J. Paul Haynes, CEO van Cinchy – Interviewreeks

J. Paul Haynes, CEO van Cinchy, is een cybersecurity- en technologie-executive met decennia ervaring in het opbouwen en schalen van enterprise-beveiligingsbedrijven. Hij is het best bekend vanwege zijn leiderschap bij eSentire, waar hij het bedrijf hielp groeien tot een belangrijke Managed Detection and Response-provider, en brengt een sterke achtergrond in engineering, cybersecurity, private equity-gestuurde groei en enterprise-risico naar Cinchy als het bedrijf zich richt op vertrouwd AI-adoptie en governance.

Cinchy is een enterprise AI-governance- en data-samenwerkingsbedrijf dat zich richt op het helpen van organisaties om AI, systemen en data op een veilige manier te verbinden. Het PeriMind-platform fungeert als een controlevlak voor AI-acties, waardoor ondernemingen zichtbaarheid, beleidsuitvoering, beveiliging en controleerbaarheid krijgen over hoe AI-agents interactie hebben met bedrijfssystemen, terwijl het Data Collaboration Platform teams helpt om beheerde data te beheren en te delen binnen de organisatie zonder afhankelijk te zijn van complexe integraties of duplicatieve datasilo’s.

U hebt meer dan 15 jaar geholpen bij het opbouwen en schalen van eSentire tot een van de meest erkende bedrijven in de cybersecurity-industrie. Welke lessen uit die reis brengt u mee naar uw nieuwe rol als CEO van Cinchy, en waarom gelooft u dat nu het juiste moment is om u te richten op AI-governance en vertrouwd AI-adoptie?

Een van de belangrijkste lessen die ik bij eSentire heb geleerd, is dat organisaties niet worstelen omdat ze een gebrek aan technologie hebben. Ze worstelen omdat opkomende technologieën operationele complexiteit creëren sneller dan de meeste bedrijven zelf kunnen beheren. Ik zie AI een opvallend vergelijkbare weg volgen.

Vandaag is de uitdaging niet om werknemers te laten experimenteren met AI. De meeste organisaties doen dat al. De echte uitdaging is om AI in productie te brengen, waar beslissingen een invloed hebben op klanten, financiële resultaten, regelgevingscompliance en bedrijfsoperaties.

Hoog gereguleerde industrieën zoals financiële diensten verduidelijken dit perfect. Ze bewegen zich niet langzaam omdat ze AI niet begrijpen. Ze bewegen zich voorzichtig omdat ze AI nog niet kunnen vertrouwen met mission-critical werk. Voordat een AI-systeem beslissingen kan nemen, hebben organisaties antwoorden nodig op fundamentele vragen: wie heeft die beslissingen goedgekeurd? Hoe worden ze gemonitord? Wanneer moet een mens ingrijpen? Wat gebeurt er als het model afwijkt, faalt of onbeschikbaar wordt?

Die vragen doen me denken aan waar cybersecurity vijftien jaar geleden was. Beveiliging evolueerde van een technologieprobleem naar een operationele discipline. Ik geloof dat AI-governance op dezelfde trajectorie zit.

Daarom ben ik bij Cinchy gekomen. We geloven dat vertrouwd AI-adoptie (niet AI-experimentatie) de komende decennia zal definiëren, en we zien beheerde AI-governance als even belangrijk worden als beheerde cybersecurity werd.

Veel ondernemingen hebben de afgelopen twee jaar geëxperimenteerd met generatieve AI, maar relatief weinig hebben AI met succes ingezet in mission-critical workflows. Wat zijn de grootste barrières die organisaties ervan weerhouden om over te gaan van pilots naar productie?

Ik denk niet dat bedrijven worstelen omdat de technologie niet goed genoeg is. Ik denk dat ze worstelen omdat de inzet een stuk hoger wordt zodra AI voorbij experimentatie gaat.

Een pilot is één ding. AI in productie brengen is iets heel anders. Nu heeft het toegang tot enterprise-data, interactie met bedrijfssystemen, misschien zelfs beslissingen nemen namens werknemers. Dat is wanneer leiderschap terecht begint te vragen: “Hoe controleren we dit? Hoe monitoren we het? En hoe weten we wanneer we een mens nodig hebben?”

Die zijn geen redenen om AI-adoptie te vertragen. Ze zijn de dingen die AI-adoptie mogelijk maken in de eerste plaats. Als u die vragen met vertrouwen kunt beantwoorden, bewegen organisaties veel sneller.

U hebt een groot deel van uw carrière besteed aan het beveiligen van enterprise-omgevingen tegen cyberdreigingen. Hoe verschilt het beveiligen van een AI-gepowered organisatie van het beveiligen van een traditionele IT-omgeving?

Traditionele cybersecurity richt zich op het beschermen van eindpunten, identiteiten, netwerken en cloud-omgevingen. AI voegt een extra permanente ondernemingsdreigingsoppervlak toe. Elk AI-systeem introduceert nieuwe risico’s. Modeltoegang, prompt-injectie, overmatige machtigingen, modelafwijking, autonome besluitvorming en geheel nieuwe aanvalsvector die eerder niet bestond.

Het belangrijke punt is dat AI-beveiliging niet losstaat van cybersecurity. Het breidt cybersecurity uit. Ondernemingen hebben nog steeds elke bestaande beveiligingscontrole nodig, maar nu hebben ze ook beveiliging nodig die specifiek is ontworpen voor AI-systemen die in productie werken.

Shadow IT is al lang een zorg voor beveiligingsteams, maar we zien nu de opkomst van shadow AI. Hoe groot is deze uitdaging, en welke risico’s onderschatten organisaties?

Shadow AI wordt een van de snelst groeiende bedrijfsrisico’s omdat directieteams snelle AI-adoptie aanmoedigen zonder altijd governance in te voeren. De meeste werknemers handelen niet kwaadwillig. Ze proberen productiever te zijn. Het probleem is dat AI-systemen de machtigingen erven die gebruikers al hebben.

Een executive die experimenteert met een openbaar AI-model kan onbewust vertrouwelijke financiële gegevens, klantinformatie of intellectueel eigendom blootstellen door AI te vragen om het te analyseren.

Daarom hebben organisaties zichtbaarheid, beleidscontroles en governance nodig, niet om AI-adoptie te vertragen, maar om het veilig genoeg te maken om te schalen.

AI-agents krijgen steeds vaker toegang tot enterprise-systemen, data en besluitvormingsprocessen. Welke nieuwe verantwoordelijkheids- en governance-uitdagingen ontstaan wanneer AI-systemen autonoom kunnen handelen in plaats van alleen inhoud te genereren?

AI-agents veranderen fundamenteel de governance-conversatie omdat ze niet langer alleen inhoud genereren. Ze nemen actie. Wanneer een autonoom systeem transacties kan goedkeuren, toegang kan krijgen tot enterprise-systemen of bedrijfsbeslissingen kan nemen, hebben organisaties complete verantwoordelijkheid nodig.

Elke actie moet eenvoudige vragen beantwoorden:

• Wat is er gebeurd?
• Waarom is het gebeurd?
• Welke AI-agent heeft de beslissing genomen?
• Wie heeft het goedgekeurd?
• Wanneer moet een mens ingrijpen?

Die principes zijn niet nieuw. Industrieën hebben al decennia lang verantwoordelijkheidsvereisten onder reguleringen zoals Sarbanes-Oxley. AI breidt deze verwachtingen simpelweg uit naar autonome digitale werknemers.

Veel organisaties racen om AI in te zetten vanwege concurrentiedruk. Hoe kunnen zakelijke leiders de behoefte aan snelheid in evenwicht brengen met de behoefte aan governance, compliance en risicobeheer?

Governance moet AI-adoptie niet vertragen. Het moet het versnellen. Ondernemingen bewegen sneller wanneer leiderschap het milieu vertrouwt dat ze bouwen. Dat betekent het opzetten van een beveiligde, monitorbare AI-architectuur, het continu evalueren van modellen voor afwijking en prestaties, het beheren van toegang tot enterprise-systemen en het hebben van duidelijke operationele controles voordat AI in productie komt.

Net zoals ondernemingen managed detection and response hebben geadopteerd om cybersecurity te vereenvoudigen, geloof ik dat veel managed AI-governance zullen adopteren om expertise te verwerven zonder grote specialistische teams intern te hoeven bouwen.

Raden van bestuur worden steeds meer betrokken bij AI-toezicht. Welke vragen moeten raden van bestuur aan managementteams stellen over AI-strategie, governance en verantwoordelijkheid?

Radens van bestuur moeten één fundamentele vraag stellen: kan management aantonen dat AI werkt onder hetzelfde niveau van governance als elk ander kritisch bedrijfssysteem?

Dat betekent begrijpen waar AI wordt gebruikt, wie het bezit, hoe beslissingen worden gemonitord, hoe risico wordt beheerd en hoe de organisatie zou blijven opereren als een AI-service onbeschikbaar zou worden. De organisaties die slagen, zullen niet noodzakelijkerwijs degene zijn die AI het snelst adopteren. Ze zullen degene zijn die de operationele discipline bouwen om AI op grote schaal te vertrouwen.

De cybersecurity-industrie heeft decennia lang besteed aan het ontwikkelen van kaders, controles en best practices. Zijn er lessen uit cybersecurity die rechtstreeks toegepast kunnen worden op AI-governance, of vereist AI een geheel nieuwe aanpak?

Cybersecurity biedt een uitstekend blauwdruk voor AI-governance. Identiteitsbeheer, least privilege, continue monitoring, audit-trails, incidentrespons en veerkracht blijven allemaal essentieel. Wat nieuw is, is dat AI uitdagingen introduceert die traditionele systemen nooit hadden, waaronder modelafwijking, hallucinaties, prompt-manipulatie en afhankelijkheid van derdepartij-stichtingsmodellen. Dus, AI vervangt cybersecurity niet. Het bouwt erop met een extra governance-laag.

Wat ziet “vertrouwd AI-adoptie” er in de praktijk eigenlijk uit? Zijn er specifieke governance-principes of operationele waarborgen die elk bedrijf in plaats moet hebben voordat het AI-initiatieven schaalt?

Ik denk erover na op dezelfde manier als we jaren geleden over cybersecurity dachten. Niemand vroeg of beveiliging waarde creëerde. De vraag was of u uw omgeving genoeg vertrouwde om de business draaiende te houden.

AI gaat exact dezelfde kant op. Als u niet kunt zien wat het doet, controleert wat het toegang tot heeft, of begrijpt waarom het bepaalde beslissingen neemt, gaat u het waarschijnlijk niet toestaan om iets belangrijks te doen.

Zodra u die vertrouwen heeft, gebeurt adoptie van nature. Ondernemingen stoppen met het behandelen van AI als een interessant experiment en beginnen het te behandelen als een onderdeel van de business.

Als we drie tot vijf jaar vooruitkijken, hoe ziet u de relatie tussen AI-governance en concurrentievoordeel evolueren? Zal sterke governance een differentiator worden, of gewoon een vereiste voor het doen van zaken?

In de komende drie tot vijf jaar zal sterke AI-governance geen concurrentievoordeel zijn. Het zal een bedrijfsvereiste worden. Ondernemingen die governance vroeg instellen, zullen AI sneller adopteren omdat ze vertrouwen hebben om kritieke workloads in productie te brengen. Diegenen die dat niet doen, zullen blijven steken in experimentatie terwijl concurrenten meetbare winst behalen in productiviteit, innovatie en klantervaring. Uiteindelijk zal governance AI-adoptie niet vertragen. Het zal de reden zijn waarom ondernemingen AI genoeg vertrouwen om het volledig te omarmen.

Bedankt voor het geweldige interview, lezers die meer willen leren, moeten Cinchy bezoeken.