Cillian Kieran, Fundador e CEO da Ethyca – Série de Entrevistas

Cillian Kieran, Fundador e CEO da Ethyca, é um empreendedor serial e engenheiro de privacidade com mais de duas décadas de experiência em construir empresas de tecnologia intensiva em dados. Antes de fundar a Ethyca em 2019, ele liderou a agência digital CKSK por uma década e subsequentemente fundou a BrandCommerce, aproveitando seu conhecimento em engenharia de software, experiência do usuário e programas de dados de grande escala de empresas. Na Ethyca, Kieran se concentrou em transformar a privacidade e a governança de dados de uma função de conformidade manual em infraestrutura que pode ser incorporada diretamente na forma como as organizações constroem e operam tecnologia.

Ethyca desenvolve infraestrutura de dados confiáveis que ajuda as empresas a descobrir informações sensíveis, gerenciar consentimento, atender a solicitações de privacidade e aplicar regras que governam como os dados são usados em aplicativos convencionais e sistemas de inteligência artificial. Sua plataforma é construída em torno do Fides, uma linguagem de governança de código aberto que cria um quadro consistente para definir, auditar e aplicar usos de dados permitidos em sistemas, APIs e pipelines de IA. A empresa agora está lançando a Astralis, uma camada de governança de IA que combina avaliações regulatórias automatizadas com controles de acesso baseados em propósito, permitindo que as organizações determinem por que os modelos e agentes estão acessando dados específicos e apliquem essas permissões em tempo real. A Ethyca afirma que a plataforma pode reduzir as avaliações que tradicionalmente exigem 40 a 60 horas de trabalho manual para aproximadamente 20 a 40 minutos, ajudando as empresas a expandir as implantações de IA sem permitir que os processos de governança se tornem um gargalo.

Você fundou várias empresas antes de lançar a Ethyca em 2019, incluindo a construção da CKSK em uma consultoria digital global que atende organizações Fortune 500. Quais experiências durante essa jornada o convenceram de que a governança de dados, em vez dos próprios modelos de IA, se tornaria o gargalo definidor para a adoção de IA empresarial?

Passei anos construindo uma consultoria digital que atendia grandes empresas como Heineken, Sony e Pepsi durante a corrida do ouro da publicidade digital e das mídias sociais. Várias vezes, assisti ao mesmo padrão se repetir. Uma tecnologia poderosa chega, todos correm para adotá-la, e apenas quando ela já está incorporada nos negócios, os reguladores aparecem para impor guardrails, deixando as equipes de conformidade lidando com as consequências. Pegue o GDPR, a primeira grande repressão sobre como as empresas usam dados pessoais. Os reguladores só interviram após a martech e as mídias sociais já terem transformado a coleta de dados no alicerce de seus modelos de negócios. Ficou óbvio para mim que o mesmo padrão ocorreria com a IA.

O que solidificou essa suposição que eu tinha foi o trabalho de conformidade de privacidade que eu estava fazendo na Ethyca. Ao construir sistemas de conformidade para grandes empresas, percebi que você poderia colocar uma camada em torno dos dados de uma empresa que avaliasse cada solicitação contra três coisas: o que os dados são, o que você é permitido fazer com eles e qual é o risco se você fizer. Trabalhar nisso tornou a restrição real óbvia. As empresas não estão com falta de dados. Estão com falta de uma camada de governança que dita quais dados são permitidos para serem usados. Essa foi a aposta que fizemos em 2019, e desde o advento da IA, ela se tornou ainda mais relevante.

Nos últimos anos, a IA empresarial mudou de chatbots simples para agentes de IA autônomos capazes de tomar decisões e realizar ações. Como essa evolução mudou os desafios de governança que as organizações enfrentam, e por que as abordagens de conformidade tradicionais não escalonam mais?

As pessoas falam sobre IA empresarial e seu ROI como se o valor viesse apenas de conectar um agente aos fluxos de trabalho. Na realidade, o valor vem de conectar esse agente a uma ampla gama de sistemas, para que ele possa sintetizar dados e produzir saídas que nenhum ser humano poderia reunir no mesmo tempo. O acesso a dados é o verdadeiro gargalo.

A pegadinha é que a mesma coisa que torna um agente valioso é o que o torna arriscado. Quanto mais sistemas você conecta, mais dados começam a fluir de uma parte da organização para outra, e cada um desses fluxos se torna uma oportunidade para os dados acabarem no lugar errado.

Cada um desses fluxos precisa ser verificado: esses dados são permitidos para serem usados dessa maneira, para esse propósito, sob a lei de privacidade e nossa própria política? Quando há um punhado dessas decisões todos os dias, uma pessoa pode fazer cada chamada manualmente. Quando há um agente de IA disparando milhares de solicitações por segundo, torna-se humanamente impossível. É nesse ponto que a conformidade tradicional quebra.

Para que as valorações espumosas das grandes empresas de IA sejam realizadas, a governança tem que se mover para o tempo real, à velocidade da máquina, no momento em que os dados são acessados.

A Ethyca está lançando a Astralis como uma camada de governança para IA empresarial. Quais desafios específicos dos clientes levaram à criação da plataforma, e por que agora é o momento certo para introduzi-la?

O trabalho de limpar dados para IA ainda acontece da mesma maneira que acontecia para privacidade em 2016, com pessoas preenchendo questionários e executando avaliações manualmente. Esse processo já era lento demais para o trabalho de privacidade comum, e contra o volume de casos de uso de IA, não tem chance. A maior parte do que é vendido como governança de IA agora é o mesmo formulário e fluxo de trabalho com um rótulo “IA” nele. Preencher um formulário não é governança. O que está faltando é software que faça o trabalho de governança em si, em vez de produzir um registro de uma pessoa tendo feito isso manualmente. É isso que construímos a Astralis para fazer.

A demanda que estamos respondendo vem de equipes que foram instruídas a enviar IA rapidamente e com segurança, e atualmente não podem fazer ambas as coisas. Os agentes estão entrando em produção mais rápido do que qualquer equipe possa acompanhar, e a pergunta que os reguladores fazem mudou. Costumava ser se você tinha uma política. Agora é se você pode demonstrar que a política foi seguida em um pedaço específico de dados, para um propósito específico. A maioria das empresas pode responder à primeira pergunta bem. Muito poucas podem responder à segunda.

A Gartner projeta que a empresa média da Fortune 500 poderia estar executando 150.000 agentes de IA em 2028, em comparação com apenas 15 em 2025. Como os líderes empresariais devem repensar a governança em um mundo onde agentes autônomos podem superar os funcionários humanos que interagem com dados?

Em 2028, os agentes que tocam os dados de uma empresa superarão os funcionários que o fazem. Quando os atores que usam seus dados são principalmente máquinas, quem é responsabilizado? O modelo antigo localiza a responsabilidade no sinal de um ser humano final, mas quando a maioria dessas decisões não é feita nem revisada por um ser humano, a responsabilidade tem que mudar de pessoas para sistemas.

O setor bancário fez essa mudança há muito tempo. Não confiamos em um banco porque um caixa está contando as notas à mão. Confiamos porque os controles são sólidos, e porque há pessoas responsáveis por mantê-los assim. A governança de dados tem que fazer o mesmo. A prova de que uma empresa lida com dados de forma responsável deixa de ser que uma pessoa revisou, e se torna que o sistema aplica a política automaticamente em cada uso, e pode fornecer evidências disso, para que a responsabilidade seja incorporada. Isso permitirá que os líderes empresariais se concentrem no que são bons: aplicar julgamento, definir as regras e defender o sistema.

A Astralis combina um Modelo Regulatório de Língua Grande (LLRM) com Controle de Acesso Baseado em Propósito (PBAC). Você pode explicar como essas duas tecnologias trabalham juntas para garantir que os sistemas de IA entendam não apenas quem pode acessar os dados, mas também por que devem ser capazes de acessá-los?

O controle de acesso tradicional verifica quem você é e se sua identidade permite que você toque em dados específicos.

Mas a privacidade é diferente; não é uma questão de quem entra. Uma pessoa pode estar perfeitamente autorizada a acessar um conjunto de dados e ainda usá-lo para algo que nunca foi permitido. A pergunta que se torna importante é para que os dados estão sendo usados e se esse propósito é permitido. É isso que o PBAC responde e aplica.

A parte difícil é que o propósito não é um fato técnico que você possa ler em um banco de dados. Depende do que o seu negócio faz, do que você prometeu aos clientes e do que a lei permite. É para isso que o LLRM serve. Ele aprende como o seu negócio específico opera, então trabalha através das regulamentações que se aplicam a ele. A saída é uma determinação clara do que cada tipo de dado pode e não pode ser usado. O PBAC então aplica essa determinação no ponto de acesso. O LLRM raciocina, o PBAC age.

Sua declaração de lançamento afirma que as avaliações de IA podem ser reduzidas de 40 a 60 horas de trabalho manual para apenas 20 a 40 minutos. Quais partes do processo de governança de hoje são as mais ineficientes, e onde a automação cria os maiores ganhos?

A maioria dessas 40 a 60 horas não é gasta em nada que precise de julgamento humano. São gastos em montagem. Alguém mapeia os dados manualmente, os mantém em uma planilha e então persegue o contexto por equipes. Até que tudo isso seja reunido, a avaliação real, a parte que precisa de uma pessoa para pensar, é uma fatia pequena do trabalho. O resto é um profissional agindo como um agente de coleta de informações que o negócio já tem, apenas está espalhado por equipes.

Frustrantemente, é um trabalho que nunca fica feito. Uma avaliação é uma fotografia única, mas os casos de uso de IA não param de chegar. Novos casos aparecem constantemente, e cada um precisa de sua própria revisão. Então, o processo manual não é apenas lento uma vez, está permanentemente atrasado em relação ao ritmo que o negócio deseja seguir, e se tornará incontrolável à medida que as empresas

Os ganhos de eficiência vêm da mudança de quem faz o quê. O sistema puxa os metadados por si mesmo, então ninguém está perseguindo o contexto manualmente. Ele apenas apresenta as perguntas que um ser humano pode realmente responder – as verdadeiras chamadas de julgamento – em vez de fazer uma pessoa moer em campos que uma máquina pode preencher. E o rastro de auditoria se constrói por si só à medida que a avaliação acontece, em vez de alguém escrevê-la posteriormente a partir da memória. É aí que 40 horas se tornam 40 minutos.

Uma das afirmações mais impressionantes é que uma grande instituição financeira dos EUA está processando cerca de 6.000 solicitações de governança por segundo por meio da Astralis. O que operar nessa escala ensina sobre os requisitos de infraestrutura futuros para IA empresarial?

A lição é que a governança não pode ser um passo separado mais. A 6.000 decisões por segundo, ela tem que acontecer dentro do próprio caminho de dados, à mesma velocidade que as consultas e modelos que ela governa. Para a IA, a governança tem que ser infraestrutura: sempre ligada e sempre na linha, não um relatório produzido ao lado. Tem que ser rápido, porque se a governança for lenta, ela se torna a coisa que as pessoas pulam para atender ao prazo.

A regulação de IA continua a evoluir rapidamente tanto nos EUA quanto na Europa. Como você constrói uma plataforma de governança que possa se adaptar a quadros legais em mudança sem forçar as empresas a atualizações manuais de política constantes?

O erro que a maioria das ferramentas de conformidade comete é incorporar as regras no produto, então, quando a lei muda, você fica preso esperando que o fornecedor reengenharia a ferramenta. A Astralis é construída para funcionar de forma oposta. Em sua base, há uma linguagem comum para descrever dados e seus usos, e ela não contém regras. As regras ficam separadas, em uma camada de política acima dela. O LLRM lê a regulamentação, trabalha para entender o que significa para o seu negócio específico e, em seguida, escreve a política de acordo. O PBAC então aplica o que a política diz naquele momento – então, uma mudança nas regras deixa o mecanismo de aplicação completamente intacto.

Quando uma nova regulamentação chega, todo o esforço de uma empresa pode ir para entender o que significa para o seu negócio; nenhum esforço vai para reengenharia dos sistemas de privacidade.

Muitos executivos se preocupam com agentes de IA renegados tomando decisões não autorizadas ou acessando informações sensíveis. Quão realista é essa preocupação hoje, e quais salvaguardas práticas as organizações devem implementar antes de implantar agentes de IA em larga escala?

É completamente realista, e já está acontecendo. A Califórnia multou a Disney em $2,75 milhões porque seus sistemas não podiam aplicar de forma confiável algo tão básico quanto a opção de um cliente de sair. Nos sistemas deles, um consumidor que optou por sair em um dispositivo permaneceu optado em outros dispositivos, e as instruções de opt-out no nível do navegador não foram tratadas como solicitações válidas. Esse incidente não foi causado por um agente agindo de forma imprevisível, mas foi uma lacuna bastante direta entre o que a Disney disse aos clientes e o que seus sistemas eram capazes de aplicar.

As salvaguardas que realmente evitam isso são pouco glamorosas: saiba quais dados você possui e o que você se comprometeu a respeito, e mantenha tudo em um lugar, porque a maioria desses fracassos vem de uma equipe nunca ter chegado a outra equipe do banco de dados.

Olhando para os próximos três a cinco anos, o que você acredita que distinguirá as empresas que operacionalizam com sucesso a IA daquelas cujas iniciativas de IA permanecem presas em projetos-piloto, e qual papel a governança desempenhará na criação dessa vantagem competitiva?

A diferença virá de saber se uma empresa tem um sistema para governar todos os seus dados ou se escolhe colar a governança em cada banco de dados e equipe separadamente. As empresas que ainda governam seus dados departamento por departamento continuarão a encontrar obstáculos, porque a IA alcança departamentos por design. Cada empresa é instruída a enviar IA rapidamente e não acabar na carta de um regulador, e até agora esses dois aspectos se opuseram um ao outro. Quem resolver ambos, em vez de se contentar com um, ganhará a década.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar Ethyca ou Astralis.