J. Paul Haynes, CEO da Cinchy – Série de Entrevistas

J. Paul Haynes, CEO da Cinchy, é um executivo de segurança cibernética e tecnologia com décadas de experiência em construir e escalar empresas de segurança empresariais. Ele é mais conhecido por sua liderança na eSentire, onde ajudou a crescer a empresa em um provedor importante de Detecção e Resposta Gerenciada, e traz uma forte formação em engenharia, segurança cibernética, crescimento apoiado por private equity e risco empresarial para a Cinchy, à medida que a empresa se concentra em adoção e governança de IA confiável.

Cinchy é uma empresa de governança de IA e colaboração de dados empresariais que se concentra em ajudar as organizações a conectar de forma segura IA, sistemas e dados. Sua plataforma PeriMind atua como um plano de controle para ações de IA, fornecendo às empresas visibilidade, aplicação de políticas, segurança e auditoria sobre como os agentes de IA interagem com os sistemas de negócios, enquanto sua Plataforma de Colaboração de Dados ajuda as equipes a gerenciar e compartilhar dados governados em toda a organização sem depender de integrações complexas ou silos de dados duplicados.

Você passou mais de 15 anos ajudando a construir e escalar a eSentire em uma das empresas mais reconhecidas da indústria de segurança cibernética. Quais lições dessa jornada você está trazendo para seu novo papel como CEO da Cinchy, e por que você acredita que agora é o momento certo para se concentrar em governança de IA e adoção de IA confiável?

Uma das maiores lições que eu aprendi na eSentire é que as organizações não lutam porque falta tecnologia. Elas lutam porque as tecnologias emergentes criam complexidade operacional mais rápido do que a maioria das empresas pode gerenciar sozinhas. Eu vejo a IA seguindo um caminho incrivelmente semelhante.

O desafio de hoje não é fazer com que os funcionários experimentem a IA. A maioria das organizações já está fazendo isso. O desafio real é mover a IA para a produção, onde as decisões afetam os clientes, os resultados financeiros, a conformidade regulatória e as operações de negócios.

Indústrias altamente regulamentadas, como os serviços financeiros, ilustram isso perfeitamente. Eles não estão se movendo lentamente porque não entendem a IA. Eles estão se movendo com cautela porque ainda não podem confiar na IA para trabalhos de missão crítica. Antes de um sistema de IA poder tomar decisões, as organizações precisam de respostas para perguntas fundamentais: quem aprovou essas decisões? Como elas são monitoradas? Quando um ser humano intervém? O que acontece se o modelo se desvia, falha ou se torna indisponível?

Essas perguntas me lembram de onde a segurança cibernética estava há quinze anos. A segurança evoluiu de um problema de tecnologia para uma disciplina operacional. Eu acredito que a governança de IA está na mesma trajetória.

É por isso que eu me juntei à Cinchy. Nós acreditamos que a adoção de IA confiável (e não experimentação de IA) definirá a próxima década, e vemos a governança de IA gerenciada se tornando tão importante quanto a segurança cibernética gerenciada se tornou.

Muitas empresas experimentaram com IA geradora nos últimos dois anos, mas relativamente poucas implantaram com sucesso a IA em fluxos de trabalho de missão crítica. Quais são as maiores barreiras que impedem as organizações de mudar de pilotos para produção?

Eu não acho que as empresas estão lutando porque a tecnologia não é boa o suficiente. Eu acho que elas estão lutando porque as apostas aumentam muito assim que a IA vai além da experimentação.

Um piloto é uma coisa. Colocar a IA em produção é algo completamente diferente. Agora é acessar dados empresariais, interagir com sistemas de negócios, talvez até tomar decisões em nome dos funcionários. É quando a liderança começa a perguntar com razão: “Como controlamos isso? Como monitoramos? E como sabemos quando precisamos de um ser humano envolvido?”

Essas não são razões para desacelerar a adoção de IA. São as coisas que tornam a adoção de IA possível em primeiro lugar. Se você puder responder a essas perguntas com confiança, as organizações se movem muito mais rápido.

Você passou grande parte de sua carreira protegendo ambientes empresariais contra ameaças cibernéticas. Como proteger uma organização alimentada por IA difere de proteger um ambiente de TI tradicional?

A segurança cibernética tradicional se concentra em proteger pontos de extremidade, identidades, redes e ambientes de nuvem. A IA adiciona outra superfície de ameaça permanente à empresa. Cada sistema de IA introduz novos riscos. Acesso ao modelo, injeção de prompt, permissões excessivas, desvio do modelo, tomada de decisão autônoma e novos caminhos de ataque que simplesmente não existiam antes.

O ponto importante é que a segurança de IA não é separada da segurança cibernética. Ela estende a segurança cibernética. As organizações ainda precisam de todos os controles de segurança existentes, mas agora também precisam de segurança projetada especificamente para sistemas de IA que operam em produção.

A “sombra IT” sempre foi uma preocupação para as equipes de segurança, mas agora estamos vendo o surgimento da “sombra IA”. Quão significativo é esse desafio e quais riscos as organizações estão subestimando?

Sombra IA está se tornando um dos riscos de negócios de crescimento mais rápido porque as equipes executivas estão incentivando a adoção rápida de IA sem sempre colocar a governança em primeiro lugar. A maioria dos funcionários não está agindo com má-fé. Eles estão tentando ser mais produtivos. O problema é que os sistemas de IA herdam as permissões que os usuários já têm.

Um executivo que experimenta um modelo de IA público pode, sem querer, expor dados financeiros confidenciais, informações de clientes ou propriedade intelectual, simplesmente pedindo à IA para analisá-los.

É por isso que as organizações precisam de visibilidade, controles de política e governança, não para desacelerar a adoção de IA, mas para torná-la segura o suficiente para escalar.

Os agentes de IA estão sendo cada vez mais autorizados a acessar sistemas empresariais, dados e processos de tomada de decisão. Quais novos desafios de responsabilidade e governança surgem quando os sistemas de IA podem agir de forma autônoma, em vez de apenas gerar conteúdo?

Os agentes de IA mudam fundamentalmente a conversa sobre governança porque eles não estão mais gerando conteúdo. Eles estão tomando ações. Sempre que um sistema autônomo pode aprovar transações, acessar sistemas empresariais ou tomar decisões de negócios, as organizações precisam de responsabilidade completa.

Cada ação deve responder a perguntas simples:

• O que aconteceu?
• Por que aconteceu?
• Qual agente de IA tomou a decisão?
• Quem a autorizou?
• Quando um ser humano deve intervir?

Esses princípios não são novos. As indústrias vivem com requisitos de responsabilidade há décadas, sob regulamentações como a Sarbanes-Oxley. A IA simplesmente estende essas mesmas expectativas para trabalhadores digitais autônomos.

Muitas organizações estão correndo para implantar a IA devido à pressão competitiva. Como os líderes empresariais podem equilibrar a necessidade de velocidade com a necessidade de governança, conformidade e gestão de riscos?

A governança não deve desacelerar a adoção de IA. Ela deve acelerá-la. As organizações se movem mais rápido quando a liderança confia no ambiente que está construindo. Isso significa estabelecer uma arquitetura de IA segura e monitorável, avaliar continuamente os modelos para desvio e desempenho, gerenciar o acesso a sistemas empresariais e ter controles operacionais claros antes que a IA alcance a produção.

Assim como as organizações adotaram detecção e resposta gerenciadas para simplificar a segurança cibernética, eu acredito que muitas adotarão governança de IA gerenciada para ganhar expertise sem precisar construir grandes equipes especializadas internamente.

Os conselhos de administração estão se tornando mais envolvidos na supervisão de IA. Quais perguntas os membros do conselho devem fazer às equipes de gestão sobre estratégia de IA, governança e responsabilidade?

Os conselhos devem fazer uma pergunta fundamental: pode a gestão demonstrar que a IA está operando sob o mesmo nível de governança que todos os outros sistemas de negócios críticos?

Isso significa entender onde a IA está sendo usada, quem a possui, como as decisões são monitoradas, como o risco é gerenciado e como a organização continuaria operando se um serviço de IA se tornasse indisponível. As organizações que terão sucesso não serão necessariamente as que adotam a IA mais rápido. Elas serão as que construírem a disciplina operacional para confiar na IA em escala.

A indústria de segurança cibernética passou décadas desenvolvendo quadros, controles e práticas recomendadas. Há lições da segurança cibernética que podem ser aplicadas diretamente à governança de IA, ou a IA exige uma abordagem completamente nova?

A segurança cibernética oferece um excelente modelo para a governança de IA. Gerenciamento de identidade, privilégio mínimo, monitoramento contínuo, trilhas de auditoria, resposta a incidentes e resiliência ainda são essenciais. O que é novo é que a IA introduz desafios que os sistemas tradicionais nunca tiveram, incluindo desvio de modelo, alucinações, manipulação de prompt e dependência de modelos de fundação de terceiros. Então, a IA não substitui a segurança cibernética. Ela constrói sobre ela com uma camada adicional de governança.

O que “adoção de IA confiável” realmente significa na prática? Há princípios de governança ou salvaguardas operacionais específicas que todas as empresas devem ter em vigor antes de escalar as iniciativas de IA?

Eu tendo a pensar sobre isso da mesma forma que pensamos sobre segurança cibernética anos atrás. Ninguém perguntava se a segurança criava valor. A pergunta era se você confiava o suficiente no ambiente para manter o negócio em funcionamento.

A IA está indo exatamente na mesma direção. Se você não pode ver o que ela está fazendo, controlar o que ela tem acesso ou entender por que ela está tomando certas decisões, você provavelmente não vai deixá-la lidar com nada importante.

Uma vez que você tenha essa confiança, a adoção acontece naturalmente. As organizações param de tratar a IA como um experimento interessante e começam a tratá-la como outra parte do negócio.

Olhando para os próximos três a cinco anos, como você vê a relação entre governança de IA e vantagem competitiva evoluindo? A governança forte se tornará um diferenciador, ou simplesmente um requisito para fazer negócios?

Nos próximos três a cinco anos, a governança de IA forte não será um diferenciador competitivo. Ela se tornará um requisito de negócios. As organizações que estabelecerem a governança cedo adotarão a IA mais rápido porque terão a confiança para mover cargas de trabalho críticas para a produção. Aquelas que não o fizerem permanecerão presas na experimentação enquanto os concorrentes realizam ganhos mensuráveis em produtividade, inovação e experiência do cliente. Em última análise, a governança não desacelerará a adoção de IA. Ela será a razão pela qual as organizações poderão confiar na IA o suficiente para abraçá-la completamente.

Obrigado pela grande entrevista, leitores que desejam aprender mais devem visitar Cinchy.