Cillian Kieran, Fondatore e Amministratore Delegato di Ethyca – Serie di Interviste

Cillian Kieran, Fondatore e Amministratore Delegato di Ethyca, è un imprenditore seriale e ingegnere della privacy con più di due decenni di esperienza nella costruzione di aziende tecnologiche intensive di dati. Prima di fondare Ethyca nel 2019, ha guidato l’agenzia digitale CKSK per un decennio e successivamente ha fondato BrandCommerce, attingendo alla sua esperienza nel campo dell’ingegneria del software, dell’esperienza utente e dei programmi di dati aziendali su larga scala. In Ethyca, Kieran si è concentrato sul trasformare la privacy e la governance dei dati da una funzione di conformità prevalentemente manuale in un’infrastruttura che può essere incorporata direttamente nella costruzione e nell’operazione della tecnologia delle organizzazioni.

Ethyca sviluppa un’infrastruttura di dati affidabile che aiuta le aziende a scoprire le informazioni sensibili, gestire il consenso, adempiere alle richieste di privacy e far rispettare le regole che disciplinano l’utilizzo dei dati attraverso applicazioni convenzionali e sistemi di intelligenza artificiale. La sua piattaforma è costruita intorno a Fides, un linguaggio di governance open-source che crea un quadro coerente per la definizione, la verifica e l’applicazione degli utilizzi dei dati consentiti attraverso sistemi, API e pipeline di intelligenza artificiale. L’azienda sta ora lanciando Astralis, un livello di governance dell’intelligenza artificiale che combina valutazioni regolamentari automatizzate con controlli di accesso basati sullo scopo, consentendo alle organizzazioni di determinare perché i modelli e gli agenti stanno accedendo a dati specifici e di far rispettare tali autorizzazioni in tempo reale. Ethyca afferma che la piattaforma può ridurre le valutazioni che tradizionalmente richiedono 40-60 ore di lavoro manuale a circa 20-40 minuti, aiutando le aziende a espandere i propri sviluppi di intelligenza artificiale senza far diventare i processi di governance un collo di bottiglia.

Hai fondato diverse aziende prima di lanciare Ethyca nel 2019, tra cui la costruzione di CKSK in una consulenza digitale globale che serve aziende del Fortune 500. Quali esperienze durante quel viaggio ti hanno convinto che la governance dei dati, piuttosto che i modelli di intelligenza artificiale stessi, sarebbe diventata il collo di bottiglia determinante per l’adozione dell’intelligenza artificiale aziendale?

Ho trascorso anni costruendo una consulenza digitale per grandi aziende come Heineken, Sony e Pepsi durante la corsa all’oro della pubblicità digitale e dei social media. Ogni volta, ho visto lo stesso schema ripetersi. Una tecnologia potente arriva, tutti si affrettano ad adottarla e solo una volta che è incorporata nell’azienda, i regolatori intervengono per mettere delle barriere, lasciando i team di conformità a gestire le conseguenze. Prendi il GDPR, il primo vero giro di vite sull’utilizzo dei dati personali da parte delle aziende. I regolatori sono intervenuti solo dopo che martech e social media avevano già reso la raccolta dei dati il pilastro dei loro modelli di business. Era ovvio per me che lo stesso schema si sarebbe ripetuto con l’intelligenza artificiale.

Ciò che ha consolidato il mio sospetto era il lavoro di conformità alla privacy che stavo svolgendo in Ethyca. Costruendo sistemi di conformità per grandi aziende, mi sono reso conto che si poteva creare uno strato intorno ai dati di un’azienda che valutasse ogni richiesta contro tre cose: cosa sono i dati, cosa si è autorizzati a fare con essi e quale è il rischio se lo si fa. Lavorare su questo ha reso evidente il vero vincolo. Le aziende non sono a corto di dati. Sono a corto di uno strato di governance che detta quali dati sono autorizzati a essere utilizzati per cosa. Questa è la scommessa che abbiamo fatto nel 2019 e, dal momento dell’avvento dell’intelligenza artificiale, è diventata ancora più rilevante.

Negli ultimi anni, l’intelligenza artificiale aziendale è passata da semplici chatbot ad agenti di intelligenza artificiale autonomi in grado di prendere decisioni e compiere azioni. Come è cambiata l’evoluzione dei challenge di governance che le organizzazioni affrontano e perché i tradizionali approcci di conformità non sono più scalabili?

La gente parla di intelligenza artificiale aziendale e del suo ROI come se il valore derivasse semplicemente dall’inserimento di un agente nei flussi di lavoro. In realtà, il valore deriva dal collegamento di quell’agente a una vasta gamma di sistemi, in modo che possa sintetizzare i dati e produrre output che nessun essere umano potrebbe produrre nel tempo. L’accesso ai dati è il vero collo di bottiglia.

La cosa più importante è che ciò che rende un agente prezioso è anche ciò che lo rende rischioso. Maggiore è il numero di sistemi a cui si collega, maggiore è la quantità di dati che inizia a fluire da una parte all’altra dell’organizzazione e ogni uno di quei flussi diventa un’opportunità per i dati di finire nel posto sbagliato.

Ogni uno di quei flussi deve essere verificato: è consentito utilizzare questi dati in questo modo, per questo scopo, secondo la legge sulla privacy e la nostra politica? Quando ci sono un paio di quelle decisioni ogni giorno, una persona può prendere manualmente ogni decisione. Quando c’è un agente di intelligenza artificiale che lancia migliaia di richieste al secondo, diventa umanamente impossibile. È il punto in cui la conformità tradizionale si rompe.

Perché le valutazioni gonfie delle grandi aziende di intelligenza artificiale si realizzi, la governance deve spostarsi nel tempo reale, alla velocità della macchina, nel momento in cui i dati vengono acceduti.

Ethyca sta lanciando Astralis come livello di governance per l’intelligenza artificiale aziendale. Quali sfide specifiche dei clienti hanno portato alla creazione della piattaforma e perché è il momento giusto per introdurla?

Il lavoro di pulizia dei dati per l’intelligenza artificiale avviene ancora nel modo in cui avveniva per la privacy nel 2016, con le persone che compilano questionari e eseguono valutazioni a mano. Quel processo era già troppo lento per il lavoro di privacy ordinario e, di fronte al volume dei casi di utilizzo dell’intelligenza artificiale, non ha alcuna possibilità. La maggior parte di ciò che viene venduto come governance dell’intelligenza artificiale al momento è lo stesso modulo e lo stesso flusso di lavoro con un’etichetta “intelligenza artificiale” su di esso. Compilare un modulo non è governance. Ciò che manca è un software che faccia il lavoro di governance stesso, piuttosto che produrre un record di una persona che lo ha fatto manualmente. È questo che abbiamo costruito Astralis per fare.

La domanda a cui stiamo rispondendo proviene dai team che sono stati invitati a spedire l’intelligenza artificiale in modo veloce e sicuro e attualmente non possono fare entrambe le cose. Gli agenti stanno andando in produzione più velocemente di quanto qualsiasi team possa tenere il passo e la domanda che i regolatori pongono è cambiata. Una volta era se avevate una politica. Ora è se potete dimostrare che la politica è stata seguita su un pezzo specifico di dati, per uno scopo specifico. La maggior parte delle aziende può rispondere bene alla prima domanda. Molte non possono rispondere alla seconda.

Gartner prevede che la società media del Fortune 500 potrebbe eseguire 150.000 agenti di intelligenza artificiale entro il 2028, rispetto ai 15 del 2025. Come i leader aziendali dovrebbero ripensare la governance in un mondo in cui gli agenti autonomi potrebbero superare il numero di dipendenti che interagiscono con i dati?

Entro il 2028, gli agenti che toccano i dati di un’azienda supereranno il numero dei dipendenti che lo fanno. Quando gli attori che utilizzano i vostri dati sono in gran parte macchine, chi è responsabile? Il vecchio modello colloca la responsabilità nell’approvazione finale umana, ma quando la maggior parte di quelle decisioni non è presa né revisionata da un essere umano, la responsabilità deve spostarsi dalle persone ai sistemi.

Le banche hanno fatto questo passaggio molto tempo fa. Non ci fidiamo di una banca perché un cassiere conta le banconote a mano. Ci fidiamo perché i controlli sono solidi e ci sono persone responsabili per mantenerli così. La governance dei dati deve fare lo stesso. La prova che un’azienda gestisce i dati in modo responsabile non è più il fatto che una persona li abbia esaminati, ma il fatto che il sistema applichi automaticamente le politiche su ogni utilizzo e possa fornire prove di ciò, in modo che la responsabilità sia incorporata. Ciò consentirà ai leader aziendali di concentrarsi su ciò che sono bravi a fare: applicare il giudizio, stabilire le regole e sostenere il sistema.

Astralis combina un modello regolamentare di grandi dimensioni (LLRM) con un controllo di accesso basato sullo scopo (PBAC). Puoi spiegare come queste due tecnologie lavorano insieme per garantire che i sistemi di intelligenza artificiale capiscano non solo chi può accedere ai dati, ma anche perché dovrebbero essere in grado di accedervi?

Il controllo di accesso tradizionale verifica chi sei e se la tua identità ti consente di toccare dati specifici.

Ma la privacy è diversa; non è una questione di chi entra. Una persona può essere perfettamente autorizzata ad accedere a un set di dati e comunque utilizzarlo per qualcosa che non era mai stato autorizzato a fare. La domanda che diventa importante è cosa sono i dati utilizzati per e se quel fine è consentito. È questo che il PBAC risponde e applica.

La parte difficile è che lo scopo non è un fatto tecnico che puoi leggere da un database. Dipende da ciò che fa la tua attività, cosa hai promesso ai clienti e cosa consente la legge. È questo il ruolo del LLRM. Impara come opera la tua attività specifica, quindi lavora attraverso le regolamentazioni che si applicano ad essa. Il risultato è una determinazione chiara di cosa ogni tipo di dati possa e non possa essere utilizzato per. Il PBAC applica poi quella determinazione al punto di accesso. Il LLRM ragiona, il PBAC agisce.

Il tuo annuncio di lancio afferma che le valutazioni dell’intelligenza artificiale possono essere ridotte da 40-60 ore di lavoro manuale a soli 20-40 minuti. Quali parti del processo di governance attuale sono le più inefficienti e dove l’automazione crea i maggiori guadagni?

La maggior parte di quelle 40-60 ore non è spesa su nulla che richieda il giudizio umano. È spesa sull’assemblaggio. Qualcuno mappa i dati a mano, li tiene in un foglio di calcolo e poi insegue il contesto attraverso i team. Una volta che tutto ciò è stato raccolto, la valutazione effettiva, la parte che richiede una persona che pensi, è una piccola fetta del lavoro. Il resto è un professionista che agisce come un agente di raccolta di informazioni per l’azienda, solo che queste informazioni sono già sparse attraverso i team.

Il guadagno di efficienza deriva dal cambiare chi fa cosa. Il sistema recupera i metadati da solo, quindi nessuno deve rincorrere il contesto a mano. Soltanto le domande che un essere umano può effettivamente rispondere – le genuine decisioni – vengono presentate, invece di far lavorare una persona per riempire campi che una macchina può compilare. E la traccia di audit si costruisce da sola mentre la valutazione avviene, invece di scrivere qualcuno dopo da memoria. È lì che 40 ore diventano 40 minuti.

Una delle affermazioni più sorprendenti è che un’importante istituzione finanziaria statunitense sta elaborando circa 6.000 richieste di governance al secondo attraverso Astralis. Cosa insegna l’operare a quella scala sulle esigenze infrastrutturali future per l’intelligenza artificiale aziendale?

La lezione è che la governance non può più essere un passaggio separato. A 6.000 decisioni al secondo, deve avvenire all’interno del percorso dei dati stesso, alla stessa velocità delle query e dei modelli che governa. Per l’intelligenza artificiale, la governance deve essere un’infrastruttura: sempre attiva e sempre in linea, non un report prodotto a lato. Deve essere veloce, perché se la governance è lenta, diventa la cosa che le persone saltano per rispettare la scadenza.

La regolamentazione dell’intelligenza artificiale continua a evolversi rapidamente sia negli Stati Uniti che in Europa. Come costruire una piattaforma di governance che possa adattarsi ai cambiamenti dei quadri giuridici senza costringere le aziende a costanti aggiornamenti manuali delle politiche?

L’errore che la maggior parte degli strumenti di conformità commette è quello di incorporare le regole nel prodotto, quindi quando la legge cambia, si è bloccati ad aspettare che il fornitore riingegnerizzi lo strumento. Astralis è costruito per funzionare al contrario. Alla sua base c’è un linguaggio comune per la descrizione dei dati e dei loro utilizzi e non contiene regole. Le regole sono situate in uno strato di politiche sopra di esso. Il LLRM legge la regolamentazione, lavora su cosa significa per la tua attività specifica e scrive la politica di conseguenza. Il PBAC applica poi qualunque cosa dica quella politica al momento dell’accesso – quindi un cambiamento alle regole lascia il meccanismo di applicazione completamente intatto.

Quando arriva una nuova regolamentazione, tutto lo sforzo di un’azienda può andare nel lavorare su cosa significa per la propria attività; nessuno di esso va nel riingegnerizzare i propri sistemi di privacy.

Molti dirigenti si preoccupano di agenti di intelligenza artificiale “ribelli” che prendono decisioni non autorizzate o accedono a informazioni sensibili. Quanto è realistica questa preoccupazione oggi e quali salvaguardie pratiche le organizzazioni dovrebbero implementare prima di distribuire agenti di intelligenza artificiale su larga scala?

È completamente realistica e già sta accadendo. La California ha multato Disney per 2,75 milioni di dollari perché i suoi sistemi non potevano applicare in modo affidabile qualcosa di basilare come l’opt-out di un cliente. Nei suoi sistemi, un consumatore che si era opt-out su un dispositivo rimaneva opt-in sugli altri e le istruzioni di opt-out a livello di browser non venivano trattate come richieste valide. Quell’incidente non è stato causato da un agente che agiva in modo imprevedibile, ma da una lacuna abbastanza semplice tra ciò che Disney diceva ai clienti e ciò che i suoi sistemi erano in grado di applicare.

Le salvaguardie che effettivamente prevengono questo sono poco glamour: sapere quali dati si possiede e cosa si è impegnati a fare con essi e tenerli tutti in un unico posto, perché la maggior parte di questi fallimenti deriva dal fatto che una promessa di un team non raggiunge mai il database di un altro team.

Guardando avanti tre-cinque anni, cosa crederesti che distinguerà le aziende che riescono a operativizzare con successo l’intelligenza artificiale da quelle il cui progetti di intelligenza artificiale rimangono bloccati nei progetti pilota e quale ruolo avrà la governance nel creare quel vantaggio competitivo?

La differenza verrà dal fatto che un’azienda abbia un sistema per governare tutti i suoi dati o se scelga di attaccare la governance a ogni database e team separatamente. Le aziende che governano ancora i loro dati reparto per reparto continueranno a incontrare ostacoli, perché l’intelligenza artificiale raggiunge i reparti per design. Ogni azienda viene detto di spedire l’intelligenza artificiale in modo veloce e non finire in una lettera di un regolatore, e fino a ora queste due cose hanno tirato in direzioni opposte. Chiunque risolva entrambe, invece di accontentarsi di una, vincerà il decennio.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Ethyca o Astralis.