Qui veu què, qui ha fet què i com es demostra tot després

Un permís no és un interruptor gran. IRIS reparteix 315 permisos en 66 mòduls, i es concedeixen o es treuen d'un en un: es decideix qui veu quina càmera, qui exporta vídeo i qui no pot fer res més que mirar. Vénen vuit perfils fets —administrador, operador, auditor, supervisor, tècnic i algun més—, i qui en necessiti un altre els duplica i els retalla, sense límit. Per sobre del permís hi ha l'abast: sobre quina seu, sobre quina càmera, sobre quin cas, amb data de caducitat i amb avís una setmana abans que expiri. I hi ha una regla escrita a la mateixa pantalla: si un grup denega una cosa, aquesta denegació guanya sempre, encara que el perfil la concedeixi. És el que permet donar un perfil ampli i retallar-lo per a un col·lectiu concret sense inventar-se un perfil nou.

El registre d'auditoria només admet afegir: s'escriu i ja no es toca. Això no és una promesa del programa, és una regla del mateix magatzem de dades, que rebutja qualsevol intent de modificar o esborrar un assentament a mà, vingui de qui vingui. Cada assentament guarda 27 dades —qui, què, sobre què, des de quina adreça, com estava abans i com ha quedat després— i es lliga a l'anterior amb una empremta. En una instal·lació en marxa això són 489 accions diferents registrades: entrades i sortides, canvis de permís, l'obertura d'un enregistrament, el moviment d'una càmera, exportacions, canvis de configuració. Un botó recorre la cadena sencera i contesta si és íntegra o en quin assentament i en quina data s'ha trencat. El registre se segella a més per períodes, perquè d'aquí a dos anys es pugui contrastar l'estat que tenia avui.

Les dades personals es tracten per tipus, no en bloc. Cada taula porta el seu termini amb la seva base legal escrita al costat, i una passada nocturna els aplica sola i deixa traça del que ha esborrat; abans d'armar-la es pot llançar en simulacre, que no esborra res i ensenya què cauria. Les set sol·licituds que pot presentar una persona —accés, rectificació, supressió i la resta— tenen la seva pantalla, el seu termini i el seu avís quan el venciment s'acosta, i qualsevol usuari presenta la seva des del perfil. Una bretxa de seguretat s'obre amb el seu rellotge de 72 hores a la vista, i el tauler destaca les que l'han superat. Les zones privades d'una càmera van en negre per a tothom, i descobrir-les exigeix motiu escrit, una segona persona que ho aprovi i un temps limitat. Les dades biomètriques porten termini propi, separat del vídeo, i la pantalla avisa per escrit que allargar-lo augmenta l'exposició legal, en comptes de deixar que s'allargui sense que ningú digui res.

El compliment es porta com una llista, no com un discurs. Hi ha els 79 controls de l'Esquema Nacional de Seguretat de nivell alt i els 93 de l'annex A de la norma ISO 27001, cadascun amb el seu estat, les seves evidències, la data de l'última revisió i qui la va fer; els dos marcs van creuats entre si, de manera que una sola declaració d'aplicabilitat respon a les dues auditories. Hi ha a més un registre dels sistemes d'intel·ligència artificial en ús i una cua on una persona revisa decisions de la màquina i les confirma, les anul·la o les escala. I convé dir el que això no és: IRIS està dissenyat per ajudar a complir aquests marcs, però no està certificat ni homologat en cap d'ells. Qui es certifica és l'organització que explota el sistema, amb els seus processos i les seves instal·lacions; el que aporta el producte són les proves per aconseguir-ho. L'única homologació d'un tercer que sí que tenim és la del comptatge de persones davant del Centre Espanyol de Metrologia.

L'avaria que surt cara és la que es descobreix el dia que fa falta el vídeo. Per això hi ha un tauler que classifica cada càmera —connecta, sense imatge, apagada a propòsit, sense mesurar, sense vigilar— i diu des de quan està així, quants talls porta en les últimes 24 hores i en els últims set dies, i quin va ser el més llarg. Amb els serveis i els servidors passa igual: quan alguna cosa falla no es pinta una icona vermella, s'escriu el motiu, i el motiu distingeix entre no està en marxa, fa hores que no es refresca, respon però no produeix i es va apagar a propòsit. Hi ha a més un diagnòstic que caça les fallades mudes, les que mai donen error: dos serveis barallant-se pel mateix port, un canvi de base de dades sense aplicar, un vigilant aturat. I una decisió que diu molt del producte: quan una cosa no s'ha mesurat, la pantalla no la pinta de verd. No és el mateix que no hi hagi avaries que no haver-ho pogut comprovar, i aquí es distingeixen les dues coses.

Tota la configuració viu dins del sistema i es toca des del navegador: 1.524 valors repartits en 44 serveis —càmeres, emmagatzematge, xarxa, terminis, idiomes i fusos horaris— sense ni un fitxer per editar i sense entrar al servidor. Cada canvi guarda qui el va fer i quan, i cada paràmetre està documentat dins de la mateixa plataforma: què governa, en quina unitat, quin és el seu valor per defecte i què passa si es posa a zero, que no sempre vol dir infinit. L'inventari de certificats és de la mateixa escola: els enumera tots, avisa dels que caduquen i aixeca pel seu compte dues advertències que gairebé ningú escriu en un fullet: que s'està servint amb el certificat de fàbrica, que és el mateix a totes les instal·lacions, i que hi ha adreces de la màquina que no figuren en cap certificat. Renovar-ne un torna a demanar la contrasenya de l'administrador, perquè tenir la sessió oberta no basta per substituir un certificat, i abans de tocar res es guarda còpia del que hi havia. Són detalls petits, i són justament els que es troben a faltar al cap de sis mesos.