J. Paul Haynes, CEO av Cinchy – Intervju-serie

J. Paul Haynes, CEO av Cinchy, er en cybersecurity- og teknologisjef med flere tiårs erfaring med å bygge og skala opp bedrifter innen sikkerhet. Han er best kjent for sin ledelse i eSentire, hvor han hjalp til å vokse selskapet til en stor leverandør av Managed Detection and Response, og bringer en sterk bakgrunn innen ingeniørvitenskap, cybersecurity, private equity-basert vekst og bedriftsrisiko til Cinchy, da selskapet fokuserer på å adoptere og styre AI på en trygg måte.

Cinchy er et selskap som driver AI-styring og datasamarbeid, og som fokuserer på å hjelpe organisasjoner med å koble sammen AI, systemer og data på en trygg måte. Deres PeriMind-plattform fungerer som en kontrollenhet for AI-handlinger, og gir bedrifter oversikt, politikk-gjennomføring, sikkerhet og kontroll over hvordan AI-agenter samhandler med forretningsystemer, mens deres Data Collaboration Platform hjelper team med å håndtere og dele styrt data på tvers av organisasjonen uten å være avhengig av komplekse integrasjoner eller duplikate datasiloer.

Du tilbrakte over 15 år med å bygge og skala opp eSentire til å bli ett av de mest kjente selskapene innen cybersecurity. Hva er de viktigste lærdommene du tar med deg fra den reisen, og hvorfor valgte du å fokusere på AI-styring og trygg AI-adopterings nå?

En av de viktigste lærdommene jeg lærte i eSentire er at organisasjoner ikke sliter fordi de mangler teknologi. De sliter fordi nye teknologier skaper operasjonell kompleksitet raskere enn de fleste selskaper kan håndtere på egen hånd. Jeg ser AI følge en lignende utvikling.

I dag er utfordringen ikke å få ansatte til å eksperimentere med AI. De fleste organisasjoner gjør allerede det. Den virkelige utfordringen er å flytte AI inn i produksjon, der beslutninger påvirker kunder, finansielle resultater, regulatorisk overholdelse og forretningsoperasjoner.

Høyt regulerte bransjer som finansielle tjenester illustrerer dette perfekt. De flytter ikke sakte fordi de ikke forstår AI. De flytter forsiktig fordi de ennå ikke kan stole på AI med kritiske oppgaver. Før en AI-løsning kan fatte beslutninger, trenger organisasjoner svar på grunnleggende spørsmål: Hvem godkjente disse beslutningene? Hvordan overvåkes de? Når griper en menneske inn? Hva skjer hvis modellen endrer seg, feiler eller blir utilgjengelig?

Disse spørsmålene minner meg om hvor cybersecurity var for femten år siden. Sikkerhet utviklet seg fra å være et teknologiproblem til å bli en operasjonell disiplin. Jeg tror AI-styring er på samme utviklingskurve.

Derfor sluttet jeg meg til Cinchy. Vi tror at trygg AI-adopterings (ikke AI-eksperimentering) vil definere det neste tiåret, og vi ser at styrt AI-styring blir like viktig som styrt cybersecurity ble.

Mange bedrifter har eksperimentert med generativ AI de siste to årene, men relativt få har suksessfullt deployert AI over kritiske arbeidsflyter. Hva er de største hindringene som forhindrer organisasjoner fra å flytte fra piloter til produksjon?

Jeg tror ikke at selskaper sliter fordi teknologien ikke er god nok. Jeg tror de sliter fordi risikoen blir mye høyere når AI flytter seg utenfor eksperimentering.

En pilot er en ting. Å sette AI i produksjon er noe annet. Nå er det å aksessere bedriftsdata, samhandle med forretningsystemer, kanskje sogar fatte beslutninger på vegne av ansatte. Da begynner ledelsen rett og slett å spørre: “Hvordan kontrollerer vi dette? Hvordan overvåker vi det? Og hvordan vet vi når vi trenger en person inn?

Disse er ikke grunner til å sakke ned AI-adopterings. De er ting som gjør AI-adopterings mulig fra første sted. Hvis du kan svare på disse spørsmålene med tillit, flytter organisasjoner mye raskere.

Du har tilbrakt mye av din karriere med å sikre bedriftsmiljøer mot cybertrusler. Hvordan skiller sikring av en AI-drevet organisasjon seg fra å sikre et tradisjonelt IT-miljø?

Tradisjonell cybersecurity fokuserer på å beskytte endepunkter, identiteter, nettverk og sky-miljøer. AI legger til en ny, permanent trusseloverflate for bedrifter. Hvert AI-system introduserer nye risikoer. Modelltilgang, prompt-injeksjon, ubegrensede tillatelser, modellforandring, autonom beslutning og helt nye angrepsveier som ikke eksisterte tidligere.

Det viktige punktet er at AI-sikkerhet ikke er adskilt fra cybersecurity. Det utvider cybersecurity. Organisasjoner trenger fortsatt alle eksisterende sikkerhetskontroller, men nå trenger de også sikkerhet som er spesifikt utformet for AI-systemer i produksjon.

Skygge-IT har lenge vært en bekymring for sikkerhetsteam, men nå ser vi en økning i skygge-AI. Hvor stor er denne utfordringen, og hva er risikoene organisasjoner undervurderer?

Skygge-AI blir en av de raskest voksende forretningsrisikoene fordi ledelseslagene oppmuntrer til rask AI-adopterings uten å alltid sette styring på plass først. De fleste ansatte handler ikke ondsinnet. De prøver å være mer produktive. Problemet er at AI-systemer arver alle tillatelser brukerne allerede har.

En leder som eksperimenterer med en offentlig AI-modell kunne uforvarende eksponere konfidensiell finansiell informasjon, kundeinformasjon eller immaterielle rettigheter bare ved å be AI om å analysere det.

Derfor trenger organisasjoner oversikt, politikk-kontroll og styring, ikke for å sakke ned AI-adopterings, men for å gjøre det trygt nok til å skala opp.

AI-agenter blir stadig gitt tilgang til bedriftssystemer, data og beslutningsprosesser. Hva nye ansvarlige og styrende utfordringer oppstår når AI-systemer kan handle autonomt i stedet for bare å generere innhold?

AI-agenter endrer fundamentalt den styrende samtalen fordi de ikke lenger bare genererer innhold. De handler. Når et autonomt system kan godkjenne transaksjoner, aksessere bedriftssystemer eller fatte forretningsbeslutninger, trenger organisasjoner fullstendig ansvar.

Hvert handling bør svare på enkle spørsmål:

• Hva skjedde?
• Hvorfor skjedde det?
• Hvilken AI-agent fattet beslutningen?
• Hvem godkjente det?
• Når bør en menneske gripe inn?

Disse prinsippene er ikke nye. Bransjer har levd med ansvarskrav i tiår under reguleringer som Sarbanes-Oxley. AI utvider bare disse forventningene til autonome digitale arbeidere.

Mange organisasjoner kappler for å deployere AI på grunn av konkurransepress. Hvordan kan forretningsledere balansere behovet for hastighet med behovet for styring, overholdelse og risikostyring?

Styring bør ikke sakke ned AI-adopterings. Det bør akselerere det. Organisasjoner flytter raskere når ledelsen stoler på miljøet de bygger. Det betyr å etablere en sikker, overvåkbar AI-arkitektur, kontinuerlig evaluere modeller for drift og ytelse, håndtere tilgang til bedriftssystemer og ha klare operative kontroller før AI når produksjon.

Akkurat som organisasjoner adopterte managed detection and response for å forenkle cybersecurity, tror jeg mange vil adoptere managed AI-styring for å få ekspertise uten å måtte bygge store spesialistteam internt.

Styret har blitt mer involvert i AI-tilsyn. Hva spørsmål bør styreledere stille ledelseslagene om AI-strategi, styring og ansvar?

Styret bør spørre ett grunnleggende spørsmål: Kan ledelsen demonstrere at AI opererer under samme nivå av styring som alle andre kritiske forretningsystemer?

Det betyr å forstå hvor AI brukes, hvem eier det, hvordan beslutninger overvåkes, hvordan risiko håndteres og hvordan organisasjonen ville fortsette å operere hvis en AI-tjeneste ble utilgjengelig. Organisasjoner som lykkes, vil ikke nødvendigvis være de som adopterer AI raskest. De vil være de som bygger den operative disiplinen til å stole på AI i stor skala.

Cybersecurity-bransjen har brukt tiår med å utvikle rammer, kontroller og beste praksis. Er det lærdommer fra cybersecurity som kan direkte anvendes på AI-styring, eller krever AI en helt ny tilnærming?

Cybersecurity tilbyr en utmerket mal for AI-styring. Identitetshåndtering, minst mulig tillatelse, kontinuerlig overvåking, audit-spor, hendelse-svar og motstandsevne er fortsatt essensielle. Det nye er at AI introduserer utfordringer som tradisjonelle systemer aldri hadde, inkludert modellforandring, hallusinasjoner, prompt-manipulasjon og avhengighet av tredjeparts grunnmodeller. Så, AI erstatter ikke cybersecurity, men bygger på den med et ekstra styringslag.

Hva betyr “trygg AI-adopterings” i praksis? Er det bestemte styrende prinsipper eller operative sikkerhetstiltak som hver bedrift bør ha på plass før de skalerer AI-initiativer?

Jeg tenderer til å tenke på det på samme måte som vi tenkte på cybersecurity for noen år siden. Ingen spurte om sikkerhet skapte verdi. Spørsmålet var om du stolte på miljøet ditt nok til å holde bedriften i gang.

AI er på vei i samme retning. Hvis du ikke kan se hva det gjør, kontrollere hva det har tilgang til eller forstå hvorfor det fattar bestemte beslutninger, er du sannsynligvis ikke villig til å la det håndtere noe viktig.

Når du har den tilliten, skjer adopteringsprosessen naturlig. Organisasjoner slutter å behandle AI som et interessant eksperiment og begynner å behandle det som en del av bedriften.

I de neste tre til fem årene, hvordan ser du for deg at forholdet mellom AI-styring og konkurransefordel utvikler seg? Vil sterk styring bli en differensier, eller bare et krav for å drive forretning?

Over de neste tre til fem årene, vil sterk AI-styring ikke være en konkurransefordel. Det blir et forretningskrav. Organisasjoner som etablerer styring tidlig, vil adoptere AI raskere fordi de vil ha tillit til å flytte kritiske arbeidsflyter inn i produksjon. De som ikke gjør det, vil bli stående i eksperimenteringsfasen mens konkurrentene realiserer målbare gevinster i produktivitet, innovasjon og kundeopplevelse. Til slutt, vil styring ikke sakke ned AI-adopterings. Det vil være grunnen til at organisasjoner kan stole på AI nok til å fullt ut omfavne det.

Takk for det flotte intervjuet, lesere som ønsker å lære mer, kan besøke Cinchy.