Cillian Kieran, grundare och VD för Ethyca – Intervju-serie

Cillian Kieran, grundare och VD för Ethyca, är en serialentreprenör och dataskyddsingenjör med mer än två decenniers erfarenhet av att bygga dataintensiva teknikföretag. Innan han grundade Ethyca 2019 ledde han digitalbyrån CKSK i ett decennium och grundade sedan BrandCommerce, med utgångspunkt i sin bakgrund inom programvaruteknik, användarupplevelse och storskaliga företagsdataprogram. På Ethyca har Kieran fokuserat på att omvandla dataskydd och datastyrning från en i huvudsak manuell efterlevnadsfunktion till infrastruktur som kan integreras direkt i hur organisationer bygger och driver teknik.

Ethyca utvecklar pålitlig datainfrastruktur som hjälper företag att upptäcka känslig information, hantera samtycke, uppfylla dataskyddsförfrågningar och verkställa regler för hur data används över konventionella applikationer och artificiell intelligenssystem. Plattformen byggs kring Fides, ett öppen källkods-styrningsspråk som skapar en konsekvent ram för att definiera, granska och verkställa tillåtna dataanvändningar över system, API:er och AI-pipelines. Företaget lanserar nu Astralis, ett AI-styrningslager som kombinerar automatiserade regulatoriska bedömningar med syftesbaserad åtkomstkontroll, vilket möjliggör för organisationer att avgöra varför modeller och agenter får åtkomst till specifik data och verkställa dessa behörigheter i realtid. Ethyca hävdar att plattformen kan minska bedömningar som traditionellt kräver 40 till 60 timmars manuellt arbete till cirka 20 till 40 minuter, vilket hjälper företag att expandera AI-distributioner utan att låta styrningsprocesser bli en flaskhals.

Du har grundat flera företag innan du lanserade Ethyca 2019, inklusive att bygga CKSK till en global digital konsultbyrå som servar Fortune 500-företag. Vilka erfarenheter under den resan övertygade dig om att datastyrning, snarare än AI-modeller i sig, skulle bli den avgörande flaskhalsen för företags AI-antagande?

Jag tillbringade år med att bygga en digital konsultbyrå som servade stora företag som Heineken, Sony och Pepsi under den digitala annons- och sociala medie-guldfebern. Gång på gång såg jag samma mönster upprepas. En kraftfull teknik anländer, alla rusar för att anta den, och först när den är inbäddad i verksamheten dyker regulatorerna upp för att sätta ramar runt den, och lämnar efterlevnadsteam att hantera konsekvenserna. Ta GDPR, den första riktiga krafttagen mot hur företag använder personuppgifter. Regulatorerna ingrep först efter att martech och sociala medier redan hade gjort datainsamling till ryggraden i sina affärsmodeller. Det var uppenbart för mig att samma mönster skulle upprepas med AI.

Vad som befäste den aning jag hade var det dataskyddsarbete jag gjorde på Ethyca. Genom att bygga efterlevnadssystem för stora företag insåg jag att man kunde lägga ett lager runt ett företags data som utvärderade varje begäran mot tre saker: vad data är, vad man har tillstånd att göra med den, och vad risken är om man gör det. Att arbeta med det gjorde den verkliga begränsningen uppenbar. Företag har inte brist på data. De har brist på ett styrningslager som dikterar vilken data som är tillåten att användas för. Det var den insats vi gjorde 2019 och sedan AI:s uppkomst har det bara blivit mer relevant.

Under det senaste året har företags AI förskjutits från enkla chattbotar till autonoma AI-agenter som kan fatta beslut och vidta åtgärder. Hur har den utvecklingen förändrat de styrningsutmaningar organisationer står inför, och varför fungerar inte traditionella efterlevnadsmetoder längre?

Människor pratar om företags AI och dess avkastning som om värdet kommer från att bara ansluta en agent till arbetsflöden. I verkligheten kommer värdet från att ansluta den agenten till en stor mängd system, så att den kan syntetisera data och producera utdata som ingen människa kan samla ihop på den tiden. Åtkomst till data är den verkliga flaskhalsen.

Fällan är att det som gör en agent värdefull är också det som gör den riskabel. Ju fler system man ansluter den till, desto mer data börjar flöda från en del av organisationen till en annan, och var och en av dessa flöden blir en möjlighet för data att hamna på fel plats.

Var och en av dessa flöden måste kontrolleras: är denna data tillåten att användas på detta sätt, för detta syfte, enligt dataskyddslag och vår egen policy? När det finns ett fåtal av dessa beslut varje dag kan en person manuellt fatta varje beslut. När det finns en AI-agent som avfyrar tusentals begäranden per sekund blir det mänskligt omöjligt. Det är den punkt där traditionell efterlevnad bryter samman.

För att de skumma värderingarna av stora AI-företag ska kunna förverkligas måste styrningen flyttas till realtid, i maskinens hastighet, i samma ögonblick som data åtkomms.

Ethyca lanserar Astralis som ett styrningslager för företags AI. Vilka specifika kundutmaningar ledde till skapandet av plattformen, och varför är nu rätt tid att introducera den?

Arbetet med att rensa data för AI sker fortfarande på samma sätt som det gjorde för dataskydd 2016, med människor som fyller i frågeformulär och kör manuella bedömningar. Den processen var redan för långsam för vanligt dataskyddsarbete, och mot volymen av AI-användningsfall har den ingen chans. Det mesta av vad som säljs som AI-styrning idag är samma formulär och arbetsflöden med ett “AI”-märke på det. Att fylla i ett formulär är inte styrning. Vad som saknas är programvara som gör styrningsarbetet själv, snarare än att producera en post om att en person har gjort det manuellt. Det är vad vi byggde Astralis för att göra.

Den efterfrågan vi svarar på kommer från team som har fått i uppdrag att leverera AI snabbt och säkert, och som för närvarande inte kan göra båda. Agenter går i produktion snabbare än något team kan hålla jämna steg med, och frågan regulatorerna ställer har förändrats. Det använde att vara om man hade en policy. Nu är det om man kan demonstrera att policyn följdes för en specifik datamängd, för ett specifikt syfte. De flesta företag kan svara på den första frågan väl. Mycket få kan svara på den andra.

Gartner förutspår att det genomsnittliga Fortune 500-företaget kan köra 150 000 AI-agenter 2028, upp från bara 15 2025. Hur bör företagsledare omvärdera styrning i en värld där autonoma agenter kan överträffa antalet anställda som interagerar med data?

Till 2028 kommer agenterna som interagerar med företagets data att överträffa antalet anställda som gör det. När aktörerna som använder er data i överväldigande utsträckning är maskiner, vem är ansvarig? Den gamla modellen placerar ansvar i slutgiltig mänsklig godkännande, men när de flesta av dessa beslut varken tas eller granskas av en människa, måste ansvar flyttas från människor till system.

Banksektorn gjorde detta steg för länge sedan. Vi litar inte på en bank för att en kassör räknar sedlarna för hand. Vi litar på den för att kontrollerna är sunda, och för att det finns människor som är ansvariga för att hålla dem så. Dataskydd måste göra samma sak. Beviset för att ett företag hanterar data på ett ansvarsfullt sätt slutar vara att en person granskade det, och blir att systemet verkställer policy automatiskt på varje användning, och kan ge bevis för detta, så att ansvar är inbyggt. Det kommer att tillåta affärsledare att fokusera på vad de är bra på: att tillämpa omdöme, fastställa reglerna och stå bakom systemet.

Astralis kombinerar en stor språklig regulatorisk modell (LLRM) med syftesbaserad åtkomstkontroll (PBAC). Kan du förklara hur dessa två teknologier fungerar tillsammans för att säkerställa att AI-system förstår inte bara vem som kan komma åt data, utan också varför de ska kunna komma åt den?

Traditionell åtkomstkontroll kontrollerar vem du är, och om din identitet tillåter dig att komma åt specifik data.

Men dataskydd är annorlunda; det är inte en fråga om vem som kommer in. En person kan vara fullständigt auktoriserad att komma åt en datamängd och ändå använda den för något de aldrig fick tillåtelse att göra. Frågan som blir viktig är vad data används för, och om det syftet är tillåtet. Det är vad PBAC svarar på och verkställer.

Det svåra är att syfte inte är en teknisk sak som man kan läsa av en databas. Det beror på vad din verksamhet gör, vad du har lovat kunderna och vad lagen tillåter. Det är vad LLRM är till för. Den lär sig hur din specifika verksamhet fungerar, sedan arbetar den igenom de regler som gäller för den. Utdata är en tydlig bestämning av vad varje typ av data kan och inte kan användas för. PBAC verkställer sedan den bestämningen vid åtkomsttiden. LLRM resonerar, PBAC agerar.

Ert lanseringsmeddelande anger att AI-bedömningar kan minskas från 40 till 60 timmars manuellt arbete till bara 20 till 40 minuter. Vilka delar av dagens styrningsprocess är mest ineffektiva, och var skapar automatisering de största vinsterna?

De flesta av dessa 40 till 60 timmar ägnas inte åt något som kräver mänskligt omdöme. De ägnas åt montering. Någon kartlägger data för hand, håller den i ett kalkylblad och sedan jagar sammanhang över team. När allt detta är insamlat är den faktiska bedömningen, den del som kräver att en person tänker, en liten del av arbetet. Resten är ett proffs som agerar som en insamlare av information som verksamheten redan har, men som är utspridd över team.

Frustrerande nog är det arbete som aldrig blir färdigt. En bedömning är en engångssnapshot, men AI-användningsfall upphör aldrig att komma. Nya dyker upp konstant, och var och en behöver sin egen granskning. Så den manuella processen är inte bara långsam en gång, den är permanent efter den takt verksamheten vill flytta på, och kommer att bli omöjlig att hantera när företag

Effektivitetsvinsterna kommer från att ändra vem som gör vad. Systemet hämtar metadata själv, så ingen behöver jaga sammanhang för hand. Det presenterar bara frågorna som en människa faktiskt kan svara på – de äkta omdömeskallarna – istället för att en person maler igenom fält som en maskin kan fylla. Och revisions-spåret byggs upp själv medan bedömningen sker, snarare än att någon skriver upp det efteråt från minnet. Det är där 40 timmar blir 40 minuter.

En av de mer slående påståendena är att en stor amerikansk finansiell institution bearbetar cirka 6 000 styrningsbegäranden per sekund via Astralis. Vad lär oss att driva på den skalan om de framtida infrastrukturkraven för företags AI?

Lektionen är att styrning inte kan vara ett separat steg längre. Vid 6 000 beslut per sekund måste det ske inom datavägen själv, i samma hastighet som de frågor och modeller det styr. För AI måste styrning vara infrastruktur: alltid på och alltid i linje, inte en rapport som produceras på sidan. Den måste vara snabb, för om styrning är långsam, blir den den sak människor hoppar över för att möta sina deadlines.

AI-reglering fortsätter att utvecklas snabbt både i USA och Europa. Hur bygger man en styrningsplattform som kan anpassa sig till förändrade rättsliga ramverk utan att tvinga företag till konstanta manuella policyuppdateringar?

Misstaget som de flesta efterlevnadverktyg gör är att baka reglerna in i produkten, så att när lagen ändras är man fast i att vänta på att leverantören ska omkonstruera verktyget. Astralis är byggt för att fungera på motsatt sätt. I grunden är det ett gemensamt språk för att beskriva data och dess användningar, och det innehåller inga regler alls. Reglerna sitter separat, i ett policylager ovanför. LLRM läser regleringen, arbetar ut vad den betyder för din specifika verksamhet och skriver sedan policyn enligt det. PBAC verkställer sedan vad den policyn säger vid den tiden – så en ändring av reglerna lämnar verkställighetsmekanismen helt opåverkad.

När en ny reglering införs kan allt ett företags arbete gå till att arbeta ut vad den betyder för deras verksamhet; ingen ansträngning går till att omkonstruera deras dataskyddssystem.

Många chefer är oroliga för att obehöriga AI-agenter fattar obehöriga beslut eller kommer åt känslig information. Hur realistisk är den oron idag, och vilka praktiska skyddsåtgärder bör organisationer implementera innan de distribuerar AI-agenter i stor skala?

Det är helt realistiskt, och det händer redan. Kalifornien bötfällde Disney 2,75 miljoner dollar för att deras system inte kunde tillförlitligt verkställa något så grundläggande som en kunds avsägelse. I deras system förblev en kund som avsade sig på en enhet aktiv på andra enheter, och webbläsar-baserade avsägningsanvisningar behandlades inte som giltiga förfrågningar. Det incidenten orsakades inte av en agent som agerade oförutsägbart, utan var istället ett ganska enkelt gap mellan vad Disney sa till kunderna och vad deras system var kapabla att verkställa.

De skyddsåtgärder som faktiskt förhindrar detta är oglamorösa: veta vad data man har och vad man har åtagit sig om den, och hålla allt på en plats, eftersom de flesta av dessa misslyckanden kommer från att ett teams löfte aldrig når ett annat teams databas.

Om tre till fem år, vad tror du kommer att skilja företag som framgångsrikt operationaliserar AI från de som AI-initiativ förblir fast i pilotprojekt, och vilken roll kommer styrning att spela för att skapa den konkurrensfördelen?

Skillnaden kommer att bero på om ett företag har ett system för att styra all sin data eller om de väljer att fästa styrning på varje databas och team separat. Företag som fortfarande styr sin data avdelningsvis kommer att fortsätta att stöta på väggar, eftersom AI sträcker sig över avdelningar av design. Varje företag uppmanas att leverera AI snabbt och inte hamna i en regulators brev, och tills nu har dessa två dragit i motsatta riktningar. Den som löser båda, istället för att bosätta sig för en, kommer att vinna decenniet.

Tack för den underbara intervjun, läsare som vill lära sig mer kan besöka Ethyca eller Astralis.