El ex CEO de Hayden AI: 41 GB robados, un Bentley dorado y un currículum inventado
Hay escándalos corporativos y luego hay esto. La demanda que Hayden AI ha presentado contra su cofundador y ex CEO, Chris Carson, tiene todos los ingredientes de un thriller empresarial: robo masivo de datos, ventas de acciones fraudulentas, gastos personales cargados a la empresa y, como guinda, un historial profesional que, según la propia demanda, es un «fraude cuidadosamente construido» de principio a fin.
Que en el sector de la IA pasan cosas raras no es ningún secreto. Pero este caso tiene un nivel de detalle que resulta difícil de ignorar.
Quién es Hayden AI y qué le acusa a su ex CEO
Hayden AI es una startup con sede en San Francisco especializada en herramientas de análisis espacial para ciudades. Su tecnología se usa para gestionar el tráfico, controlar el cumplimiento de normativas de movilidad urbana y, en general, ayudar a los municipios a entender mejor qué pasa en sus calles. La empresa está valorada en torno a 464 millones de dólares según datos de PitchBook, y tiene proyectos activos en varias ciudades de Estados Unidos, incluida Santa Mónica, California.
Chris Carson era su cofundador y CEO. Era, porque fue destituido el 10 de septiembre de 2024. Y lo que supuestamente ocurrió en los meses y días previos a ese despido es lo que recoge la demanda presentada ante el Tribunal Superior de San Francisco.
La demanda tiene 21 páginas y enumera lo que Hayden AI califica como «numerosas acciones fraudulentas». En resumen:
- Venta encubierta de acciones: A principios de 2024, Carson habría vendido más de 1,2 millones de dólares en acciones de la empresa sin la aprobación del consejo. El objetivo, según la demanda, era financiar la compra de una casa en Boca Ratón (Florida) y varios artículos de lujo, entre ellos un Bentley Continental dorado. Sí, dorado.
- Firmas falsificadas: Se le acusa de haber falsificado firmas del consejo directivo.
- Gastos personales cargados a la empresa: De forma indebida y sistemática.
- Robo de datos: El más grave desde el punto de vista de seguridad. Cuando a mediados de 2024 la empresa inició una investigación formal sobre su comportamiento y empezó a apartarle de decisiones estratégicas, Carson habría solicitado a un empleado que descargara su archivo completo de correos electrónicos en una memoria USB. 41 GB de información confidencial.
El robo de datos: 41 GB en un USB
Este es, probablemente, el punto más relevante para cualquiera que trabaje en ciberseguridad o gestión de datos corporativos. Y merece algo más de análisis.
Lo que implica llevarse 41 GB de correos
Para poner en contexto la cifra: 41 GB de correos electrónicos es una cantidad enorme. Un correo de texto plano ocupa apenas unos kilobytes. Para llegar a 41 GB hace falta acumular durante años miles de mensajes, adjuntos, contratos, presentaciones, conversaciones internas, datos de clientes, informes técnicos… básicamente, la memoria operativa de una empresa entera.
No es una filtración accidental ni un archivo descargado por descuido. Pedir expresamente a un empleado que vuelque ese volumen de datos en un dispositivo externo es una acción deliberada. Y, si los hechos son como los describe la demanda, es también el tipo de movimiento que suelen hacer las personas que están planeando algo concreto con esa información.
¿Qué pide Hayden AI?
La empresa ha solicitado al tribunal que imponga medidas cautelares para que Carson devuelva o destruya los datos supuestamente robados. Esto es relevante porque, en casos así, el daño no se limita a lo que ya ha pasado: el riesgo real está en lo que puede pasar con esa información si acaba en manos de un competidor.
Y aquí entra EchoTwin AI.
EchoTwin AI: la empresa rival fundada por el mismo Carson
Carson registró el dominio echotwin.ai apenas días antes de ser despedido de Hayden AI. Desde entonces ha puesto en marcha EchoTwin AI, con sede en Oakland, California, que según él mismo describió en un correo (citado en la demanda) fue fundada «como una respuesta directa a la represalia que experimenté por parte de la junta de Hayden tras mi salida».
Es una formulación interesante. Básicamente dice que montó una empresa competidora porque le echaron, como si eso justificara o contextualizara el resto. El problema, claro, es que la demanda sugiere que el proceso fue al revés: que ya estaba preparando la salida mucho antes de ser destituido, y que la exfiltración de datos forma parte de ese proceso.
Ars Technica intentó contactar con Carson por LinkedIn, correo electrónico y mensaje de texto, sin obtener respuesta. También se personaron físicamente en la oficina de EchoTwin en Oakland durante horas laborales. Nadie abrió.
El currículum inventado: de PhD en Tokio a tienda de paintball en Florida
Y si el presunto fraude financiero y el robo de datos no fueran suficientes, la demanda añade un tercer frente: el historial profesional de Carson sería, en gran parte, inventado.
Lo que decía su LinkedIn
Según su perfil, Carson completó un doctorado en la Universidad Waseda de Tokio en 2007. La demanda lo desmiente directamente: «Eso es una mentira. Carson no tiene un PhD de Waseda ni de ninguna otra universidad.»
¿Qué estaba haciendo Carson en 2007, según la demanda? Operando un negocio de equipos de paintball llamado Splat Action Sports en un centro comercial de Florida.
No es un detalle menor. Un doctorado en una universidad japonesa de prestigio como Waseda no es algo que se «olvide verificar». Y si la empresa no lo comprobó antes de darle el cargo de CEO, eso también dice algo sobre los procesos internos.
La demanda también cuestiona otros elementos de su historial, incluida la duración de su servicio militar en Estados Unidos y la supuesta fundación de una empresa llamada Louisa Manufacturing.
Por qué importa más allá del escándalo
Las falsificaciones curriculares en posiciones de alta dirección tienen consecuencias que van mucho más allá del individuo. Un CEO con credenciales falsas toma decisiones estratégicas, accede a información confidencial, representa a la empresa ante inversores y socios, y genera confianza institucional basada en una trayectoria que no existe. En este caso, además, estamos hablando de una empresa tecnológica valorada en casi 500 millones de dólares.
Yo, la verdad, no entiendo cómo alguien llega a ese nivel sin que nadie haga una verificación mínima. Pero tampoco es la primera vez que pasa, y probablemente no será la última.
Qué nos deja este caso
Más allá del morbo, este asunto tiene varias lecturas útiles.
Sobre seguridad interna: el hecho de que un ejecutivo pueda solicitar la descarga de 41 GB de correos en un USB sin que se activen alertas automáticas dice mucho sobre los controles de acceso y los sistemas DLP (Data Loss Prevention) de la empresa. En 2024, hay herramientas perfectamente accesibles para detectar este tipo de comportamientos. Si no se usaban, es una lección cara.
Sobre verificación de credenciales: en el ecosistema de startups tecnológicas, la cultura del «muévete rápido» a veces choca directamente con la debida diligencia. Verificar el historial de un cofundador o CEO es un paso básico, especialmente cuando hay capital externo involucrado.
Sobre el riesgo del insider threat: en ciberseguridad, el término se refiere a las amenazas que vienen de dentro de la organización, no de actores externos. Es, estadísticamente, uno de los vectores de riesgo más subestimados. Este caso es un ejemplo bastante ilustrativo de hasta dónde puede llegar ese tipo de amenaza cuando viene desde la cúpula directiva.
El proceso judicial sigue adelante. Carson no ha respondido públicamente a las acusaciones. Y EchoTwin AI, de momento, existe y opera. Lo que ocurra a continuación dependerá de lo que los tribunales determinen sobre la autenticidad de los hechos descritos en la demanda.
