No le pedimos que se fíe. Se lo mostramos.

La más nueva de todas, y va exactamente de esto: cómo se construye un sistema de inteligencia artificial y cómo se le hace seguimiento, para que no termine haciendo cosas raras sin que nadie se dé cuenta.

Esta norma le da por escrito la respuesta a la pregunta más incómoda de un comité de compras: «¿y a la inteligencia artificial quién la controla?». Está documentado quién entrena los modelos que miran sus cámaras, con qué datos, quién revisa que acierten y qué se hace cuando fallan. El día que esa pregunta salga en el Concejo o en una auditoría, usted muestra un certificado en vez de improvisar.

Es la norma que el mundo entero usa como referencia para proteger información. Viene alguien de afuera y revisa quién puede entrar a qué, cómo se guardan las claves, qué pasa el día que alguien pierde un portátil y cómo nos enteramos de que algo anda mal.

Su área de tecnología no tiene que creernos: pide el certificado y lo revisa. Eso le ahorra el cuestionario de seguridad de cuarenta páginas que si no tendría que mandarnos, esperar y calificar usted mismo. En un pliego, la casilla de seguridad de la información llega ya acreditada por un auditor de afuera.

La hermana de la anterior, pero apuntada a los datos de personas. Fija qué se guarda de alguien, con qué fin, por cuánto tiempo y quién tiene permiso de verlo.

El día que una persona pregunte qué se guarda de ella, hay un procedimiento escrito y no una improvisación. Y cuando le toque sustentar el tratamiento de imágenes ante quien vigila la protección de datos o ante su propio oficial de privacidad, el trabajo ya está hecho y auditado: no lo arranca el día que llega el requerimiento.

Va del día malo: un incendio, un ataque informático, agua entrando al cuarto de servidores. La norma obliga a tenerlo escrito y, sobre todo, a haberlo ensayado.

En un pliego de condiciones le van a preguntar qué pasa el día que el sistema se cae y en cuánto vuelve a estar arriba. Con esta norma esa respuesta está medida y ensayada, no calculada por alguien de ventas. Es un plan de continuidad que se probó de verdad, no uno que duerme en una carpeta hasta el día del incidente.

La norma de toda la vida. Obliga a tener escrita la forma de trabajar, a medir si funciona y a corregirla cuando no.

Si algo sale mal, hay un procedimiento para arreglarlo y para que no vuelva a pasar, y ese procedimiento se puede auditar. No depende de que ese día esté de turno el técnico que se lo sabe. En muchos pliegos esta norma aparece como requisito de solvencia técnica: con nosotros, esa casilla viene marcada de fábrica.

Mide y baja lo que gastamos y lo que botamos: consumo eléctrico de los servidores, residuo electrónico, vida útil de los equipos.

En una licitación los criterios ambientales puntúan, y un proveedor certificado le suma en vez de restarle. Y si su organización tiene que rendir cuentas de sus metas de sostenibilidad, nuestro consumo y nuestros residuos ya están medidos y auditados: no le toca estimarlos a usted para su informe anual.

Va de las personas que instalan y mantienen: quien sube a un poste de ocho metros a colgar una cámara, o quien entra a una PTAR o a un túnel.

El personal que pisa su instalación entra formado, con equipo y con procedimiento, y eso es justo lo que le van a pedir acreditar cuando entren contratistas. Si hay un accidente adentro del predio, la documentación existe y la auditó un tercero. Sin ella, el problema termina siendo suyo.

El Esquema Nacional de Seguridad es el reglamento que la Administración española le exige a los sistemas que usa. Tiene tres niveles y el alto es el más exigente: el de los sistemas cuya falla tendría consecuencias graves. Es una norma española y no aplica en Colombia; lo que viaja es el nivel de escrutinio que hubo que aguantar para tenerla.

Es una auditoría de Estado, más dura que la de casi cualquier pliego: un tercero revisa la arquitectura entera, no una declaración firmada por nosotros. Sirve como evidencia de rigor, y así la presentamos. No es una casilla colombiana ni la vendemos como tal.

Es la directiva europea que obliga a los sectores de los que depende la vida diaria —energía, agua, transporte, salud— a protegerse de ataques informáticos. No habla de categorías: separa entidades esenciales de entidades importantes, según el sector y el tamaño.

Si su organización opera en Europa o le vende a alguien que sí, la cadena de suministro entra en la cuenta: la directiva mira a los proveedores, no solo la casa. Con nosotros esa casilla ya está marcada. Y si su operación es solo colombiana, lo que le sirve de esto es otra cosa: es la prueba de que aguantamos una revisión de ciberseguridad hecha por gente que no nos conoce.

IRIS lleva dentro NeuralPax, una licencia independiente, y hoy es el único sistema del mundo con esa homologación: la del Centro Español de Metrología —el instituto nacional de metrología de España— para contar personas y medir aforos. Ese organismo es el que dice si un instrumento mide bien: el mismo que homologa una báscula. Así que la cifra de gente que da IRIS no es un estimado nuestro: la verificó alguien de afuera. Lo que llega hasta aquí no es el sello, es el método: la misma raya, en el mismo lugar, todos los días. Y el alcance es ese, no el producto entero.

Cuando usted diga que en un evento hubo doce mil personas, esa cifra la respalda un tercero y no nosotros. Es una medida homologada, no un cálculo aproximado, y esa diferencia se nota justo donde duele: delante de una aseguradora, delante del comité que revisa el aforo o delante de quien le pida el soporte meses después. Un estimado no aguanta ahí. Y hay que decirlo con el alcance encima: es una homologación española, no equivale a una acreditación colombiana y no la presentamos como tal. Lo homologado es contar personas, no el producto entero.