J. Paul Haynes, Cinchy CEO’sü – Röportaj Serisi

J. Paul Haynes, Cinchy’nin CEO’su, siber güvenlik ve teknoloji alanında deneyim sahibi bir yönetici olup, şirketlere büyüme ve ölçeklendirme konusunda uzmanlık göstermiştir. eSentire’de gösterdiği liderlik ve şirketin önemli bir Managed Detection and Response sağlayıcısı haline gelmesi ile tanınmaktadır. Mühendislik, siber güvenlik, özel sermaye destekli büyüme ve kurumsal risk konularında güçlü bir geçmişe sahip olan Haynes, Cinchy’ye AI benimsemesi ve yönetişimi konusunda uzmanlık kazandırmaktadır.

Cinchy bir AI yönetişimi ve veri işbirliği şirketidir. Şirket, organizasyonların AI, sistemler ve verileri güvenli bir şekilde bağlamalarına yardımcı olmak için kurulmuştur. PeriMind platformu, AI eylemleri için bir kontrol düzlemi oluşturur ve şirketlere AI ajanlarının iş sistemleriyle etkileşimlerini denetleme, güvenlik sağlama ve denetlenebilirlik konusunda yardımcı olur. Veri İşbirliği Platformu, takımların organizasyon genelinde yönetilen verileri paylaşmasına ve karmaşık entegrasyonlar veya veri siloları oluşturmasına gerek kalmadan yardımcı olur.

15 yıldan fazla bir süredir eSentire’nin kurulmasına ve ölçeklenmesine yardımcı oldunuz. Bu yolculukta öğrendiğiniz dersleri Cinchy’nin CEO’su olarak yeni rolünüze nasıl uyguluyorsunuz ve neden şimdi AI yönetişimi ve güvenilir AI benimsemesi üzerine odaklanmanız gerektiğini düşünüyorsunuz?

eSentire’de öğrendiğim en büyük ders, organizasyonların teknoloji eksikliği nedeniyle değil, ortaya çıkan teknolojilerin operasyonel karmaşıklığı yaratması nedeniyle mücadele ettiğidir. AI’nin de benzer bir yol izleyeceğine inanıyorum.

Bugünün sorunu, çalışanların AI ile deneysel çalışmalar yapmasını sağlamak değil. Çoğu organizasyon zaten bunu yapıyor. Gerçek sorun, AI’yi üretim aşamasına taşımak, burada alınan kararların müşterileri, finansal sonuçları, düzenleyici uyumluluğu ve iş operasyonlarını etkilemesidir.

Finansal hizmetler gibi yüksek düzenleme gerektiren sektörler bunu mükemmel bir şekilde gösteriyor. AI’yi yavaşlatmıyor çünkü AI’yi anlamıyorlar. AI’yi kritik görevlere güvenebilecekleri şekilde güvenmiyorlar. Bir AI sistemi karar almadan önce, organizasyonlar temel sorulara cevaplar bulmalıdır: kim bu kararları onayladı? Nasıl izleniyor? Bir insan nasıl müdahale edecek? Model kayması, başarısızlık veya kullanılamaması durumunda ne olur?

Bu sorular, 15 yıl önce siber güvenliğin bulunduğu yere beni götürüyor. Güvenlik, bir teknoloji probleminden operasyonel bir disipline doğru evrimleşti. AI yönetişiminin de aynı yolu izleyeceğine inanıyorum.

Bu nedenle Cinchy’ye katıldım. Güvenilir AI benimsemesinin (AI deneysel çalışmalar değil) önümüzdeki on yılın tanımlayıcısı olacağına ve yönetilen AI yönetişiminin yönetilen siber güvenliğin olduğu kadar önemli olacağına inanıyoruz.

Çok sayıda şirket, son iki yıl içinde üretken AI ile deneysel çalışmalar yaptı, ancak çok azı AI’yi kritik iş akışlarına başarıyla dağıttı. Şirketlerin pilotlardan üretime geçişini engelleyen en büyük engeller nelerdir?

Şirketlerin teknoloji yeterli olmadığı için mücadele ettiğini düşünmüyorum. Şirketlerin pilot aşamasından üretim aşamasına geçişte risklerin çok daha yüksek olduğunu düşünüyorum.

Bir pilot çalışma bir şeydir, AI’yi üretime almak tamamen farklı bir şeydir. Şimdi şirketler, AI’nin şirket verilerine erişmesini, iş sistemleriyle etkileşim kurmasını, belki de çalışanlar adına kararlar almasını istemektedir. Bu, liderlerin “Nasıl kontrol edeceğiz? Nasıl izleyeceğiz? İnsanların müdahale etmesi gerektiğini nasıl bileceğiz?” sorularını sormasına neden olur.

Bu, AI benimsemesinin yavaşlatılması için nedenler değildir. AI benimsemesini mümkün kılan şeylerdir. Şirketler, bu sorulara güvenle cevap verebiliyorlarsa, çok daha hızlı ilerlerler.

Kariyerinizin büyük bir bölümünü şirketleri siber tehditlere karşı korumakla geçirdiniz. AI güçlendirilmiş bir organizasyonu geleneksel bir BT ortamından korumak nasıl farklılık göstermektedir?

Geleneksel siber güvenlik, uç noktaları, kimlikleri, ağları ve bulut ortamlarını korumaya odaklanmaktadır. AI, bir şirket tehdit yüzeyi daha ekler. Her AI sistemi yeni riskler getirir. Model erişimini, komut enjeksiyonunu, aşırı izinleri, model kaymasını, otonom karar vermeyi ve daha önce var olmayan tamamen yeni saldırı yollarını içerir.

Önemli nokta, AI güvenliğinin siber güvenekten ayrı olmadığıdır. Siber güvenliği genişletir. Şirketlerin, AI sistemlerinin üretim aşamasında çalışması için mevcut tüm güvenlik kontrollerine ihtiyacı vardır, ancak aynı zamanda AI sistemleri için özel olarak tasarlanmış güvenlik kontrollerine de ihtiyaçları vardır.

Gölge BT uzun süredir güvenlik ekipleri için bir endişe kaynağı olmuştur, ancak şimdi gölge AI’nin yükselişini görüyoruz. Bu zorluk ne kadar önemlidir ve şirketler hangi riskleri küçümsüyor?

Gölge AI hızla büyüyen bir iş riski haline gelmektedir, çünkü yöneticiler, genellikle önce yönetişimi oluşturmadan AI benimsemesini teşvik etmektedir. Çoğu çalışan kötü niyetli değildir, daha üretken olmak istemekteler. Sorun, AI sistemlerinin mevcut izinleri devralmasıdır.

Bir yönetici, bir kamu AI modeli ile deneysel çalışmalar yapabilir ve istemeden gizli mali verileri, müşteri bilgilerini veya fikri mülkiyeti AI’nin analiz etmesini sağlayabilir.

Bu nedenle şirketlerin, AI benimsemesini yavaşlatmak için değil, güvenle ölçeklenebilir hale getirmek için görünürlüğe, politika kontrollerine ve yönetişime ihtiyacı vardır.

AI ajanları, şirket sistemlerine, verilerine ve karar alma süreçlerine erişim hakkı verilmektedir. AI sistemleri otonom olarak çalıştığında, yalnızca içerik oluşturmak yerine eylemler gerçekleştirdiğinde, yeni hesap verebilirlik ve yönetişim zorlukları ortaya çıkar mı?

AI ajanları, yönetişim konuşmasını değiştirir, çünkü artık içerik oluşturmazlar, eylemler gerçekleştirirler. Otonom bir sistem, işlemleri onaylayabiliyorsa, şirket sistemlerine erişebiliyorsa veya iş kararları alabiliyorsa, şirketlerin tam hesap verebilirliğe ihtiyacı vardır.

Her eylem basit sorulara cevap vermelidir:

• Ne oldu?
• Neden oldu?
• Hangi AI ajanı kararı aldı?
• Kim onu yetkilendirdi?
• İnsan müdahalesi ne zaman gerekli olur?

Bu ilkeler yeni değildir. Endüstriler, Sarbanes-Oxley gibi düzenlemeler altında hesap verebilirlik gereksinimlerine yıllarca uyumlu olmuştur. AI, bu aynı beklentileri otonom dijital işçiler için genişletir.

Şirketler, rekabet baskısı nedeniyle AI’yi benimsemek için yarışmaktadır. İş liderleri, hız gereksinimini nasıl yönetişim, uyum ve risk yönetimi gereksinimleri ile dengeleyebilir?

Yönetişim, AI benimsemesini yavaşlatmamalıdır. Hızlandırmalıdır. Şirketler, inşa ettikleri ortamı güvendiğinde daha hızlı ilerler. Güvenli, izlenebilir bir AI altyapısı oluşturmak, modelleri kayma ve performans için sürekli değerlendirmek, şirket sistemlerine erişimi yönetmek ve AI üretim aşamasına ulaşmadan önce açık operasyonel kontrolleri oluşturmak demektir.

Şirketler, siber güvenliği basitleştirmek için yönetilen tespit ve yanıt採用 ettiğine benzer şekilde, birçok şirketin yönetilen AI yönetişimi benimseyerek uzmanlık kazanacağına inanıyorum.

Denetim kurulları, AI denetimi konusunda daha fazla参与 olmaktadır. Yönetim ekiplerine AI stratejisi, yönetişim ve hesap verebilirlik hakkında hangi soruları sormaları gerekir?

Denetim kurulları, temel bir soru sormalıdır: yönetim, AI’nin diğer kritik iş sistemleri gibi aynı düzeyde yönetişim altında çalıştığını kanıtlamak için yeterli midir?

Bu, AI’nin nerede kullanıldığını, kimin sahip olduğunu, kararların nasıl izlendiğini, riskin nasıl yönetildiğini ve bir AI hizmetinin kullanılamaması durumunda şirketin nasıl devam edeceğini anlamak demektir. Başarılı olacak şirketler, AI’yi en hızlı benimseyen şirketler olmayacaktır. AI’yi büyük ölçekte güvenle kullanabilecek operasyonel disiplini oluşturabilen şirketler olacaktır.

Siber güvenlik endüstrisi, yıllarca çerçeve, kontroller ve en iyi uygulamalar geliştirdi. AI yönetişimi için siber güvenlikten doğrudan uygulanabilecek dersler var mı, yoksa AI için tamamen yeni bir yaklaşım gerekli mi?

Siber güvenlik, AI yönetişimi için mükemmel bir plan sunar. Kimlik yönetimi, en düşük izin, sürekli izleme, denetim izleri, olay yanıtı ve esneklik hala gereklidir. AI, geleneksel sistemlerin hiç karşılaşmadığı zorluklar getirir: model kayması, halüsinasyonlar, komut manipülasyonu ve üçüncü taraf temel modellere bağımlılık. AI, siber güvenliği değiştirmez, üzerine bir yönetim katmanı ekler.

“Güvenilir AI benimsemesi” eigentlich ne anlama geliyor? Her şirketin AI girişimlerini ölçeklendirmeden önce yerleştirmesi gereken belirli yönetişim ilkeleri veya operasyonel garantiler var mı?

Güvenilir AI benimsemesi, AI’nin şirketin işleyişine güvenebileceği anlamına gelir. AI’nin ne yaptığını görebilmeli, erişimi kontrol edebilmeli ve kararlarını anlayabilmelisiniz.

Bir kez bu güveni elde ettiğinizde, benimseme doğal olarak gerçekleşir. Şirketler, AI’yi bir deney olarak değil, işin bir parçası olarak görür.

Üç ila beş yıl sonrasına bakıldığında, AI yönetişimi ve rekabet avantajı arasındaki ilişki nasıl evrilecek? Güçlü yönetişim, bir farklılaştırıcı olacak mı, yoksa iş yapma gereksinimi haline mi gelecek?

Üç ila beş yıl içinde, güçlü AI yönetişimi, bir rekabet avantajı olmayacak, bir iş gereksinimi haline gelecek. AI yönetişimini sớm oluşturan şirketler, AI’yi kritik iş yüklerine daha hızlı taşıyabilecekler, çünkü ortamı inşa ettikleri konusunda güvende olacaklar. AI yönetişimi oluşturmayan şirketler, deneysel çalışmalarla uğraşırken, rakipleri ölçeklenebilir AI benimsemesi sayesinde üretkenlik, inovasyon ve müşteri deneyimi açısından ölçülebilir kazançlar elde edecek. Son olarak, yönetişim, AI benimsemesini yavaşlatmayacak, şirketlerin AI’yi tam olarak benimsemesine izin verecek.

Harika röportaj için teşekkür ederiz. Daha fazla bilgi öğrenmek isteyen okuyucular Cinchy‘yi ziyaret edebilir.