Andrew Johnson, CEO di Yardstik – Serie di interviste

Andrew Johnson, CEO di Yardstik, è un dirigente tecnologico esperto con un background nella scalata di aziende software ad alta crescita, nella costruzione di organizzazioni go-to-market e nella generazione di ricavi aziendali. È entrato in Yardstik come Chief Operating Officer nel 2022 prima di essere promosso a CEO nell’ottobre 2024. In precedenza, Johnson ha ricoperto il ruolo di Chief Revenue Officer presso Branch, dove ha contribuito a guidare la società di pagamenti per la forza lavoro attraverso un periodo di rapida crescita, e ha trascorso più di cinque anni in Dialpad, incluso come Head of Enterprise Sales, dove ha aiutato a costruire le operazioni di vendita negli Stati Uniti e in Canada. All’inizio della sua carriera, ha ricoperto ruoli di sviluppo commerciale e di partnership presso Compellent Technologies, che è stata acquisita da Dell per circa $960 milioni nel 2011.

Yardstik è una società di tecnologia di fiducia per la forza lavoro con sede a Minneapolis, fondata nel 2020, che offre prevenzione delle frodi, verifica dell’identità, screening dei precedenti, verifica delle credenziali e monitoraggio continuo della forza lavoro attraverso la sua Human Trust Platform. L’azienda è costruita attorno a un’architettura API-first che consente alla sua tecnologia di essere integrata direttamente nei sistemi di tracciamento dei candidati, nelle piattaforme di gestione del capitale umano, nei marketplace gig e in altre applicazioni per la forza lavoro. Yardstik supporta inoltre il Model Context Protocol (MCP), permettendo agli agenti AI di connettersi alla sua infrastruttura di fiducia e di automatizzare flussi di lavoro come controlli dei precedenti, verifica dell’identità, screening delle credenziali, ri-screening e decisione all’interno di sistemi di assunzione e onboarding guidati dall’AI.

Prima di entrare in Yardstik, hai trascorso più di cinque anni in Branch, dove hai visto in prima persona una rete fraudolenta che utilizzava numeri di Social Security rubati per ottenere lavori sotto l’identità di altre persone. In che modo quell’esperienza ha cambiato il tuo modo di pensare allo screening dei precedenti, e quando ti sei reso conto che la verifica dell’identità doveva andare oltre un controllo una tantum al momento dell’assunzione?

Quando ero in Branch, uno dei nostri clienti più grandi è stato colpito da una rete fraudolenta proveniente dal Venezuela, un problema comune per le piattaforme gig. Rubravano i numeri di Social Security degli americani e li vendevano a persone che non avevano lo status per lavorare negli Stati Uniti. Qualcuno si candidava con un’identità rubata, iniziava a consegnare, e tutto sembrava a posto fino alla stagione fiscale, quando il legittimo titolare del SSN riceveva una fattura 1099 per un lavoro che non aveva mai svolto. È stata la prima volta che ho visto una frode emergere dall’altro lato di una decisione di assunzione anziché durante il processo.

È stato il momento che ha davvero cambiato la mia prospettiva. Ho capito quanto spesso le persone che superano un controllo dei precedenti non siano quelle che si presentano al lavoro. Per esempio, qualcuno con un record pulito completa lo screening, poi un familiare che non avrebbe potuto superarlo prende il turno effettivo. Un controllo dei precedenti non può rilevare ciò, perché guarda solo il candidato sulla carta, una sola volta, all’inizio. Quando sono entrato in Yardstik, ho portato ciò che avevo imparato durante la mia esperienza in Branch e ho collaborato con il team per costruire l’approccio di monitoraggio continuo per i nostri clienti.

L’IA generativa ha abbattuto drasticamente la soglia per creare identità false, credenziali falsificate, profili sintetici e persino deepfake convincenti. Quali tecniche di frode abilitate dall’IA stanno progredendo più rapidamente oggi, e quali ritieni che i datori di lavoro siano meno preparati ad affrontare?

La frode più veloce in questo momento non è il video deepfake appariscente. È l’identità sintetica: un vero numero di Social Security mescolato a un nome falso e a una storia lavorativa inventata, assemblato in qualcosa che appare pulito al primo controllo. Aggiungi strumenti di IA che generano un curriculum curato e un set corrispondente di credenziali, e ottieni un candidato.

Ciò per cui i datori di lavoro sono meno preparati è l’assunzione remota, mai incontrata di persona. Piattaforme gig, ruoli IT remoti, call center virtuali. Se nessuno in azienda vede mai questa persona, tutti i segnali che prima individuavano un truffatore (un colloquio nervoso, un documento d’identità leggermente fuori posto) scompaiono. È proprio lì che le reti di frode per assunzioni remote operano, e la maggior parte delle aziende continua a considerarlo un problema altrui finché non le colpisce.

Yardstik è passata dal tradizionale screening dei precedenti a una piattaforma più ampia che combina prevenzione delle frodi con IA, verifica dell’identità, verifica delle credenziali e monitoraggio continuo. Quale ruolo svolge l’IA nel collegare questi segnali e cosa può rilevare il sistema che un controllo dei precedenti convenzionale non può?

Yardstik è nata come società di screening dei precedenti, e per la maggior parte dei clienti questo è ancora un elemento fondamentale di ciò che facciamo. Tuttavia, un controllo dei precedenti è una singola transazione: lo esegui, ottieni una risposta, scarti i dati. Ciò che collega prevenzione delle frodi, verifica dell’identità, controlli delle credenziali e monitoraggio in un unico sistema è il fatto che non scartiamo i dati. Manteniamo un profilo del candidato nel tempo, e ogni nuovo controllo lo arricchisce invece di ricominciare da zero.

Questo è ciò che ci permette di rilevare cose che un controllo una tantum non potrà mai fare. Per esempio, un nostro cliente ha avuto truffatori che tentavano ripetutamente di accedere a account di agenti con accesso ai dati fiscali dei clienti. Poiché potevamo vedere lo stesso dispositivo, o la stessa identità leggermente modificata, comparire in più tentativi, siamo riusciti a fermarli prima che diventassero una decisione di screening. Un controllo una tantum avrebbe esaminato ciascuna di quelle domande in isolamento e le avrebbe approvate tutte.

Yardstik utilizza segnali come dati di identità personale, attività di pagamento e indicatori di dispositivo o posizione per scoprire potenziali inganni di identità. Come distinguete un comportamento realmente sospetto da uno insolito ma legittimo, soprattutto ora che i modelli di IA sono responsabili della valutazione di pattern sempre più complessi?

Non cerchiamo di tracciare una linea netta tra sospetto e insolito, perché nella maggior parte dei casi non esiste al momento in cui lo osserviamo. Quello che facciamo è evidenziare il delta. Se la domanda di qualcuno indica una scuola e, un anno dopo, una nuova domanda con la stessa identità indica una scuola diversa, vale la pena approfondire. Se qualcuno ha sempre presentato la domanda da iPhone e appare su Android con un nuovo indirizzo IP, stessa cosa. Nessuno dei due casi indica da solo una frode, ma la combinazione di più segnali inizia a elevare il profilo di rischio. Siamo lo strato che segnala ciò che è cambiato dall’ultima volta che abbiamo visto qualcuno e forniamo ai datori di lavoro più dati per aiutarli a prendere decisioni informate.

Yardstik afferma che circa uno su 30 richiedenti non supera la verifica dell’identità governativa, mentre numeri di Social Security segnalati o duplicati vengono bloccati quotidianamente. Cosa state apprendendo da questi dati su come la frode nella forza lavoro sta evolvendo, e quanto di ciò che incontrate appare organizzato piuttosto che opportunistico?

Quei dati ci dicono che la frode d’identità nelle assunzioni non è più un problema marginale. È diventata un costo di base per fare affari su qualsiasi scala reale, proprio come i chargeback lo sono nei pagamenti. Una parte significativa di essa appare organizzata piuttosto che opportunistica. La frode opportunistica tende a essere un caso isolato: qualcuno gonfia un curriculum o altera una data di laurea. La frode organizzata mostra un modello, lo stesso dispositivo o la stessa identità quasi identica che tenta lo stesso tipo di lavoro presso diversi datori di lavoro, a volte modificando un dettaglio alla volta per vedere cosa passa. È la versione che ho visto anni fa con SSN rubati rivenduti, ed è la versione che vedo ancora oggi. Ora è solo automatizzata e opera a volumi molto più alti perché gli strumenti generativi hanno reso le identità false più economiche da produrre.

La verifica dell’identità incorpora sempre più documenti governativi, biometria, controlli di vitalità, segnali di dispositivo e altri indicatori di rischio. Man mano che i modelli generativi diventano più capaci di produrre documenti, volti e voci realistici, quali segnali ritenete rimarranno i più difficili da falsificare per gli aggressori?

Qualsiasi cosa possiate generare come singolo artefatto – una foto, un documento, anche un breve video – diventa sempre più facile da falsificare in modo convincente. Ciò che rimane difficile da falsificare è la coerenza nel tempo, tra luoghi che nessuno controlla simultaneamente. Un’identità sintetica può superare un controllo di vitalità con un deepfake sufficientemente buono. È molto più difficile che la stessa identità abbia anche una cronologia di dispositivo corrispondente, un modello di posizione coerente e una storia lavorativa che si allinei come quella di una persona reale attraverso datori di lavoro e anni. Questo è davvero il principio alla base del monitoraggio continuo invece di un singolo momento di verifica. Un controllo legacy vi fornisce una fotografia, un singolo fotogramma, scattato una volta. Il nostro si comporta più come un flusso live, perché è costruito per notare quando i fotogrammi smettono di corrispondere tra loro.

Il monitoraggio continuo rappresenta un cambiamento fondamentale dal verificare una volta a valutare la fiducia per l’intero ciclo di vita del lavoratore. Come progettate questo tipo di sistema senza creare una sorveglianza inutile, falsi positivi o decisioni che i lavoratori hanno poca capacità di comprendere o contestare?

La sorveglianza è osservare qualcuno che non sa di essere osservato. Non è così che funziona. Ogni lavoratore che monitoriamo ha fornito un consenso scritto, sa esattamente cosa viene controllato e, per legge, dobbiamo fornire loro una copia di tutto ciò che troviamo e un modo per contestarlo se è errato. Nulla di ciò è opzionale. È FCRA.

L’altro aspetto è che non prendiamo noi la decisione. Se un arresto appare su qualcuno che stiamo monitorando, è un segnale per il datore di lavoro da approfondire, non un verdetto. Il giusto processo si applica ancora. I datori di lavoro devono notificare il candidato, dargli la possibilità di rispondere e poi prendere una decisione finale. Il nostro lavoro si ferma a segnalare che qualcosa è cambiato; il datore di lavoro decide cosa significa e cosa fare, proprio come farebbe con un controllo al momento dell’assunzione. L’abbiamo costruito così di proposito.

Man mano che il recruiting e la gestione della forza lavoro diventano sempre più agentici, dove dovrebbe collocarsi il confine tra un agente IA che raccoglie e valuta segnali di fiducia e chi prende effettivamente una decisione di assunzione con conseguenze?

Metterei la linea dove la legge la pone già per noi oggi. Stiamo attenti a non definirci un’azienda IA perché il nostro settore ha l’obbligo rigoroso che un umano sia nel ciclo decisionale per qualsiasi questione che coinvolga una contestazione o una decisione avversa. Un agente può raccogliere segnali, assegnare un punteggio, segnalare ciò che è cambiato. Non dovrebbe invece decidere da solo se qualcuno non ottiene il lavoro o non lo mantiene, perché quella decisione deve essere attribuita a una persona responsabile che possa spiegarla se viene contestata.

Man mano che le assunzioni diventano più automatizzate end‑to‑end, penso che quel confine diventi più importante, non meno. Più è facile far gestire l’intero funnel a un agente, più è allettante lasciargli prendere la decisione finale. Raccogliere e valutare i segnali di fiducia è esattamente ciò che il software dovrebbe fare più velocemente. Decidere il sostentamento di una persona non è qualcosa che affiderei a nessuno.

Con il nuovo $30 million Series B che porta il finanziamento totale di Yardstik a $65 million, quali aree dell’IA e della prevenzione delle frodi ritieni ora meritino il più grande investimento, e quali problemi tecnici devono ancora essere risolti affinché la verifica continua dell’identità funzioni su scala molto più ampia?

Stiamo destinando il nuovo capitale alle parti della prevenzione delle frodi che sono meno appariscenti e più costose da costruire bene. Rapporti sui veicoli e monitoraggio delle esclusioni OIG. Avvisi automatici nel momento in cui una licenza, una polizza assicurativa o una certificazione scade, invece di attendere il prossimo ciclo di rinnovo per accorgersene.

Il problema tecnico che nessuno in questo settore ha risolto è il costo. Molti paesi e stati applicano una tariffa propria per estrarre un record, a volte oltre $100 per una singola estrazione in luoghi come New York, e quel costo non diminuisce solo perché si desidera controllare qualcuno più spesso. Rendere la verifica continua sufficientemente economica affinché un’azienda con migliaia di lavoratori gig possa effettivamente eseguirla mensilmente anziché una volta all’anno è tanto un problema di approvvigionamento dati e di pricing quanto un problema di apprendimento automatico. È quello a cui penso di più in questo momento.

Sta emergendo una interessante corsa agli armamenti: l’IA rende contemporaneamente più facile la frode d’identità e fornisce alle piattaforme strumenti migliori per rilevarla. Man mano che entrambi i lati migliorano, prevedi che dimostrare che qualcuno è davvero chi dichiara di essere diventerà sostanzialmente più difficile, o l’IA renderà alla fine l’identità digitale più affidabile di quanto non lo sia mai stata?

Entrambe le affermazioni sono vere, e non credo che una annulli l’altra. I nostri clienti spesso ci dicono che si aspettano che possiamo “combattere il fuoco con il fuoco”. Sanno che abbiamo bisogno di soluzioni moderne per problemi moderni. La mia interpretazione onesta è che l’identità digitale diventa più affidabile per i sistemi costruiti per tracciare una persona nel corso degli anni e su più piattaforme, e diventa meno affidabile per tutto ciò che si basa ancora su un singolo controllo puntuale. Questo significa che le aziende che hanno verificato qualcuno solo una volta saranno quelle più esposte, mentre quelle che hanno pensato a lungo termine sembreranno molto più intelligenti col senno di poi rispetto a come si sentono oggi.

Grazie per la splendida intervista, i lettori che desiderano saperne di più dovrebbero visitare Yardstik.