基于Ethyca的创始人兼首席执行官Cillian Kieran的采访系列

Cillian Kieran，Ethyca的创始人兼首席执行官，是一位拥有二十多年经验的连续创业者和隐私工程师，专门从事数据密集型技术业务的建设。在2019年创立Ethyca之前，他曾领导数字代理商CKSK十年，并随后创立了BrandCommerce，利用他在软件工程、用户体验和大型企业数据计划方面的背景。在Ethyca，Kieran专注于将隐私和数据治理从手动合规功能转变为可以嵌入技术建设和运营的基础设施中。

Ethyca开发了可信的数据基础设施，帮助企业发现敏感信息、管理同意、履行隐私请求和执行数据使用规则，涵盖传统应用程序和人工智能系统。其平台围绕Fides构建，这是一种开源的治理语言，创建了一个一致的框架，用于定义、审计和执行数据使用许可，跨系统、API和人工智能管道。该公司现在推出Astralis，一种人工智能治理层，结合自动化监管评估和基于目的的访问控制，允许组织确定为什么模型和代理访问特定数据，并在实时中执行这些权限。Ethyca表示，该平台可以将传统需要40至60小时的手动工作减少到大约20至40分钟，帮助企业扩大人工智能部署，而不会让治理流程成为瓶颈。

您在2019年之前创立了多家公司，包括将CKSK打造为为《财富》500强企业服务的全球数字咨询公司。是什么经历让您相信，数据治理而不是人工智能模型本身，将成为企业人工智能采用的决定性瓶颈？

我花了很多年时间为大型企业如喜力、索尼和百事可乐等提供数字咨询服务，在数字广告和社交媒体的黄金时代。每次我都看到同样的模式重演：一种强大的技术出现，大家都争相采用它，一旦它被嵌入到业务中，监管者就会介入，制定规则让其遵守，留下合规团队去处理后果。以GDPR为例，这是针对公司使用个人数据的首次真正打击。监管者只在数据收集已经成为其商业模式的骨干之后才介入。很明显，我认为同样的模式也会出现在人工智能领域。

我所做的隐私合规工作让我更加坚信这一点。在为大型企业构建合规系统时，我意识到可以在公司数据周围创建一层，评估每个请求的三个方面：数据是什么、您可以对其执行什么操作以及执行这些操作的风险。工作使得真正的约束变得明显。企业并不缺乏数据；它们缺乏的是一层能够规定哪些数据可以用于什么目的的治理层。这是我们在2019年所下的赌注，自从人工智能出现以来，它变得更加相关。

过去一年，企业人工智能从简单的聊天机器人转变为能够做出决策和采取行动的自治人工智能代理。这种演变如何改变了组织面临的治理挑战，为什么传统的合规方法不再适用？

人们谈论企业人工智能及其投资回报率，就像价值来自于简单地将代理插入工作流程一样。实际上，价值来自于将该代理连接到广泛的系统中，以便它可以综合数据并产生人类无法在相同时间内收集的输出。访问数据是真正的瓶颈。

问题在于，使代理有价值的东西也是使其带来风险的东西。您连接的系统越多，数据从组织的一个部分流向另一个部分的可能性就越大，每一个流动都成为数据出现在错误位置的机会。

每一个流动都需要检查：是否允许以这种方式、为了这个目的、按照隐私法和我们的政策使用此数据？当每天只有少数几个决策时，一个人可以手动做出每个决定。当有一个人工智能代理每秒发起成千上万个请求时，它就变得人类无法做到。传统的合规性就在那时崩溃了。

为了实现大型人工智能公司的高估值，治理必须转移到实时，按照机器的速度，在数据被访问的那一刻发生。

Ethyca正在推出Astralis作为企业人工智能的治理层。是什么具体的客户挑战导致了该平台的创建，为什么现在是推出它的合适时机？

清除人工智能数据的工作仍然像2016年为隐私工作所做的那样进行，人们手动填写问卷并运行评估。该过程对于普通的隐私工作已经太慢了，对于人工智能使用案例的数量，它根本不堪重负。目前作为人工智能治理出售的大多数内容只是带有“人工智能”标签的相同表格和工作流程。填写表格并不是治理。缺少的是可以自己执行治理工作的软件，而不是产生一个人手动执行的记录。这就是我们构建Astralis的目的。

我们正在响应的需求来自于被告知要快速安全地交付人工智能的团队，但他们目前无法同时做到这两点。代理正在比任何团队都快地投入生产，监管者的问题已经改变。以前的问题是您是否拥有政策；现在的问题是您是否可以证明该政策针对特定数据、特定目的被遵守。大多数公司可以很好地回答第一个问题，但很少有公司可以回答第二个问题。

根据Gartner的预测，到2028年，平均每家《财富》500强公司可能会运行15万个人工智能代理，高于2025年的15个。企业领导者如何在自治代理可能超过与数据交互的员工数量的世界中重新思考治理？

到2028年，使用公司数据的代理将超过使用数据的员工。 当使用数据的行为者主要是机器时，谁将被追究责任？ 旧模型将责任归咎于最终的人类审批，但当大多数决策都不是由人类做出或审查时，责任必须从人员转移到系统。 银行很早就做出了这种转变。 我们不相信银行，因为一名柜员正在手动清点钞票。 我们相信它，因为控制是健全的，并且有人员负责保持控制。 数据治理必须做同样的事情。 公司处理数据的证明不再是有人审查过它，而是系统自动在每次使用时执行政策，并且可以提供证据，因此责任是内置的。 这将使商业领袖能够专注于他们擅长的事情：运用判断力、制定规则并支持系统。

Astralis结合了大型语言监管模型（LLRM）和基于目的的访问控制（PBAC）。您能否解释这两种技术如何协同工作，以确保人工智能系统不仅了解谁可以访问数据，还了解为什么他们应该能够访问它？

传统的访问控制检查您是谁，如果您的身份允许您触摸特定数据。

但隐私不同；它不是关于谁可以进入的问题。一个人可以完全有权访问数据集，但仍然将其用于未经许可的目的。变得重要的问题是数据被用于什么目的，以及是否允许该目的。PBAC回答并执行这一点。

困难之处在于，目的不是一个可以从数据库中读取的技术事实。它取决于您的业务、您向客户做出的承诺以及法律允许的内容。这就是LLRM的用途。它学习您的特定业务的运作方式，然后处理适用于该业务的法规。输出是对每种数据可以和不能用于什么目的的明确确定。然后PBAC在访问时执行该确定。LLRM推理，PBAC执行。

您的发布公告称，人工智能评估可以从40至60小时的手动工作减少到仅20至40分钟。今天的治理过程中哪些部分最低效，自动化在哪里带来最大的收益？

这些40至60小时中，大部分时间并不是花在需要人工判断的事情上。它们被花在组装上。有人手动映射数据，保持在电子表格中，然后在团队之间追踪上下文。到所有这些都收集完毕时，实际的评估——需要人思考的部分——只是工作的一小部分。其余的是专业人士作为信息的收集代理，收集业务已经拥有的信息，但这些信息分散在各个团队中。

令人沮丧的是，这项工作永远不会完成。评估是一次性的快照，但人工智能使用案例不会停止出现。新的案例不断出现，每个案例都需要自己的审查。因此，手动流程不仅是一次性慢，而且会永远落后于业务希望移动的速度，并且会随着公司规模的增长而变得难以管理。

效率收益来自于改变谁做什么。系统自己拉取元数据，因此没有人需要手动追踪上下文。它只提出人类实际上可以回答的问题——真正的判断调用——而不是让一个人辛苦地填写机器可以填写的字段。审计跟踪在评估过程中自动建立，而不是有人事后从记忆中写下。就是这样，40个小时变成了40分钟。

展望未来三到五年，您认为哪些因素将区分成功运营人工智能的企业和那些人工智能计划仍然停留在试点项目的企业，治理在创造这种竞争优势方面将发挥什么作用？

区别将在于一家公司是否拥有一个系统来治理所有数据，还是选择将治理粘贴到每个数据库和团队上。仍然按照部门进行治理的公司将继续遇到障碍，因为人工智能本质上是跨部门的。选择一个系统来治理所有数据的公司将获胜，因为他们将能够专注于他们擅长的事情：运用判断力、制定规则并支持系统。每个企业都被告知要快速交付人工智能，并避免出现在监管者的信中，直到现在，这两点是相互对立的。谁ever同时解决这两个问题，而不是妥协于其中之一，将赢得十年。感谢您这次精彩的采访，希望了解更多的读者可以访问Ethyca或Astralis。