Andrew Johnson, CEO de Yardstik – Serie de entrevistas

Andrew Johnson, CEO de Yardstik, es un ejecutivo tecnológico con experiencia en escalar empresas de software de alto crecimiento, construir organizaciones go-to-market y generar ingresos empresariales. Se unió a Yardstik como Director de Operaciones en 2022 antes de ser ascendido a CEO en octubre de 2024. Anteriormente, Johnson se desempeñó como Director de Ingresos en Branch, donde ayudó a guiar a la empresa de pagos para la fuerza laboral durante un período de rápido crecimiento, y pasó más de cinco años en Dialpad, incluido como Jefe de Ventas Empresariales, donde contribuyó a construir sus operaciones de ventas en EE. UU. y Canadá. Al inicio de su carrera, ocupó cargos de desarrollo de negocios y socios en Compellent Technologies, que fue adquirida por Dell por aproximadamente $960 million en 2011.

Yardstik es una empresa de tecnología de confianza laboral con sede en Minneapolis, fundada en 2020, que ofrece prevención de fraude, verificación de identidad, evaluación de antecedentes, verificación de credenciales y monitoreo continuo de la fuerza laboral a través de su Human Trust Platform. La compañía está construida sobre una arquitectura API‑first que permite integrar su tecnología directamente en sistemas de seguimiento de candidatos, plataformas de gestión de capital humano, mercados de trabajo independiente y otras aplicaciones de la fuerza laboral. Yardstik también admite el Model Context Protocol (MCP), lo que permite a los agentes de IA conectarse a su infraestructura de confianza y automatizar flujos de trabajo como verificaciones de antecedentes, verificación de identidad, cribado de credenciales, re‑evaluación y adjudicación dentro de sistemas de contratación y incorporación impulsados por IA.

Antes de unirte a Yardstik, pasaste más de cinco años en Branch, donde presenciaste de primera mano una red de fraude que utilizaba números de Seguro Social robados para obtener empleos bajo la identidad de otras personas. ¿Cómo cambió esa experiencia tu forma de pensar sobre la evaluación de antecedentes, y cuándo te diste cuenta de que la verificación de identidad debía ir más allá de una comprobación única al momento de la contratación?

Cuando estaba en Branch, uno de nuestros clientes más grandes fue afectado por una red de fraude proveniente de Venezuela, algo con lo que frecuentemente se topan las plataformas de trabajo independiente. Robaban números de Seguro Social de estadounidenses y los vendían a personas que no tenían autorización para trabajar en EE. UU. Alguien solicitaba empleo con una identidad robada, comenzaba a realizar entregas y todo parecía correcto hasta la temporada de impuestos, cuando el titular real del SSN recibía una factura 1099 por trabajos que nunca realizó. Esa fue la primera vez que vi el fraude aparecer del lado opuesto de una decisión de contratación, en lugar de durante ella.

Ese fue el momento que realmente cambió mi perspectiva. Me di cuenta de cuántas veces las personas que aprueban una verificación de antecedentes no son las que se presentan al puesto. Por ejemplo, alguien con un historial limpio completa la evaluación, pero luego un familiar que no podría haberla aprobado asume el turno real. Una verificación de antecedentes no puede detectar eso, porque solo examina al solicitante en papel, una sola vez, al inicio. Cuando me incorporé a Yardstik, llevé lo que aprendí en Branch y trabajé con el equipo para desarrollar el enfoque de monitoreo continuo para nuestros clientes.

La IA generativa ha reducido drásticamente la barrera para crear identidades falsas, credenciales falsificadas, perfiles sintéticos e incluso deepfakes convincentes. ¿Qué técnicas de fraude habilitadas por IA están avanzando más rápido hoy en día, y cuáles crees que los empleadores están menos preparados para enfrentar?

El fraude que se está moviendo más rápido ahora no es el llamativo video deepfake. Es la identidad sintética: un número de Seguro Social real mezclado con un nombre falso y un historial laboral fabricado, ensamblado en algo que parece limpio la primera vez que alguien lo revisa. Añade herramientas de IA que generan un currículum pulido y un conjunto de credenciales coincidentes, y tienes un candidato.

Lo que menos preparan los empleadores es la contratación remota de personas que nunca han conocido en persona. Plataformas de trabajo independiente, roles de TI remotos, centros de llamadas virtuales. Si nadie en la empresa ve a esa persona, desaparecen todas las señales que solían detectar a un estafador (una entrevista nerviosa, una identificación que parece ligeramente incorrecta en persona). Eso es precisamente donde las redes de fraude en contrataciones remotas han estado operando y la mayoría de las empresas todavía lo consideran un problema de otros hasta que les ocurre a ellas.

Yardstik ha pasado de la evaluación tradicional de antecedentes a una plataforma más amplia que combina prevención de fraude con IA, verificación de identidad, verificación de credenciales y monitoreo continuo. ¿Qué papel juega la IA al conectar esas señales, y qué puede detectar el sistema que una verificación de antecedentes convencional no puede?

Yardstik comenzó como una empresa de evaluación de antecedentes, y para la mayoría de los clientes sigue siendo una pieza fundamental de lo que hacemos. Pero una verificación de antecedentes es una transacción única: se ejecuta, se obtiene una respuesta y se descartan los datos. Lo que conecta la prevención de fraude, la verificación de identidad, los cheques de credenciales y el monitoreo en una sola cosa es que no descartamos los datos. Mantenemos un perfil de un candidato a lo largo del tiempo, y cada nueva verificación se suma a él en lugar de comenzar desde cero.

Eso es lo que nos permite detectar cosas que una verificación única nunca detectará. Por ejemplo, uno de nuestros clientes tuvo fraudeadores que intentaban repetidamente acceder a cuentas de agentes con acceso a datos fiscales de clientes. Como pudimos ver el mismo dispositivo, o la misma identidad ligeramente modificada, aparecer en varios intentos, pudimos detenerlo antes de que se convirtiera en una decisión de evaluación. Una verificación única habría examinado cada una de esas solicitudes de forma aislada y habría aprobado a todas.

Yardstik utiliza señales como datos de identidad personal, actividad de pagos e indicadores de dispositivo o ubicación para descubrir posibles engaños de identidad. ¿Cómo separa el comportamiento realmente sospechoso del comportamiento inusual pero legítimo, particularmente a medida que los modelos de IA se vuelven responsables de evaluar patrones cada vez más complejos?

No intentamos trazar una línea rígida entre sospechoso y inusual, porque la mayoría de las veces no existe una en el momento en que lo vemos. Lo que hacemos es resaltar la diferencia. Si la solicitud de alguien indica una escuela y, un año después, una nueva solicitud bajo la misma identidad indica una escuela diferente, eso merece una segunda mirada. Si alguien siempre ha solicitado desde un iPhone y aparece en un Android con una nueva dirección IP, lo mismo. Ninguno de los dos indica fraude por sí solo, pero la combinación de múltiples señales comienza a elevar el perfil de riesgo. Somos la capa que señala lo que ha cambiado desde la última vez que vimos a alguien y proporcionamos a los empleadores más datos para ayudarles a tomar decisiones informadas.

Yardstik afirma que aproximadamente uno de cada 30 solicitantes falla la verificación de identificación gubernamental, mientras que los números de Seguro Social marcados o duplicados se bloquean a diario. ¿Qué están aprendiendo de esos datos sobre cómo está evolucionando el fraude laboral, y cuánto de lo que encuentran parece organizado en lugar de oportunista?

Esos datos nos indican que el fraude de identidad en la contratación ya no es un problema marginal. Se ha convertido en un costo básico de operar a cualquier escala real, de la misma manera que los contracargos son básicos en los pagos. Una parte significativa es organizada más que oportunista. El fraude oportunista tiende a ser aislado: alguien rellena un currículum o falsifica una fecha de graduación. El fraude organizado muestra un patrón, el mismo dispositivo o la misma identidad casi idéntica intentando el mismo tipo de trabajo en diferentes empleadores, a veces cambiando un detalle a la vez para ver qué pasa. Esa era la versión que vi hace años con números de Seguro Social robados revendidos, y es la versión que todavía veo hoy. Ahora está automatizado y funciona a un volumen mucho mayor porque las herramientas generativas hicieron que las identidades falsas fueran más baratas de producir.

La verificación de identidad incorpora cada vez más identificaciones gubernamentales, biometría, controles de vivacidad, señales de dispositivos y otros indicadores de riesgo. A medida que los modelos generativos se vuelven más capaces de producir documentos, rostros y voces realistas, ¿qué señales cree que seguirán siendo las más difíciles de falsificar para los atacantes?

Todo lo que puedes generar como un solo artefacto, una foto, un documento, incluso un video corto, sigue siendo cada vez más fácil de falsificar de manera convincente. Lo que sigue siendo difícil de falsificar es la consistencia a lo largo del tiempo, en lugares que nadie controla simultáneamente. Una identidad sintética puede pasar un control de vivacidad con un deepfake suficientemente bueno. Es mucho más difícil que esa misma identidad también tenga un historial de dispositivos coincidente, un patrón de ubicación coincidente y un historial laboral que se alinee como lo hace una persona real a través de empleadores y años. Esa es realmente la apuesta detrás del monitoreo continuo en lugar de un único momento de verificación. Un control tradicional te da una fotografía, un solo fotograma, tomado una vez. El nuestro se comporta más como una transmisión en vivo, porque está diseñado para notar cuando los fotogramas dejan de coincidir entre sí.

El monitoreo continuo representa un cambio importante de verificar a alguien una sola vez a evaluar la confianza a lo largo del ciclo de vida del trabajador. ¿Cómo diseña ese tipo de sistema sin crear una vigilancia innecesaria, falsos positivos o decisiones que los trabajadores tengan poca capacidad de entender o impugnar?

La vigilancia es observar a alguien que no sabe que está siendo observado. Así no funciona esto. Cada trabajador que monitoreamos ha dado su consentimiento por escrito, saben exactamente qué se está revisando y, por ley, debemos proporcionarles una copia de cualquier hallazgo y una forma de disputarlo si está equivocado. Nada de eso es opcional. Es la FCRA.

La otra parte es que no tomamos la decisión nosotros mismos. Si aparece un arresto sobre alguien que estamos monitoreando, eso es una señal para que el empleador lo investigue, no un veredicto. El debido proceso sigue aplicándose. Los empleadores deben notificar al candidato, darle la oportunidad de responder y luego tomar una determinación final. Nuestro trabajo se detiene en señalar que algo cambió; el empleador decide qué significa y qué hacer al respecto, de la misma forma que lo haría con una verificación al contratar. Lo construimos así a propósito.

A medida que el reclutamiento y la gestión de la fuerza laboral se vuelven cada vez más autónomos, ¿dónde debería situarse el límite entre un agente de IA que recopila y evalúa señales de confianza y la toma real de una decisión de contratación con consecuencias?

Colocaría la línea donde la ley ya la coloca para nosotros hoy. Tenemos cuidado de no llamarnos una empresa de IA porque nuestra industria tiene el requisito estricto de que un ser humano esté en el circuito en cualquier asunto que implique una disputa o una decisión adversa. Un agente puede recopilar señales, puntuarlas, señalar lo que ha cambiado. Lo que no debe hacer por sí solo es decidir si alguien no obtiene el puesto o no lo mantiene, porque esa decisión debe estar vinculada a una persona responsable que pueda explicarla si se impugna.

A medida que la contratación se automatiza de extremo a extremo, creo que ese límite se vuelve más importante, no menos. Cuanto más fácil sea permitir que un agente gestione todo el embudo, más tentador será también dejar que tome la decisión al final. Recopilar y evaluar señales de confianza es exactamente lo que el software debe hacer más rápido. Decidir el sustento de una persona no es algo que delegaría en absoluto.

Con la nueva $30 million Series B que eleva la financiación total de Yardstik a $65 million, ¿qué áreas de IA y prevención de fraude cree que ahora merecen la mayor inversión, y qué problemas técnicos aún deben resolverse para que la verificación continua de identidad funcione a una escala mucho mayor?

Estamos destinando el nuevo capital a las partes de la prevención de fraude que son menos glamorosas y más costosas de construir bien. Informes de vehículos motorizados y monitoreo de exclusiones del OIG. Alertas automáticas en el momento en que una licencia, una póliza de seguro o una certificación caduca, en lugar de esperar al próximo ciclo de renovación para notarlo.

El problema técnico que nadie en esta industria ha resuelto es el costo. Muchos países y estados cobran su propia tarifa por obtener un registro, a veces más de $100 por una sola consulta en lugares como Nueva York, y ese costo no disminuye solo porque se quiera verificar a alguien con mayor frecuencia. Hacer que la verificación continua sea lo suficientemente asequible como para que una empresa con miles de trabajadores gig pueda ejecutarla mensualmente en lugar de una vez al año es tanto un problema de obtención de datos y precios como un problema de aprendizaje automático. Es en lo que más pienso ahora mismo.

Hay una carrera armamentista interesante emergiendo: la IA está haciendo simultáneamente que el fraude de identidad sea más fácil y proporcionando a las plataformas mejores herramientas para detectarlo. A medida que ambos lados mejoran, ¿espera que demostrar que alguien es genuinamente quien dice ser se vuelva sustancialmente más difícil, o que la IA finalmente haga que la identidad digital sea más confiable que nunca?

Ambas cosas son ciertas, y no creo que una anule a la otra. Nuestros clientes a menudo nos dicen que esperan que podamos “combatir fuego con fuego”. Saben que necesitamos soluciones modernas para problemas modernos. Mi lectura honesta es que la identidad digital se vuelve más confiable para los sistemas construidos para rastrear a alguien durante años y a través de plataformas, y se vuelve menos confiable para cualquier cosa que aún dependa de una verificación puntual. Esto significa que las empresas que solo verificaron a alguien una vez serán las que queden expuestas, y las que construyeron con una visión a largo plazo parecerán mucho más inteligentes en retrospectiva de lo que probablemente sienten hoy.

Gracias por la excelente entrevista, los lectores que deseen saber más deberían visitar Yardstik.