Andrew Johnson, CEO da Yardstik – Série de Entrevistas

Andrew Johnson, CEO da Yardstik, é um executivo de tecnologia experiente com histórico em escalar empresas de software de alto crescimento, construir organizações go-to-market e impulsionar receita empresarial. Ele ingressou na Yardstik como Diretor de Operações em 2022 antes de ser promovido a CEO em outubro de 2024. Anteriormente, Johnson atuou como Diretor de Receita na Branch, onde ajudou a conduzir a empresa de pagamentos para força de trabalho durante um período de rápido crescimento, e passou mais de cinco anos na Dialpad, inclusive como Chefe de Vendas Corporativas, onde ajudou a desenvolver suas operações de vendas nos EUA e no Canadá. No início de sua carreira, ocupou cargos de desenvolvimento de negócios e parcerias na Compellent Technologies, que foi adquirida pela Dell por aproximadamente US$ 960 milhões em 2011.

Yardstik é uma empresa de tecnologia de confiança da força de trabalho com sede em Minneapolis, fundada em 2020, que oferece prevenção de fraudes, verificação de identidade, triagem de antecedentes, verificação de credenciais e monitoramento contínuo da força de trabalho por meio de sua Human Trust Platform. A empresa foi construída em torno de uma arquitetura API-first que permite que sua tecnologia seja integrada diretamente a sistemas de rastreamento de candidatos, plataformas de gestão de capital humano, marketplaces de trabalho temporário e outras aplicações de força de trabalho. A Yardstik também suporta o Model Context Protocol (MCP), permitindo que agentes de IA se conectem à sua infraestrutura de confiança e automatizem fluxos de trabalho como verificações de antecedentes, verificação de identidade, triagem de credenciais, nova triagem e adjudicação dentro de sistemas de contratação e integração impulsionados por IA.

Antes de ingressar na Yardstik, você passou mais de cinco anos na Branch, onde viu de perto um esquema de fraude que usava números de Seguro Social roubados para obter empregos sob a identidade de outras pessoas. Como essa experiência mudou a sua forma de pensar sobre a triagem de antecedentes, e quando você percebeu que a verificação de identidade precisava ir além de uma checagem única na contratação?

Quando eu estava na Branch, um dos nossos maiores clientes foi atingido por um esquema de fraude vindo da Venezuela, algo que afeta amplamente as plataformas de trabalho temporário. Eles estavam roubando números de Seguro Social de americanos e vendendo-os a pessoas que não tinham status para trabalhar nos EUA. Alguém se candidatava usando uma identidade roubada, começava a fazer entregas, e tudo parecia bem até a temporada de impostos, quando o titular real do SSN recebeu uma cobrança 1099 por um trabalho que nunca realizou. Essa foi a primeira vez que vi a fraude aparecer do outro lado de uma decisão de contratação, em vez de durante o processo.

Esse foi o momento que realmente mudou minha perspectiva. Percebi com que frequência pessoas que passam na triagem de antecedentes não são quem realmente comparece ao trabalho. Por exemplo, alguém com histórico limpo completa a verificação, mas um familiar que não poderia ter passado por ela assume o turno. Uma verificação de antecedentes não tem como detectar isso, porque analisa apenas o candidato no papel, uma única vez, no início. Quando entrei na Yardstik, trouxe o que aprendi na Branch e trabalhei com a equipe para desenvolver a abordagem de monitoramento contínuo para nossos clientes.

A IA generativa diminuiu drasticamente a barreira para criar identidades falsas, credenciais falsificadas, perfis sintéticos e até deepfakes convincentes. Quais técnicas de fraude habilitadas por IA estão avançando mais rapidamente hoje, e quais você acredita que os empregadores estão menos preparados para enfrentar?

A fraude que está evoluindo mais rapidamente agora não é o vídeo chamativo de deepfake. É a identidade sintética: um número de Seguro Social real combinado com um nome falso e um histórico de trabalho fabricado, juntados em algo que parece limpo na primeira verificação. Acrescente ferramentas de IA que geram um currículo bem elaborado e um conjunto correspondente de credenciais, e você tem um candidato.

O que os empregadores estão menos preparados para enfrentar é a contratação remota, nunca conhecida pessoalmente. Plataformas de trabalho temporário, cargos remotos de TI, centrais de atendimento virtuais. Se ninguém na empresa jamais vê essa pessoa, todos os sinais que antes identificavam um fraudador (uma entrevista nervosa, um documento de identidade que parece um pouco errado pessoalmente) desaparecem. É exatamente onde os esquemas de fraude em contratações remotas vêm operando, e a maioria das empresas ainda trata isso como problema de outrem até que lhes aconteça.

A Yardstik evoluiu da triagem de antecedentes tradicional para uma plataforma mais ampla que combina prevenção de fraudes com IA, verificação de identidade, verificação de credenciais e monitoramento contínuo. Qual é o papel da IA na conexão desses sinais, e o que o sistema pode detectar que uma verificação de antecedentes convencional não consegue?

A Yardstik começou como uma empresa de triagem de antecedentes, e para a maioria dos clientes isso ainda é um elemento fundamental do que fazemos. Mas uma verificação de antecedentes é uma transação única: executá‑la, obter uma resposta, descartar os dados. O que conecta prevenção de fraudes, verificação de identidade, checagens de credenciais e monitoramento em um único sistema é o fato de não descartarmos os dados. Mantemos um perfil de um candidato ao longo do tempo, e cada nova verificação o complementa em vez de começar do zero.

É isso que nos permite detectar coisas que uma verificação única jamais detectaria. Por exemplo, um de nossos clientes teve fraudadores tentando repetidamente acessar contas de agentes com acesso a dados fiscais de clientes. Como podíamos ver o mesmo dispositivo, ou a mesma identidade ligeiramente alterada, aparecendo em múltiplas tentativas, conseguimos impedir antes que se tornasse uma decisão de triagem. Uma verificação única teria analisado cada uma dessas candidaturas isoladamente e aprovado todas elas.

Yardstik usa sinais como dados de identidade pessoal, atividade de pagamento e indicadores de dispositivo ou localização para descobrir possíveis enganos de identidade. Como você separa comportamentos realmente suspeitos de comportamentos incomuns, mas legítimos, particularmente à medida que os modelos de IA se tornam responsáveis por avaliar padrões cada vez mais complexos?

Não tentamos traçar uma linha rígida entre suspeito e incomum, porque na maioria das vezes não há uma distinção no momento em que a observamos. O que fazemos é evidenciar a diferença. Se a candidatura de alguém indica uma escola e, um ano depois, uma nova candidatura sob a mesma identidade indica outra escola, isso merece uma segunda análise. Se a pessoa sempre se candidatou de um iPhone e aparece em um Android com um novo endereço IP, o mesmo vale. Nenhum desses sinais indica fraude isoladamente, mas a combinação de múltiplos sinais começa a elevar o perfil de risco. Somos a camada que sinaliza o que mudou desde a última vez que vimos alguém e fornecemos aos empregadores mais dados para ajudá-los a tomar decisões informadas.

Yardstik afirma que aproximadamente um em cada 30 candidatos falha na verificação de identidade governamental, enquanto números de Seguro Social sinalizados ou duplicados são bloqueados diariamente. O que vocês estão aprendendo com esses dados sobre como a fraude na força de trabalho está evoluindo, e quanto do que encontram parece organizado em vez de oportunista?

Esses dados nos mostram que a fraude de identidade na contratação não é mais um problema marginal. Tornou‑se um custo básico de fazer negócios em qualquer escala real, da mesma forma que as devoluções são um custo básico nos pagamentos. Uma parte significativa dela parece organizada em vez de oportunista. A fraude oportunista tende a ser pontual: alguém enche o currículo ou altera a data de graduação. A fraude organizada apresenta um padrão, o mesmo dispositivo ou a mesma identidade quase idêntica tentando o mesmo tipo de trabalho em diferentes empregadores, às vezes alterando um detalhe de cada vez para ver o que passa. Essa foi a versão que vi há anos, com números de SSN roubados sendo revendidos, e ainda vejo hoje. Agora está apenas automatizada e operando em volume muito maior porque as ferramentas generativas tornaram as identidades falsas mais baratas de produzir.

A verificação de identidade incorpora cada vez mais documentos governamentais, biometria, verificações de vivacidade, sinais de dispositivo e outros indicadores de risco. À medida que os modelos generativos se tornam mais capazes de produzir documentos, rostos e vozes realistas, quais sinais você acredita que permanecerão mais difíceis de falsificar pelos atacantes?

Qualquer coisa que você pode gerar como um único artefato – uma foto, um documento, até um vídeo curto – está se tornando cada vez mais fácil de falsificar de forma convincente. O que continua difícil de falsificar é a consistência ao longo do tempo, em diferentes lugares que ninguém controla simultaneamente. Uma identidade sintética pode passar em uma verificação de vivacidade com um deepfake suficientemente bom. É muito mais difícil que essa mesma identidade também possua um histórico de dispositivos correspondente, um padrão de localização correspondente e um histórico de trabalho que se alinhe como o de uma pessoa real ao longo de empregadores e anos. Essa é realmente a premissa por trás do monitoramento contínuo, em vez de um único momento de verificação. Uma verificação tradicional lhe dá uma fotografia, um único quadro, tirado uma vez. A nossa se comporta mais como um feed ao vivo, porque foi construída para notar quando os quadros deixam de corresponder entre si.

O monitoramento contínuo representa uma mudança significativa, de verificar alguém uma única vez para avaliar a confiança ao longo de todo o ciclo de vida do trabalhador. Como você projeta esse tipo de sistema sem criar vigilância desnecessária, falsos positivos ou decisões que os trabalhadores têm pouca capacidade de entender ou contestar?

Vigilância é observar alguém que não sabe que está sendo observado. Não é assim que isso funciona. Cada trabalhador que monitoramos deu consentimento por escrito, sabe exatamente o que está sendo verificado e, por lei, devemos fornecer a ele uma cópia de tudo o que encontrarmos e um meio de contestar caso esteja errado. Nada disso é opcional. É a FCRA.

A outra parte é que não tomamos a decisão nós mesmos. Se uma prisão aparecer em alguém que estamos monitorando, isso é um alerta para que o empregador investigue, não um veredicto. O devido processo ainda se aplica. Os empregadores devem notificar o candidato, dar-lhe a oportunidade de responder e, então, fazer uma determinação final. Nosso trabalho termina ao apontar que algo mudou; o empregador decide o que isso significa e o que fazer a respeito, da mesma forma que faria com uma verificação na contratação. Construímos o sistema assim de propósito.

À medida que o recrutamento e a gestão da força de trabalho se tornam cada vez mais agentes, onde deve ficar o limite entre um agente de IA que coleta e avalia sinais de confiança e a tomada efetiva de uma decisão de contratação decisiva?

Eu colocaria a linha onde a lei já a coloca para nós hoje. Temos cuidado de não nos chamar de empresa de IA porque nossa indústria tem a exigência rígida de que um ser humano esteja no circuito em tudo que envolva uma disputa ou uma decisão adversa. Um agente pode coletar sinais, pontu‑los, sinalizar o que mudou. O que ele não deve fazer por conta própria é decidir se alguém não obtém o emprego ou não o mantém, pois essa decisão precisa estar vinculada a uma pessoa responsável por ela e que possa explicá‑la se for contestada.

À medida que a contratação se torna mais automatizada de ponta a ponta, acredito que esse limite se torna ainda mais importante, não menos. Quanto mais fácil fica deixar um agente conduzir todo o funil, mais tentador é permitir que ele tome a decisão final. Coletar e avaliar sinais de confiança é exatamente o que o software deve fazer de forma mais rápida. Decidir o sustento de uma pessoa não é algo que eu delegaria de forma alguma.

Com o novo $30 million Series B elevando o financiamento total da Yardstik para $65 million, quais áreas de IA e prevenção de fraudes você acredita que agora merecem o maior investimento, e quais problemas técnicos ainda precisam ser resolvidos para que a verificação contínua de identidade funcione em escala muito maior?

Estamos destinando o novo capital para as partes da prevenção de fraudes que são menos glamorosas e as mais caras de construir bem. Relatórios de veículos e monitoramento de exclusão do OIG. Alertas automáticos no momento em que uma licença, uma apólice de seguro ou uma certificação expira, em vez de esperar o próximo ciclo de renovação para perceber.

O problema técnico que ninguém nesta indústria resolveu é o custo. Muitos países e estados cobram sua própria taxa para obter um registro, às vezes mais de US$ 100 por uma única consulta em um lugar como Nova Iorque, e esse custo não diminui só porque você quer verificar alguém com mais frequência. Tornar a verificação contínua suficientemente acessível para que uma empresa com milhares de trabalhadores temporários possa realmente executá‑la mensalmente em vez de uma vez por ano é tanto um problema de obtenção de dados e precificação quanto um problema de aprendizado de máquina. É o que mais ocupa meus pensamentos no momento.

Está surgindo uma corrida armamentista interessante: a IA está simultaneamente facilitando a fraude de identidade e fornecendo às plataformas ferramentas melhores para detectá‑la. À medida que ambos os lados evoluem, você espera que provar que alguém é genuinamente quem afirma ser se torne substancialmente mais difícil, ou a IA acabará tornando a identidade digital mais confiável do que jamais foi?

Ambos são verdadeiros, e não acho que um anule o outro. Nossos clientes costumam nos dizer que esperam que possamos “combater fogo com fogo”. Eles sabem que precisamos de soluções modernas para problemas modernos. Minha leitura honesta é que a identidade digital se torna mais confiável para os sistemas construídos para rastrear alguém ao longo dos anos e entre plataformas, e se torna menos confiável para tudo que ainda aposta em uma verificação única pontual. Isso significa que as empresas que só verificaram alguém uma vez serão as mais vulneráveis, e as que construíram para uma visão de longo prazo parecerão muito mais inteligentes em retrospectiva do que provavelmente se sentem hoje.

Obrigado pela ótima entrevista, leitores que desejam saber mais devem visitar Yardstik.