J. Paul Haynes, CEO von Cinchy – Interview-Serie

J. Paul Haynes, CEO von Cinchy, ist ein Cybersicherheits- und Technologie-Executive mit jahrelanger Erfahrung im Aufbau und Skalieren von Unternehmenssicherheitsunternehmen. Er ist bekannt für seine Führung bei eSentire, wo er half, das Unternehmen zu einem großen Anbieter von Managed Detection und Response zu machen, und bringt eine starke Erfahrung in Ingenieurwesen, Cybersicherheit, von Private Equity unterstütztem Wachstum und Unternehmensrisiko zu Cinchy, während das Unternehmen sich auf vertrauenswürdige KI-Adoption und -Governance konzentriert.

Cinchy ist ein Unternehmen für Unternehmens-KI-Governance und Datenkollaboration, das sich darauf konzentriert, Organisationen dabei zu helfen, KI, Systeme und Daten sicher zu verbinden. Seine PeriMind-Plattform fungiert als Steuerungsebene für KI-Aktionen, indem sie Unternehmen die Sichtbarkeit, Richtlinien-Durchsetzung, Sicherheit und Prüfbarkeit bietet, wie KI-Agents mit Geschäftssystemen interagieren, während seine Datenkollaborationsplattform Teams hilft, verwaltete Daten über das gesamte Unternehmen hinweg zu verwalten und zu teilen, ohne auf komplexe Integrationen oder redundante Datensilos angewiesen zu sein.

Sie haben mehr als 15 Jahre damit verbracht, Unternehmen beim Aufbau und Skalieren von eSentire zu helfen, einem der bekanntesten Unternehmen der Cybersicherheitsbranche. Welche Lektionen aus dieser Reise bringen Sie in Ihre neue Rolle als CEO von Cinchy ein, und warum glauben Sie, dass jetzt der richtige Zeitpunkt ist, um sich auf KI-Governance und vertrauenswürdige KI-Adoption zu konzentrieren?

Eine der größten Lektionen, die ich bei eSentire gelernt habe, ist, dass Unternehmen nicht daran scheitern, weil ihnen die Technologie fehlt. Sie scheitern, weil aufkommende Technologien operationelle Komplexität schneller schaffen, als die meisten Unternehmen sie alleine bewältigen können. Ich sehe, dass KI einem ähnlichen Pfad folgt.

Heute ist die Herausforderung nicht darin, Mitarbeiter dazu zu bringen, mit KI zu experimentieren. Die meisten Unternehmen tun das bereits. Die echte Herausforderung besteht darin, KI in die Produktion zu überführen, wo Entscheidungen Kunden, finanzielle Ergebnisse, regulatorische Compliance und Geschäftsoperationen betreffen.

Hoch regulierte Branchen wie Finanzdienstleistungen veranschaulichen dies perfekt. Sie bewegen sich nicht langsam, weil sie KI nicht verstehen. Sie bewegen sich vorsichtig, weil sie KI noch nicht mit mission-kritischen Aufgaben vertrauen können. Bevor ein KI-System Entscheidungen treffen kann, benötigen Unternehmen Antworten auf grundlegende Fragen: Wer hat diese Entscheidungen genehmigt? Wie werden sie überwacht? Wann greift ein Mensch ein? Was passiert, wenn das Modell abdriftet, fehlschlägt oder nicht verfügbar ist?

Diese Fragen erinnern mich an die Situation, in der sich die Cybersicherheit vor fünfzehn Jahren befand. Die Sicherheit entwickelte sich von einem Technologieproblem zu einer operativen Disziplin. Ich glaube, dass KI-Governance auf demselben Weg ist.

Deswegen bin ich zu Cinchy gekommen. Wir glauben, dass vertrauenswürdige KI-Adoption (nicht KI-Experimentierung) das nächste Jahrzehnt definieren wird, und wir sehen, dass gemanagte KI-Governance genauso wichtig wird wie gemanagte Cybersicherheit.

Viele Unternehmen haben in den letzten zwei Jahren mit generativer KI experimentiert, doch relativ wenige haben KI erfolgreich über mission-kritische Workflows hinweg bereitgestellt. Was sind die größten Hindernisse, die Unternehmen daran hindern, von Pilotprojekten zu Produktionsbereitstellungen überzugehen?

Ich denke nicht, dass Unternehmen daran scheitern, weil die Technologie nicht gut genug ist. Ich denke, sie scheitern, weil die Einsätze viel höher werden, sobald KI über Experimente hinausgeht.

Ein Pilotprojekt ist eine Sache. KI in die Produktion zu überführen, ist etwas ganz anderes. Jetzt hat KI Zugriff auf Unternehmensdaten, interagiert mit Geschäftssystemen und trifft möglicherweise Entscheidungen im Namen von Mitarbeitern. Das ist der Moment, in dem die Führungskräfte zu Recht fragen: “Wie kontrollieren wir das? Wie überwachen wir es? Und wie wissen wir, wann ein Mensch eingreifen muss?”

Das sind keine Gründe, um die KI-Adoption zu verlangsamen. Sie sind die Dinge, die die KI-Adoption überhaupt erst ermöglichen. Wenn Sie diese Fragen mit Zuversicht beantworten können, bewegen sich Unternehmen viel schneller.

Sie haben einen großen Teil Ihrer Karriere damit verbracht, Unternehmensumgebungen gegen Cyber-Bedrohungen zu sichern. Wie unterscheidet sich die Sicherung eines KI-gesteuerten Unternehmens von der Sicherung einer traditionellen IT-Umgebung?

Traditionelle Cybersicherheit konzentriert sich auf den Schutz von Endgeräten, Identitäten, Netzwerken und Cloud-Umgebungen. KI fügt eine weitere permanente Unternehmens-Bedrohungsfläche hinzu. Jedes KI-System introduceiert neue Risiken. Modellzugriff, Prompt-Injektion, übermäßige Berechtigungen, Modell-Abdrift, autonome Entscheidungsfindung und völlig neue Angriffspfade, die bisher nicht existierten.

Der wichtige Punkt ist, dass KI-Sicherheit nicht getrennt von Cybersicherheit ist. Sie erweitert die Cybersicherheit. Unternehmen benötigen immer noch alle bestehenden Sicherheitskontrollen, aber jetzt benötigen sie auch Sicherheit, die speziell für KI-Systeme in der Produktion konzipiert ist.

Schatten-IT war lange ein Anliegen für Sicherheitsteams, doch nun sehen wir den Aufstieg von Schatten-KI. Wie groß ist diese Herausforderung, und welche Risiken unterschätzen Unternehmen?

Schatten-KI wird zu einem der am schnellsten wachsenden Geschäftsrisiken, da Führungsteams eine schnelle KI-Adoption fördern, ohne immer zuerst eine Governance zu etablieren. Die meisten Mitarbeiter handeln nicht böswillig. Sie versuchen, produktiver zu sein. Das Problem ist, dass KI-Systeme die Berechtigungen erben, die Benutzer bereits haben.

Ein Führungskraft, der mit einem öffentlichen KI-Modell experimentiert, könnte unbeabsichtigt vertrauliche Finanzdaten, Kundendaten oder geistiges Eigentum preisgeben, indem er KI auffordert, es zu analysieren.

Deswegen benötigen Unternehmen Sichtbarkeit, Richtlinienkontrollen und Governance, nicht um die KI-Adoption zu verlangsamen, sondern um sie sicher genug zu machen, um sie zu skalieren.

KI-Agents werden zunehmend Zugriff auf Unternehmenssysteme, Daten und Entscheidungsprozesse gewährt. Welche neuen Herausforderungen in Bezug auf Rechenschaftspflicht und Governance entstehen, wenn KI-Systeme autonom handeln können und nicht nur Inhalte generieren?

KI-Agents verändern grundlegend die Governance-Diskussion, da sie nicht mehr nur Inhalte generieren. Sie treffen Entscheidungen. Wenn ein autonomes System Transaktionen genehmigen, Unternehmenssysteme zugreifen oder Geschäftsentscheidungen treffen kann, benötigen Unternehmen eine vollständige Rechenschaftspflicht.

Jede Aktion sollte einfache Fragen beantworten:

• Was ist passiert?
• Warum ist es passiert?
• Welcher KI-Agent hat die Entscheidung getroffen?
• Wer hat sie genehmigt?
• Wann sollte ein Mensch eingreifen?

Diese Grundsätze sind nicht neu. Branchen haben seit Jahrzehnten unter Regulierungen wie Sarbanes-Oxley mit Rechenschaftspflicht-Anforderungen gelebt. KI erweitert diese Erwartungen einfach auf autonome digitale Arbeitskräfte.

Viele Organisationen sind bestrebt, KI einzusetzen, weil sie unter dem Druck der Konkurrenz stehen. Wie können Führungskräfte das Bedürfnis nach Geschwindigkeit mit dem Bedürfnis nach Governance, Compliance und Risikomanagement in Einklang bringen?

Governance sollte die KI-Adoption nicht verlangsamen. Sie sollte sie beschleunigen. Unternehmen bewegen sich schneller, wenn die Führungskräfte der Umgebung, die sie aufbauen, vertrauen. Das bedeutet, eine sichere, überwachbare KI-Architektur zu etablieren, Modelle kontinuierlich auf Abdrift und Leistung zu überprüfen, den Zugriff auf Unternehmenssysteme zu verwalten und klare operative Kontrollen zu haben, bevor KI in die Produktion gelangt.

Genau wie Unternehmen Managed Detection und Response zur Vereinfachung der Cybersicherheit eingeführt haben, glaube ich, dass viele Unternehmen Managed KI-Governance einführen werden, um Expertenwissen zu erlangen, ohne große Spezialistenteams intern aufbauen zu müssen.

Aufsichtsräte werden immer mehr in die KI-Überwachung involviert. Welche Fragen sollten Aufsichtsratsmitglieder der Geschäftsleitung über die KI-Strategie, -Governance und -Rechenschaftspflicht stellen?

Aufsichtsräte sollten eine grundlegende Frage stellen: Kann die Geschäftsleitung nachweisen, dass KI unter demselben Maß an Governance wie jedes andere kritische Geschäftssystem operiert?

Das bedeutet, zu verstehen, wo KI eingesetzt wird, wer sie besitzt, wie Entscheidungen überwacht werden, wie Risiken gemanagt werden und wie die Organisation weiterhin operieren würde, wenn ein KI-Service nicht verfügbar wäre. Die Organisationen, die erfolgreich sind, werden nicht unbedingt diejenigen sein, die KI am schnellsten einsetzen. Sie werden diejenigen sein, die die operative Disziplin aufbauen, um KI im großen Maßstab zu vertrauen.

Die Cybersicherheitsbranche hat Jahrzehnte damit verbracht, Frameworks, Kontrollen und Best Practices zu entwickeln. Gibt es Lektionen aus der Cybersicherheit, die direkt auf die KI-Governance angewendet werden können, oder benötigt KI einen völlig neuen Ansatz?

Die Cybersicherheit bietet einen hervorragenden Plan für die KI-Governance. Identitätsmanagement, Least-Privilege, kontinuierliche Überwachung, Audit- Trails, Incident-Response und Widerstandsfähigkeit bleiben alle wesentlich. Was neu ist, ist, dass KI Herausforderungen einführt, die traditionelle Systeme nie hatten, einschließlich Modell-Abdrift, Halluzinationen, Prompt-Manipulation und Abhängigkeit von Drittanbieter-Grundmodellen. KI ersetzt also nicht die Cybersicherheit, sondern baut auf ihr mit einer zusätzlichen Governance-Ebene auf.

Was bedeutet “vertrauenswürdige KI-Adoption” eigentlich in der Praxis? Gibt es spezifische Governance-Grundsätze oder operative Sicherheitsvorkehrungen, die jedes Unternehmen haben sollte, bevor es KI-Initiativen skaliert?

Ich denke darüber genauso nach wie wir vor Jahren über die Cybersicherheit nachgedacht haben. Niemand hat gefragt, ob Sicherheit Wert schafft. Die Frage war, ob man der Umgebung vertraut, um das Geschäft am Laufen zu halten.

KI geht genau in die gleiche Richtung. Wenn Sie nicht sehen können, was sie tut, kontrollieren können, was sie zugreift, oder verstehen, warum sie bestimmte Entscheidungen trifft, werden Sie sie wahrscheinlich nicht mit etwas Wichtigem betrauen.

Sobald Sie diese Zuversicht haben, geschieht die Adoption natürlich. Unternehmen hören auf, KI wie ein interessantes Experiment zu behandeln, und beginnen, sie wie einen Teil des Geschäfts zu behandeln.

Wenn man in drei bis fünf Jahren vorausblickt, wie wird sich das Verhältnis zwischen KI-Governance und Wettbewerbsvorteil entwickeln? Wird eine starke Governance zu einem Differenzierungsmerkmal oder einfach zu einer Anforderung für das Geschäft werden?

In den nächsten drei bis fünf Jahren wird eine starke KI-Governance kein Wettbewerbsvorteil sein. Sie wird eine Geschäftsanforderung. Unternehmen, die Governance frühzeitig etablieren, werden KI schneller einsetzen, weil sie die Zuversicht haben, kritische Arbeitslasten in die Produktion zu überführen. Diejenigen, die es nicht tun, werden stecken bleiben, während ihre Konkurrenten messbare Gewinne in Produktivität, Innovation und Kundenerfahrung erzielen. Letztendlich wird Governance die KI-Adoption nicht verlangsamen. Sie wird der Grund sein, warum Unternehmen KI genug vertrauen, um sie vollständig zu akzeptieren.

Vielen Dank für das großartige Interview. Leser, die mehr erfahren möchten, sollten Cinchy besuchen: Cinchy.