Килиан Кирен, основатель и генеральный директор Ethyca – Интервью

Кириан Килиан, основатель и генеральный директор Ethyca, – серийный предприниматель и инженер по защите данных с более чем двумя десятилетиями опыта создания технологических бизнесов, интенсивно использующих данные. До основания Ethyca в 2019 году он возглавлял цифровое агентство CKSK в течение десяти лет, а затем основал BrandCommerce, используя свой опыт в области программной инженерии, пользовательского опыта и крупномасштабных программ обработки данных предприятий. В Ethyca Кириан сосредоточился на преобразовании защиты данных и управления данными из в основном ручной функции соблюдения требований в инфраструктуру, которую можно встроить непосредственно в то, как организации строят и эксплуатируют технологии.

Ethyca разрабатывает доверенную инфраструктуру данных, которая помогает предприятиям обнаруживать конфиденциальную информацию, управлять согласием, выполнять запросы на защиту данных и обеспечивать соблюдение правил, регулирующих использование данных в традиционных приложениях и системах искусственного интеллекта. Ее платформа построена вокруг Fides, открытого языка управления, который создает последовательную основу для определения, аудита и обеспечения соблюдения разрешенных использований данных в системах, API и трубопроводах ИИ. Компания сейчас запускает Astralis, слой управления ИИ, который сочетает автоматизированную оценку регулирования с контролем доступа на основе цели, что позволяет организациям определять, почему модели и агенты получают доступ к определенным данным, и обеспечивать эти разрешения в режиме реального времени. Ethyca утверждает, что платформа может сократить оценки, которые традиционно требуют 40-60 часов ручной работы, до примерно 20-40 минут, что помогает предприятиям расширять развертывание ИИ без того, чтобы процессы управления стали узким местом.

Вы основали несколько компаний до запуска Ethyca в 2019 году, включая развитие CKSK в глобальную цифровую консалтинговую компанию, обслуживающую организации Fortune 500. Какие опыт и убеждения во время этого пути убедили вас, что управление данными, а не сами модели ИИ, станут определяющим препятствием для внедрения ИИ в предприятиях?

Я провел годы, создавая цифровую консалтинговую компанию, обслуживающую крупные предприятия, такие как Heineken, Sony и Pepsi, во время бума цифровой рекламы и социальных сетей. Неоднократно я наблюдал за тем же шаблоном. Мощная технология появляется, все спешат ее принять, и только после того, как она уже встроена в бизнес, регулирующие органы вмешиваются, чтобы установить ограничения, оставляя команды по соблюдению требований для решения последствий. Возьмем, к примеру, GDPR, первый真正ый удар по тому, как компании используют персональные данные. Регуляторы вмешались только после того, как маркетинг и социальные сети уже сделали сбор данных основой своих бизнес-моделей. Мне было очевидно, что тот же шаблон повторится и с ИИ.

То, что укрепило мое предположение, было связано с работой по соблюдению требований защиты данных, которую я выполнял в Ethyca. Создавая системы соблюдения требований для крупных предприятий, я понял, что можно создать слой вокруг данных компании, который оценивает каждый запрос на три вещи: что такое данные, что разрешено делать с ними и какой риск, если это сделать. Работа над этим сделала реальное ограничение очевидным. Предприятия не испытывают нехватку данных. Они испытывают нехватку слоя управления, который определяет, для чего данные разрешены. Это была ставка, которую мы сделали в 2019 году, и с появлением ИИ она стала еще более актуальной.

За последний год ИИ в предприятиях сместился от простых чат-ботов к автономным агентам ИИ, способным принимать решения и совершать действия. Как это развитие изменило проблемы управления, с которыми сталкиваются организации, и почему традиционные подходы к соблюдению требований больше не масштабируются?

Люди говорят об ИИ в предприятиях и его ROI так, как если бы ценность исходила просто от подключения агента к рабочим процессам. На самом деле ценность исходит от соединения этого агента с широким спектром систем, чтобы он мог синтезировать данные и производить выводы, которые человек не смог бы собрать вместе за то же время. Доступ к данным – это настоящее препятствие.

Проблема в том, что то, что делает агента ценным, также делает его рискованным. Чем больше систем вы подключаете к нему, тем больше данных начинает течь из одной части организации в другую, и каждое из этих потоков становится возможностью для того, чтобы данные оказались в неправильном месте.

Каждый из этих потоков необходимо проверить: разрешено ли использовать данные таким образом, для этой цели, в соответствии с законом о защите данных и нашей собственной политикой? Когда таких решений несколько в день, человек может принять каждое решение вручную. Когда агент ИИ отправляет тысячи запросов в секунду, это становится невозможным для человека. Вот где традиционное соблюдение требований разрушается.

Чтобы высокие оценки крупных компаний ИИ были оправданы, управление должно перейти в режим реального времени, на скорость машины, в момент доступа к данным.

Ethyca запускает Astralis в качестве слоя управления для ИИ в предприятиях. Какие конкретные проблемы клиентов привели к созданию этой платформы, и почему сейчас самое подходящее время для ее представления?

Работа по очистке данных для ИИ все еще происходит так же, как и для защиты данных в 2016 году, когда люди заполняли вопросники и выполняли оценки вручную. Этот процесс уже был слишком медленным для обычной работы по защите данных, и по сравнению с объемом случаев использования ИИ он не имеет шансов. Большая часть того, что сейчас продается как управление ИИ, – это те же формы и рабочие процессы с меткой “ИИ”. Заполнение формы – это не управление. Что отсутствует, – это программное обеспечение, которое выполняет работу по управлению само по себе, а не производит запись о том, что человек сделал это вручную. Это то, для чего мы построили Astralis.

Спрос, на который мы реагируем, исходит от команд, которым было поручено быстро и безопасно развернуть ИИ, и сейчас они не могут сделать этого. Агенты вводятся в производство быстрее, чем любая команда может отслеживать, и вопрос, который регулирующие органы задают, изменился. Раньше это был вопрос о том, есть ли у вас политика. Теперь это вопрос о том, можете ли вы продемонстрировать, что политика была соблюдена в отношении конкретного набора данных, для конкретной цели. Большинство компаний могут хорошо ответить на первый вопрос. Очень немногие могут ответить на второй.

По прогнозам Gartner, средняя компания из списка Fortune 500 может запускать 150 000 агентов ИИ к 2028 году, по сравнению с всего 15 в 2025 году. Как лидерам предприятий следует переосмыслить управление в мире, где автономные агенты могут превосходить количество сотрудников, взаимодействующих с данными?

К 2028 году агенты, взаимодействующие с данными компании, будут превосходить количество сотрудников, которые это делают. Когда акторами, использующими ваши данные, в основном являются машины, кто несет ответственность? Старая модель располагает ответственность в окончательном человеческом одобрении, но когда большинство этих решений не принимаются и не проверяются человеком, ответственность должна перейти от людей к системам.

Банковский сектор сделал этот шаг давно. Мы не доверяем банку, потому что клерк считает заметки вручную. Мы доверяем ему, потому что контроли действительны, и есть люди, ответственные за их поддержание. Управление данными должно сделать то же самое. Доказательство того, что компания обрабатывает данные ответственно, перестает быть тем, что человек проверил это, и становится тем, что система обеспечивает соблюдение политики автоматически при каждом использовании и может предоставить доказательства этого, поэтому ответственность встроена. Это позволит лидерам бизнеса сосредоточиться на том, в чем они хороши: применять суждение, устанавливать правила и стоять за системой.

Astralis сочетает Большую Языковую Регуляторную Модель (LLRM) с Контролем Доступа на основе Цели (PBAC). Можете ли вы объяснить, как эти две технологии работают вместе, чтобы обеспечить, что системы ИИ понимают не только, кто может получить доступ к данным, но и почему они должны иметь возможность получить к ним доступ?

Традиционный контроль доступа проверяет, кто вы есть, и если ваша идентичность позволяет вам получить доступ к конкретным данным.

Но защита данных отличается; это не вопрос о том, кто получает доступ. Человек может быть идеально авторизован для доступа к набору данных и все равно использовать его для чего-то, для чего он никогда не был разрешен. Вопрос, который становится важным, – это для чего используются данные и разрешено ли это использование. Это то, что PBAC отвечает и обеспечивает.

Трудная часть в том, что цель не является техническим фактом, который можно прочитать из базы данных. Она зависит от того, что делает ваш бизнес, что вы обещали клиентам и что позволяет закон. Это то, для чего нужна LLRM. Она учится, как работает ваш конкретный бизнес, а затем работает над тем, какие регулирующие акты применяются к нему. Результат – четкое определение того, для чего можно и нельзя использовать каждый тип данных. PBAC затем обеспечивает это определение в момент доступа. LLRM рассуждает, PBAC действует.

Ваше объявление о запуске гласит, что оценки ИИ можно сократить с 40-60 часов ручной работы до 20-40 минут. Какие части процесса управления сейчас наиболее неэффективны, и где автоматизация создает наибольшие выгоды?

Большая часть этих 40-60 часов не тратится на что-то, что требует человеческого суждения. Они тратятся на сбор. Кто-то создает карту данных вручную, сохраняет ее в электронной таблице, а затем гоняется за контекстом по командам. К тому времени, когда все это собрано, фактическая оценка, часть, которая требует от человека подумать, – это небольшой срез работы. Остальное – это профессионал, действующий как сборщик информации для бизнеса, который уже имеет ее, но она разбросана по командам.

Раздражает, что эта работа никогда не заканчивается. Оценка – это одноразовый снимок, но случаи использования ИИ не прекращаются. Новые случаи появляются постоянно, и каждый из них требует своей собственной проверки. Итак, ручной процесс не только медленный один раз, он также постоянно отстает от темпа, в котором бизнес хочет двигаться, и станет неуправляемым, когда компании

Выгоды от эффективности исходят от изменения того, кто делает что. Система сама извлекает метаданные, поэтому никто не гоняется за контекстом вручную. Она только выводит вопросы, которые человек может действительно ответить – настоящие вызовы суждения – вместо того, чтобы заставлять человека перемалывать поля, которые машина может заполнить. И отчет о аудите строится сам по мере проведения оценки, а не кто-то пишет его позже из памяти. Вот где 40 часов становятся 40 минутами.

Одним из более впечатляющих заявлений является то, что крупное финансовое учреждение США обрабатывает примерно 6 000 запросов на управление в секунду через Astralis. Что работа на таком масштабе учит вас о будущих требованиях к инфраструктуре для ИИ в предприятиях?

Урок в том, что управление не может быть отдельным шагом. При 6 000 решениях в секунду оно должно происходить внутри пути данных самого по себе, на той же скорости, что и запросы и модели, которые оно регулирует. Для ИИ управление должно быть инфраструктурой: всегда включено и всегда в линии, а не отчет, произведенный на стороне. Оно должно быть быстрым, потому что если управление медленное, оно становится тем, что люди пропускают, чтобы выполнить срок.

Регуляторные акты ИИ продолжают быстро эволюционировать как в США, так и в Европе. Как вы строите платформу управления, которая может адаптироваться к меняющимся правовым рамкам без того, чтобы заставлять предприятия постоянно обновлять политику вручную?

Ошибка, которую совершают большинство инструментов соблюдения требований, заключается в том, что они закладывают правила в продукт, поэтому когда закон меняется, вы застряли, ожидая, пока поставщик не переработает инструмент. Astralis построена по-другому. В ее основе лежит общий язык для описания данных и их использования, и она не содержит никаких правил. Правила находятся отдельно, в слое политики выше нее. LLRM читает регулирующий акт, понимает, что он означает для вашего конкретного бизнеса, и пишет политику соответственно. PBAC затем обеспечивает любую политику, которая говорит в данный момент – поэтому изменение правил оставляет механизм обеспечения совершенно нетронутым.

Когда появляется новый регулирующий акт, все усилия компании могут быть сосредоточены на понимании того, что он означает для их бизнеса; никакие усилия не тратятся на переработку систем защиты данных.

Многие руководители беспокоятся о том, что агенты ИИ могут принимать неавторизованные решения или получать доступ к конфиденциальной информации. Насколько реальна эта проблема сегодня, и какие практические меры предосторожности должны организации реализовать перед развертыванием агентов ИИ в крупном масштабе?

Это совершенно реально, и это уже происходит. Калифорния оштрафовала Disney на 2,75 миллиона долларов, потому что ее системы не могли надежно обеспечить соблюдение чего-то столь базового, как отказ клиента от получения информации. В их системах потребитель, который отказался от получения информации на одном устройстве, оставался включенным на других устройствах, а инструкции по отказу от получения информации на уровне браузера не рассматривались как действительные запросы. Этот инцидент не был вызван агентом, действующим непредсказуемо, а был довольно прямым пробелом между тем, что Disney сказал клиентам, и тем, что их системы были способны обеспечить.

Меры предосторожности, которые действительно предотвращают это, – не блестящие: знайте, какие данные вы держите, и что вы обещали относительно них, и держите все в одном месте, потому что большинство этих неудач происходит из-за того, что обещание одной команды никогда не достигает базы данных другой команды.

Оглядываясь вперед на три-пять лет, что, по вашему мнению, будет отличать предприятия, которые успешно внедряют ИИ, от тех, чьи инициативы ИИ застряли в пилотных проектах, и какую роль будет играть управление в создании этого конкурентного преимущества?

Разница будет заключаться в том, имеет ли компания одну систему для управления всеми своими данными или выбирает ли она прикрепить управление к каждой базе данных и команде отдельно. Компании, которые все еще управляют своими данными отдел за отделом, будут продолжать сталкиваться с препятствиями, потому что ИИ охватывает отделы по设计у. Каждое предприятие сейчас говорит о том, чтобы быстро развернуть ИИ и не оказаться в письме регулирующего органа, и до сих пор эти два требования противоречили друг другу. Кто решит оба, вместо того, чтобы удовлетвориться одним, выиграет десятилетие.

Спасибо за отличное интервью. Читателям, которые хотят узнать больше, рекомендуется посетить Ethyca или Astralis.