J. Paul Haynes, CEO Cinchy – Seri Wawancara

J. Paul Haynes, CEO Cinchy, adalah eksekutif keamanan siber dan teknologi dengan pengalaman dekade dalam membangun dan mengembangkan perusahaan keamanan perusahaan. Ia paling dikenal karena kepemimpinannya di eSentire, di mana ia membantu mengembangkan perusahaan menjadi penyedia Managed Detection and Response yang besar, dan membawa latar belakang yang kuat dalam teknik, keamanan siber, pertumbuhan yang didukung oleh ekuitas swasta, dan risiko perusahaan ke Cinchy saat perusahaan fokus pada adopsi AI yang dipercaya dan tata kelola.

Cinchy adalah perusahaan tata kelola AI dan kolaborasi data perusahaan yang fokus membantu organisasi menghubungkan AI, sistem, dan data dengan aman. Platform PeriMind-nya bertindak sebagai kontrol plane untuk tindakan AI, memberikan perusahaan visibilitas, penerapan kebijakan, keamanan, dan auditabilitas atas bagaimana agen AI berinteraksi dengan sistem bisnis, sementara Platform Kolaborasi Data-nya membantu tim mengelola dan berbagi data yang dikelola di seluruh organisasi tanpa harus mengandalkan integrasi yang kompleks atau silo data yang duplikat.

Anda menghabiskan lebih dari 15 tahun membantu membangun dan mengembangkan eSentire menjadi salah satu perusahaan yang paling dikenal di industri keamanan siber. Apa pelajaran dari perjalanan itu yang Anda bawa ke peran baru Anda sebagai CEO Cinchy, dan mengapa Anda percaya sekarang adalah waktu yang tepat untuk fokus pada tata kelola AI dan adopsi AI yang dipercaya?

Salah satu pelajaran terbesar yang saya pelajari di eSentire adalah bahwa organisasi tidak mengalami kesulitan karena mereka kekurangan teknologi. Mereka mengalami kesulitan karena teknologi yang muncul menciptakan kompleksitas operasional lebih cepat daripada kebanyakan perusahaan dapat mengelolanya sendiri. Saya melihat AI mengikuti jalur yang sangat mirip.

Tantangan saat ini bukanlah membuat karyawan bereksperimen dengan AI. Kebanyakan organisasi sudah melakukannya. Tantangan sebenarnya adalah memindahkan AI ke produksi, di mana keputusan mempengaruhi pelanggan, hasil keuangan, kepatuhan regulasi, dan operasi bisnis.

Industri yang sangat diatur seperti jasa keuangan menggambarkan hal ini dengan sempurna. Mereka tidak bergerak lambat karena mereka tidak memahami AI. Mereka bergerak hati-hati karena mereka belum dapat mempercayai AI dengan pekerjaan yang sangat penting. Sebelum sistem AI dapat membuat keputusan, organisasi perlu menjawab pertanyaan dasar: siapa yang menyetujui keputusan tersebut? Bagaimana mereka dipantau? Kapan seorang manusia harus campur tangan? Apa yang terjadi jika model mengalami gangguan, gagal, atau menjadi tidak tersedia?

Pertanyaan-pertanyaan itu mengingatkan saya tentang di mana keamanan siber berada lima belas tahun yang lalu. Keamanan berkembang dari masalah teknologi menjadi disiplin operasional. Saya percaya bahwa tata kelola AI berada pada jalur yang sama.

Itulah mengapa saya bergabung dengan Cinchy. Kami percaya bahwa adopsi AI yang dipercaya (bukan eksperimen AI) akan mendefinisikan dekade berikutnya, dan kami melihat tata kelola AI yang dikelola menjadi sama pentingnya dengan keamanan siber yang dikelola.

Banyak perusahaan telah bereksperimen dengan AI generatif selama dua tahun terakhir, namun relatif sedikit yang berhasil menggelar AI di seluruh alur kerja yang sangat penting. Apa yang menjadi penghalang terbesar yang mencegah organisasi berpindah dari pilot ke produksi?

Saya tidak berpikir bahwa perusahaan mengalami kesulitan karena teknologinya tidak cukup baik. Saya berpikir bahwa mereka mengalami kesulitan karena taruhan menjadi lebih tinggi sekali AI melampaui eksperimen.

Pilot adalah satu hal. Memasukkan AI ke produksi adalah hal lain sama sekali. Sekarang AI mengakses data perusahaan, berinteraksi dengan sistem bisnis, mungkin bahkan membuat keputusan atas nama karyawan. Itulah saat kepemimpinan dengan tepat mempertanyakan, “Bagaimana kita mengendalikan ini? Bagaimana kita memantau? Dan bagaimana kita tahu kapan kita perlu campur tangan manusia?”

Itu bukan alasan untuk memperlambat adopsi AI. Itu adalah hal-hal yang membuat adopsi AI menjadi mungkin. Jika Anda dapat menjawab pertanyaan-pertanyaan itu dengan percaya diri, organisasi bergerak jauh lebih cepat.

Anda telah menghabiskan sebagian besar karir Anda untuk mengamankan lingkungan perusahaan terhadap ancaman siber. Bagaimana mengamankan organisasi yang ditenagai AI berbeda dari mengamankan lingkungan TI tradisional?

Keamanan tradisional fokus pada melindungi endpoint, identitas, jaringan, dan lingkungan cloud. AI menambahkan permukaan ancaman perusahaan yang permanen. Setiap sistem AI memperkenalkan risiko baru. Akses model, injeksi prompt, izin berlebihan, gangguan model, pengambilan keputusan otonom, dan jalur serangan baru yang tidak pernah ada sebelumnya.

Poin pentingnya adalah bahwa keamanan AI tidak terpisah dari keamanan siber. Ini memperluas keamanan siber. Organisasi masih memerlukan setiap kontrol keamanan yang ada, tetapi sekarang mereka juga memerlukan keamanan yang dirancang khusus untuk sistem AI yang beroperasi di produksi.

Shadow IT telah lama menjadi perhatian bagi tim keamanan, tetapi sekarang kita melihat munculnya shadow AI. Seberapa signifikan tantangan ini, dan apa risiko yang kurang diperhatikan oleh organisasi?

Shadow AI menjadi salah satu risiko bisnis yang tumbuh paling cepat karena tim eksekutif mendorong adopsi AI yang cepat tanpa selalu menempatkan tata kelola terlebih dahulu. Kebanyakan karyawan tidak bertindak dengan niat jahat. Mereka mencoba menjadi lebih produktif. Masalahnya adalah bahwa sistem AI mewarisi izin yang sudah dimiliki pengguna.

Seorang eksekutif yang bereksperimen dengan model AI publik bisa tidak sengaja mengekspos data keuangan rahasia, informasi pelanggan, atau kekayaan intelektual hanya dengan meminta AI untuk menganalisisnya.

Itulah mengapa organisasi perlu visibilitas, kontrol kebijakan, dan tata kelola, bukan untuk memperlambat adopsi AI, tetapi untuk membuatnya cukup aman untuk diperluas.

Agen AI semakin diberi akses ke sistem perusahaan, data, dan proses pengambilan keputusan. Apa tantangan tata kelola dan akuntabilitas baru yang muncul ketika sistem AI dapat bertindak secara otonom daripada hanya menghasilkan konten?

Agen AI secara fundamental mengubah percakapan tata kelola karena mereka tidak lagi menghasilkan konten. Mereka mengambil tindakan. Setiap kali sistem otonom dapat menyetujui transaksi, mengakses sistem perusahaan, atau membuat keputusan bisnis, organisasi perlu memiliki akuntabilitas yang lengkap.

Setiap tindakan harus menjawab pertanyaan sederhana:

• Apa yang terjadi?
• Mengapa itu terjadi?
• Agen AI mana yang membuat keputusan?
• Siapa yang menyetujui?
• Kapan seorang manusia harus campur tangan?

Prinsip-prinsip itu tidak baru. Industri telah hidup dengan persyaratan akuntabilitas selama dekade di bawah peraturan seperti Sarbanes-Oxley. AI hanya memperluas harapan yang sama ke pekerja digital otonom.

Banyak organisasi berlomba untuk menggelar AI karena tekanan kompetitif. Bagaimana pemimpin bisnis dapat menyeimbangkan kebutuhan akan kecepatan dengan kebutuhan akan tata kelola, kepatuhan, dan manajemen risiko?

Tata kelola tidak boleh memperlambat adopsi AI. Tata kelola harus mempercepatnya. Organisasi bergerak lebih cepat ketika kepemimpinan mempercayai lingkungan yang sedang dibangun. Itu berarti membangun arsitektur AI yang aman, termonitor, dan terkontrol, mengevaluasi model secara terus-menerus untuk gangguan dan kinerja, mengelola akses ke sistem perusahaan, dan memiliki kontrol operasional yang jelas sebelum AI mencapai produksi.

Sama seperti organisasi mengadopsi deteksi dan respons yang dikelola untuk menyederhanakan keamanan siber, saya percaya bahwa banyak organisasi akan mengadopsi tata kelola AI yang dikelola untuk mendapatkan keahlian tanpa harus membangun tim spesialis yang besar di dalam.

Dewan direksi menjadi lebih terlibat dalam pengawasan AI. Apa pertanyaan yang harus diajukan anggota dewan kepada tim manajemen tentang strategi AI, tata kelola, dan akuntabilitas?

Dewan harus bertanya satu pertanyaan dasar: dapatkah manajemen menunjukkan bahwa AI beroperasi di bawah tingkat tata kelola yang sama seperti setiap sistem bisnis kritis lainnya?

Itu berarti memahami di mana AI digunakan, siapa yang memiliki AI, bagaimana keputusan dipantau, bagaimana risiko dikelola, dan bagaimana organisasi akan terus beroperasi jika layanan AI menjadi tidak tersedia. Organisasi yang sukses tidak akan selalu menjadi yang mengadopsi AI tercepat. Mereka akan menjadi yang membangun disiplin operasional untuk mempercayai AI pada skala besar.

Industri keamanan siber telah menghabiskan dekade mengembangkan kerangka kerja, kontrol, dan praktik terbaik. Apakah ada pelajaran dari keamanan siber yang dapat diterapkan langsung ke tata kelola AI, atau apakah AI memerlukan pendekatan yang sama sekali baru?

Keamanan siber menawarkan blueprint yang sangat baik untuk tata kelola AI. Manajemen identitas, izin minimal, pemantauan terus-menerus, jejak audit, respons insiden, dan ketahanan semua tetap penting. Yang baru adalah bahwa AI memperkenalkan tantangan yang tidak pernah ada sebelumnya pada sistem tradisional, termasuk gangguan model, halusinasi, manipulasi prompt, dan ketergantungan pada model dasar pihak ketiga. Jadi, AI tidak menggantikan keamanan siber. AI membangun keamanan siber dengan lapisan tata kelola tambahan.

Apa yang dimaksud dengan “adopsi AI yang dipercaya” dalam prakteknya? Apakah ada prinsip tata kelola atau pengaman operasional yang harus dimiliki setiap organisasi sebelum memperluas inisiatif AI?

Saya cenderung memikirkannya dengan cara yang sama seperti kita memikirkan keamanan siber beberapa tahun yang lalu. Tidak ada yang bertanya apakah keamanan menciptakan nilai. Pertanyaannya adalah apakah Anda mempercayai lingkungan Anda cukup untuk menjalankan bisnis.

AI menuju ke arah yang sama. Jika Anda tidak dapat melihat apa yang dilakukan AI, mengendalikan apa yang AI akses, atau memahami mengapa AI membuat keputusan tertentu, Anda mungkin tidak akan membiarkan AI menangani apa pun yang penting.

Sekali Anda memiliki kepercayaan itu, adopsi terjadi secara alami. Organisasi berhenti memperlakukan AI seperti eksperimen yang menarik dan mulai memperlakukannya seperti bagian lain dari bisnis.

Menghadap ke depan tiga hingga lima tahun, bagaimana Anda melihat hubungan antara tata kelola AI dan keunggulan kompetitif berkembang? Apakah tata kelola yang kuat akan menjadi pembeda, atau hanya menjadi persyaratan untuk melakukan bisnis?

Dalam tiga hingga lima tahun ke depan, tata kelola AI yang kuat tidak akan menjadi pembeda kompetitif. Tata kelola AI akan menjadi persyaratan bisnis. Organisasi yang membangun tata kelola lebih awal akan mengadopsi AI lebih cepat karena mereka akan memiliki kepercayaan untuk memindahkan pekerjaan kritis ke produksi. Mereka yang tidak akan tetap terjebak dalam eksperimen sementara pesaing mereka mencapai keuntungan yang signifikan dalam produktivitas, inovasi, dan pengalaman pelanggan. Pada akhirnya, tata kelola tidak akan memperlambat adopsi AI. Tata kelola akan menjadi alasan organisasi dapat mempercayai AI cukup untuk sepenuhnya menerima AI.

Terima kasih atas wawancara yang luar biasa, pembaca yang ingin mempelajari lebih lanjut dapat mengunjungi Cinchy.