Cillian Kieran, Fondateur et PDG d’Ethyca – Série d’entretiens

Cillian Kieran, Fondateur et PDG d’Ethyca, est un entrepreneur en série et un ingénieur en confidentialité avec plus de deux décennies d’expérience dans la construction d’entreprises technologiques intensives en données. Avant de fonder Ethyca en 2019, il a dirigé l’agence numérique CKSK pendant une décennie et a ensuite fondé BrandCommerce, en tirant parti de son expérience en ingénierie logicielle, en expérience utilisateur et en programmes de données d’entreprise à grande échelle. Chez Ethyca, Kieran s’est concentré sur la transformation de la confidentialité et de la gouvernance des données d’une fonction de conformité manuelle à une infrastructure qui peut être intégrée directement dans la façon dont les organisations construisent et exploitent la technologie.

Ethyca développe une infrastructure de données de confiance qui aide les entreprises à découvrir les informations sensibles, à gérer le consentement, à remplir les demandes de confidentialité et à faire respecter les règles qui régissent l’utilisation des données dans les applications conventionnelles et les systèmes d’intelligence artificielle. Sa plate-forme est construite autour de Fides, un langage de gouvernance open source qui crée un cadre cohérent pour définir, auditer et faire respecter les utilisations de données autorisées à travers les systèmes, les API et les pipelines d’IA. L’entreprise lance maintenant Astralis, une couche de gouvernance de l’IA qui combine des évaluations réglementaires automatisées avec des contrôles d’accès basés sur l’objectif, permettant aux organisations de déterminer pourquoi les modèles et les agents accèdent à des données particulières et de faire respecter ces autorisations en temps réel. Ethyca affirme que la plate-forme peut réduire les évaluations qui nécessitent traditionnellement 40 à 60 heures de travail manuel à environ 20 à 40 minutes, aidant ainsi les entreprises à déployer l’IA sans que les processus de gouvernance ne deviennent un goulet d’étranglement.

Vous avez fondé plusieurs entreprises avant de lancer Ethyca en 2019, notamment en construisant CKSK en tant que cabinet de conseil numérique mondial au service d’entreprises du Fortune 500. Quelles expériences au cours de ce parcours vous ont convaincu que la gouvernance des données, et non les modèles d’IA eux-mêmes, deviendrait le goulet d’étranglement déterminant pour l’adoption de l’IA par les entreprises ?

J’ai passé des années à construire un cabinet de conseil numérique au service de grandes entreprises comme Heineken, Sony et Pepsi pendant la ruée vers l’or de la publicité numérique et des médias sociaux. À plusieurs reprises, j’ai vu le même schéma se reproduire. Une technologie puissante arrive, tout le monde se précipite pour l’adopter, et ce n’est qu’une fois qu’elle est intégrée dans l’entreprise que les régulateurs interviennent pour mettre des garde-fous autour d’elle, laissant les équipes de conformité gérer les conséquences. Prenez le RGPD, la première véritable répression de l’utilisation des données personnelles par les entreprises. Les régulateurs n’ont intervenu qu’après que la publicité ciblée et les médias sociaux aient déjà transformé la collecte de données en colonne vertébrale de leurs modèles économiques. Il m’était évident que le même schéma se reproduirait avec l’IA.

Ce qui a consolidé cette intuition que j’avais, c’était le travail de conformité que je faisais chez Ethyca. En construisant des systèmes de conformité pour de grandes entreprises, j’ai réalisé qu’il était possible de mettre une couche autour des données d’une entreprise qui évaluait chaque demande par rapport à trois choses : ce que sont les données, ce que l’on est autorisé à faire avec elles, et quel est le risque si l’on le fait. Ce travail m’a rendu conscient de la véritable contrainte. Les entreprises ne manquent pas de données. Elles manquent d’une couche de gouvernance qui dicte quelles données sont autorisées à être utilisées pour quoi.

Au cours de la dernière année, l’IA d’entreprise est passée de simples chatbots à des agents d’IA autonomes capables de prendre des décisions et d’agir. Comment cette évolution a-t-elle changé les défis de gouvernance auxquels les organisations sont confrontées, et pourquoi les approches de conformité traditionnelles ne sont-elles plus adaptées ?

Les gens parlent de l’IA d’entreprise et de son ROI comme si la valeur provenait simplement de brancher un agent à vos flux de travail. En réalité, la valeur vient de connecter cet agent à une large gamme de systèmes, afin qu’il puisse synthétiser des données et produire des sorties que aucun humain ne pourrait rassembler en temps voulu. L’accès aux données est le véritable goulet d’étranglement.

Le piège est que la même chose qui rend un agent précieux est également ce qui le rend risqué. Plus on connecte de systèmes, plus les données commencent à circuler d’une partie de l’organisation à une autre, et chaque flux devient une occasion pour les données d’aboutir au mauvais endroit.

Chacun de ces flux doit être vérifié : est-ce que ces données sont autorisées à être utilisées de cette façon, à cette fin, en vertu de la loi sur la confidentialité et de notre propre politique ? Lorsqu’il y a une poignée de ces décisions chaque jour, un humain peut prendre manuellement chaque décision. Lorsqu’il y a un agent d’IA qui lance des milliers de demandes par seconde, cela devient humainement impossible. C’est là que la conformité traditionnelle se brise.

Ethyca lance Astralis en tant que couche de gouvernance pour l’IA d’entreprise. Quels défis spécifiques des clients ont conduit à la création de la plate-forme, et pourquoi est-ce le bon moment pour la lancer ?

Le travail de nettoyage des données pour l’IA se fait encore de la même manière qu’il se faisait pour la confidentialité en 2016, avec des personnes qui remplissent des questionnaires et effectuent des évaluations manuelles. Ce processus était déjà trop lent pour le travail de confidentialité ordinaire, et face au volume des cas d’utilisation de l’IA, il n’a aucune chance. La plupart de ce qui est vendu comme gouvernance de l’IA aujourd’hui est les mêmes formulaires et flux de travail avec un label « IA » dessus. Remplir un formulaire n’est pas de la gouvernance. Ce qui manque, c’est un logiciel qui fait réellement le travail de gouvernance, plutôt que de produire un enregistrement d’une personne l’ayant fait manuellement. C’est ce que nous avons construit Astralis pour faire.

La demande à laquelle nous répondons vient d’équipes qui ont été chargées de livrer l’IA rapidement et en toute sécurité, et qui ne peuvent actuellement pas faire les deux. Les agents sont mis en production plus vite que n’importe quelle équipe ne peut les suivre, et la question que posent les régulateurs a changé. Il s’agissait autrefois de savoir si vous aviez une politique. Maintenant, c’est de savoir si vous pouvez démontrer que cette politique a été suivie pour un morceau de données spécifique, à une fin spécifique. La plupart des entreprises peuvent répondre à la première question. Très peu peuvent répondre à la seconde.

Le cabinet Gartner prévoit que la moyenne des entreprises du Fortune 500 pourrait exécuter 150 000 agents d’IA d’ici 2028, contre seulement 15 en 2025. Comment les dirigeants d’entreprise devraient-ils repenser la gouvernance dans un monde où les agents autonomes pourraient dépasser le nombre d’employés qui interagissent avec les données ?

D’ici 2028, les agents qui touchent les données d’une entreprise dépasseront le nombre d’employés qui le font. Lorsque les acteurs qui utilisent vos données sont majoritairement des machines, qui est responsable ? Le vieux modèle situe la responsabilité dans la validation finale humaine, mais lorsque la majorité de ces décisions ne sont ni prises ni examinées par un humain, la responsabilité doit passer des personnes aux systèmes.

La banque a fait ce changement il y a longtemps. Nous ne faisons pas confiance à une banque parce qu’un employé compte les billets à la main. Nous lui faisons confiance parce que les contrôles sont solides, et qu’il y a des personnes responsables de les maintenir. La gouvernance des données doit faire de même. La preuve qu’une entreprise gère les données de manière responsable cesse d’être le fait qu’un humain les a examinées, et devient le fait que le système fait respecter automatiquement les politiques pour chaque utilisation, et peut fournir la preuve de cela, de sorte que la responsabilité soit intégrée. Cela permettra aux dirigeants d’entreprise de se concentrer sur ce qu’ils font de mieux : appliquer leur jugement, établir les règles et se tenir derrière le système.

Astralis combine un modèle réglementaire de langage large (LLRM) avec un contrôle d’accès basé sur l’objectif (PBAC). Pouvez-vous expliquer comment ces deux technologies travaillent ensemble pour s’assurer que les systèmes d’IA comprennent non seulement qui peut accéder aux données, mais également pourquoi ils devraient être en mesure d’y accéder ?

Le contrôle d’accès traditionnel vérifie qui vous êtes, et si votre identité vous permet de toucher des données spécifiques.

Mais la confidentialité est différente ; ce n’est pas une question de qui entre. Une personne peut être parfaitement autorisée à accéder à un ensemble de données et encore l’utiliser pour quelque chose qu’elle n’a jamais été autorisée à faire. La question qui devient importante est celle de l’utilisation des données, et si cette utilisation est autorisée. C’est ce que le PBAC répond et impose.

La partie difficile est que l’objectif n’est pas un fait technique que l’on peut lire dans une base de données. Cela dépend de ce que fait votre entreprise, de ce que vous avez promis aux clients, et de ce que la loi permet. C’est à cela que sert le LLRM. Il apprend comment votre entreprise spécifique fonctionne, puis travaille à travers les réglementations qui s’appliquent à elle. Le résultat est une détermination claire de ce que chaque type de données peut ou non être utilisé pour. Le PBAC impose ensuite cette détermination au point d’accès. Le LLRM raisonne, le PBAC agit.

Votre annonce de lancement indique que les évaluations de l’IA peuvent être réduites de 40 à 60 heures de travail manuel à seulement 20 à 40 minutes. Quelles parties du processus de gouvernance actuel sont les plus inefficaces, et où l’automatisation crée-t-elle les plus grands gains ?

La plupart de ces 40 à 60 heures ne sont pas passées à quelque chose qui nécessite un jugement humain. Elles sont passées à l’assemblage. Quelqu’un cartographie les données manuellement, les garde dans une feuille de calcul, puis poursuit le contexte à travers les équipes. Une fois que tout cela est rassemblé, l’évaluation réelle, la partie qui nécessite que quelqu’un réfléchisse, est une petite partie du travail. Le reste est un professionnel agissant comme un agent de collecte d’informations que l’entreprise possède déjà, mais qui sont dispersées à travers les équipes.

Frustrant, c’est un travail qui ne reste jamais fait. Une évaluation est un instantané unique, mais les cas d’utilisation de l’IA ne cessent de surgir. De nouveaux cas apparaissent constamment, et chacun nécessite son propre examen. Le processus manuel n’est donc pas seulement lent une fois, il est constamment en retard sur le rythme auquel l’entreprise veut avancer, et deviendra ingérable à mesure que les entreprises

Les gains d’efficacité viennent du changement de qui fait quoi. Le système extrait les métadonnées lui-même, donc personne n’est obligé de poursuivre le contexte manuellement. Il ne présente que les questions auxquelles un humain peut réellement répondre – les véritables appels à jugement – au lieu de faire grinder un humain à travers des champs que une machine peut remplir. Et la traçabilité de l’audit se construit elle-même à mesure que l’évaluation se déroule, plutôt que quelqu’un écrivant cela par la suite à partir de la mémoire. C’est là que 40 heures deviennent 40 minutes.

L’une des affirmations les plus frappantes est qu’une grande institution financière américaine traite environ 6 000 demandes de gouvernance par seconde via Astralis. Qu’est-ce que cela vous enseigne sur les besoins d’infrastructure futurs pour l’IA d’entreprise ?

La leçon est que la gouvernance ne peut plus être une étape distincte. À 6 000 décisions par seconde, cela doit se produire à l’intérieur du chemin des données lui-même, à la même vitesse que les requêtes et les modèles qu’elle régit. Pour l’IA, la gouvernance doit être une infrastructure : toujours active et toujours en ligne, et non un rapport produit sur le côté. Elle doit être rapide, car si la gouvernance est lente, elle devient la chose que les gens sautent pour respecter leur délai.

La réglementation de l’IA continue d’évoluer rapidement aux États-Unis et en Europe. Comment construisez-vous une plate-forme de gouvernance qui peut s’adapter à des cadres juridiques changeants sans forcer les entreprises à effectuer des mises à jour de politique manuelles constantes ?

L’erreur que commettent la plupart des outils de conformité est d’intégrer les règles dans le produit, de sorte que lorsque la loi change, vous êtes coincé en attendant que le fournisseur réingénieure l’outil. Astralis est construit pour fonctionner de la manière opposée. À sa base se trouve un langage commun pour décrire les données et leurs utilisations, et il ne contient aucune règle. Les règles se trouvent séparément, dans une couche de politique au-dessus. Le LLRM lit la réglementation, détermine ce que cela signifie pour votre entreprise spécifique, puis rédige la politique en conséquence. Le PBAC impose ensuite cette politique au moment opportun – donc un changement de règles laisse le mécanisme d’application totalement intact.

Lorsqu’une nouvelle réglementation est adoptée, tous les efforts de l’entreprise peuvent aller dans la compréhension de ce que cela signifie pour son entreprise ; aucun effort n’est consacré à réingénierier ses systèmes de confidentialité.

De nombreux dirigeants s’inquiètent d’agents d’IA rebelles prenant des décisions non autorisées ou accédant à des informations sensibles. Quelle est la réalité de cette inquiétude aujourd’hui, et quels garde-fous pratiques les organisations devraient-elles mettre en place avant de déployer des agents d’IA à grande échelle ?

C’est complètement réaliste, et cela se produit déjà. La Californie a infligé une amende de 2,75 millions de dollars à Disney parce que ses systèmes ne pouvaient pas appliquer de manière fiable quelque chose d’aussi basique qu’un opt-out d’un client. Dans leurs systèmes, un consommateur qui s’est désinscrit sur un appareil est resté opt-in sur les autres, et les instructions d’opt-out au niveau du navigateur n’ont pas été traitées comme des demandes valides. Cet incident n’a pas été causé par un agent agissant de manière imprévisible, mais était plutôt un écart assez simple entre ce que Disney a dit aux clients et ce que ses systèmes étaient capables d’appliquer.

Les garde-fous qui empêchent réellement cela sont peu glamour : savoir quelles données vous détenez et ce que vous avez promis à leur sujet, et les conserver toutes en un seul endroit, car la plupart de ces défaillances proviennent du fait qu’une équipe a fait une promesse qui n’a jamais atteint la base de données d’une autre équipe.

En regardant trois à cinq ans dans le futur, qu’est-ce qui distinguerait les entreprises qui parviennent à exploiter l’IA de celles dont les initiatives d’IA restent bloquées dans les projets pilotes, et quel rôle la gouvernance jouera-t-elle dans la création de cet avantage concurrentiel ?

La différence viendra de savoir si une entreprise a un système pour gouverner toutes ses données ou si elle choisit de fixer la gouvernance sur chaque base de données et équipe séparément. Les entreprises qui gouvernent encore leurs données département par département continueront à heurter des murs, car l’IA s’étend sur les départements par conception. Chaque entreprise est invitée à livrer l’IA rapidement et à ne pas finir dans une lettre de régulateur, et jusqu’à présent, ces deux objectifs ont été contradictoires. Quiconque résout les deux, au lieu de se contenter d’un seul, gagnera la décennie.

Merci pour cette grande interview, les lecteurs qui souhaitent en savoir plus peuvent visiter Ethyca ou Astralis.