J. Paul Haynes, administrerende direktør for Cinchy – Interviewserie

J. Paul Haynes, administrerende direktør for Cinchy, er en cybersecurity- og teknologiuddannet leder med årtiers erfaring i opbygning og skalering af virksomhedssikkerhedsfirmaer. Han er bedst kendt for sin ledelse hos eSentire, hvor han hjalp med at udvikle virksomheden til en større leverandør af Managed Detection and Response, og bringer en stærk baggrund inden for ingeniørvidenskab, cybersecurity, private equity-baseret vækst og virksomhedsrisiko til Cinchy, da virksomheden fokuserer på tillid til AI-adoption og governance.

Cinchy er en virksomhed, der fokuserer på AI-governance og data-samarbejde, og hjælper organisationer med at sikre tilslutning af AI, systemer og data. Deres PeriMind-platform fungerer som en kontrolplane for AI-handlinger, og giver virksomhederne synlighed, politik-gennemførelse, sikkerhed og revision over, hvordan AI-agenter interagerer med forretnings-systemer, mens deres Data Collaboration Platform hjælper hold med at styre og dele styret data på tværs af organisationen uden at afhænge af komplekse integrationer eller duplikerede data-siloer.

Du har brugt mere end 15 år på at hjælpe med at opbygge og skalere eSentire til en af de mest anerkendte virksomheder i cybersikkerhedsindustrien. Hvad er de vigtigste lærdomme, du har draget fra den rejse, og hvordan vil du bringe dem ind i din nye rolle som administrerende direktør for Cinchy, og hvorfor troede du, at nu var det rette tidspunkt at fokusere på AI-governance og tillid til AI-adoption?

En af de største lærdomme, jeg har draget fra eSentire, er, at organisationer ikke kæmper, fordi de mangler teknologi. De kæmper, fordi fremvoksende teknologier skaber operationel kompleksitet hurtigere, end de fleste virksomheder kan håndtere på egen hånd. Jeg ser AI følge en bemærkelsesværdigt lignende vej.

I dag er udfordringen ikke at få medarbejdere til at eksperimentere med AI. De fleste organisationer gør allerede det. Den virkelige udfordring er at flytte AI ind i produktion, hvor beslutninger påvirker kunder, finansielle resultater, lovmæssig overholdelse og forretningsdrift.

Højt regulerede brancher som finansielle services illustrerer dette perfekt. De flytter sig ikke langsomt, fordi de ikke forstår AI. De flytter sig forsigtigt, fordi de endnu ikke kan stole på AI med mission-kritiske opgaver. Før en AI-model kan træffe beslutninger, har organisationer brug for svar på grundlæggende spørgsmål: Hvem godkendte disse beslutninger? Hvordan overvåges de? Hvornår griber en menneske ind? Hvad sker der, hvis modellen glider, fejler eller bliver utilgængelig?

Disse spørgsmål minder mig om, hvor cybersikkerheden var for 15 år siden. Sikkerheden udviklede sig fra et teknologiproblem til en operationel disciplin. Jeg tror, at AI-governance er på samme vej.

Det er derfor, jeg sluttede mig til Cinchy. Vi tror, at tillid til AI-adoption (og ikke AI-eksperiment) vil definere det næste årti, og vi ser, at styret AI-governance bliver lige så vigtig som styret cybersikkerhed blev.

Mange virksomheder har eksperimenteret med generativ AI i de sidste to år, men relativt få har succesfuldt deployet AI på tværs af mission-kritiske arbejdsgange. Hvad er de største barrierer, der forhindrer organisationer i at flytte fra piloter til produktion?

Jeg tror ikke, at virksomheder kæmper, fordi teknologien ikke er god nok. Jeg tror, at de kæmper, fordi indsatsen bliver meget højere, når AI flytter sig ud over eksperiment.

En pilot er noget andet. At sætte AI i produktion er noget helt andet. Nu handler det om at få adgang til virksomhedens data, interagere med forretnings-systemer, måske endda træffe beslutninger på vegne af medarbejdere. Det er, når ledelsen retmæssigt begynder at spørge: “Hvordan kontrollerer vi dette? Hvordan overvåger vi det? Og hvordan ved vi, hvornår vi skal gribe ind?”

Disse ting er ikke grunde til at slow down AI-adoption. De er det, der gør AI-adoption mulig i første omgang. Hvis du kan besvare disse spørgsmål med tillid, flytter organisationer sig meget hurtigere.

Du har brugt en stor del af din karriere på at sikre virksomheds-miljøer mod cyber-trusler. Hvordan adskiller sig sikring af en AI-drevet organisation fra sikring af et traditionelt IT-miljø?

Traditionel cybersikkerhed fokuserer på at beskytte endpunkter, identiteter, netværk og cloud-miljøer. AI tilføjer en ny permanent virksomheds-trussel-overflade. Hver AI-model introducerer nye risici. Model-adgang, prompt-injektion, overflødige tilladelser, model-glid, autonom beslutningstagning og helt nye angrebsveje, der slet ikke eksisterede før.

Det vigtige punkt er, at AI-sikkerhed ikke er adskilt fra cybersikkerhed. Det udvider cybersikkerheden. Virksomheder har brug for alle eksisterende sikkerheds-kontroller, men nu har de også brug for sikkerhed, der er specielt designet til AI-systemer, der opererer i produktion.

Shadow IT har længe været en bekymring for sikkerheds-hold, men nu ser vi opblomstringen af shadow AI. Hvor stor er denne udfordring, og hvilke risici undervurderer organisationer?

Shadow AI bliver en af de hurtigst-voksende forretnings-risici, fordi ledelsesteam encouragerer hurtig AI-adoption uden at sætte governance på plads først. De fleste medarbejdere handler ikke ondsindet. De prøver at være mere produktive. Problemet er, at AI-systemer arver de tilladelser, brugerne allerede har.

En direktør, der eksperimenterer med en offentlig AI-model, kunne utilsigtet eksponere fortrolig finansielle data, kunde-information eller immaterielle aktiver ved blot at bede AI om at analysere det.

Det er derfor, virksomheder har brug for synlighed, politik-kontroller og governance, ikke for at slow down AI-adoption, men for at gøre den sikker nok til at skala.

AI-agenter bliver mere og mere givet adgang til virksomheds-systemer, data og beslutnings-processer. Hvordan ændrer dette nye ansvar og governance-udfordringer, når AI-systemer kan handle autonomt i stedet for blot at generere indhold?

AI-agenter ændrer fundamentalt governance-samtalen, fordi de ikke længere genererer indhold. De handler. Når en autonom system kan godkende transaktioner, få adgang til virksomheds-systemer eller træffe forretnings-beslutninger, har virksomheder brug for fuld ansvarlighed.

Hver handling skal besvare simple spørgsmål:

• Hvad skete?
• Hvorfor skete det?
• Hvilken AI-agent træfte beslutningen?
• Hvem godkendte det?
• Hvornår skal en menneske gribe ind?

Disse principper er ikke nye. Brancher har levet med ansvarligheds-krav i årtier under reguleringer som Sarbanes-Oxley. AI udvider blot disse samme forventninger til autonome digitale arbejdere.

Mange organisationer er i kapløb for at deployere AI på grund af konkurrence-pres. Hvordan kan forretnings-ledere balancere behovet for hastighed med behovet for governance, overholdelse og risiko-styring?

Governance skal ikke slow down AI-adoption. Det skal accelerere det. Virksomheder flytter sig hurtigere, når ledelsen stoler på miljøet, de bygger. Det betyder at etablere en sikker, overvåget AI-arkitektur, kontinuerligt evaluere modeller for glid og præstation, styre adgang til virksomheds-systemer og have klare operationelle kontroller, før AI når produktion.

Lige som virksomheder adopterede managed detection and response for at simplificere cybersikkerhed, tror jeg, at mange vil adoptere managed AI-governance for at opnå ekspertise uden at skulle bygge store specialiserede hold internt.

Bestyrelser er blevet mere involveret i AI-overvågning. Hvad spørgsmål skal bestyrelses-medlemmer stille ledelses-hold om AI-strategi, governance og ansvarlighed?

Bestyrelser skal stille ét grundlæggende spørgsmål: Kan ledelsen demonstrere, at AI opererer under samme niveau af governance som ethvert andet kritisk forretnings-system?

Det betyder at forstå, hvor AI bliver brugt, hvem ejer det, hvordan beslutninger overvåges, hvordan risiko styres, og hvordan organisationen ville fortsætte med at operere, hvis en AI-service blev utilgængelig. De organisationer, der lykkes, vil ikke nødvendigvis være dem, der adopterer AI hurtigst. De vil være dem, der bygger den operationelle disciplin til at stole på AI i stor skala.

Cybersikkerheds-industrien har brugt årtier på at udvikle rammer, kontroller og bedste praksis. Er der lærdomme fra cybersikkerhed, der kan anvendes direkte på AI-governance, eller kræver AI en helt ny tilgang?

Cybersikkerhed tilbyder en fremragende skitse for AI-governance. Identitets-styring, mindst-privilegie, kontinuerlig overvågning, revisions-spor, incident-svar og robusthed forbliver alle essentielle. Det nye er, at AI introducerer udfordringer, traditionelle systemer aldrig havde, herunder model-glid, hallucinationer, prompt-manipulation og afhængighed af tredjeparts-fundaments-modeller. Så AI erstatter ikke cybersikkerhed. Det bygger på den med et ekstra governance-lag.

Hvad ser “tillid til AI-adoption” ud i praksis? Er der specifikke governance-principper eller operationelle sikkerheds-foranstaltninger, som hver virksomhed skal have på plads, før de skalerer AI-initiativer?

Jeg tenderer til at tænke om det på samme måde, som vi tænkte om cybersikkerhed for årtier siden. Ingen spurgte, om sikkerhed skabte værdi. Spørgsmålet var, om du stoler på dit miljø nok til at holde forretnings-driften i gang.

AI er på vej i samme retning. Hvis du ikke kan se, hvad det gør, kontrollere, hvad det har adgang til, eller forstå, hvorfor det træffer visse beslutninger, er du sandsynligvis ikke villig til at lade det håndtere noget vigtigt.

Når du har den tillid, sker adoption naturligt. Virksomheder stopper med at behandle AI som et interessant eksperiment og begynder at behandle det som en anden del af forretnings-driften.

Set 3-5 år frem i tiden, hvordan ser du forholdet mellem AI-governance og konkurrence-fordel udvikle sig? Vil stærk governance blive en differentiator, eller blot et krav for at drive forretning?

De næste 3-5 år vil stærk AI-governance ikke være en konkurrence-differentiator. Det vil blive et forretnings-krav. Virksomheder, der etablerer governance tidligt, vil adoptere AI hurtigere, fordi de vil have tilliden til at flytte kritiske arbejdsgange ind i produktion. De, der ikke gør det, vil blive fastlåst i eksperimenter, mens konkurrenterne opnår målbare gevinster i produktivitet, innovation og kunde-oplevelse. Til sidst vil governance ikke slow down AI-adoption. Det vil være årsagen til, at virksomheder kan stole på AI nok til at fuldt ud omfavne det.

Tak for det gode interview, læsere, der ønsker at lære mere, skal besøge Cinchy.