Cillian Kieran, grundlægger og administrerende direktør for Ethyca – Intervieuserie

Cillian Kieran, grundlægger og administrerende direktør for Ethyca, er en serieiværksætter og privatlivsingeniør med mere end to årtiers erfaring i opbygning af dataintensive teknologivirksomheder. Før han grundlagde Ethyca i 2019, ledede han digitalagenturen CKSK i ti år og grundlagde herefter BrandCommerce, som byggede på hans baggrund i softwareingeniørarbejde, brugeroplevelse og store virksomhedsdataprogrammer. Hos Ethyca har Kieran fokuseret på at omdanne privatliv og datastyring fra en overvejende manuel overholdelsesfunktion til infrastruktur, der kan integreres direkte i, hvordan organisationer opbygger og driver teknologi.

Ethyca udvikler pålidelig datainfrastruktur, der hjælper virksomheder med at opdage følsomme oplysninger, styre samtykke, opfylde privatlivsanmodninger og gennemtvinge regler for, hvordan data anvendes på tværs af konventionelle applikationer og kunstig intelligenssystemer. Deres platform er bygget op omkring Fides, et åbent kildesprog for styring, der skaber en konsekvent ramme for at definere, gennemgå og gennemtvinge tilladte dataanvendelser på tværs af systemer, API’er og kunstig intelligensrørledninger. Virksomheden lancerer nu Astralis, et kunstig intelligensstyringslag, der kombinerer automatiserede regulatoriske vurderinger med formålbasreret adgangskontrol, hvilket giver organisationer mulighed for at bestemme, hvorfor modeller og agenter får adgang til bestemte data, og gennemtvinge disse tilladelser i realtid. Ethyca mener, at platformen kan reducere vurderinger, der traditionelt kræver 40 til 60 timers manuelt arbejde, til cirka 20 til 40 minutter, hvilket hjælper virksomheder med at udvide kunstig intelligensudrulninger uden at lade styringsprocesser blive en flaskehals.

Du har grundlagt flere virksomheder, før du lancerede Ethyca i 2019, herunder opbygning af CKSK til en global digital konsulentvirksomhed, der betjener Fortune 500-virksomheder. Hvad var det, der under din rejse overbeviste dig om, at datastyring i stedet for kunstig intelligensmodeller selv ville blive den afgørende flaskehals for virksomhedsadoption af kunstig intelligens?

Jeg tilbragte år med at opbygge en digital konsulentvirksomhed, der servicerede store virksomheder som Heineken, Sony og Pepsi under den digitale reklame- og sociale medieboom. Gang på gang så jeg den samme mønster gentage sig. En kraftfuld teknologi ankom, alle kapløb for at adoptere den, og først, når den var integreret i forretningen, kom regulatorerne og satte guardrails op omkring den, efterladende overholdelsesholdene til at håndtere konsekvenserne. Tag GDPR, den første rigtige nedtur på, hvordan virksomheder anvender persondata. Regulatorerne trådte kun ind, efter at martech og sociale medier allerede havde gjort dataindsamling til rygmarven i deres forretningsmodeller. Det var tydeligt for mig, at det samme mønster ville gentage sig med kunstig intelligens.

Hvad bekræftede den formodning, jeg havde, var det privatlivs-overholdelsesarbejde, jeg udførte hos Ethyca. Ved at opbygge overholdelsessystemer for store virksomheder indså jeg, at man kunne lægge et lag omkring en virksomheds data, der vurderede hver anmodning mod tre ting: hvad data er, hvad man har tilladelse til at gøre med det, og hvilken risiko der er, hvis man gør det. Arbejdet med det gjorde den virkelige begrænsning tydelig. Virksomheder har ikke mangler på data. De har mangler på et styringslag, der dikterer, hvilke data der er tilladt at blive brugt til. Det var den indsats, vi gjorde i 2019, og siden kunstig intelligensens opkomst er det kun blevet mere relevant.

Over det sidste år er virksomheds-kunstig intelligens skiftet fra simple chatbots til autonome kunstig intelligensagenter, der kan træffe beslutninger og udføre handlinger. Hvordan har den udvikling ændret de styringsudfordringer, organisationer står over for, og hvorfor er traditionelle overholdelsesmetoder ikke længere skalerbare?

Mennesker taler om virksomheds-kunstig intelligens og dens ROI, som om værdien kommer fra blot at tilslutte en agent til arbejdsgange. I virkeligheden kommer værdien fra at tilslutte den agent til en bred vifte af systemer, så den kan syntetisere data og producere output, som ingen menneske kunne trække sammen på den tid. Adgang til data er den virkelige flaskehals.

Fælden er, at det samme, der gør en agent værdifuld, er det, der gør den risikabel. Jo flere systemer, man tilslutter den til, jo mere data begynder at flyde fra den ene del af organisationen til den anden, og hver af disse strømme bliver en mulighed for, at data ender på det forkerte sted.

Hver af disse strømme skal kontrolleres: er dette data tilladt at blive brugt på denne måde, til dette formål, under privatlivsloven og vores egen politik? Når der er en håndfuld af disse beslutninger hver dag, kan en person manuelt træffe hver beslutning. Når der er en kunstig intelligensagent, der afgiver tusindvis af anmodninger per sekund, bliver det menneskeligt umuligt. Det er det punkt, hvor traditionel overholdelse bryder sammen.

For at de boblende vurderinger af store kunstig intelligensvirksomheder skal realiseres, skal styring flytte til realtid, i maskinehastighed, på det øjeblik, data tilgås.

Ethyca lancerer Astralis som et styringslag for virksomheds-kunstig intelligens. Hvad er de specifikke kundeudfordringer, der har ført til skabelsen af platformen, og hvorfor er det nu det rette tidspunkt at introducere den?

Arbejdet med at rense data til kunstig intelligens sker stadig på samme måde, som det gjorde for privatlivs-arbejde tilbage i 2016, med mennesker, der udfylder spørgeskemaer og kører vurderinger manuelt. Denne proces var allerede for langsom til almindelig privatlivs-arbejde, og over for volumen af kunstig intelligensanvendelser har den ingen chance. Det meste af, hvad der sælges som kunstig intelligensstyring i dag, er de samme skemaer og arbejdsgange med et ‘kunstig intelligens’-mærke på. At udfylde et skema er ikke styring. Hvad der mangler, er software, der selv udfører styringsarbejdet, i stedet for at producere en optagelse af, at en person har gjort det manuelt. Det er, hvad vi har bygget Astralis til at gøre.

Den efterspørgsel, vi responderer på, kommer fra hold, der er blevet bedt om at levere kunstig intelligens hurtigt og sikkert, og de kan i øjeblikket ikke gøre begge dele. Agenter går i produktion hurtigere, end nogen hold kan holde trit, og spørgsmålet, regulatorerne stiller, er ændret. Det var tidligere, om man havde en politik. Nu er det, om man kan demonstrere, at politikken blev fulgt på et bestemt datapunkt, til et bestemt formål. De fleste virksomheder kan svare på det første spørgsmål godt. Kun få kan svare på det andet.

Gartner forudser, at den gennemsnitlige Fortune 500-virksomhed kan være i gang med at køre 150.000 kunstig intelligensagenter i 2028, op fra kun 15 i 2025. Hvordan bør virksomhedsledere omdefinere styring i en verden, hvor autonome agenter kan overgå antallet af medarbejdere, der interagerer med data?

I 2028 vil agenterne, der berører en virksomheds data, overgå antallet af medarbejdere, der gør det. Når aktørerne, der anvender jeres data, overvejende er maskiner, hvem er ansvarlig? Den gamle model placerer ansvar i den endelige menneskelige godkendelse, men når de fleste af disse beslutninger hverken træffes eller gennemgås af et menneske, skal ansvarligheden flytte sig fra mennesker til systemer.

Bankvæsenet har gjort dette skift for længe siden. Vi stoler ikke på en bank, fordi en kasserer tæller sedlerne med hånden. Vi stoler på den, fordi kontrollerne er sunde, og fordi der er mennesker, der er ansvarlige for at holde dem sådan. Datastyring skal gøre det samme. Beviset for, at en virksomhed behandler data ansvarligt, stopper med at være, at en person gennemgik det, og bliver, at systemet gennemtvinger politikken automatisk på hver anvendelse, og kan give bevis for dette, så ansvarlighed er integreret. Det vil give virksomhedsledere mulighed for at fokusere på, hvad de er gode til: at anvende dømmekraft, fastlægge reglerne og stå bag systemet.

Astralis kombinerer et stort sprogmodel for regulering (LLRM) med formålbasreret adgangskontrol (PBAC). Kan du forklare, hvordan disse to teknologier arbejder sammen for at sikre, at kunstig intelligenssystemer forstår ikke kun, hvem der kan få adgang til data, men også hvorfor de skal have adgang?

Traditionel adgangskontrol checker, hvem du er, og om din identitet giver dig adgang til bestemte data.

Men privatliv er anderledes; det handler ikke om, hvem der får adgang. En person kan være fuldstændigt autoriseret til at få adgang til en datasaet og alligevel bruge den til noget, de aldrig havde tilladelse til at gøre. Spørgsmålet, der bliver vigtigt, er, hvad dataene bruges til, og om det formål er tilladt. Det er, hvad PBAC besvarer og gennemtvinger.

Det svære er, at formål ikke er en teknisk kendsgerning, man kan læse af en database. Det afhænger af, hvad din forretning gør, hvad du lovede kunderne, og hvad loven tillader. Det er, hvad LLRM er til. Det lærer, hvordan din specifikke forretning fungerer, og arbejder derefter igennem de regler, der gælder for den. Outputtet er en klar bestemmelse af, hvad hver type data kan og ikke kan bruges til. PBAC gennemtvinger derefter den bestemmelse på adgangspunktet. LLRM begrunder, PBAC handler.

Jeres lanceringserklæring angiver, at kunstig intelligensvurderinger kan reduceres fra 40 til 60 timers manuelt arbejde til kun 20 til 40 minutter. Hvordan ser de mindst effektive dele af dagens styringsprocesser ud, og hvor skaber automation de største gevinster?

De fleste af disse 40 til 60 timer bruges ikke på noget, der kræver menneskelig dømmekraft. De bruges på samling. Nogen kartlägger dataene manuelt, holder dem i en spreadsheet og jagter derefter kontekst på tværs af hold. Inden alt dette er samlet, er den virkelige vurdering, den del, der kræver, at en person tænker, en lille del af arbejdet. Resten er en professionel, der fungerer som en indsamler af oplysninger, som forretningen allerede har, blot er det spredt ud over holdene.

Frustrerende nok er det arbejde, der aldrig bliver færdigt. En vurdering er et engangsbillede, men kunstig intelligensanvendelser stopper ikke med at komme. Nye dukker op konstant, og hver af dem kræver sin egen gennemgang. Så den manuelle proces er ikke kun langsom én gang, men den er permanent bagud for det tempo, forretningen ønsker at bevæge sig i, og vil blive ustyrlig, når virksomheder

Effektivitetsgevinsterne kommer fra at ændre, hvem der gør hvad. Systemet henter metadata selv, så ingen jagter kontekst manuelt. Det viser kun spørgsmål, som en menneske kan svare på – de ægte dømmekraftskald – i stedet for at lade en person slidte igennem felter, som en maskine kan udfylde. Og revisionsstien bygges selv, mens vurderingen finder sted, i stedet for at nogen skriver den op bagefter fra hukommelsen. Det er, hvor 40 timer bliver 40 minutter.

En af de mere slående påstande er, at en stor amerikansk finansinstitution behandler cirka 6.000 styringsanmodninger per sekund gennem Astralis. Hvad lærer drift på den skala os om fremtidens infrastrukturkrav til virksomheds-kunstig intelligens?

Lektionen er, at styring ikke kan være et separat trin længere. Ved 6.000 beslutninger per sekund skal det ske inden for datapathen selv, på samme hastighed som forespørgslerne og modellerne, det styrer. For kunstig intelligens skal styring være infrastruktur: altid på og altid på linje, ikke en rapport produceret på siden. Det skal være hurtigt, for hvis styring er langsom, bliver det det, folk springer over for at nå deres deadline.

Kunstig intelligensregulering udvikler sig hurtigt på tværs af både USA og Europa. Hvordan bygger I en styringsplatform, der kan tilpasse sig ændringer i lovgivningen uden at tvinge virksomheder til konstante manuelle politikopdateringer?

Fejlen, de fleste overholdelsesværktøjer begår, er at bage reglerne ind i produktet, så når loven ændrer sig, er I nødt til at vente på, at leverandøren genopbygger værktøjet. Astralis er bygget til at fungere på den modsatte måde. Til grund ligger et fælles sprog for at beskrive data og deres anvendelser, og det indeholder ingen regler overhovedet. Reglerne sidder separat i et politiklag ovenover. LLRM læser regulationen, arbejder ud af, hvad det betyder for jeres specifikke forretning, og skriver politikken derefter. PBAC gennemtvinger derefter, hvad denne politik siger på det pågældende tidspunkt – så en ændring af reglerne efterlader gennemtvingelsesmekanismen helt uberørt.

Når en ny regulation lander, kan alle en virksomheds anstrengelser gå til at arbejde ud af, hvad det betyder for deres forretning; ingen af dem går til at genopbygge deres privatlivssystemer.

Mange direktører bekymrer sig om, at rogue-kunstig intelligensagenter kan træffe uautoriserede beslutninger eller få adgang til følsomme oplysninger. Hvor realistisk er den bekymring i dag, og hvad praktiske sikkerhedsforanstaltninger bør organisationer implementere, før de udruller kunstig intelligensagenter i stor målestok?

Det er helt realistisk, og det sker allerede. Californien idømte Disney 2,75 millioner dollars, fordi deres systemer ikke kunne pålideligt gennemtvinge noget så grundlæggende som en kundes afmelding. I deres systemer forblev en forbruger, der havde afmeldt sig på en enhed, optaget på andre enheder, og browserniveauafmeldingsinstruktioner blev ikke behandlet som gyldige anmodninger overhovedet. Den episode var ikke forårsaget af en agent, der opførte sig upredicabelt, men var i stedet et ret almindeligt hul mellem, hvad Disney fortalte kunderne, og hvad deres systemer var i stand til at gennemtvinge.

De sikkerhedsforanstaltninger, der faktisk forhindrer dette, er ikke så glamorøse: vid, hvad data I har, og hvad I har lovet omkring det, og hold det hele på et sted, fordi de fleste af disse fejl kommer fra, at et holds løfte aldrig når et andet holds database.

Set frem til de næste tre til fem år, hvad tror du vil skille virksomheder, der med held operationaliserer kunstig intelligens, fra dem, hvis kunstig intelligensinitiativer forbliver fastlåst i pilotprojekter, og hvad rolle vil styring spille i skabelsen af denne konkurrencefordel?

Forskellen kommer til at ligge i, om en virksomhed har et system til at styre alle deres data eller om de vælger at stifte styring til hvert enkelt database og hold separat. Virksomheder, der stadig styrer deres data afdeling for afdeling, vil fortsat støde på vægge, fordi kunstig intelligens når på tværs af afdelinger af design. Hver virksomhed bliver bedt om at levere kunstig intelligens hurtigt og ikke ender i en regulators breve, og indtil nu har disse to trukket i modsat retning. Den, der løser begge, i stedet for at nøjes med en, vil vinde årtiet.

Tak for det gode interview, læsere, der ønsker at lære mere, skal besøge Ethyca eller Astralis.