Cillian Kieran, Gründer und CEO von Ethyca – Interview-Serie

Cillian Kieran, Gründer und CEO von Ethyca, ist ein serieller Unternehmer und Datenschutz-Ingenieur mit mehr als zwei Jahrzehnten Erfahrung im Aufbau von datenintensiven Technologie-Unternehmen. Bevor er Ethyca 2019 gründete, leitete er die digitale Agentur CKSK für ein Jahrzehnt und gründete anschließend BrandCommerce, indem er auf seine Erfahrung in der Software-Entwicklung, Benutzererfahrung und großen Unternehmens-Daten-Programmen zurückgriff. Bei Ethyca konzentrierte sich Kieran darauf, Datenschutz und Daten-Governance von einer überwiegend manuellen Compliance-Funktion in eine Infrastruktur umzuwandeln, die direkt in die Art und Weise eingebettet werden kann, wie Organisationen Technologie aufbauen und betreiben.

Ethyca entwickelt vertrauenswürdige Daten-Infrastrukturen, die Unternehmen dabei helfen, sensible Informationen zu entdecken, Zustimmungen zu verwalten, Datenschutz-Anfragen zu erfüllen und Regeln zu durchsetzen, die bestimmen, wie Daten in herkömmlichen Anwendungen und künstlichen Intelligenz-Systemen verwendet werden. Die Plattform basiert auf Fides, einer Open-Source-Governance-Sprache, die einen konsistenten Rahmen für die Definition, Überprüfung und Durchsetzung zugelassener Daten-Verwendungen über Systeme, APIs und künstliche Intelligenz-Pipelines hinweg schafft. Das Unternehmen lanciert nun Astralis, eine künstliche Intelligenz-Governance-Ebene, die automatisierte regulatorische Bewertungen mit zweckbasierten Zugriffs-Controllen kombiniert, sodass Organisationen bestimmen können, warum Modelle und Agenten auf bestimmte Daten zugreifen, und diese Berechtigungen in Echtzeit durchsetzen können. Ethyca behauptet, dass die Plattform Bewertungen, die normalerweise 40 bis 60 Stunden manuelle Arbeit erfordern, auf etwa 20 bis 40 Minuten reduzieren kann, was Unternehmen hilft, künstliche Intelligenz-Implementierungen ohne Governance-Prozesse zu erweitern, die zu einem Engpass werden.

Sie haben vor der Gründung von Ethyca 2019 mehrere Unternehmen gegründet, darunter die digitale Agentur CKSK, die zu einer globalen digitalen Beratung für Fortune-500-Unternehmen aufgebaut wurde. Welche Erfahrungen während dieser Reise haben Sie davon überzeugt, dass Daten-Governance und nicht künstliche Intelligenz-Modelle selbst zum bestimmenden Engpass für die Unternehmens-Adoption von künstlicher Intelligenz werden würden?

Ich habe Jahre damit verbracht, eine digitale Agentur aufzubauen, die große Unternehmen wie Heineken, Sony und Pepsi während des digitalen Werbe- und sozialen Medien-Booms bediente. Immer wieder sah ich das gleiche Muster: Eine leistungsstarke Technologie erscheint, jeder rennt, um sie zu übernehmen, und erst wenn sie im Geschäft verankert ist, kommen die Regulierungsbehörden, um Sicherheitsvorkehrungen zu treffen, und Compliance-Teams müssen mit den Folgen umgehen. Nehmen Sie die DSGVO, den ersten echten Angriff auf die Art und Weise, wie Unternehmen personenbezogene Daten verwenden. Die Regulierungsbehörden griffen erst ein, nachdem Martech und soziale Medien Daten-Sammlung bereits zum Rückgrat ihrer Geschäftsmodelle gemacht hatten. Es war offensichtlich, dass das gleiche Muster bei künstlicher Intelligenz auftreten würde.

Was diesen Verdacht, den ich hatte, bestätigte, war die Datenschutz-Compliance-Arbeit, die ich bei Ethyca durchführte. Durch den Aufbau von Compliance-Systemen für große Unternehmen erkannte ich, dass man eine Schicht um die Daten eines Unternehmens legen konnte, die jeden Antrag gegen drei Dinge bewertete: was die Daten sind, was man mit ihnen tun darf und was das Risiko ist, wenn man es tut. Durch die Arbeit daran wurde die eigentliche Einschränkung offensichtlich. Unternehmen haben nicht zu wenig Daten. Ihnen fehlt es an einer Governance-Ebene, die diktiert, welche Daten für welche Zwecke verwendet werden dürfen. Das war die Wette, die wir 2019 gemacht haben, und seit dem Aufkommen von künstlicher Intelligenz ist es nur noch relevanter geworden.

Im Laufe des letzten Jahres hat sich die Unternehmens-KI von einfachen Chatbots zu autonomen KI-Agenten entwickelt, die Entscheidungen treffen und Aktionen ausführen können. Wie hat diese Entwicklung die Governance-Herausforderungen verändert, mit denen sich Organisationen konfrontiert sehen, und warum funktionieren traditionelle Compliance-Ansätze nicht mehr?

Die Leute sprechen über Unternehmens-KI und ihre ROI, als ob der Wert daraus resultiert, dass man einfach einen Agenten in die Workflows einbaut. In Wirklichkeit kommt der Wert daraus, dass man den Agenten mit einer breiten Palette von Systemen verbindet, sodass er Daten synthetisieren und Ausgaben produzieren kann, die kein Mensch in der gleichen Zeit zusammenbringen könnte. Der Zugriff auf Daten ist das eigentliche Problem.

Das Problem ist, dass das, was den Agenten wertvoll macht, auch das ist, was ihn riskant macht. Je mehr Systeme man ihm verbindet, desto mehr Daten fließen von einem Teil des Unternehmens zum anderen, und jede dieser Flüsse wird zu einer Gelegenheit, dass Daten an den falschen Ort geraten.

Jeder dieser Flüsse muss überprüft werden: Darf diese Daten auf diese Weise und für diesen Zweck unter Datenschutzgesetz und unserer eigenen Richtlinie verwendet werden? Wenn es nur einige dieser Entscheidungen pro Tag gibt, kann ein Mensch jedes Mal manuell entscheiden. Wenn jedoch ein KI-Agent Tausende von Anfragen pro Sekunde abfeuert, wird es menschlich unmöglich. Das ist der Punkt, an dem traditionelle Compliance zusammenbricht.

Damit die schäumenden Bewertungen großer KI-Unternehmen realisiert werden können, muss Governance in Echtzeit, mit Maschinengeschwindigkeit, im Moment des Daten-Zugriffs erfolgen.

Ethyca lanciert Astralis als Governance-Ebene für Unternehmens-KI. Welche spezifischen Kunden-Herausforderungen führten zur Schaffung der Plattform, und warum ist jetzt der richtige Zeitpunkt, um sie einzuführen?

Die Arbeit der Freigabe von Daten für KI erfolgt noch immer auf die gleiche Weise wie für Datenschutz im Jahr 2016, mit Menschen, die Fragebögen ausfüllen und Bewertungen von Hand durchführen. Dieser Prozess war bereits zu langsam für gewöhnliche Datenschutz-Arbeit, und gegen den Umfang von KI-Anwendungsfällen hat er keine Chance. Die meisten Dinge, die derzeit als KI-Governance verkauft werden, sind die gleichen Formulare und Workflows mit einem “KI”-Label. Das Ausfüllen eines Formulars ist keine Governance. Was fehlt, ist Software, die die Governance-Arbeit selbst durchführt, anstatt nur einen Nachweis dafür zu erzeugen, dass ein Mensch sie von Hand durchgeführt hat. Das ist, was wir mit Astralis aufgebaut haben.

Die Nachfrage, auf die wir reagieren, kommt von Teams, die angewiesen wurden, KI schnell und sicher zu liefern, und die derzeit nicht beides tun können. Agenten werden in die Produktion eingesetzt, bevor irgendein Team sie verfolgen kann, und die Frage, die Regulierungsbehörden stellen, hat sich geändert. Es ging früher darum, ob man eine Richtlinie hatte. Jetzt geht es darum, ob man demonstrieren kann, dass diese Richtlinie für ein bestimmtes Daten-Stück und für einen bestimmten Zweck befolgt wurde. Die meisten Unternehmen können die erste Frage gut beantworten. Sehr wenige können die zweite beantworten.

Gartner prognostiziert, dass das durchschnittliche Fortune-500-Unternehmen 2028 möglicherweise 150.000 KI-Agenten ausführen wird, im Vergleich zu nur 15 im Jahr 2025. Wie sollten Unternehmens-Führer Governance in einer Welt umdenken, in der autonome Agenten möglicherweise die Anzahl der Mitarbeiter, die mit Daten interagieren, übersteigen?

Bis 2028 werden die Agenten, die die Daten eines Unternehmens berühren, die Anzahl der Mitarbeiter, die dies tun, übersteigen. Wenn die Akteure, die die Daten verwenden, überwiegend Maschinen sind, wer wird zur Rechenschaft gezogen? Das alte Modell legt die Verantwortung in der endgültigen menschlichen Freigabe, aber wenn die meisten dieser Entscheidungen weder von Menschen getroffen noch überprüft werden, muss die Verantwortung von Menschen auf Systeme übergehen.

Die Bankenbranche hat diesen Schritt bereits vor langer Zeit unternommen. Wir vertrauen einer Bank nicht, weil ein Kassierer die Scheine von Hand zählt. Wir vertrauen ihr, weil die Kontrollen solide sind und weil es Menschen gibt, die für die Aufrechterhaltung dieser Kontrollen verantwortlich sind. Daten-Governance muss das gleiche tun. Der Beweis, dass ein Unternehmen Daten verantwortungsvoll handhabt, hört auf, dass ein Mensch es überprüft, und wird zu dem, dass das System die Richtlinie automatisch auf jede Verwendung durchsetzt und Beweise dafür liefern kann, sodass die Verantwortung eingebettet ist. Das ermöglicht es den Geschäftsleitern, sich auf das zu konzentrieren, was sie gut können: Urteilsvermögen anwenden, Regeln festlegen und hinter dem System stehen.

Astralis kombiniert ein großes Sprach-Regulierungs-Modell (LLRM) mit zweckbasiertem Zugriffs-Controlling (PBAC). Können Sie erklären, wie diese beiden Technologien zusammenarbeiten, um sicherzustellen, dass KI-Systeme nicht nur verstehen, wer auf Daten zugreifen kann, sondern auch, warum sie darauf zugreifen sollten?

Traditionelle Zugriffs-Controlling überprüfen, wer Sie sind, und ob Ihre Identität Ihnen den Zugriff auf bestimmte Daten erlaubt.

Aber Datenschutz ist anders; es ist keine Frage, wer hereinkommt. Eine Person kann vollkommen autorisiert sein, auf ein Datenset zuzugreifen, und es dennoch für etwas verwenden, das sie nie erlaubt war. Die Frage, die wichtig wird, ist, wofür die Daten verwendet werden, und ob dieser Zweck erlaubt ist. Das ist, was PBAC beantwortet und durchsetzt.

Der schwierige Teil ist, dass der Zweck kein technischer Fakt ist, den man aus einer Datenbank lesen kann. Er hängt von dem ab, was Ihr Unternehmen tut, was Sie den Kunden versprochen haben und was das Gesetz erlaubt. Das ist, wofür das LLRM da ist. Es lernt, wie Ihr spezifisches Unternehmen operiert, und arbeitet dann durch die Vorschriften, die für es gelten. Die Ausgabe ist eine klare Bestimmung dessen, was jede Art von Daten kann und nicht kann. PBAC setzt diese Bestimmung dann am Zugriffspunkt durch. LLRM denkt nach, PBAC handelt.

Ihre Lancierungsmeldung besagt, dass KI-Bewertungen von 40 bis 60 Stunden manuelle Arbeit auf nur 20 bis 40 Minuten reduziert werden können. Welche Teile des heutigen Governance-Prozesses sind am ineffizientesten, und wo schafft die Automatisierung die größten Gewinne?

Die meisten dieser 40 bis 60 Stunden werden nicht für etwas aufgewendet, das menschliches Urteilsvermögen erfordert. Sie werden für die Zusammenstellung aufgewendet. Jemand kartiert die Daten von Hand, hält sie in einer Tabelle und jagt dann den Kontext über Teams hinweg. Sobald all dies gesammelt ist, ist die tatsächliche Bewertung, der Teil, der menschliches Nachdenken erfordert, ein kleiner Teil der Arbeit. Der Rest ist ein professioneller Sammler von Informationen, die das Unternehmen bereits hat, nur dass es über Teams verstreut ist.

Es ist frustrierend, dass es Arbeit ist, die nie erledigt bleibt. Eine Bewertung ist ein einmaliger Schnappschuss, aber KI-Anwendungsfälle hören nicht auf, zu erscheinen. Neue tauchen ständig auf, und jeder benötigt seine eigene Überprüfung. Der manuelle Prozess ist also nicht nur langsam, sondern auch dauerhaft hinter dem Tempo zurück, das das Unternehmen vorantreiben möchte, und wird mit der Zeit unmanagebar.

Die Effizienz-Gewinne kommen aus der Änderung dessen, wer was tut. Das System zieht die Metadaten selbst, sodass niemand sie von Hand sammeln muss. Es zeigt nur die Fragen an, die ein Mensch tatsächlich beantworten kann – die echten Urteilsentscheidungen – anstatt einen Menschen durch Felder zu jagen, die eine Maschine ausfüllen kann. Und die Prüfung erstellt sich selbst, während die Bewertung stattfindet, anstatt dass jemand sie später aus dem Gedächtnis aufschreibt. Das ist, wo 40 Stunden 40 Minuten werden.

Eine der auffallendsten Behauptungen ist, dass ein großes US-amerikanisches Finanzinstitut etwa 6.000 Governance-Anfragen pro Sekunde über Astralis verarbeitet. Was lehrt uns der Betrieb auf dieser Skala über die zukünftigen Infrastruktur-Anforderungen für Unternehmens-KI?

Die Lektion ist, dass Governance nicht mehr ein separater Schritt sein kann. Bei 6.000 Entscheidungen pro Sekunde muss es innerhalb des Daten-Pfads selbst erfolgen, mit der gleichen Geschwindigkeit wie die Abfragen und Modelle, die es regelt. Für KI muss Governance Infrastruktur sein: immer eingeschaltet und immer online, nicht ein Bericht, der auf der Seite produziert wird. Es muss schnell sein, denn wenn Governance langsam ist, wird es das sein, was die Leute auslassen, um ihre Fristen einzuhalten.

Die KI-Regulierung entwickelt sich weiterhin schnell in den Vereinigten Staaten und Europa. Wie baut man eine Governance-Plattform, die sich an veränderte Rechtsrahmen anpassen kann, ohne Unternehmen zu zwingen, ständig manuelle Richtlinien-Updates durchzuführen?

Der Fehler, den die meisten Compliance-Tools machen, ist, die Regeln in das Produkt zu backen, sodass man, wenn das Gesetz ändert, auf den Anbieter warten muss, um das Tool neu zu konstruieren. Astralis ist anders aufgebaut. Zu seiner Basis gehört eine gemeinsame Sprache für die Beschreibung von Daten und ihrer Verwendungen, und es enthält keine Regeln. Die Regeln sitzen getrennt in einer Richtlinien-Ebene darüber. Das LLRM liest die Vorschrift, arbeitet heraus, was sie für das spezifische Unternehmen bedeutet, und schreibt die Richtlinie entsprechend. PBAC setzt dann die Richtlinie durch, was immer sie zum jeweiligen Zeitpunkt sagt – also ändert eine Änderung der Regeln das Durchsetzungs-Mechanismus nicht.

Wenn eine neue Vorschrift in Kraft tritt, kann all das Bemühen des Unternehmens darauf verwendet werden, herauszufinden, was sie für das Unternehmen bedeutet; keines davon geht in die Neukonstruktion der Datenschutz-Systeme.

Viele Führungskräfte befürchten, dass widerspenstige KI-Agenten unbefugte Entscheidungen treffen oder sensible Informationen zugreifen. Wie realistisch ist diese Sorge heute, und welche praktischen Sicherheitsvorkehrungen sollten Organisationen umsetzen, bevor sie KI-Agenten im großen Maßstab einsetzen?

Es ist völlig realistisch, und es passiert bereits. Kalifornien verhängte gegen Disney eine Strafe von 2,75 Millionen Dollar, weil seine Systeme nicht zuverlässig die Einhaltung von etwas so Grundlegem wie einem Opt-out eines Kunden durchsetzen konnten. In ihren Systemen blieb ein Verbraucher, der auf einem Gerät optierte, auf anderen Geräten optiert, und Browser-Ebenen-Opt-out-Anweisungen wurden nicht als gültige Anfragen behandelt. Dieser Vorfall wurde nicht durch ein unvorhersehbares Handeln eines Agenten verursacht, sondern durch eine ziemlich einfache Lücke zwischen dem, was Disney den Kunden sagte, und dem, wozu seine Systeme in der Lage waren, durchzusetzen.

Die Sicherheitsvorkehrungen, die dies tatsächlich verhindern, sind unglamorös: Wissen, welche Daten Sie haben und was Sie darüber versprochen haben, und alles an einem Ort aufbewahren, da die meisten dieser Ausfälle durch das Versäumnis verursacht werden, dass ein Team das Versprechen eines anderen Teams nie erreicht.

Blickt man drei bis fünf Jahre voraus, was wird Unternehmen unterscheiden, die KI erfolgreich operationalisieren, von denen, deren KI-Initiativen im Pilot-Status stecken bleiben, und welche Rolle wird Governance bei der Schaffung dieses Wettbewerbsvorteils spielen?

Der Unterschied wird darin bestehen, ob ein Unternehmen ein System hat, um all seine Daten zu regeln, oder ob es Governance an jeden Datenbestand und jedes Team anklebt. Unternehmen, die ihre Daten weiterhin abteilungsweise regeln, werden weiterhin an Wände stoßen, da KI über Abteilungen hinweg reicht. Jedes Unternehmen wird angewiesen, KI schnell zu liefern und nicht in einem Brief eines Regulierungs-Beamten zu landen, und bislang haben sich diese beiden Faktoren gegenseitig behindert. Wer beides löst, anstatt sich auf eines zu konzentrieren, wird das Jahrzehnt gewinnen.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Ethyca oder Astralis besuchen.