J. Paul Haynes, CEO di Cinchy – Serie di interviste

J. Paul Haynes, CEO di Cinchy, è un dirigente di cybersecurity e tecnologia con decenni di esperienza nella costruzione e gestione di società di sicurezza aziendale. È noto per la sua leadership in eSentire, dove ha contribuito a far crescere l’azienda in un importante fornitore di servizi di rilevamento e risposta gestita, e porta una forte esperienza in ingegneria, cybersecurity, crescita supportata da private equity e rischio aziendale in Cinchy, mentre l’azienda si concentra sull’adozione e governance di AI affidabili.

Cinchy è un’azienda di governance di AI e collaborazione di dati che si concentra sull’aiutare le organizzazioni a connettere in modo sicuro AI, sistemi e dati. La sua piattaforma PeriMind agisce come un piano di controllo per le azioni di AI, dando alle aziende visibilità, applicazione delle politiche, sicurezza e tracciabilità su come gli agenti di AI interagiscono con i sistemi aziendali, mentre la sua piattaforma di collaborazione di dati aiuta i team a gestire e condividere dati governati in tutta l’organizzazione senza dover fare affidamento su complesse integrazioni o silos di dati duplicati.

Hai trascorso più di 15 anni aiutando a costruire e far crescere eSentire in una delle aziende più riconosciute nel settore della cybersecurity. Quali lezioni da quel viaggio stai portando nel tuo nuovo ruolo di CEO di Cinchy, e perché credi che ora sia il momento giusto per concentrarti sulla governance di AI e sull’adozione di AI affidabili?

Una delle lezioni più grandi che ho imparato in eSentire è che le organizzazioni non lottano perché mancano di tecnologia. Lottano perché le tecnologie emergenti creano complessità operativa più velocemente di quanto la maggior parte delle aziende possa gestire da sole. Vedrei l’AI seguire un percorso simile.

La sfida di oggi non è quella di far sperimentare gli impiegati con l’AI. La maggior parte delle organizzazioni lo sta già facendo. La vera sfida è quella di spostare l’AI in produzione, dove le decisioni influenzano i clienti, i risultati finanziari, la conformità normativa e le operazioni aziendali.

I settori altamente regolamentati come i servizi finanziari illustrano perfettamente questo concetto. Non si muovono lentamente perché non capiscono l’AI. Si muovono con cautela perché non possono ancora fidarsi dell’AI per il lavoro mission-critico. Prima che un sistema di AI possa prendere decisioni, le organizzazioni hanno bisogno di risposte a domande fondamentali: chi ha approvato quelle decisioni? Come vengono monitorate? Quando interviene un essere umano? Cosa succede se il modello deriva, fallisce o diventa indisponibile?

Queste domande mi ricordano dove si trovava la sicurezza quindici anni fa. La sicurezza è evoluta da un problema tecnologico in una disciplina operativa. Credo che la governance di AI sia sulla stessa traiettoria.

È per questo che mi sono unito a Cinchy. Crediamo che l’adozione di AI affidabili (e non l’esperimentazione con l’AI) definirà il prossimo decennio e vediamo la governance di AI gestita diventare altrettanto importante quanto la sicurezza gestita è diventata.

Molte aziende hanno sperimentato con l’AI generativa negli ultimi due anni, ma relativamente poche hanno distribuito con successo l’AI in workflow mission-critici. Quali sono i più grandi ostacoli che impediscono alle organizzazioni di spostarsi dalle fasi di testing alla produzione?

Non credo che le aziende lottino perché la tecnologia non è abbastanza buona. Credo che lottino perché le poste in gioco diventano molto più alte una volta che l’AI va oltre l’esperimentazione.

Un test è una cosa. Mettere l’AI in produzione è un’altra cosa completamente diversa. Ora si accede ai dati aziendali, si interagisce con i sistemi aziendali, forse si prendono addirittura decisioni per conto degli impiegati. È allora che la dirigenza chiede giustamente: “Come controlliamo questo? Come lo monitoriamo? E come sappiamo quando dobbiamo intervenire?”

Queste non sono ragioni per rallentare l’adozione di AI. Sono le cose che rendono possibile l’adozione di AI. Se puoi rispondere a quelle domande con fiducia, le organizzazioni si muovono molto più velocemente.

Hai trascorso gran parte della tua carriera a proteggere ambienti aziendali contro le minacce informatiche. Come proteggere un’azienda alimentata da AI differisce dal proteggere un ambiente IT tradizionale?

La sicurezza tradizionale si concentra sulla protezione degli endpoint, delle identità, delle reti e degli ambienti cloud. L’AI aggiunge un’altra superficie di attacco permanente all’azienda. Ogni sistema di AI introduce nuovi rischi. Accesso al modello, iniezione di prompt, autorizzazioni eccessive, deriva del modello, decisioni autonome e percorsi di attacco completamente nuovi che semplicemente non esistevano prima.

Il punto importante è che la sicurezza di AI non è separata dalla sicurezza informatica. La estende. Le aziende hanno ancora bisogno di ogni controllo di sicurezza esistente, ma ora hanno anche bisogno di sicurezza progettata specificamente per i sistemi di AI che operano in produzione.

Shadow IT è stata a lungo una preoccupazione per i team di sicurezza, ma ora stiamo vedendo l’ascesa di shadow AI. Quanto è grande questa sfida e quali rischi le organizzazioni sottovalutano?

Shadow AI sta diventando uno dei rischi aziendali in più rapida crescita perché i team di direzione incoraggiano l’adozione rapida di AI senza sempre mettere in atto una governance preventiva. La maggior parte degli impiegati non agisce con malizia. Stanno cercando di essere più produttivi. Il problema è che i sistemi di AI ereditano le autorizzazioni che gli utenti già hanno.

Un dirigente che sperimenta con un modello di AI pubblico potrebbe esporre involontariamente dati finanziari riservati, informazioni sui clienti o proprietà intellettuale semplicemente chiedendo all’AI di analizzarli.

È per questo che le organizzazioni hanno bisogno di visibilità, controlli di politica e governance, non per rallentare l’adozione di AI, ma per renderla abbastanza sicura da poterla scalare.

Gli agenti di AI stanno ricevendo sempre più l’accesso ai sistemi aziendali, ai dati e ai processi decisionali. Quali nuove sfide di responsabilità e governance sorgono quando i sistemi di AI possono agire in modo autonomo anziché semplicemente generare contenuti?

Gli agenti di AI cambiano fondamentalmente la conversazione sulla governance perché non stanno più generando contenuti. Stanno prendendo azioni. Ogni volta che un sistema autonomo può approvare transazioni, accedere ai sistemi aziendali o prendere decisioni aziendali, le organizzazioni hanno bisogno di una responsabilità completa.

Ogni azione dovrebbe rispondere a domande semplici:

• Cosa è successo?
• Perché è successo?
• Quale agente di AI ha preso la decisione?
• Chi l’ha autorizzato?
• Quando dovrebbe intervenire un essere umano?

Questi principi non sono nuovi. Le industrie hanno vissuto con requisiti di responsabilità per decenni sotto regolamenti come il Sarbanes-Oxley. L’AI semplicemente estende queste stesse aspettative ai lavoratori digitali autonomi.

Molte organizzazioni stanno correndo per distribuire l’AI a causa della pressione competitiva. Come i leader aziendali possono bilanciare la necessità di velocità con la necessità di governance, conformità e gestione del rischio?

La governance non dovrebbe rallentare l’adozione di AI. Dovrebbe accelerarla. Le organizzazioni si muovono più velocemente quando la dirigenza si fida dell’ambiente che stanno costruendo. Ciò significa stabilire un’architettura di AI sicura e monitorabile, valutare continuamente i modelli per deriva e prestazioni, gestire l’accesso ai sistemi aziendali e avere chiari controlli operativi prima che l’AI raggiunga la produzione.

Proprio come le organizzazioni hanno adottato la rilevazione e la risposta gestite per semplificare la sicurezza informatica, credo che molte adotteranno la governance di AI gestita per ottenere competenze senza dover costruire grandi squadre specializzate all’interno.

I consigli di amministrazione stanno diventando più coinvolti nella supervisione di AI. Quali domande i membri del consiglio di amministrazione dovrebbero porre ai team di gestione sull’Ai, governance e responsabilità?

I consigli dovrebbero chiedere una domanda fondamentale: può la gestione dimostrare che l’AI opera sotto lo stesso livello di governance di ogni altro sistema aziendale critico?

Ciò significa capire dove viene utilizzato l’AI, chi lo possiede, come vengono monitorate le decisioni, come viene gestito il rischio e come l’organizzazione continuerebbe a operare se un servizio di AI diventasse indisponibile. Le organizzazioni che avranno successo non saranno necessariamente quelle che adotteranno l’AI più velocemente. Saranno quelle che costruiranno la disciplina operativa per fidarsi dell’AI su larga scala.

Il settore della sicurezza informatica ha trascorso decenni a sviluppare framework, controlli e best practice. Ci sono lezioni dalla sicurezza informatica che possono essere applicate direttamente alla governance di AI, o l’AI richiede un approccio completamente nuovo?

La sicurezza informatica offre un ottimo modello per la governance di AI. La gestione delle identità, il privilegio minimo, il monitoraggio continuo, le tracce di audit, la risposta agli incidenti e la resilienza rimangono essenziali. Ciò che è nuovo è che l’AI introduce sfide che i sistemi tradizionali non avevano, tra cui deriva del modello, allucinazioni, manipolazione dei prompt e dipendenza da modelli di fondazione di terze parti. Quindi, l’AI non sostituisce la sicurezza informatica. La costruisce con un ulteriore livello di governance.

Cosa significa esattamente “adozione di AI affidabile” nella pratica? Ci sono principi di governance o salvaguardie operative che ogni azienda dovrebbe avere in atto prima di scalare le iniziative di AI?

Tendo a pensarci allo stesso modo in cui pensavamo alla sicurezza informatica anni fa. Nessuno chiedeva se la sicurezza creava valore. La domanda era se ti fidavi abbastanza dell’ambiente per mantenere l’attività in funzione.

L’AI sta andando nella stessa direzione. Se non puoi vedere cosa sta facendo, controllare cosa ha accesso o capire perché sta prendendo certe decisioni, probabilmente non lascerai che gestisca nulla di importante.

Una volta che hai quella fiducia, l’adozione avviene naturalmente. Le organizzazioni smettono di trattare l’AI come un esperimento interessante e iniziano a trattarla come un’altra parte dell’azienda.

Guardando avanti tre o cinque anni, come vedi evolversi la relazione tra governance di AI e vantaggio competitivo? Diventerà una governance forte un differenziatore o semplicemente un requisito per fare affari?

Nei prossimi tre o cinque anni, una governance di AI solida non sarà un differenziatore competitivo. Diventerà un requisito aziendale. Le organizzazioni che stabiliranno la governance per prime adotteranno l’AI più velocemente perché avranno la fiducia di spostare carichi di lavoro critici in produzione. Quelle che non lo faranno rimarranno bloccate nella sperimentazione mentre i concorrenti realizzeranno guadagni misurabili in produttività, innovazione e esperienza del cliente. In definitiva, la governance non rallenterà l’adozione di AI. Sarà il motivo per cui le organizzazioni potranno fidarsi abbastanza dell’AI da abbracciarla completamente.

Grazie per la grande intervista, i lettori che desiderano saperne di più possono visitare Cinchy.