J. Paul Haynes, VD för Cinchy – Intervjuserie

J. Paul Haynes, VD för Cinchy, är en erfaren chef inom cybersäkerhet och teknik med decennier av erfarenhet av att bygga och skala företags säkerhetsföretag. Han är mest känd för sitt ledarskap på eSentire, där han hjälpte företaget att växa till en stor leverantör av hanterad upptäckt och svar, och bringar en stark bakgrund inom teknik, cybersäkerhet, privat equity-stödd tillväxt och företagsrisk till Cinchy när företaget fokuserar på tillförlitlig AI-antagande och styrning.

Cinchy är ett företag som fokuserar på AI-styrning och data-samarbete, som hjälper organisationer att säkert ansluta AI, system och data. Dess PeriMind-plattform fungerar som en kontrollplan för AI-åtgärder, vilket ger företag synlighet, policygenomförande, säkerhet och granskning av hur AI-agenter interagerar med affärssystem, medan dess Data Collaboration Platform hjälper team att hantera och dela styrda data över hela organisationen utan att behöva komplexa integrationer eller dubblettdata-silos.

Du har tillbringat mer än 15 år med att bygga och skala eSentire till ett av de mest erkända företagen inom cybersäkerhetsbranschen. Vilka lärdomar från den resan tar du med dig till din nya roll som VD för Cinchy, och varför trodde du att det var rätt tid att fokusera på AI-styrning och tillförlitlig AI-antagande?

En av de största lärdomarna jag lärde mig på eSentire är att organisationer inte kämpar för att de saknar teknik. De kämpar för att nya tekniker skapar operativ komplexitet snabbare än de flesta företag kan hantera på egen hand. Jag ser AI följa en liknande väg.

Idag är utmaningen inte att få anställda att experimentera med AI. De flesta organisationer gör redan det. Den riktiga utmaningen är att flytta AI till produktion, där beslut påverkar kunder, finansiella resultat, regelefterlevnad och affärsverksamhet.

Högt reglerade branscher som finansiella tjänster illustrerar detta perfekt. De flyttar inte långsamt för att de inte förstår AI. De flyttar försiktigt för att de ännu inte kan lita på AI med uppdrag av avgörande betydelse. Innan ett AI-system kan fatta beslut behöver organisationer svar på grundläggande frågor: vem godkände dessa beslut? Hur övervakas de? När ska en människa ingripa? Vad händer om modellen glider, misslyckas eller blir otillgänglig?

Dessa frågor påminner mig om var cybersäkerheten var för 15 år sedan. Säkerheten utvecklades från ett tekniskt problem till en operativ disciplin. Jag tror att AI-styrning är på samma bana.

Det är därför jag gick med i Cinchy. Vi tror att tillförlitlig AI-antagande (inte AI-experimentering) kommer att definiera nästa decennium, och vi ser hanterad AI-styrning som lika viktig som hanterad cybersäkerhet blev.

Många företag har experimenterat med generativ AI under de senaste två åren, men relativt få har lyckats distribuera AI över uppdrag av avgörande betydelse. Vilka är de största hindren som förhindrar organisationer från att flytta från piloter till produktion?

Jag tror inte att företag kämpar för att tekniken inte är tillräckligt bra. Jag tror att de kämpar för att insatserna blir mycket högre när AI flyttar bortom experimentering.

En pilot är en sak. Att sätta AI i produktion är en annan sak. Nu handlar det om att komma åt företagsdata, interagera med affärssystem, kanske till och med fatta beslut på uppdrag av anställda. Det är när ledningen rättmätigt börjar fråga: “Hur kontrollerar vi detta? Hur övervakar vi det? Och hur vet vi när vi behöver en människa inblandad?”

Dessa är inte skäl att sakta ner AI-antagandet. De är de saker som gör AI-antagandet möjligt från början. Om du kan svara på dessa frågor med tillförsikt, flyttar organisationer mycket snabbare.

Du har tillbringat en stor del av din karriär med att säkra företagsmiljöer mot cyberhot. Hur skiljer sig säkring av en AI-driven organisation från säkring av en traditionell IT-miljö?

Traditionell cybersäkerhet fokuserar på att skydda slutpunkter, identiteter, nätverk och molnmiljöer. AI lägger till en annan permanent företags hotyta. Varje AI-system introducerar nya risker. Modellåtkomst, promptinjektion, överdrivna behörigheter, modellglidning, autonomt beslutsfattande och helt nya attackvägar som inte fanns tidigare.

Den viktiga punkten är att AI-säkerhet inte är skild från cybersäkerhet. Det utvidgar cybersäkerhet. Organisationer behöver fortfarande alla befintliga säkerhetskontroller, men nu behöver de också säkerhet som är särskilt utformad för AI-system som opererar i produktion.

Skugg-IT har länge varit ett problem för säkerhetsteam, men vi ser nu uppkomsten av skugg-AI. Hur stor är denna utmaning, och vilka risker underskattar organisationer?

Skugg-AI blir en av de snabbast växande affärsriskerna eftersom ledningsgrupper uppmuntrar snabb AI-antagande utan att alltid sätta styrning på plats först. De flesta anställda agerar inte illvilligt. De försöker vara mer produktiva. Problemet är att AI-system ärver de behörigheter som användare redan har.

En ledare som experimenterar med en offentlig AI-modell kan oavsiktligt exponera konfidentiell finansiell data, kundinformation eller immateriella rättigheter genom att be AI att analysera det.

Det är därför organisationer behöver synlighet, policykontroller och styrning, inte för att sakta ner AI-antagandet, utan för att göra det tillräckligt säkert för att skala.

AI-agenter får alltmer åtkomst till företagssystem, data och beslutsprocesser. Vilka nya utmaningar för ansvar och styrning uppstår när AI-system kan agera autonomt snarare än bara generera innehåll?

AI-agenter förändrar grundläggande styrningskonversationen eftersom de inte längre genererar innehåll. De tar beslut. När ett autonomt system kan godkänna transaktioner, komma åt företagssystem eller fatta affärsbeslut, behöver organisationer fullständig ansvar.

Varje åtgärd bör svara på enkla frågor:

• Vad hände?
• Varför hände det?
• Vilken AI-agent tog beslutet?
• Vem godkände det?
• När ska en människa ingripa?

Dessa principer är inte nya. Branscher har levt med ansvarskrav under decennier enligt regleringar som Sarbanes-Oxley. AI utvidgar bara dessa förväntningar till autonoma digitala arbetare.

Många organisationer tävlar för att distribuera AI på grund av konkurrenstryck. Hur kan affärsledare balansera behovet av hastighet med behovet av styrning, regelefterlevnad och riskhantering?

Styrning bör inte sakta ner AI-antagandet. Det bör accelerera det. Organisationer flyttar snabbare när ledningen litar på den miljö de bygger. Det innebär att etablera en säker, övervakbar AI-arkitektur, kontinuerligt utvärdera modeller för glidning och prestanda, hantera åtkomst till företagssystem och ha tydliga operativa kontroller innan AI når produktion.

På samma sätt som organisationer antog hanterad upptäckt och svar för att förenkla cybersäkerhet, tror jag att många kommer att anta hanterad AI-styrning för att få expertis utan att behöva bygga stora specialiserade team internt.

Styrelser blir alltmer involverade i AI-övervakning. Vilka frågor bör styrelseledamöter ställa till ledningsgrupper om AI-strategi, styrning och ansvar?

Styrelser bör ställa en grundläggande fråga: kan ledningen visa att AI fungerar under samma nivå av styrning som alla andra kritiska affärssystem?

Det innebär att förstå var AI används, vem äger det, hur beslut övervakas, hur risk hanteras och hur organisationen skulle fortsätta att fungera om en AI-tjänst blev otillgänglig. De organisationer som lyckas kommer inte nödvändigtvis att vara de som antar AI snabbast. De kommer att vara de som bygger den operativa disciplinen för att lita på AI i stor skala.

Cybersäkerhetsbranschen har tillbringat decennier med att utveckla ramverk, kontroller och bästa praxis. Finns det lärdomar från cybersäkerhet som kan tillämpas direkt på AI-styrning, eller kräver AI en helt ny ansats?

Cybersäkerhet erbjuder en utmärkt ritning för AI-styrning. Identitetshantering, minsta behörighet, kontinuerlig övervakning, granskningsloggar, incidenthantering och motståndskraft förblir alla viktiga. Vad som är nytt är att AI introducerar utmaningar som traditionella system aldrig hade, inklusive modellglidning, hallucinationer, promptmanipulation och beroende av tredjeparts grundmodeller. Så AI ersätter inte cybersäkerhet. Det bygger på den med ett ytterligare styrningsskikt.

Vad ser “tillförlitlig AI-antagande” ut i praktiken? Finns det specifika styrningsprinciper eller operativa säkerhetsåtgärder som varje företag bör ha på plats innan de skalar AI-initiativ?

Jag tenderar att tänka på det på samma sätt som vi tänkte på cybersäkerhet för år sedan. Ingen frågade om säkerhet skapade värde. Frågan var om du litade på din miljö tillräckligt för att hålla verksamheten igång.

AI är på väg i exakt samma riktning. Om du inte kan se vad det gör, kontrollera vad det har åtkomst till eller förstå varför det tar vissa beslut, kommer du förmodligen inte att låta det hantera något viktigt.

När du har den tillförsikten sker antagandet naturligt. Organisationer slutar att behandla AI som ett intressant experiment och börjar behandla det som en annan del av verksamheten.

Om tre till fem år, hur ser du på relationen mellan AI-styrning och konkurrensfördel utvecklas? Kommer stark styrning att bli en differentierare, eller bara ett krav för att driva verksamhet?

Under de närmaste tre till fem åren kommer stark AI-styrning inte att vara en konkurrensdifferentierare. Det kommer att bli ett affärskrav. Organisationer som etablerar styrning tidigt kommer att anta AI snabbare eftersom de kommer att ha tillförsikten att flytta kritiska arbetsbelastningar till produktion. De som inte gör det kommer att bli kvar i experiment medan konkurrenter förstår mätbara vinster i produktivitet, innovation och kundupplevelse. Till slut kommer styrning inte att sakta ner AI-antagandet. Det kommer att vara anledningen till att organisationer kan lita på AI tillräckligt för att helt omfamna det.

Tack för den underbara intervjun, läsare som vill lära sig mer kan besöka Cinchy.