Cillian Kieran, Fundador y CEO de Ethyca – Serie de Entrevistas

Cillian Kieran, Fundador y CEO de Ethyca, es un empresario serial y ingeniero de privacidad con más de dos décadas de experiencia en la construcción de negocios de tecnología intensiva en datos. Antes de fundar Ethyca en 2019, dirigió la agencia digital CKSK durante una década y posteriormente fundó BrandCommerce, aprovechando su experiencia en ingeniería de software, experiencia del usuario y programas de datos de empresa a gran escala. En Ethyca, Kieran se ha centrado en transformar la privacidad y el gobierno de los datos de una función de cumplimiento manual en infraestructura que se puede integrar directamente en la forma en que las organizaciones construyen y operan la tecnología.

Ethyca desarrolla infraestructura de datos de confianza que ayuda a las empresas a descubrir información sensible, gestionar el consentimiento, cumplir con las solicitudes de privacidad y hacer cumplir las reglas que rigen el uso de los datos en aplicaciones convencionales y sistemas de inteligencia artificial. Su plataforma se basa en Fides, un lenguaje de gobernanza de código abierto que crea un marco de trabajo coherente para definir, auditar y hacer cumplir los usos de datos permitidos en los sistemas, las API y las canalizaciones de IA. La empresa ahora lanza Astralis, una capa de gobernanza de IA que combina evaluaciones regulatorias automatizadas con controles de acceso basados en el propósito, lo que permite a las organizaciones determinar por qué los modelos y los agentes acceden a datos específicos y hacer cumplir esas autorizaciones en tiempo real. Ethyca afirma que la plataforma puede reducir las evaluaciones que tradicionalmente requieren 40 a 60 horas de trabajo manual a aproximadamente 20 a 40 minutos, lo que ayuda a las empresas a expandir las implementaciones de IA sin permitir que los procesos de gobernanza se conviertan en un cuello de botella.

Fundaste varias empresas antes de lanzar Ethyca en 2019, incluyendo la construcción de CKSK en una consultoría digital global que atiende a organizaciones Fortune 500. ¿Qué experiencias durante ese viaje te convencieron de que el gobierno de los datos, en lugar de los modelos de IA en sí, se convertiría en el cuello de botella definitorio para la adopción de IA empresarial?

Pasé años construyendo una consultoría digital que atendía a grandes empresas como Heineken, Sony y Pepsi durante la fiebre de la publicidad digital y las redes sociales. Una y otra vez, vi el mismo patrón repetirse. Una tecnología poderosa llega, todos se apresuran a adoptarla y solo una vez que ya está integrada en el negocio, los reguladores intervienen para poner límites alrededor de ella, dejando a los equipos de cumplimiento para lidiar con las consecuencias. Tomemos el GDPR, el primer control real sobre cómo las empresas utilizan los datos personales. Los reguladores solo intervinieron después de que la publicidad y las redes sociales ya habían convertido la recopilación de datos en la columna vertebral de sus modelos de negocio. Me parecía obvio que el mismo patrón ocurriría con la IA.

Lo que solidificó la corazonada que tenía fue el trabajo de cumplimiento de privacidad que estaba haciendo en Ethyca. Al construir sistemas de cumplimiento para grandes empresas, me di cuenta de que se podía colocar una capa alrededor de los datos de una empresa que evaluara cada solicitud contra tres cosas: qué es el dato, qué se permite hacer con él y qué riesgo hay si se hace. Trabajar en eso hizo que la verdadera restricción fuera obvia. Las empresas no escasean de datos. Escasean de una capa de gobernanza que dicta qué datos están permitidos para ser utilizados. Esa fue la apuesta que hicimos en 2019 y, desde el advenimiento de la IA, solo se ha vuelto más relevante.

En el último año, la IA empresarial ha pasado de simples chatbots a agentes de IA autónomos capaces de tomar decisiones y realizar acciones. ¿Cómo ha cambiado esa evolución los desafíos de gobernanza que enfrentan las organizaciones, y por qué los enfoques de cumplimiento tradicionales ya no son escalables?

La gente habla de la IA empresarial y su ROI como si el valor proviniera simplemente de conectar un agente a los flujos de trabajo. En realidad, el valor proviene de conectar ese agente a una amplia gama de sistemas, para que pueda sintetizar datos y producir resultados que ningún ser humano podría reunir en el tiempo. El acceso a los datos es el verdadero cuello de botella.

El problema es que lo que hace que un agente sea valioso es también lo que lo hace riesgoso. Cuantos más sistemas se conectan, más datos fluyen de una parte de la organización a otra, y cada uno de esos flujos se convierte en una oportunidad para que los datos terminen en el lugar equivocado.

Cada uno de esos flujos debe ser verificado: ¿se permite utilizar estos datos de esta manera, para este propósito, bajo la ley de privacidad y nuestra propia política? Cuando hay un puñado de esas decisiones cada día, una persona puede tomar cada decisión manualmente. Cuando hay un agente de IA que dispara miles de solicitudes por segundo, se vuelve humanamente imposible. Ese es el punto en el que el cumplimiento tradicional se rompe.

Para que las valoraciones espumosas de las grandes empresas de IA se hagan realidad, la gobernanza debe moverse al tiempo real, a la velocidad de la máquina, en el momento en que se accede a los datos.

Ethyca lanza Astralis como una capa de gobernanza para la IA empresarial. ¿Qué desafíos específicos de los clientes llevaron a la creación de la plataforma, y por qué es el momento adecuado para presentarla?

El trabajo de limpieza de datos para la IA todavía se realiza de la misma manera que lo hacía para la privacidad en 2016, con personas que llenan cuestionarios y realizan evaluaciones a mano. Ese proceso ya era demasiado lento para el trabajo de privacidad ordinario, y contra el volumen de casos de uso de la IA, no tiene ninguna oportunidad. La mayoría de lo que se vende como gobernanza de IA en este momento es el mismo formulario y flujos de trabajo con una etiqueta de “IA” en él. Llenar un formulario no es gobernanza. Lo que falta es software que realice el trabajo de gobernanza en sí, en lugar de producir un registro de una persona que lo ha hecho a mano. Eso es lo que construimos Astralis para hacer.

La demanda a la que respondemos proviene de equipos que han sido instruidos para enviar la IA de manera rápida y segura, y actualmente no pueden hacer ambas cosas. Los agentes están entrando en producción más rápido de lo que cualquier equipo puede seguir, y la pregunta que hacen los reguladores ha cambiado. Solía ser si tenían una política. Ahora es si pueden demostrar que se siguió esa política en un dato específico, para un propósito específico. La mayoría de las empresas pueden responder bien a la primera pregunta. Muy pocas pueden responder a la segunda.

Gartner projeta que la empresa promedio Fortune 500 podría estar ejecutando 150,000 agentes de IA en 2028, en comparación con solo 15 en 2025. ¿Cómo deberían los líderes empresariales replantear la gobernanza en un mundo donde los agentes autónomos pueden superar en número a los empleados que interactúan con los datos?

Para 2028, los agentes que tocan los datos de una empresa superarán en número a los empleados que lo hacen. Cuando los actores que utilizan sus datos son en gran medida máquinas, ¿quién es responsable? El modelo antiguo ubica la responsabilidad en la aprobación final humana, pero cuando la mayoría de esas decisiones no son tomadas ni revisadas por un ser humano, la responsabilidad debe cambiar de las personas a los sistemas.

El sector bancario hizo este movimiento hace mucho tiempo. No confiamos en un banco porque un empleado esté contando los billetes a mano. Confiamos porque los controles son sólidos, y porque hay personas responsables de mantenerlos de esa manera. La gobernanza de los datos debe hacer lo mismo. La prueba de que una empresa maneja los datos de manera responsable deja de ser que una persona lo revisó, y se convierte en que el sistema hace cumplir la política automáticamente en cada uso, y puede proporcionar evidencia de esto, para que la responsabilidad esté integrada. Eso permitirá a los líderes empresariales centrarse en lo que son buenos: aplicar el juicio, establecer las reglas y defender el sistema.

Astralis combina un Modelo Regulatorio de Lenguaje Grande (LLRM) con un Control de Acceso Basado en el Propósito (PBAC). ¿Puede explicar cómo estas dos tecnologías trabajan juntas para garantizar que los sistemas de IA comprendan no solo quién puede acceder a los datos, sino también por qué deben poder acceder a ellos?

El control de acceso tradicional verifica quién eres, y si tu identidad te permite tocar datos específicos.

Pero la privacidad es diferente; no se trata de quién entra. Una persona puede estar perfectamente autorizada para acceder a un conjunto de datos y aún así utilizarlo para algo que nunca se le permitió hacer. La pregunta que se vuelve importante es para qué se utiliza el dato, y si ese propósito está permitido. Eso es lo que responde y hace cumplir el PBAC.

La parte difícil es que el propósito no es un hecho técnico que se pueda leer en una base de datos. Depende de lo que hace su negocio, lo que prometió a los clientes y lo que permite la ley. Eso es para lo que sirve el LLRM. Aprende cómo opera su negocio específico, luego trabaja a través de las regulaciones que se aplican a él. La salida es una determinación clara de qué cada tipo de dato puede y no puede ser utilizado para. El PBAC luego hace cumplir esa determinación en el punto de acceso. El LLRM razona, el PBAC actúa.

Su anuncio de lanzamiento establece que las evaluaciones de IA se pueden reducir de 40 a 60 horas de trabajo manual a solo 20 a 40 minutos. ¿Qué partes del proceso de gobernanza de hoy son las menos eficientes, y dónde se crean las mayores ganancias con la automatización?

La mayoría de esas 40 a 60 horas no se gastan en nada que requiera juicio humano. Se gastan en ensamblaje. Alguien mapea los datos a mano, los mantiene en una hoja de cálculo y luego persigue el contexto a través de los equipos. Para cuando todo eso se reúne, la evaluación real, la parte que necesita que una persona piense, es una pequeña porción del trabajo. El resto es un profesional que actúa como agente de recolección de información para la información que el negocio ya tiene, solo que está dispersa en los equipos.

Es frustrante que ese trabajo nunca se mantenga hecho. Una evaluación es una instantánea de un solo momento, pero los casos de uso de la IA no dejan de llegar. Nuevos casos aparecen constantemente, y cada uno necesita su propia revisión. Así que el proceso manual no es solo lento una vez, sino que siempre está detrás del ritmo al que el negocio quiere moverse, y se volverá inmanejable a medida que las empresas

Las ganancias de eficiencia provienen de cambiar quién hace qué. El sistema extrae los metadatos en sí, así que nadie tiene que perseguir el contexto a mano. Solo presenta las preguntas que un ser humano realmente puede responder, las verdaderas llamadas de juicio, en lugar de hacer que una persona triture a través de campos que una máquina puede llenar. Y el registro de auditoría se construye en sí mismo a medida que ocurre la evaluación, en lugar de que alguien lo escriba después de memoria. Eso es donde 40 horas se convierten en 40 minutos.

Una de las afirmaciones más llamativas es que una importante institución financiera de EE. UU. está procesando aproximadamente 6,000 solicitudes de gobernanza por segundo a través de Astralis. ¿Qué nos enseña operar a esa escala sobre los requisitos de infraestructura futuros para la IA empresarial?

La lección es que la gobernanza no puede ser un paso separado. A 6,000 decisiones por segundo, debe ocurrir dentro del propio camino de datos, a la misma velocidad que las consultas y los modelos que gobierna. Para la IA, la gobernanza debe ser infraestructura: siempre activa y siempre en línea, no un informe producido en el lado. Debe ser rápido, porque si la gobernanza es lenta, se convierte en la cosa que la gente salta para cumplir con su fecha límite.

La regulación de la IA sigue evolucionando rápidamente tanto en los Estados Unidos como en Europa. ¿Cómo se construye una plataforma de gobernanza que pueda adaptarse a marcos legales cambiantes sin obligar a las empresas a realizar actualizaciones de política manual constantes?

El error que cometen la mayoría de las herramientas de cumplimiento es hornear las reglas en el producto, así que cuando la ley cambia, estás atascado esperando a que el proveedor reingenieere la herramienta. Astralis está construido para funcionar de la manera opuesta. En su base hay un lenguaje común para describir los datos y sus usos, y no contiene reglas en absoluto. Las reglas se encuentran por separado, en una capa de política por encima de ella. El LLRM lee la regulación, trabaja para determinar qué significa para su negocio específico y escribe la política en consecuencia. El PBAC luego hace cumplir lo que dice esa política en ese momento, así que un cambio en las reglas deja el mecanismo de cumplimiento completamente intacto.

Cuando llega una nueva regulación, todo el esfuerzo de una empresa puede ir a trabajar para determinar qué significa para su negocio; nada de ese esfuerzo va a la reingeniería de sus sistemas de privacidad.

Muchos ejecutivos se preocupan por agentes de IA rebeldes que toman decisiones no autorizadas o acceden a información sensible. ¿Qué tan realista es esa preocupación hoy en día, y qué salvaguardias prácticas deberían implementar las organizaciones antes de implementar agentes de IA a gran escala?

Es completamente realista, y ya está sucediendo. California multó a Disney con $2.75 millones porque sus sistemas no podían hacer cumplir de manera confiable algo tan básico como la exclusión de un cliente. En sus sistemas, un consumidor que se excluyó en un dispositivo seguía incluido en los demás, y las instrucciones de exclusión a nivel de navegador no se trataban como solicitudes válidas en absoluto. Ese incidente no fue causado por un agente que actuara de manera impredecible, sino que fue una brecha bastante directa entre lo que Disney le dijo a los clientes y lo que sus sistemas eran capaces de hacer cumplir.

Las salvaguardias que realmente previenen esto son poco glamorosas: saber qué datos se tienen y a qué se han comprometido con ellos, y mantener todo en un solo lugar, porque la mayoría de estos fallos provienen de que una promesa de un equipo nunca llega a la base de datos de otro equipo.

Mirando hacia adelante tres a cinco años, ¿qué crees que distinguirá a las empresas que operacionalizan con éxito la IA de aquellas cuyas iniciativas de IA siguen atascadas en proyectos piloto, y qué papel desempeñará la gobernanza en la creación de esa ventaja competitiva?

La diferencia vendrá de si una empresa tiene un sistema para gobernar todos sus datos o si elige pegar la gobernanza en cada base de datos y equipo por separado. Las empresas que aún gobiernan sus datos departamento por departamento seguirán encontrando obstáculos, porque la IA llega a los departamentos por diseño. Cada empresa se le dice que envíe la IA de manera rápida y no termine en la carta de un regulador, y hasta ahora esas dos cosas han estado en tensión. Quien resuelva ambas, en lugar de conformarse con una, ganará la década.

Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar Ethyca o Astralis.