J. Paul Haynes, CEO de Cinchy – Serie de entrevistas

J. Paul Haynes, CEO de Cinchy, es un ejecutivo de ciberseguridad y tecnología con décadas de experiencia en la construcción y escalada de empresas de seguridad empresarial. Es mejor conocido por su liderazgo en eSentire, donde ayudó a hacer crecer la empresa en un proveedor importante de Detección y Respuesta Administrada, y aporta una sólida experiencia en ingeniería, ciberseguridad, crecimiento respaldado por capital privado y riesgo empresarial a Cinchy mientras la empresa se enfoca en la adopción y gobernanza de AI confiable.

Cinchy es una empresa de gobernanza de AI y colaboración de datos empresarial que se centra en ayudar a las organizaciones a conectar de manera segura AI, sistemas y datos. Su plataforma PeriMind actúa como un plano de control para acciones de AI, dando a las empresas visibilidad, aplicación de políticas, seguridad y auditoría sobre cómo los agentes de AI interactúan con los sistemas empresariales, mientras que su Plataforma de Colaboración de Datos ayuda a los equipos a administrar y compartir datos gobernados en toda la organización sin depender de integraciones complejas o silos de datos duplicados.

Pasaste más de 15 años ayudando a construir y escalar eSentire en una de las empresas más reconocidas de la industria de la ciberseguridad. ¿Qué lecciones de ese viaje estás trayendo a tu nuevo papel como CEO de Cinchy, y por qué crees que ahora es el momento adecuado para centrarte en la gobernanza de AI y la adopción de AI confiable?

Una de las lecciones más grandes que aprendí en eSentire es que las organizaciones no luchan porque les falte tecnología. Luchan porque las tecnologías emergentes crean complejidad operativa más rápido de lo que la mayoría de las empresas pueden manejar por sí solas. Veo que AI sigue un camino notablemente similar.

El desafío de hoy no es hacer que los empleados experimenten con AI. La mayoría de las organizaciones ya lo están haciendo. El verdadero desafío es mover AI a la producción, donde las decisiones afectan a los clientes, los resultados financieros, el cumplimiento normativo y las operaciones comerciales.

Las industrias altamente reguladas, como los servicios financieros, ilustran esto perfectamente. No se mueven lentamente porque no entiendan AI. Se mueven con cautela porque aún no pueden confiar en AI con trabajo crítico para la misión. Antes de que un sistema de AI pueda tomar decisiones, las organizaciones necesitan respuestas a preguntas fundamentales: ¿quién aprobó esas decisiones? ¿Cómo se monitorean? ¿Cuándo interviene un ser humano? ¿Qué sucede si el modelo se desvía, falla o se vuelve inaccesible?

Esas preguntas me recuerdan a dónde estaba la ciberseguridad hace quince años. La seguridad evolucionó de un problema de tecnología a una disciplina operativa. Creo que la gobernanza de AI está en la misma trayectoria.

Es por eso que me uní a Cinchy. Creemos que la adopción de AI confiable (no la experimentación con AI) definirá la próxima década, y vemos que la gobernanza de AI administrada se convertirá en tan importante como la ciberseguridad administrada se convirtió.

Muchas empresas han experimentado con AI generativa en los últimos dos años, sin embargo, relativamente pocas han desplegado AI con éxito en flujos de trabajo críticos para la misión. ¿Cuáles son las barreras más grandes que impiden que las organizaciones pasen de pilotos a producción?

No creo que las empresas luchen porque la tecnología no sea lo suficientemente buena. Creo que luchan porque las apuestas se vuelven mucho más altas una vez que AI va más allá de la experimentación.

Un piloto es una cosa. Poner AI en producción es algo completamente diferente. Ahora se accede a los datos empresariales, se interactúa con los sistemas comerciales, quizás incluso se toman decisiones en nombre de los empleados. Eso es cuando el liderazgo se pregunta con razón: “¿Cómo controlamos esto? ¿Cómo lo monitorean? ¿Y cómo sabemos cuándo necesitamos que un ser humano intervenga?”

Esas no son razones para frenar la adopción de AI. Son las cosas que hacen que la adopción de AI sea posible en primer lugar. Si puedes responder a esas preguntas con confianza, las organizaciones se mueven mucho más rápido.

Has pasado gran parte de tu carrera asegurando entornos empresariales contra amenazas cibernéticas. ¿Cómo difiere asegurar una organización impulsada por AI de asegurar un entorno de TI tradicional?

La ciberseguridad tradicional se centra en proteger puntos finales, identidades, redes y entornos de nube. AI agrega otra superficie de amenaza empresarial permanente. Cada sistema de AI introduce nuevos riesgos. Acceso al modelo, inyección de prompts, permisos excesivos, desviación del modelo, toma de decisiones autónoma y caminos de ataque completamente nuevos que simplemente no existían antes.

El punto importante es que la seguridad de AI no es separada de la ciberseguridad. La extiende. Las organizaciones aún necesitan todos los controles de seguridad existentes, pero ahora también necesitan seguridad diseñada específicamente para sistemas de AI que operan en producción.

La “IT en la sombra” ha sido una preocupación para los equipos de seguridad durante mucho tiempo, pero ahora estamos viendo el surgimiento de la “AI en la sombra”. ¿Cuán significativo es este desafío y qué riesgos están subestimando las organizaciones?

La AI en la sombra se está convirtiendo en uno de los riesgos comerciales de crecimiento más rápido porque los equipos ejecutivos están fomentando la adopción rápida de AI sin siempre poner la gobernanza en su lugar primero. La mayoría de los empleados no actúan con maldad. Están tratando de ser más productivos. El problema es que los sistemas de AI heredan los permisos que los usuarios ya tienen.

Un ejecutivo que experimenta con un modelo de AI público podría exponer involuntariamente datos financieros confidenciales, información del cliente o propiedad intelectual simplemente preguntando a AI que los analice.

Es por eso que las organizaciones necesitan visibilidad, controles de política y gobernanza, no para frenar la adopción de AI, sino para hacer que sea lo suficientemente segura como para escalar.

Los agentes de AI están siendo cada vez más autorizados para acceder a sistemas empresariales, datos y procesos de toma de decisiones. ¿Qué nuevos desafíos de rendición de cuentas y gobernanza surgen cuando los sistemas de AI pueden actuar de forma autónoma en lugar de simplemente generar contenido?

Los agentes de AI cambian fundamentalmente la conversación de gobernanza porque ya no generan contenido. Toman acciones. Siempre que un sistema autónomo pueda aprobar transacciones, acceder a sistemas empresariales o tomar decisiones comerciales, las organizaciones necesitan rendición de cuentas completa.

Cada acción debe responder a preguntas sencillas:

• ¿Qué sucedió?
• ¿Por qué sucedió?
• ¿Qué agente de AI tomó la decisión?
• ¿Quién lo autorizó?
• ¿Cuándo debe intervenir un ser humano?

Esos principios no son nuevos. Las industrias han vivido con requisitos de rendición de cuentas durante décadas bajo regulaciones como Sarbanes-Oxley. AI simplemente extiende esas mismas expectativas a trabajadores digitales autónomos.

Muchas organizaciones están compitiendo para desplegar AI debido a la presión competitiva. ¿Cómo pueden los líderes empresariales equilibrar la necesidad de velocidad con la necesidad de gobernanza, cumplimiento y gestión de riesgos?

La gobernanza no debe frenar la adopción de AI. Debe acelerarla. Las organizaciones se mueven más rápido cuando el liderazgo confía en el entorno que están construyendo. Eso significa establecer una arquitectura de AI segura y monitoreable, evaluar continuamente los modelos para la deriva y el rendimiento, administrar el acceso a los sistemas empresariales y tener controles operativos claros antes de que AI alcance la producción.

Al igual que las organizaciones adoptaron la detección y respuesta administrada para simplificar la ciberseguridad, creo que muchas adoptarán la gobernanza de AI administrada para obtener experiencia sin tener que construir equipos especializados grandes internamente.

Los consejos de administración están involucrados cada vez más en la supervisión de AI. ¿Qué preguntas deben hacer los miembros del consejo a los equipos de gestión sobre la estrategia de AI, la gobernanza y la rendición de cuentas?

Los consejos deben hacer una pregunta fundamental: ¿puede el equipo de gestión demostrar que AI está operando bajo el mismo nivel de gobernanza que cualquier otro sistema comercial crítico?

Eso significa entender dónde se está utilizando AI, quién lo posee, cómo se monitorean las decisiones, cómo se gestiona el riesgo y cómo la organización continuaría operando si un servicio de AI se volviera inaccesible. Las organizaciones que tienen éxito no serán necesariamente las que adopten AI más rápido. Serán las que construyan la disciplina operativa para confiar en AI a escala.

La industria de la ciberseguridad ha pasado décadas desarrollando marcos, controles y mejores prácticas. ¿Hay lecciones de la ciberseguridad que se pueden aplicar directamente a la gobernanza de AI, o AI requiere un enfoque completamente nuevo?

La ciberseguridad ofrece un excelente plan para la gobernanza de AI. La administración de identidades, el privilegio mínimo, el monitoreo continuo, los registros de auditoría, la respuesta a incidentes y la resiliencia siguen siendo esenciales. Lo nuevo es que AI introduce desafíos que los sistemas tradicionales nunca tuvieron, incluida la deriva del modelo, las alucinaciones, la manipulación de prompts y la dependencia de modelos de fundación de terceros. Así que AI no reemplaza la ciberseguridad. Se construye sobre ella con una capa de gobernanza adicional.

¿Qué significa en la práctica la “adopción de AI confiable”? ¿Hay principios de gobernanza o salvaguardias operativas específicas que todas las empresas deberían tener en su lugar antes de escalar las iniciativas de AI?

Tiendo a pensar en ello de la misma manera que pensábamos en la ciberseguridad hace años. Nadie preguntaba si la seguridad creaba valor. La pregunta era si confiabas lo suficiente en el entorno como para mantener el negocio en marcha.

AI está yendo en exactamente la misma dirección. Si no puedes ver qué está haciendo, controlar a qué tiene acceso o entender por qué está tomando ciertas decisiones, probablemente no dejarás que maneje nada importante.

Una vez que tengas esa confianza, la adopción sucede de forma natural. Las organizaciones dejan de tratar a AI como un experimento interesante y comienzan a tratarlo como otra parte del negocio.

Mirando hacia adelante tres a cinco años, ¿cómo ves la relación entre la gobernanza de AI y la ventaja competitiva evolucionando? ¿Se convertirá la gobernanza sólida en un diferenciador, o simplemente en un requisito para hacer negocios?

En los próximos tres a cinco años, la gobernanza de AI sólida no será un diferenciador competitivo. Se convertirá en un requisito empresarial. Las organizaciones que establezcan la gobernanza temprano adoptarán AI más rápido porque tendrán la confianza para mover cargas de trabajo críticas a la producción. Aquellas que no lo hagan quedarán atascadas en la experimentación mientras los competidores se dan cuenta de ganancias medibles en productividad, innovación y experiencia del cliente. En última instancia, la gobernanza no frenará la adopción de AI. Será la razón por la que las organizaciones confiarán lo suficiente en AI como para adoptarlo completamente.

Gracias por la gran entrevista, los lectores que deseen aprender más pueden visitar Cinchy.