Cillian Kieran, Oprichter en CEO van Ethyca – Interviewreeks

Cillian Kieran, Oprichter en CEO van Ethyca, is een serieondernemer en privacy-ingenieur met meer dan twee decennia ervaring in het opbouwen van data-intensieve technologiebedrijven. Voordat hij Ethyca in 2019 oprichtte, leidde hij het digitale agentschap CKSK tien jaar lang en richtte hij vervolgens BrandCommerce op, waarbij hij zijn achtergrond in software-engineering, user experience en grote ondernemingsdata-programma’s benutte. Bij Ethyca richt Kieran zich op het transformeren van privacy en gegevensbeheer van een grotendeels handmatige nalevingsfunctie naar infrastructuur die rechtstreeks in de manier waarop organisaties technologie bouwen en exploiteren kan worden geïntegreerd.

Ethyca ontwikkelt vertrouwde gegevensinfrastructuur die ondernemingen helpt om gevoelige informatie te ontdekken, toestemming te beheren, privacyverzoeken in te willigen en regels te handhaven die bepalen hoe gegevens worden gebruikt in conventionele toepassingen en kunstmatige intelligentiesystemen. Het platform is gebouwd rond Fides, een open-source governance-taal die een consistente raamwerk biedt voor het definiëren, auditen en afdwingen van toegestane gegevensgebruiken over systemen, API’s en AI-pijplijnen heen. Het bedrijf lanceert nu Astralis, een AI-governance-laag die geautomatiseerde regelgevingsbeoordelingen combineert met doelgerichte toegangscontrole, waardoor organisaties kunnen bepalen waarom modellen en agenten toegang hebben tot bepaalde gegevens en deze toestemmingen in real-time kunnen afdwingen. Ethyca zegt dat het platform beoordelingen die traditioneel 40 tot 60 uur handmatig werk vereisen, kan terugbrengen tot ongeveer 20 tot 40 minuten, waardoor ondernemingen hun AI-implementaties kunnen uitbreiden zonder dat governanceprocessen een bottleneck worden.

U hebt meerdere bedrijven opgericht voordat u Ethyca in 2019 lanceerde, waaronder het opbouwen van CKSK tot een wereldwijd digitaal adviesbureau dat Fortune 500-ondernemingen bedient. Welke ervaringen tijdens die reis hebben u ervan overtuigd dat gegevensbeheer, in plaats van AI-modellen zelf, het bepalende knelpunt voor de adoptie van enterprise AI zou worden?

Ik heb jarenlang een digitaal adviesbureau opgebouwd dat grote ondernemingen zoals Heineken, Sony en Pepsi bediende tijdens de digitale reclame- en sociale media-goudkoorts. Telkens zag ik hetzelfde patroon zich herhalen. Een krachtige technologie arriveert, iedereen racet om het te adopteren, en pas als het al in het bedrijf is geïntegreerd, komen regulators om richtlijnen te stellen, waardoor compliance-teams met de gevolgen moeten omgaan. Neem de AVG, de eerste echte aanpak van hoe bedrijven persoonsgegevens gebruiken. Regulators traden pas op nadat martech en sociale media al data-verzameling tot de ruggengraat van hun bedrijfsmodellen hadden gemaakt. Het was voor mij duidelijk dat hetzelfde patroon zich met AI zou herhalen.

Wat deze vermoeden die ik had, bevestigde, was het privacy-compliance-werk dat ik bij Ethyca deed. Bij het opbouwen van compliance-systemen voor grote ondernemingen, realiseerde ik me dat je een laag rond een bedrijfsgegevens kon plaatsen die elke aanvraag tegen drie dingen kon evalueren: wat de gegevens zijn, wat je ermee mag doen en wat het risico is als je dat doet. Het werken aan dat project maakte de echte beperking duidelijk. Ondernemingen hebben geen gebrek aan gegevens. Ze hebben een gebrek aan een governance-laag die dicteert welke gegevens voor welk doel mogen worden gebruikt. Dat was de weddenschap die we in 2019 maakten en sinds de opkomst van AI is het alleen maar relevanter geworden.

De afgelopen jaar is enterprise AI verschoven van eenvoudige chatbots naar autonome AI-agenten die beslissingen kunnen nemen en acties kunnen ondernemen. Hoe heeft die evolutie de governance-uitdagingen veranderd die organisaties tegenkomen, en waarom werken traditionele compliance-benaderingen niet meer?

Mensen praten over enterprise AI en zijn ROI alsof de waarde ervan komt van het simpelweg aansluiten van een agent op uw workflows. In werkelijkheid komt de waarde van het verbinden van die agent met een breed scala aan systemen, zodat het gegevens kan synthetiseren en outputs kan produceren die geen mens in de tijd kan samenstellen. Toegang tot gegevens is het echte knelpunt.

Het probleem is dat hetzelfde wat een agent waardevol maakt, ook het risico ervan verhoogt. Hoe meer systemen je ermee verbindt, hoe meer gegevens van het ene naar het andere deel van de organisatie stromen, en elke stroom wordt een kans voor gegevens om op de verkeerde plek terecht te komen.

Elke stroom moet worden gecontroleerd: is deze gegevens toegestaan om op deze manier te worden gebruikt, voor dit doel, onder de privacywet en ons eigen beleid? Wanneer er een handvol van die beslissingen elke dag zijn, kan een persoon elke aanvraag handmatig beoordelen. Wanneer er een AI-agent duizenden aanvragen per seconde verstuurt, wordt het voor een mens onmogelijk. Dat is het punt waarop traditionele compliance het begint te begeven.

Om de schuimende waarderingen van grote AI-bedrijven te realiseren, moet governance naar real-time gaan, op machinesnelheid, op het moment dat de gegevens worden geopend.

Ethyca lanceert Astralis als een governance-laag voor enterprise AI. Welke specifieke klantuitdagingen leidden tot de creatie van het platform, en waarom is nu het juiste moment om het te introduceren?

Het werk van het vrijgeven van gegevens voor AI gebeurt nog steeds op de manier zoals het in 2016 voor privacy gebeurde, met mensen die vragenlijsten invullen en beoordelingen handmatig uitvoeren. Dat proces was al te langzaam voor gewoon privacy-werk, en tegen de volume van AI-gevallen heeft het geen enkele kans. Het merendeel van wat nu als AI-governance wordt verkocht, is hetzelfde formulier en de zelfde workflows met een ‘AI’-label erop. Een formulier invullen is geen governance. Wat ontbreekt, is software die de governance-werk zelf doet, in plaats van een record te produceren van een persoon die het handmatig heeft gedaan. Dat is wat we Astralis hebben gebouwd om te doen.

De vraag die we beantwoorden, komt van teams die zijn opgedragen om AI snel en veilig te leveren, en die momenteel geen van beide kunnen doen. Agenten gaan sneller in productie dan enig team kan bijhouden, en de vraag die regulators stellen, is veranderd. Het was vroeger of je een beleid had. Nu is het of je kunt aantonen dat dat beleid is gevolgd voor een specifiek stuk gegevens, voor een specifiek doel. De meeste bedrijven kunnen het eerste antwoord goed geven. Zeer weinig kunnen het tweede antwoord geven.

Gartner voorspelt dat het gemiddelde Fortune 500-bedrijf tegen 2028 mogelijk 150.000 AI-agenten kan draaien, tegenover slechts 15 in 2025. Hoe moeten enterprise-leiders governance heroverwegen in een wereld waarin autonome agenten de menselijke medewerkers die met gegevens omgaan, in aantal kunnen overtreffen?

Tegen 2028 zullen de agenten die een bedrijfsgegevens aanraken, de medewerkers die dat doen, in aantal overtreffen. Wanneer de actoren die uw gegevens gebruiken, overwegend machines zijn, wie is er verantwoordelijk? Het oude model legt verantwoordelijkheid bij de finale menselijke goedkeuring, maar wanneer de meeste van die beslissingen noch door een mens worden genomen, noch worden herzien, moet verantwoordelijkheid van mensen naar systemen verschuiven.

Banken hebben deze stap al lang geleden gezet. We vertrouwen een bank niet omdat een klerk de nota’s met de hand telt. We vertrouwen het omdat de controles solide zijn en omdat er mensen verantwoordelijk zijn voor het in stand houden ervan. Gegevensbeheer moet hetzelfde doen. Het bewijs dat een bedrijf gegevens verantwoordelijk behandelt, stopt met het feit dat een persoon het heeft herzien en wordt dat het systeem automatisch beleid afdwingt op elk gebruik, en kan bewijs daarvan leveren, zodat verantwoordelijkheid is ingebouwd. Dat zal bedrijfsleiders in staat stellen om zich te concentreren op wat ze goed zijn: oordeel toepassen, regels stellen en achter het systeem staan.

Astralis combineert een Large Language Regulatory Model (LLRM) met Purpose-Based Access Control (PBAC). Kunt u uitleggen hoe deze twee technologieën samenwerken om ervoor te zorgen dat AI-systemen niet alleen weten wie toegang tot gegevens kan krijgen, maar ook waarom ze dat moeten kunnen?

Traditionele toegangscontrole controleert wie je bent en of je identiteit je toegang tot specifieke gegevens geeft.

Maar privacy is anders; het is geen vraag van wie er binnenkomt. Een persoon kan perfect geautoriseerd zijn om toegang te krijgen tot een dataset en deze nog steeds voor iets gebruiken waarvoor ze nooit toestemming hadden. De vraag die belangrijk wordt, is wat de gegevens worden gebruikt voor en of dat doel is toegestaan. Dat is wat PBAC beantwoordt en afdwingt.

Het moeilijke deel is dat doel geen technisch feit is dat je uit een database kunt lezen. Het hangt af van wat je bedrijf doet, wat je aan klanten hebt beloofd en wat de wet toestaat. Dat is waarvoor de LLRM is. Het leert hoe jouw specifieke bedrijf werkt, werkt dan door de regelgeving die van toepassing is en leert wat het voor jouw bedrijf betekent. De uitvoer is een duidelijke bepaling van wat elke soort gegevens kan en niet kan worden gebruikt. PBAC dwingt die bepaling dan af bij het punt van toegang. LLRM redeneert, PBAC handelt.

Uw lancering aankondiging zegt dat AI-beoordelingen kunnen worden teruggebracht van 40 tot 60 uur handmatig werk tot slechts 20 tot 40 minuten. Welke delen van het huidige governance-proces zijn het minst efficiënt en waar creëert automatisering de grootste voordelen?

De meeste van die 40 tot 60 uur worden niet besteed aan iets dat menselijke oordeel nodig heeft. Ze worden besteed aan assemblage. Iemand kaart de gegevens handmatig in, houdt ze in een spreadsheet bij en jaagt dan context over teams heen. Door de tijd dat al dit is verzameld, is de daadwerkelijke beoordeling, het deel dat een persoon nodig heeft om na te denken, een klein deel van het werk. De rest is een professional die als een verzamelaar van informatie voor het bedrijf fungeert, terwijl het bedrijf die informatie al heeft, maar verspreid over teams.

Frustrerend genoeg is dit werk dat nooit af is. Een beoordeling is een eenmalige snapshot, maar AI-gevallen houden nooit op te komen. Nieuwe gevallen verschijnen constant en elk ervan heeft zijn eigen herziening nodig. Dus het handmatige proces is niet alleen langzaam, maar ook permanent achter de snelheid van het bedrijf aan, en zal onbeheersbaar worden als bedrijven

De efficiencywinsten komen uit het veranderen van wie wat doet. Het systeem trekt de metadata zelf, dus niemand hoeft handmatig context te zoeken. Het brengt alleen de vragen naar voren die een mens echt kan beantwoorden – de echte oordeelsvragen – in plaats van een persoon te laten malen door velden die een machine kan invullen. En het audit-spoor bouwt zichzelf op terwijl de beoordeling plaatsvindt, in plaats van dat iemand het later uit het geheugen moet opschrijven. Dat is waar 40 uur 40 minuten wordt.

Een van de meest opvallende claims is dat een grote Amerikaanse financiële instelling ongeveer 6.000 governance-verzoeken per seconde verwerkt via Astralis. Wat leert het opereren op die schaal ons over de toekomstige infrastructuurvereisten voor enterprise AI?

De les is dat governance geen aparte stap meer kan zijn. Bij 6.000 beslissingen per seconde, moet het plaatsvinden binnen de datapad zelf, op dezelfde snelheid als de queries en modellen die het reguleert. Voor AI moet governance infrastructuur zijn: altijd aan en altijd in de lijn, niet een rapport dat apart wordt gegenereerd. Het moet snel zijn, want als governance langzaam is, wordt het het ding dat mensen overslaan om hun deadline te halen.

AI-regulering blijft snel evolueren in zowel de Verenigde Staten als Europa. Hoe bouwt u een governance-platform dat kan aanpassen aan veranderende wettelijke kaders zonder ondernemingen te dwingen tot constante handmatige beleidsupdates?

De fout die de meeste compliance-tools maken, is de regels in het product te bakken, zodat wanneer de wet verandert, u vastzit en moet wachten tot de leverancier het hulpmiddel opnieuw ontwikkelt. Astralis is opgebouwd om het tegenovergestelde te doen. Aan de basis ervan ligt een gemeenschappelijke taal voor het beschrijven van gegevens en hun gebruiken, en het houdt geen enkele regel. De regels zitten apart, in een beleidslaag erboven. De LLRM leest de regelgeving, werkt uit wat het voor uw specifieke bedrijf betekent en schrijft het beleid dienovereenkomstig. PBAC dwingt dan wat dat beleid zegt op dat moment af – dus een wijziging in de regels laat het afdwingingsmechanisme onaangetast.

Wanneer een nieuwe regelgeving arriveert, kan al het werk van een bedrijf naar het uitwerken van wat het voor hun bedrijf betekent; geen enkel deel ervan gaat naar het opnieuw ontwikkelen van hun privacy-systemen.

Veel executives maken zich zorgen over rogue AI-agenten die ongeautoriseerde beslissingen nemen of gevoelige informatie toegang geven. Hoe realistisch is die zorg nu, en welke praktische waarborgen moeten organisaties implementeren voordat ze AI-agenten op grote schaal inzetten?

Het is volledig realistisch en het gebeurt al. California boette Disney $2,75 miljoen omdat hun systemen geen betrouwbare manier hadden om zelfs maar iets zo basaals als een klantopt-out af te dwingen. In hun systemen bleef een consument die zich op één apparaat had afgemeld, ingeschreven op andere apparaten, en instructies voor opt-out op browser-niveau werden niet als geldige verzoeken beschouwd. Dat incident werd niet veroorzaakt door een agent die onvoorspelbaar handelde, maar was in plaats daarvan een vrij eenvoudige kloof tussen wat Disney klanten had beloofd en wat hun systemen in staat waren af te dwingen.

De waarborgen die dit soort mislukkingen daadwerkelijk voorkomen, zijn onopvallend: weet wat voor gegevens je hebt en wat je erover hebt beloofd, en houd het allemaal op één plek, omdat de meeste van deze mislukkingen voortkomen uit een belofte van het ene team die nooit het database van een ander team bereikt.

Als we vooruitkijken naar de komende drie tot vijf jaar, wat denkt u dat ondernemingen die AI succesvol operationeel maken, zal onderscheiden van die waarvan de AI-initiatieven nog steeds in pilot-projecten vastzitten, en welke rol zal governance spelen bij het creëren van die concurrentievoordeel?

Het verschil zal neerkomen op of een bedrijf één systeem heeft om al zijn gegevens te reguleren, of dat het governance aan elke database en elk team afzonderlijk vastmaakt. Bedrijven die hun gegevens nog steeds per afdeling reguleren, zullen blijven tegen muren aanlopen, omdat AI per ontwerp afdelingen overschrijdt. Elk bedrijf wordt verteld om AI snel te leveren en niet in een brief van een regulator terecht te komen, en tot nu toe hebben die twee tegen elkaar ingewerkt. Wie beide oplost, in plaats van voor één te kiezen, zal de winnaar van het decennium zijn.

Bedankt voor het geweldige interview, lezers die meer willen leren, kunnen Ethyca of Astralis bezoeken.