No le pedimos que nos crea. Se lo demostramos.

La más nueva de todas, y va justo de esto: cómo se construye y cómo se vigila un sistema de inteligencia artificial, para que no termine haciendo cosas raras sin que nadie se dé cuenta.

Esta norma le da por escrito la respuesta a la pregunta más incómoda de un comité de compras: “¿y a la inteligencia artificial quién la controla?”. Está documentado quién entrena los modelos que miran sus cámaras, con cuáles datos, quién comprueba que aciertan y qué se hace cuando fallan. El día que esa pregunta salga en una sesión de junta o en una auditoría, usted enseña un certificado en lugar de improvisar.

Proteger información tiene una norma de referencia en el mundo, y es esta. Alguien de afuera entra a revisar quién puede acceder a qué, cómo se guardan las claves, qué pasa si alguien pierde una computadora portátil y cómo se detecta que algo va mal.

Su área de informática no tiene que creernos: pide el certificado y lo comprueba. Eso les ahorra el cuestionario de seguridad de cuarenta páginas que, si no, tendrían que mandarnos, esperar y evaluar ustedes. En un cartel de licitación, la casilla de seguridad de la información llega ya acreditada por un auditor externo.

Hermana de la anterior, pero puesta en los datos de personas. Lo que regula es qué se guarda de alguien, para qué, por cuánto tiempo y quién puede verlo.

El día que un vecino pregunte qué se guarda de él, existe un procedimiento escrito y no una improvisación. Y cuando a usted le toque justificar el tratamiento de imágenes ante la autoridad competente en materia de protección de datos, o ante su propio delegado, el trabajo ya está hecho y auditado: no lo empieza el día que llega el requerimiento.

Trata del día malo: un incendio, un ciberataque, una inundación en el cuarto de servidores. Y obliga a dos cosas: a tenerlo escrito y, sobre todo, a haberlo probado.

En un cartel de licitación le van a preguntar qué pasa el día que el sistema se cae y en cuánto vuelve a estar andando. Con esta norma esa respuesta está medida y ensayada, no estimada por alguien de ventas. Es un plan de continuidad que se probó de verdad, no uno que duerme en una gaveta hasta el día del incidente.

La norma de toda la vida. Obliga a que la forma de trabajar esté escrita, a medir si sirve y a corregirla cuando no.

Si algo sale mal hay un procedimiento para arreglarlo y para que no se repita, y ese procedimiento se puede auditar. No depende de que ese día esté de guardia el técnico que se lo sabe. En muchos carteles de licitación esta norma aparece como requisito de solvencia técnica: con nosotros, esa casilla viene marcada de la casa.

Mide y reduce lo que gastamos y lo que botamos: consumo eléctrico de los servidores, residuos electrónicos, ciclo de vida de los equipos.

En una licitación pública los criterios ambientales puntúan, y un proveedor certificado le suma en lugar de restarle. Y si su organización tiene que rendir cuentas de sus objetivos ambientales, nuestro consumo y nuestros residuos ya están medidos y auditados: no los tiene que estimar usted para su memoria anual.

Va de las personas que instalan y mantienen: quien sube a un poste de ocho metros a colocar una cámara, o quien entra a una planta de tratamiento o a un túnel.

El personal que pisa su instalación entra capacitado, con equipo y con procedimiento, y eso es justo lo que le van a pedir acreditar en la coordinación con contratistas. Si hay un accidente en su propiedad, la documentación existe y está auditada por un tercero. Sin ella, el problema termina siendo suyo.

Para los sistemas que usa la Administración española hay un reglamento obligatorio, y ese es el Esquema Nacional de Seguridad. Va en tres niveles, y el alto es el más exigente de los tres: el que se le pide a un sistema cuya falla tendría consecuencias graves.

Si su organización es administración pública española, puede contratarnos sin abrir un expediente para justificar por qué: el requisito está cumplido y acreditado por una entidad de certificación, y eso se nota en lo que tarda el expediente en salir. Para los sistemas de esa Administración el ENS no es opcional. Y conviene decirlo claro: es un marco español, no equivale a ninguna acreditación costarricense ni la sustituye.

Los sectores de los que depende la vida diaria —energía, agua, transporte, salud— quedan obligados por esta directiva europea a protegerse de ataques informáticos. Y no habla de categorías: lo que separa son entidades esenciales de entidades importantes, según el sector y el tamaño.

Si su organización está obligada por NIS2, sus proveedores entran en la ecuación: la directiva mira toda la cadena de suministro, no solo su casa. Con nosotros esa casilla ya está marcada, así que ni nos tiene que auditar usted ni tiene que explicar en su informe por qué contrató a alguien que no la cumple. Y también acá el alcance: es una norma europea, y no equivale a ninguna exigencia costarricense ni la sustituye.

El Ministerio del Interior de España extiende el Certificado de Empresa Instaladora, y el nuestro es el número 3709. Es lo que autoriza legalmente a diseñar, equipar, instalar y dar mantenimiento a sistemas electrónicos de seguridad en España. No es un sello de calidad: es el requisito para poder hacer el trabajo.

Que la instalación la haga quien tiene autorización para hacerla. Parece obvio y no lo es: una parte del mercado la montan empresas sin inscripción, y el día que hay un incidente y el ajustador de la aseguradora pide el certificado de la instaladora, ese papel no existe y el problema termina siendo del cliente. El número es 3709 y está en el registro del Ministerio: no hace falta que nos crean. Y con el alcance claro: es una autorización española, en Costa Rica no habilita nada y no la presentamos como si lo hiciera.

RASIC es el registro de empresas instaladoras del Ministerio de Industria de España. Para entrar hay que demostrar tres cosas: que el personal es competente de verdad, que hay medios para ejecutar y para dar mantenimiento a lo instalado, y que la empresa resiste económicamente el trabajo que firma.

En un cartel de licitación, la casilla de solvencia técnica llega acreditada y no hay que construirla con certificaciones de experiencia y declaraciones juradas. Y en un contrato largo pesa más: quien firma cinco años de mantenimiento tiene con qué sostenerlos. Un sistema cuyo instalador desaparece al segundo año pasa a ser problema de ustedes, no de él. El registro es español y acá no es exigible: sirve como prueba de que esa solvencia la revisó un tercero.

IRIS incorpora NeuralPax, una licencia aparte, y hoy es el único sistema del mundo con esta verificación: la del Centro Español de Metrología para contar personas y controlar afluencias. El Centro Español de Metrología es el instituto nacional de metrología de España, el organismo que dice si un instrumento mide bien: el mismo que verifica una báscula o un radar. Así que el número de gente que da IRIS no es una estimación nuestra: se midió contra un patrón, con un procedimiento repetible, y cualquiera lo puede volver a comprobar. Ojo con el alcance: lo verificado es esa medida, no el producto entero, y no equivale a ninguna acreditación costarricense.

Cuando usted diga que en un evento hubo doce mil personas, ese número lo respalda un tercero. No es una estimación: se midió contra un patrón, con el Centro Español de Metrología —el instituto nacional de metrología de España— de por medio. Y esa diferencia es justo la que se nota cuando hay que justificar una capacidad ante una inspección, ante una aseguradora o, si hace falta, ante un juez: una estimación no aguanta ahí. Que quede claro el alcance: lo verificado es contar personas, no el producto entero, y eso no sustituye ninguna acreditación costarricense.