No le pedimos que confíe. Se lo demostramos.

La más reciente del grupo, y la que apunta directo al asunto: qué controles hay que montar sobre un sistema de inteligencia artificial —quién lo entrena, quién lo revisa, quién responde— para que nadie se entere tarde de que se salió de cauce.

Esta norma le deja por escrito la respuesta a la pregunta más incómoda de un comité de compras: «¿y a la inteligencia artificial quién la controla?». Está documentado quién entrena los modelos que miran sus cámaras, con qué datos, quién comprueba que aciertan y qué se hace cuando fallan. El día que esa pregunta salga en el concejo municipal o en una auditoría, usted muestra un certificado en vez de improvisar.

La referencia mundial para proteger información. Un auditor externo entra a revisar quién tiene acceso a qué, dónde y cómo se guardan las claves, qué se hace cuando a alguien se le pierde un notebook y de qué manera se detecta que algo anda mal.

Su área de informática no tiene que creernos: pide el certificado y lo comprueba. Eso le ahorra el cuestionario de seguridad de cuarenta páginas que, si no, tendría que mandarnos, esperar y evaluar usted. En una licitación, el punto de seguridad de la información llega acreditado por un auditor externo.

Va pegada a la anterior, pero mirando solo los datos de personas: qué se guarda de alguien, con qué finalidad, por cuánto rato queda guardado y quién tiene permiso para abrirlo.

El día que una persona pregunte qué se guarda de ella, existe un procedimiento escrito y no una improvisación. Y cuando le toque justificar el tratamiento de imágenes ante quien le pida cuentas, o ante su propio encargado de datos, el trabajo ya está hecho y auditado: no lo empieza el día que llega el requerimiento.

Se ocupa del peor día: un incendio, un ataque informático, agua entrando a la sala de servidores. Y no basta con tener el plan escrito; la norma exige haberlo ensayado.

En las bases de una licitación le van a preguntar qué pasa el día que el sistema se cae y en cuánto vuelve a andar. Con esta norma esa respuesta está medida y ensayada, no estimada por alguien de ventas. Es un plan de continuidad que se probó de verdad, no uno que duerme en una carpeta hasta el día del incidente.

La norma de toda la vida. Obliga a que la forma de trabajar esté escrita, a medir si funciona y a corregirla cuando no.

Si algo sale mal, hay un procedimiento para arreglarlo y para que no se repita, y ese procedimiento se puede auditar. No depende de que ese día esté de turno el técnico que se lo sabe. En muchas bases de licitación esta norma aparece como requisito de solvencia técnica: con nosotros, ese punto viene resuelto de antemano.

Obliga a llevar la cuenta de lo que la empresa consume y de lo que bota, y a bajarlo: la electricidad que se llevan los servidores, los equipos electrónicos al final de su vida y qué se hace con ellos.

En una licitación los criterios ambientales puntúan, y un proveedor certificado le suma en vez de restarle. Y si su organización tiene que rendir cuenta de sus metas de sostenibilidad, nuestro consumo y nuestros residuos ya están medidos y auditados: no los tiene que estimar usted para su reporte anual.

Va de las personas que instalan y hacen la mantención: quien sube a un poste de ocho metros a colgar una cámara, o quien entra a una planta de aguas servidas o a un túnel.

El personal que pisa su instalación entra formado, con equipo y con procedimiento, y eso es justo lo que le van a pedir acreditar al coordinar el trabajo con contratistas. Si hay un accidente en su recinto, la documentación existe y está auditada por un tercero. Sin ella, el problema termina siendo suyo.

En España, los sistemas que usa el sector público tienen que pasar por el Esquema Nacional de Seguridad. Son tres niveles y el alto es el techo: el que se aplica a lo que, si falla, deja consecuencias graves.

Acá nadie le va a pedir el ENS: es una norma española y en Chile no rige. Lo que dice de nosotros es otra cosa. Que un Estado auditó estos sistemas en su nivel más alto —el que se reserva a lo que no puede fallar— y que salieron aprobados. Cuando su área de informática arme la evaluación de proveedores, eso es evidencia de un tercero y no una declaración nuestra.

Es la directiva europea que obliga a los sectores de los que depende la vida diaria —energía, agua, transporte, salud— a protegerse de ataques informáticos. La directiva no habla de categorías: separa entidades esenciales de entidades importantes, según el sector y el tamaño.

Si su organización responde ante un cliente o ante una casa matriz obligada por NIS2, la directiva mira toda la cadena de suministro y no solo la casa de uno. Con nosotros ese punto ya viene resuelto: ni nos tiene que auditar usted ni tiene que explicar en su informe por qué contrató a alguien que no la cumple.

IRIS incorpora NeuralPax, una licencia aparte, y hoy es el único sistema del mundo con esta homologación: la del Centro Español de Metrología —el instituto nacional de metrología de España— para contar personas, medir aforos y controlar afluencias. Ese organismo es el que dice si un instrumento mide bien: el mismo que homologa una balanza o un radar. Así que la cantidad de gente que entrega IRIS no es una estimación nuestra: la verificó alguien de afuera, con un método que se puede repetir. Dos límites: lo homologado es esa medida, no el producto entero, y una homologación española no equivale a una chilena.

Cuando usted diga que a ese evento entraron doce mil personas, detrás de ese número hay un método verificado y repetible. Eso es lo que le van a discutir el día que haya que justificar un aforo: ante quien fiscaliza el recinto, ante la aseguradora o en un peritaje. Una estimación no aguanta ahí; una medida con método, sí. Y el alcance, dicho sin que nadie pregunte: lo homologado es contar personas, no el producto entero, y es una homologación española, no chilena.