Andrew Johnson, Yardstikin toimitusjohtaja – Haastattelusarja

Andrew Johnson, Yardstikin toimitusjohtaja, on kokenut teknologiatoimitusjohtaja, jonka taustalla on korkean kasvun ohjelmistoyritysten skaalaaminen, markkinoillemenon organisaatioiden rakentaminen ja yritystulojen kasvattaminen. Hän liittyi Yardstikiin operatiiviseksi johtajaksi vuonna 2022 ja nimitettiin toimitusjohtajaksi lokakuussa 2024. Aikaisemmin Johnson toimi Branchin tuloviraston johtajana, jossa hän auttoi työvoiman maksupalveluyritystä läpikäymään nopean kasvun vaiheen, ja vietti yli viisi vuotta Dialpadissa, mukaan lukien Head of Enterprise Sales -rooli, jossa hän auttoi rakentamaan sen Yhdysvaltain ja Kanadan myyntitoimintaa. Uransa alussa hän työskenteli liiketoiminta- ja kumppanuuskehitystehtävissä Compellent Technologiesissa, jonka Dell osti noin 960 miljoonan dollarin arvosta vuonna 2011.

Yardstik on Minneapolisissa toimiva työvoiman luottamusteknologiayritys, joka perustettiin vuonna 2020 ja tarjoaa petosten torjuntaa, henkilöllisyyden vahvistusta, taustaselvityksiä, pätevyyksien tarkistusta sekä jatkuvaa työvoiman seurantaa Human Trust -alustansa kautta. Yritys on rakennettu API‑ensimmäinen arkkitehtuuriin, jonka avulla sen teknologia voidaan integroida suoraan hakijaseurantajärjestelmiin, henkilöstöhallinnon alustoihin, keikkamarkkinoihin ja muihin työvoimasovelluksiin. Yardstik tukee myös Model Context Protocol (MCP) -protokollaa, jonka avulla AI‑agentit voivat yhdistää luottamusinfrastruktuuriin ja automatisoida työnkulkuja, kuten taustatarkastuksia, henkilöllisyyden vahvistusta, pätevyyksien tarkistusta, uudelleentarkistuksia ja päätöksentekoa AI‑ohjatuissa rekrytointi- ja perehdytysjärjestelmissä.

Ennen kuin liityit Yardstikiin, vietit yli viisi vuotta Branchissa, missä näit omakohtaisesti petosrenkaan, joka käytti varastettuja Social Security -numeroita saadakseen työpaikkoja toisten henkilöllisyyksien alla. Miten tuo kokemus muutti tapaa, jolla ajattelit taustaselvityksiä, ja milloin tajusit, että henkilöllisyyden vahvistuksen täytyy ulottua pidemmälle kuin yksi tarkistus rekrytoinnin yhteydessä?

Kun olin Branchissa, yksi suurimmista asiakkaistamme joutui Venezuelasta peräisin olevan petosrenkaan kohteeksi, mikä on yleistä keikkaplatformeilla. He varastivat amerikkalaisten Social Security -numeroita ja myivät niitä ihmisille, joilla ei ollut oikeutta työskennellä Yhdysvalloissa. Joku haki työtä varastetun henkilöllisyyden alla, aloitti toimitukset, ja kaikki näytti kunnossa verokauden saapumiseen asti, jolloin todellinen SSN‑haltija sai 1099‑laskun työstä, jota hän ei ollut tehnyt. Se oli ensimmäinen kerta, kun näin petoksen ilmestyvän rekrytointipäätöksen jälkeiselle puolelle sen sijaan, että se olisi tapahtunut päätöksen aikana.

Se hetki, joka todella muutti näkemykseni. Tajusin, kuinka usein taustatarkistuksen läpäisseet eivät ole henkilöitä, jotka lopulta ilmestyvät työhön. Esimerkiksi joku puhtaalla taustalla läpäisee tarkistuksen, mutta perheenjäsen, joka ei olisi voinut läpäistä sitä, ottaa varsinaisen vuoron. Taustatarkistus ei pysty havaitsemaan tätä, koska se tarkastelee hakijaa paperilla vain kerran, aivan alussa. Kun liityin Yardstikiin, tuotoin mukaani oppimani asiat Branchin kokemuksistani ja työskentelin tiimin kanssa rakentaaksemme jatkuvan seurantamenetelmän asiakkaillemme.

Generatiivinen tekoäly on merkittävästi madaltanut kynnystä luoda väärennettyjä henkilöllisyyksiä, väärennettyjä pätevyyksiä, synteettisiä profiileja ja jopa vakuuttavia deepfake-videoita. Mitkä AI:n mahdollistamat petostekniikat kehittyvät tänään nopeimmin, ja mitä uskot työnantajien olevan vähiten varautuneita?

Tällä hetkellä nopeimmin kehittyvä petos ei ole näyttävä deepfake‑video. Se on synteettinen henkilöllisyys: oikea Social Security -numero yhdistettynä vääriin nimeen ja keksittyyn työhistoriaan, jotka on koottu yhteen puhtaaksi vaikuttavaksi tarkistuskerralla. Kun lisäät AI‑työkalut, jotka tuottavat hiotun ansioluettelon ja siihen sopivan pätevyyspaketin, saat hakijan.

Mitä työnantajat ovat vähiten varautuneet, on etätyöntekijä, jota ei ole koskaan tavattu kasvotusten. Keikkaplatformit, etä‑IT‑tehtävät, virtuaaliset puhelinkeskukset. Jos kukaan yrityksessä ei koskaan näe tätä henkilöä, kaikki signaalit, jotka aiemmin paljastivat petoksen (hermostunut haastattelu, hieman poikkeava henkilöllisyystodistus), katoavat. Tämä on juuri se alue, jossa etärekrytointipetosrenkaat toimivat, ja useimmat yritykset pitävät sitä toisen ongelmana, kunnes se koskettaa heitä itseään.

Yardstik on siirtynyt perinteisestä taustaselvityksestä laajempaan alustaan, joka yhdistää AI‑pohjaisen petosten torjunnan, henkilöllisyyden vahvistuksen, pätevyyksien tarkistuksen ja jatkuvan seurannan. Mikä rooli AI:lla on näiden signaalien yhdistämisessä, ja mitä järjestelmä voi havaita, mitä perinteinen taustatarkastus ei pysty?

Yardstik aloitti taustaselvitykseen erikoistuneena yrityksenä, ja suurimmalle osalle asiakkaita se on yhä peruspilari toiminnassamme. Kuitenkin taustatarkastus on yksittäinen tapahtuma: suorita se, saa vastaus, heitä data pois. Se, mikä yhdistää petosten torjunnan, henkilöllisyyden vahvistuksen, pätevyyksien tarkistuksen ja seurannan yhdeksi kokonaisuudeksi, on se, että emme heitä dataa pois. Pidämme ehdokkaan profiilia ajan myötä, ja jokainen uusi tarkastus lisää siihen sen sijaan, että aloittaisimme alusta.

Juuri tämä mahdollistaa sen, että havaitsemme asioita, joita kertaluonteinen tarkastus ei koskaan pysty. Esimerkiksi eräs asiakkaamme kohtasi petosten tekijöitä, jotka yrittivät toistuvasti päästä agenttitileihin, joilla oli pääsy asiakkaiden verotietoihin. Koska näimme saman laitteen tai hieman muokattua henkilöllisyyttä useissa yrityksissä, pystyimme estämään sen ennen kuin siitä tuli tarkistuspäätös. Kertaluonteinen tarkastus olisi tarkastellut kutakin hakemusta erillisenä eikä olisi estänyt mitään niistä.

Yardstik käyttää signaaleja, kuten henkilötietoja, maksutoimintaa sekä laite- tai sijaintitietoja, paljastaakseen mahdollisen henkilöllisyyspetoksen. Kuinka erotat aidosti epäilyttävän käyttäytymisen epätavallisesta mutta laillisesta käyttäytymisestä, erityisesti kun tekoälymallit ovat vastuussa yhä monimutkaisempien mallien arvioinnista?

Emme yritä vetää terävää rajaa epäilyttävän ja epätavallisen välillä, koska useimmiten sellaista ei ole juuri sillä hetkellä, kun näemme sen. Sen sijaan tuomme esiin muutoksen. Jos jonkun hakemus ilmoittaa yhden koulun, ja vuoden jälkeen uusi hakemus samassa henkilöllisyydessä ilmoittaa toisen koulun, se ansaitsee tarkemman tarkastelun. Jos joku on aina hakenut iPhonella ja ilmestyy Androidilla uudella IP‑osoitteella, sama tilanne. Kumpikaan ei yksinään tarkoita petosta, mutta useiden signaalien yhdistelmä nostaa riskiprofiilia. Me olemme kerros, joka merkitsee, mitä on muuttunut viime kerrasta kun näimme henkilön, ja tarjoamme työnantajille lisää dataa päätöksenteon tueksi.

Yardstik kertoo, että noin yksi 30:sta hakijasta epäonnistuu hallituksen henkilötodistuksen tarkistuksessa, kun taas merkittyjä tai kaksoiskappaleita olevia sosiaaliturvatunnuksia estetään päivittäin. Mitä opitte siitä datasta siitä, miten työvoimapetos kehittyy, ja kuinka suuri osa kohtaamastanne vaikuttaa organisoidulta sen sijaan, että se olisi tilapäistä?

Tuo data kertoo meille, että henkilöllisyyspetos rekrytoinnissa ei ole enää marginaalinen ongelma. Se on tullut peruskustannukseksi liiketoiminnassa todellisessa mittakaavassa, aivan kuten peruutusvastuuvastuut ovat maksuliikenteessä perusasia. Merkittävä osa siitä näyttää organisoidulta eikä tilapäiseltä. Tilapäinen petos on yleensä kertaluonteista: joku täyttää ansioluettelon ylimääräisillä tiedoilla tai väärentää valmistumispäivän. Organisoitu petos näyttää mallin, sama laite tai lähes identtinen henkilöllisyys yrittää samaa työtehtävää eri työnantajilla, joskus muuttamalla yhden yksityiskohdan kerrallaan nähdäkseen, mikä läpäisee. Tämä on versio, jonka näin vuosia sitten varastettujen sosiaaliturvatunnusten jälleenmyynnissä, ja se on versio, jonka näen edelleen tänään. Se on nyt automatisoitua, ja tapahtuu paljon suuremmassa volyymissa, koska generatiiviset työkalut ovat tehneet väärennetyistä henkilöllisyyksistä halvempia tuottaa.

Henkilöllisyyden vahvistaminen sisältää yhä enemmän hallituksen tunnisteita, biometriaa, elävyyden tarkistuksia, laitesignaaleja ja muita riskin indikaattoreita. Kun generatiiviset mallit pystyvät tuottamaan realistisia asiakirjoja, kasvoja ja ääniä, mitkä signaalit mielestänne pysyvät vaikeimpina hyökkääjille jäljiteltävänä?

Mitä tahansa, mitä voit luoda yhtenää artefaktia, valokuvan, asiakirjan tai jopa lyhyen videon, on yhä helpompi väärennetä uskottavasti. Se, mikä pysyy vaikeana vääntää, on johdonmukaisuus ajan myötä, eri paikoissa, joita kukaan ei hallitse yhdessä. Synteettinen henkilöllisyys voi läpäistä yhden elävyyden tarkistuksen riittävän hyvän deepfaken avulla. On kuitenkin paljon vaikeampaa, että samalla henkilöllisyydellä on myös vastaava laitehistoria, vastaava sijaintimalli ja työhistoria, joka täsmää samalla tavalla kuin todellisella henkilöllä työnantajien ja vuosien aikana. Tämä on todella panostus jatkuvaan seurantaan yhden tarkistuksen sijaan. Perinteinen tarkistus antaa sinulle valokuvan, yhden kehyksen, otetun kerran. Meidän ratkaisumme käyttäytyy enemmän kuin live‑syöte, koska se on rakennettu havaitsemaan, kun kehyksien välillä ei enää ole yhteensopivuutta.

Jatkuva seuranta edustaa merkittävää siirtymää yhdestä tarkistuksesta jatkuvaan luottamuksen arviointiin työntekijän elinkaaren aikana. Kuinka suunnittelet tällaisen järjestelmän ilman, että luot tarpeetonta valvontaa, vääriä positiivisia tuloksia tai päätöksiä, joita työntekijöillä on vähän mahdollisuuksia ymmärtää tai haastaa?

Valvonta on katsomista henkilöön, joka ei tiedä tulevansa tarkkailtavaksi. Näin ei toimi. Jokainen työntekijä, jota seuraamme, on antanut kirjallisen suostumuksensa, he tietävät tarkalleen, mitä tarkistetaan, ja lain mukaan meidän on annettava heille kopio kaikesta löytämästämme sekä mahdollisuus kiistää se, jos se on väärä. Mikään tästä ei ole valinnaista. Se on FCRA.

Toinen osa on, että emme tee päätöstä itse. Jos pidätys ilmestyy seurattavan henkilön tietoihin, se on lippu työnantajalle tarkasteltavaksi, ei tuomio. Oikeusprosessia noudatetaan edelleen. Työnantajien on ilmoitettava ehdokkaalle, annettava heille mahdollisuus vastata ja sen jälkeen tehtävä lopullinen päätös. Työmme päättyy siihen, että tuomme esiin, että jokin on muuttunut; työnantaja päättää, mitä se merkitsee ja mitä siitä tehdään, aivan kuten he tekisivät tarkistuksen yhteydessä. Rakensimme sen tarkoituksella näin.

Kun rekrytointi ja työvoiman hallinta muuttuvat yhä agenttimaisemmiksi, missä tulisi olla raja tekoälyagentin keräämien ja arvioimien luottamus‑signaalien sekä varsinaisen merkittävän palkkauspäätöksen välillä?

Asettaisin rajan sinne, missä laki jo tänään asettaa sen meille. Olemme varovaisia kutsumasta itseämme tekoälyyritykseksi, koska alallamme on tiukka vaatimus, että ihminen on mukana kaikessa, mikä koskee riitaa tai epäedullista päätöstä. Agentti voi kerätä signaaleja, pisteyttää ne, merkitä, mikä on muuttunut. Sen ei kuitenkaan saisi itse päättää, saako joku työn vai ei, tai säilyttääkö hän sen, koska päätös on liitettävä vastuulliseen henkilöön, joka voi selittää sen, jos sitä haastetaan.

Kun rekrytointi automatisoituu kokonaan alusta loppuun, mielestäni tämä raja korostuu entisestään, ei vähemmän. Mitä helpompaa on antaa agentin hoitaa koko prosessi, sitä houkuttelevampaa on myös antaa sen tehdä lopullinen päätös. Luottamus‑signaalien kerääminen ja arviointi on juuri se, mitä ohjelmiston tulisi tehdä nopeammin. Henkilön elantoa koskevan päätöksen tekeminen ei ole jotain, mitä antaisin missään tapauksessa eteenpäin.

Uuden $30 million Series B myötä Yardstikin kokonaisrahoitus on noussut $65 miljoonaan, mitkä tekoälyn ja petosten torjunnan alueet mielestäsi ansaitsevat nyt suurimman investoinnin, ja mitkä tekniset ongelmat on vielä ratkaistava, jotta jatkuva henkilöllisyyden vahvistus toimisi paljon suuremmassa mittakaavassa?

Sijoitamme uutta pääomaa petosten torjunnan osiin, jotka ovat vähiten houkuttelevia ja kalleimpia tehdä kunnolla. Ajoneuvoraportit ja OIG‑poissulkemisen seuranta. Automaattiset hälytykset heti, kun ajokortti, vakuutuskäytäntö tai sertifikaatti vanhenee, sen sijaan että odotettaisiin seuraavaa uusintasykliä huomatakseen sen.

Tekninen ongelma, jota kukaan tässä alassa ei ole ratkaissut, on kustannus. Monet maat ja osavaltiot perivät oman maksunsa tietueen hakemisesta, joskus yli $100 yhdestä hausta paikassa kuten New York, eikä kustannus laske vain siksi, että haluat tarkistaa henkilön useammin. Jatkuvan vahvistuksen tekeminen riittävän edulliseksi, jotta tuhansia gig-työntekijöitä työllistävä yritys voi toteuttaa sen kuukausittain yhden vuoden sijaan, on yhtä paljon data‑hankinta‑ ja hinnoittelukysymys kuin koneoppimisongelma. Se on se asia, jonka parissa mietin eniten juuri nyt.

Ilmenee mielenkiintoinen asevarustelu: tekoäly tekee henkilöllisyyspetoksista samanaikaisesti helpompia ja tarjoaa alustoille parempia työkaluja niiden havaitsemiseen. Kun molemmat osapuolet kehittyvät, odotatko, että jonkun todistaminen aidosti olevan se, mitä hän väittää olevansa, muuttuu merkittävästi vaikeammaksi, vai tekeekö tekoäly lopulta digitaalisesta identiteetistä luotettavampaa kuin koskaan ennen?

Molemmat pitävät paikkansa, enkä usko, että toinen kumoaa toisen. Asiakkaamme kertovat usein odottavansa meidän pystyvän “taistella tulen kanssa”. He tietävät, että tarvitsemme nykyaikaisia ratkaisuja nykyaikaisiin ongelmiin. Rehellinen näkemykseni on, että digitaalinen identiteetti muuttuu luotettavammaksi järjestelmissä, jotka on rakennettu seuraamaan henkilöä vuosien ajan ja eri alustoilla, ja se muuttuu vähemmän luotettavaksi kaikessa, mikä edelleen luottaa yhteen hetkelliseen tarkistukseen. Tämä tarkoittaa, että yritykset, jotka ovat vahvistaneet henkilön vain kerran, jäävät alttiiksi, ja ne, jotka ovat suunnitelleet pitkän aikavälin, vaikuttavat jälkikäteen paljon fiksummilta kuin ne ehkä tuntevat tänään.

Kiitos erinomaisesta haastattelusta, lukijat, jotka haluavat oppia lisää, kannattaa käydä Yardstik-sivustolla.