Rory Blundell, VD för Gravitee – Intervjuerien

Rory Blundell, VD för Gravitee, har en sällsynt kombination av teknisk djup, kommersiell ledning och grundarupplevelse inom API-hantering. Innan han blev VD i september 2020 gick han med i Gravitee som Chief Revenue Officer och hjälpte till att forma företagets tillväxtstrategi efter tidigare roller som ledde EMEA-fälttekniska operationer på SnapLogic, där han arbetade med försäljning, professionella tjänster, utbildning och kundsupport. Hans bakgrund inkluderar också att ha grundat Velinko, ett brittiskt programvaru- och konsultföretag som servar den juridiska och redovisningssektorn, där han arbetade praktiskt med API:er, ETL, AWS, Java, PHP, WordPress, databaser, rapportering och dataomvandlingsprojekt. Den kombinationen av teknisk kompetens, försäljningserfarenhet och startup-utförande har positionerat honom för att leda Gravitee när API:er, händelseströmmar och AI-agenter blir alltmer centrala för företagsinfrastruktur.

Gravitee är ett företag som specialiserar sig på API-hantering och som hjälper företag att hantera, säkra, styra och skala de digitala anslutningarna mellan applikationer, tjänster, händelseströmmar och AI-agenter. Plattformen kombinerar API-hantering, en händelsebaserad gateway, utvecklarportal, stöd för händelseströmning och framväxande AI-agentfunktioner, vilket ger organisationer en enhetlig kontrollplan för synkrona API:er, asynkrona händelser, MCP/A2A-agentinteraktioner och styrning över distribuerade miljöer. Företaget beskriver sin plattform som öppen källkod och skalbar, och den har erkänts som en ledare i 2025 års Gartner Magic Quadrant för API-hantering, vilket speglar dess position vid skärningspunkten mellan API-infrastruktur, realtidsbaserade system och den nya AI-stacken.

Du grundade Velinko, byggde mjukvarulösningar själv över teknologier som AWS och API:er till dataomvandlingsplattformar, och gick sedan vidare till att leda tekniska team på SnapLogic innan du blev VD för Gravitee. Hur har den resan från att vara en praktisk byggare till att vara VD format din vision för framtiden för AI-agenter och företagsinfrastruktur?

Min bakgrund har gjort det möjligt för mig att se företagsinfrastruktur från flera vinklar, som byggare, operatör och nu som VD. På Velinko löste vi ett praktiskt dataproblem, drog information från olika källor, omvandlade den, aggregerade den och gjorde den användbar. Den erfarenheten har gett mig en grundad syn på vad företagsteknologi måste göra: ansluta system, skydda data och omvandla komplexitet till något som människor kan agera på.

Under min tid på SnapLogic såg jag hur central API-hantering blev för företagsstacken. API:er var mer än tekniska gränssnitt. De blev sättet företag exponerade, kontrollerade och skalförde åtkomst till kritiska system och data. Det var det som först förde mig till Gravitee, och det förblir grunden för hur jag tänker om den här marknaden.

Företag behöver veta vem som kan komma åt vad, hur åtkomstpunkterna hittas och används, och vad som faktiskt händer över hela miljön. Dessa principer var avgörande för API:er, och de är nu lika avgörande för agenter. Företag flyttar in i en värld där agenter kan agera över API:er, applikationer, data och arbetsflöden. De företag som lyckas kommer inte bara att bygga de flesta agenter. De kommer att vara de som sätter rätt infrastruktur runt dem: tydliga behörigheter, stark styrning och kontroll över de system de berör.

Gravitee har byggt sitt rykte inom API-hantering och har sedan utvidgat sitt fokus till AI-agenthantering. Vad övertygade dig om att AI-agenter representerade den nästa stora tekniska skiftningen, och varför var nu rätt tid att utveckla företaget i den riktningen?

Jag ser AI-agenthantering som den nästa utvecklingen av samma problem som vi alltid har hjälpt företag att lösa.

API-hantering handlade och handlar fortfarande i grunden om tre saker: säkerhet, upptäckbarhet och observerbarhet. Agenter är nästa plats där dessa principer behöver tillämpas.

I dag står företag inför samma frågor med agenter som de tidigare stod inför med API:er. Hur säkerställer vi säkerhet? Hur vet vi vilka agenter som körs, var de körs och vad de kan komma åt? Hur förstår vi vad de gör, varför de agerar och om de opererar inom rimliga gränser?

Tidpunkten är viktig eftersom företag börjar gå från att experimentera med AI till att fråga sig hur de kan sätta agenter i riktigt arbete. Den svåra frågan är inte längre om en agent kan byggas, utan om ett företag kan styra agenter över modeller, verktyg, API:er och system de berör.

Där blir Gravitees arv inom API-hantering mycket relevant. Agenter kommer bara att skalföras i företaget om organisationer kan bringa samma disciplin till dem som de förväntar sig från resten av sin infrastruktur: tydliga behörigheter, synliga åtgärder, granskbarhet, styrning och kontroll.

Många organisationer experimenterar med AI-agenter, men relativt få har distribuerat dem i skala. Vad skiljer framgångsrika antagare från företag som förblir fast i pilotstadiet?

Skillnaden är om en organisation behandlar agenter som isolerade experiment eller som en del av en ny driftsmodell. I liten skala kan ett eller två agenter se hanterbara ut. Utmaningen kommer när ett företag börjar flytta mot flera agenter över team, system och arbetsflöden. Då är problemet inte längre om en agent kan slutföra en uppgift. Det är om organisationen kan kontrollera hur agenter arbetar, vad de berör och hur de passar in i företagets verksamhet.

Organisationer som bygger disciplin runt agenter tidigt förstår var agenter passar in i arbetsflödet, vilka beslut måste förbli hos människor och vilka kontroller som behöver finnas på plats innan agenter kan lita på att utföra riktigt arbete.

Detta är inte bara en teknisk skiftning. Det är också en förändring i hur organisationer arbetar. Framgångsrika antagare kommer att förstå den skiftningen och sätta rätt struktur runt den från början.

AI-agenter interagerar alltmer med API:er, databaser, företagsapplikationer och till och med andra agenter. Hur ser du på agent-koordinationens utveckling, och vilka utmaningar måste organisationer lösa innan dessa system kan operera tillförlitligt i skala?

Utmaningen är inte enbart teknisk komplexitet; det är ansvarscomplexitet. När agenter anropar API:er, frågar databaser och anropar andra agenter, förökar sig auktoritetskedjan och de flesta företag har inget sätt att se den.

Koordinering utvecklas från enstaka agent-uppgift till multi-agentarbetsflöden där en agents utdata blir en annan agents indata, ofta över modeller, leverantörer och företagsgränser, och det är precis när styrning bryter samman.

Innan dessa system kan operera tillförlitligt i skala måste organisationer lösa fyra saker: ge varje agent en känd, autentiserad identitet; definiera vad varje agent är tillåten att komma åt (verktyg, data, nedströms API:er); verkställa dessa behörigheter vid körning; och underhålla en fullständig släktträdsrekord från den mänskliga prompten till systemet som agenten slutligen berörde.

Företag som behandlar koordinering som ett rent ingenjörsproblem och hoppar över styrningslagret kommer att hitta sig själva hantera incidenter istället för att skalföra verksamheten.

Branschen tillbringade år med att hantera API-spridning när organisationer antog molnteknologier. Går vi nu in i en era av “agent-spridning”, och vilka lärdomar kan företag tillämpa från tidigare tekniska transformationer?

Ja, jag ser en verklig risk för att återskapa samma mönster som vi såg med API:er: bred anpassning över företaget innan rätt hanteringsmodell är på plats. Lektionen från API-eran är att organisationer inte bör vänta tills miljön redan är fragmenterad innan de sätter synlighet och kontroll runt den.

Agenter skapar en liknande utmaning, men med en mer aktiv risknivå eftersom de kan operera över system och arbetsflöden. Frågorna som företag behöver besvaras är enkla: vilka agenter finns, vem äger dem och vad är de tillåtna att komma åt?

Om företag tillämpar den disciplinen från början kan de undvika att hamna med agenter som de inte kan se, säkra eller kontrollera.

Vad är de största missuppfattningarna som affärsledare har om AI-agenter idag, och var tror du att förväntningarna springer förbi verkligheten?

Den dominerande missuppfattningen är att agentkapacitet är flaskhalsen. Det är det inte. Flaskhalsen är om organisationen kan hålla agenter ansvariga på samma sätt som de redan håller människor ansvariga, med en definierad roll, avgränsad åtkomst och en granskbar post.

Många ledare tror att distribution av fler agenter leder till att man automatiskt flyttar snabbare. I praktiken skapar ohanterade agenter skugg-AI-utgifter, okontrollerad dataåtkomst och operativa misslyckanden som ingen kan diagnostisera eftersom det inte finns någon granskningspost.

Senaste exemplen på AI-agenter som dragits tillbaka från produktion efter operativa fel är instruktiva. Vi har sett en agent med breda kalenderbehörigheter och utan definierad gräns suddat ut en hel företagskalender i en enda åtgärd. Modellen var inte problemet; ingen hade definierat vad den var tillåten att komma åt. Detta är inte fallet med ett AI-hypeproblem. Det är ett styrningsproblem. I många fall kan agenten ha varit kapabel att utföra uppgiften men saknat en definierad roll och en gräns för vad den kunde komma åt och en tydlig eskalationsplan när något gick fel.

Förväntningarna springer förbi verkligheten mest när det gäller autonoma beslut. Ledare vill ha agenter som agerar, men vad de behöver först är agenter vars åtgärder är synliga, reversibla och tillskrivna.

Säkerhet och styrning har blivit stora problem när AI-agenter får åtkomst till känsliga system och data. Vad ser du som de största riskerna, och hur bör organisationer närma sig hanteringen av dem?

Den största risken är att agenter flyttar in i produktion snabbare än företag kan styra dem. Gravitees State of AI Agent Security-rapport fann att företagens AI-agentbestånd har mer än dubblats sedan december 2025, medan övervakningsbevakning, ansvarsstrukturer och förDistributionskontroller knappt har rört sig. Forskningen visade också att nästan hälften (48%) av produktions-AI-agenter körs utan säkerhet eller styrning, och 54% av organisationerna har upplevt eller misstänkt en AI-agent-säkerhets- eller dataskyddshändelse under de senaste 12 månaderna.

Den datan betonar varför styrning måste mognas tillsammans med antagande. När agenter får åtkomst till känsliga data, applikationer och arbetsflöden måste ägarskap och ansvar vara lika tydliga som åtkomsten själv: vem är ansvarig för den här agenten, vilka åtgärder har den vidtagit och hur övervakas den aktivt?

SVaret är dock inte att sakta ner agenter. Det är att etablera tydlig synlighet från början över varje agent, de modeller den ansluter till, de verktyg den använder och de andra agenter den interagerar med.

Från där kan organisationer distribuera rätt driftsmodell runt agenter: tydligt ägarskap, avgränsade behörigheter, förDistributionskontroller, kontinuerlig övervakning, granskbarhet och en tydlig eskalationsväg när något går fel. Det är vad ger företag förtroendet att använda agenter säkert i skala.

När regeringar och tillsynsmyndigheter börjar ge närmare uppmärksamhet åt AI-system, hur bör företag balansera innovation med regelefterlevnad, transparens och riskhantering?

Regulatorisk uppmärksamhet bör vara en katalysator, inte en anledning att vänta.

Regelefterlevnad börjar med släktträd: den fullständiga, granskbara posten från den mänskliga prompten till API-anropet som agenten gjorde nedströms. Utan det kan företag inte besvara den grundläggande regulatoriska frågan om vad din agent gjorde och varför. Detta är inte ett framtida problem. EU:s AI-lags augusti 2026 regelefterlevnadsdeadline är redan på kalendern, och organisationerna som har släktträd och policygenomförande på plats idag kommer att möta den utan panik.

Policy-som-kod och centraliserad policygenomförande är den praktiska implementeringen av den modellen. Företag behöver en policymotor, en granskningspost, konsekvent genomförande över varje agent oavsett modell eller leverantör.

Riskhanteringsattityden som vinner är inte långsam distribution; det är djärv distribution med ansvar byggt in från dag ett. De som behandlar agentansvar som en försprång snarare än en regelefterlevnadshinder kommer inte att bromsas av reglering. De kommer att vara redo för det.

Öppna standarder som Model Context Protocol (MCP) och Agent-to-Agent (A2A)-kommunikation får alltmer fart. Hur viktiga kommer interoperabilitet att vara för framtiden för företags-AI, och tror du att branschen rör sig tillräckligt snabbt mot gemensamma standarder?

Interoperabilitet är inte valfri. Företag körs inte en modell eller en leverantör, de körs ekosystem. Standarder som MCP och A2A är vad som tillåter agenter att anropa verktyg, komma åt sammanhang och kommunicera över det ekosystemet utan anpassade integrationer för varje par system.

Farten är verklig, men hastighetsfrågan missar den viktigare frågan: standarder som möjliggör agenter att agera måste åtföljas av standarder som styr hur de agerar. Anslutning utan ansvar på protokollnivå flyttar bara styrningsproblemet runt.

De företag som kommer att dra nytta mest av MCP och A2A är de som parar protokollnivåinteroperabilitet med en central kontrollplan, så att agenter och systeminteraktioner är observerbara, policygenomförda och granskbara från en plats.

Det är här Gravitees tillvägagångssätt blir viktigt. API-hantering, agenthantering och identitet i en plattform innebär att en policygenomförare styr varje agentinteraktion oavsett vilket protokoll den reser över.

Om vi ser framåt de närmaste fem åren, vad ser du som framgång för AI-agenter i företaget, och vilken råd skulle du ge till organisationer som vill bygga en skalbar och framtidsbevis AI-strategi idag?

Framgång under de närmaste fem åren kommer att mätas av om agenter kan göra meningsfullt arbete säkert, tillförlitligt och i skala. AI-agenter kan hjälpa företag att bli mer agila och ge människor mycket större utväxling. Men det händer bara om organisationer är medvetna om hur de distribuerar dem. Företagen som enbart går “full agent” och bryr sig om styrning senare kommer att se tidiga vinster, men dessa vinster kommer inte att överleva den komplexitet som följer. En bättre kurs är att behandla agenter som produktionsinfrastruktur från början.

Mitt råd är att bygga hanteringsmodellen tidigt. Definiera ägarskap, behörigheter, övervakning, granskbarhet och eskalationsvägar innan agenter opererar över kritiska arbetsflöden. Framtiden är inte bara människor som bygger varje uppgift själva. Det är människor som blir arkitekterna för processen, med agenter som hjälper dem att flytta snabbare, skalföra påverkan och göra mer än de kunde tidigare.

Tack för den underbara intervjun, läsare som vill lära sig mer bör besöka Gravitee.