No le pedimos que confíe. Se lo demostramos.

De las normas es la más nueva, y trata exactamente esto: cómo se arma y cómo se vigila un sistema de inteligencia artificial, para que no acabe haciendo cosas raras sin que nadie se dé cuenta.

«¿Y a la inteligencia artificial quién la controla?» es la pregunta más incómoda de un comité de compras, y esta norma le da la respuesta por escrito. Queda documentado quién entrena los modelos que miran sus cámaras, con qué datos, quién comprueba que aciertan y qué se hace cuando fallan. El día que esa pregunta aparezca ante el concejo o en una auditoría, usted muestra un certificado en vez de improvisar.

Para proteger información, es la norma de referencia en el mundo. Alguien de fuera revisa quién entra a qué, cómo se guardan las claves, qué pasa el día que alguien pierde una laptop y cómo se detecta que algo anda mal.

Que su área de informática confíe en nuestra palabra no hace falta: pide el certificado y lo comprueba. Con eso se ahorra el cuestionario de seguridad de cuarenta páginas que, si no, tendría que mandarnos, esperar y evaluar. Y en un pliego, la casilla de seguridad de la información llega ya acreditada por un auditor externo.

Es la hermana de la anterior, puesta sobre los datos de personas: qué se guarda de alguien, para qué, durante cuánto tiempo y quién lo puede ver.

El día que un vecino pregunte qué se guarda de él, hay un procedimiento escrito y no una improvisación. Y cuando le toque justificar el tratamiento de imágenes ante la autoridad de protección de datos, o ante su propio delegado, el trabajo ya está hecho y auditado: no arranca el día que llega el requerimiento.

Del día malo va esta norma: un incendio, un ciberataque, una inundación en la sala de servidores. Obliga a tenerlo escrito y, sobre todo, a haberlo probado.

Qué pasa el día que el sistema se cae, y en cuánto vuelve a estar en marcha: eso se lo van a preguntar en un pliego. Con esta norma la respuesta viene medida y ensayada, no estimada por alguien de ventas. Es un plan de continuidad probado de verdad, y no uno durmiendo en un cajón hasta el día del incidente.

La norma de toda la vida. Obliga a que la forma de trabajar esté escrita, a medir si funciona y a corregirla cuando no.

Cuando algo sale mal hay un procedimiento para arreglarlo y para que no vuelva a pasar, y ese procedimiento se puede auditar: no depende de que ese día esté de turno el técnico que se lo sabe. Y hay un efecto práctico en licitaciones, donde esta norma aparece a menudo como requisito de solvencia técnica: la casilla llega marcada de casa.

Mide y reduce lo que gastamos y lo que tiramos: consumo eléctrico de los servidores, residuos electrónicos, ciclo de vida de los equipos.

Los criterios ambientales puntúan en una licitación pública, y un proveedor certificado le suma en vez de restarle. Además, si su organización rinde cuentas de sus objetivos de sostenibilidad, nuestro consumo y nuestros residuos ya vienen medidos y auditados: usted no los tiene que estimar para su memoria anual.

De las personas que instalan y mantienen: quien sube a un poste de ocho metros a colocar una cámara, o quien entra a una PTAR o a un túnel.

El personal que pisa su instalación entra formado, con equipo y con procedimiento, y eso es justo lo que le van a pedir acreditar en la coordinación con contratistas. Si hay un accidente en su predio, la documentación existe y está auditada por un tercero. Sin ella, el problema termina siendo suyo.

Para los sistemas que usa la Administración española, el Esquema Nacional de Seguridad es un reglamento obligatorio. Tiene tres niveles, y el alto —el que tenemos— es el más exigente: el que se pide a los sistemas cuya falla tendría consecuencias graves.

Contratarnos, si usted es administración pública española, no exige abrir un expediente para justificar por qué: el requisito está cumplido y acreditado por una entidad de certificación, y eso se nota en lo que tarda el expediente en salir. Ahí el ENS no es opcional: o el proveedor lo tiene, o el expediente se detiene.

Es la directiva europea que obliga a los sectores de los que depende la vida diaria —energía, agua, transporte, salud— a protegerse de ataques informáticos. La directiva no habla de categorías: separa entidades esenciales de entidades importantes, según el sector y el tamaño.

Sus proveedores entran en la ecuación si su organización está obligada por NIS2, porque la directiva mira toda la cadena de suministro y no solo su casa. Con nosotros esa casilla ya viene marcada: ni nos tiene que auditar usted, ni tiene que explicar en su informe por qué contrató a alguien que no la cumple.

IRIS incorpora NeuralPax, una licencia independiente, y hoy es el único sistema del mundo con esta homologación: la del Centro Español de Metrología para contar personas, medir aforos y controlar afluencias. Ese Centro es el instituto nacional de metrología de España, el organismo que dice si un instrumento mide bien —el mismo que homologa una balanza o un radar—. Así que el número de gente que da IRIS no es una estimación nuestra: es una medida que verificó un tercero. Y ojo con el alcance: lo homologado es esa medida, no el producto entero.

Cuando usted diga que en un evento hubo doce mil personas, ese número tiene un informe detrás. No es una estimación: es una medida homologada por el Centro Español de Metrología, el instituto nacional de metrología de España. Alguien de fuera vino, contó a mano, comparó con lo que daba el sistema y firmó la diferencia. Eso es lo que le van a pedir el día que haya que justificar un aforo ante una aseguradora, ante un cliente o ante quien audite: una estimación no aguanta ahí. Dos precisiones, y las dos importan: lo homologado es contar personas, no el producto entero, y es una homologación española que no equivale a ninguna homologación boliviana.