věc. Umístění AI do produkce je něco úplně jiného. Nyní se jedná o přístup k podnikovým datům, interakci s podnikovými systémy, možná i rozhodnutí jménem zaměstnanců. To je okamžik, kdy vedení správně začíná klást otázky: “Jak to ovládáme? Jak to monitorujeme? A jak víme, kdy je třeba zapojit člověka?”

Tyto otázky nejsou důvodem k zpomalení adopce AI. Jsou to věci, které umožňují adopci AI vůbec. Pokud můžete odpovědět na tyto otázky s důvěrou, organizace se pohybují mnohem rychleji.

Vy jste strávil velkou část své kariéry zajišťováním bezpečnosti podnikových prostředí proti kybernetickým hrozbám. Jak se liší zajištění bezpečnosti organizace s AI od zajištění bezpečnosti tradičního IT prostředí?

Tradiční kybernetická bezpečnost se zaměřuje na ochranu koncových bodů, identit, sítí a cloudových prostředí. AI přidává další trvalou podnikovou hrozbu. Každý AI systém představuje nová rizika. Přístup k modelu, injekce příkazu, nadměrná oprávnění, posun modelu, autonomní rozhodování a zcela nové útočné cesty, které dříve neexistovaly.

Důležitým bodem je, že bezpečnost AI není oddělena od kybernetické bezpečnosti. Rozšiřuje ji. Organizace stále potřebují každou stávající bezpečnostní kontrolu, ale nyní také potřebují bezpečnost speciálně navrženou pro AI systémy provozované v produkci.

Stínová IT již dlouho představuje problém pro bezpečnostní týmy, ale nyní vidíme vzestup stínové AI. Jak významný je tento problém a jaká rizika organizace podceňují?

Stínová AI se stává jednou z nejrychleji rostoucích obchodních rizik, protože výkonné týmy podporují rychlou adopci AI bez toho, aby vždy zavedly governance jako první. Většina zaměstnanců nejedná zlomyslně. Snaží se být produktivnější. Problém spočívá v tom, že AI systémy dědí oprávnění, která již uživatelé mají.

Výkonný pracovník experimentující s veřejným modelem AI by mohl neúmyslně vystavit důvěrná finanční data, informace o zákaznících nebo duševní vlastnictví jednoduše tím, že požádá AI o jejich analýzu.

To je důvod, proč organizace potřebují viditelnost, kontrolu politik a governance, ne proto, aby zpomalily adopci AI, ale aby ji učinily dostatečně bezpečnou pro škálování.

AI agenti jsou stále více poskytováni s přístupem k podnikovým systémům, datům a rozhodovacím procesům. Jaké nové výzvy v oblasti odpovědnosti a governance vznikají, když AI systémy mohou jednat autonomně spíše než generovat obsah?

AI agenti fundamentálně mění diskuzi o governance, protože již nejsou generovány obsah. Provádějí akce. Kdykoli autonomní systém může schválit transakce, přístup k podnikovým systémům nebo učinit obchodní rozhodnutí, organizace potřebují úplnou odpovědnost.

Každá akce by měla odpovědět na jednoduché otázky:

• Co se stalo?
• Proč se to stalo?
• Který AI agent učinil rozhodnutí?
• Kdo to schválil?
• Kdy by měl zasáhnout člověk?

Tyto principy nejsou nové. Odvětví žila s požadavky na odpovědnost po desetiletí v souladu s předpisy, jako je Sarbanes-Oxley. AI prostě rozšiřuje stejné očekávání na autonomní digitální pracovníky.

Mnohé organizace závodí v nasazení AI kvůli konkurenčnímu tlaku. Jak mohou obchodní lídři vyvážit potřebu rychlosti s potřebou governance, souladu a řízení rizik?

Governance by neměla zpomalit adopci AI. Měla by ji urychlit. Organizace se pohybují rychleji, když vedení důvěřuje prostředí, které budují. To znamená zavedení zabezpečené, monitorovatelné AI architektury, kontinuální hodnocení modelů pro posun a výkon, řízení přístupu k podnikovým systémům a mít jasnou provozní kontrolu, než AI dosáhne produkce.

Stejně jako organizace přijaly managed detection a response, aby zjednodušily kybernetickou bezpečnost, věřím, že mnohé přijmou managed AI governance, aby získaly odborné znalosti bez nutnosti budovat velké specializované týmy interně.

Dozorčí rady se stávají více zapojenými do AI dohledu. Jaké otázky by měli členové dozorčí rady klást manažerským týmům o AI strategii, governance a odpovědnosti?

Dozorčí rady by měly klást jednu základní otázku: může management prokázat, že AI funguje pod stejnou úrovní governance jako každý jiný kritický podnikový systém?

To znamená porozumět, kde je AI používán, kdo ho vlastní, jak jsou monitorována rozhodnutí, jak je řízeno riziko a jak by organizace pokračovala v provozu, kdyby AI služba se stala nedostupnou. Organizace, které uspějí, nemusí být ty, které přijmou AI nejrychleji. Budou to ty, které vybudují provozní disciplínu, aby důvěřovaly AI ve velkém měřítku.

Odvětví kybernetické bezpečnosti strávilo desetiletí vývojem rámců, kontrol a osvědčených postupů. Existují zkušenosti z kybernetické bezpečnosti, které lze přímo aplikovat na AI governance, nebo AI vyžaduje zcela nový přístup?

Kybernetická bezpečnost nabízí excelenteční plán pro AI governance. Správa identit, least privilege, kontinuální monitoring, auditní stopy, reakce na incidenty a odolnost zůstávají všechny nezbytné. Co je nové, je to, že AI představuje výzvy, které tradiční systémy neměly, včetně posunu modelu, halucinací, manipulace s příkazy a závislosti na třetích stranách základních modelů. AI tedy nenahrazuje kybernetickou bezpečnost, ale rozšiřuje ji o další vrstvu governance.

Co vlastně znamená “důvěryhodná adopce AI” v praxi? Existují specifické principy governance nebo provozní záruky, které by měly mít všechny organizace zavedeny před škálováním AI iniciativ?

Tenduji k tomu, abych o tom uvažoval stejně jako o kybernetické bezpečnosti před lety. Nikdo se neptal, zda bezpečnost vytváří hodnotu. Otázka zněla, zda můžete důvěřovat svému prostředí dostatečně, aby udrželo podnikání v chodu.

AI směřuje přesně stejným směrem. Pokud nemůžete vidět, co dělá, ovládat, co má přístup k, nebo pochopit, proč dělá určitá rozhodnutí, pravděpodobně ho nepovolíte zpracovat nic důležitého.

Jakmile máte tuto důvěru, adopce se děje přirozeně. Organizace přestávají AI považovat za zajímavý experiment a začínají ho považovat za další část podnikání.

Pohledem do budoucna tři až pět let, jak vidíte vztah mezi AI governance a konkurenční výhodou se vyvíjet? Stane se silná governance diferencátorem, nebo prostě požadavkem pro podnikání?

V průběhu příštích tří až pěti let se silná AI governance nestane konkurenčním diferencátorem. Stane se obchodním požadavkem. Organizace, které zavedou governance brzy, přijmou AI rychleji, protože budou mít důvěru k přesunu kritických pracovních zátěží do produkce. Ty, které to neudělají, zůstanou uvězněny v experimentování, zatímco konkurenti uznají měřitelné zisky v produktivitě, inovacích a zákaznickém prostředí. V konečném důsledku governance nezpomalejí adopci AI. Bude důvodem, proč organizace budou moci AI dostatečně důvěřovat, aby ji plně přijaly.

Děkuji za skvělý rozhovor, čtenáři, kteří chtějí se dozvědět více, by měli navštívit Cinchy.