No le pedimos que se fíe. Se lo demostramos.

Cómo se construye y se vigila un sistema de inteligencia artificial para que no termine haciendo cosas raras sin que nadie se entere: de eso va, y es la norma más nueva de todas.

«¿Y a la inteligencia artificial quién la controla?» Es la pregunta más incómoda de un comité de compras, y esta norma le da la respuesta por escrito. Queda documentado quién entrena los modelos que miran sus cámaras, con qué datos, quién comprueba que aciertan y qué se hace cuando fallan. El día que esa pregunta salga en una sesión o en una auditoría, usted enseña un certificado en vez de improvisar.

Quién puede entrar a qué, cómo se guardan las claves, qué pasa si alguien pierde un portátil y cómo se detecta que algo va mal: eso es lo que revisa alguien de afuera. Es la norma de referencia en el mundo para proteger información.

Pida el certificado y compruébelo: su área de informática no tiene que fiarse de nuestra palabra. Eso le ahorra el cuestionario de seguridad de cuarenta páginas que, si no, tendría que mandarnos, esperar y evaluar. Y en un pliego, la casilla de seguridad de la información llega ya acreditada por un auditor externo.

Qué se guarda de alguien, para qué, durante cuánto tiempo y quién puede verlo: eso es lo que regula. Es la hermana de la anterior, centrada en los datos de personas.

El día que alguien pregunte qué se guarda de él, existe un procedimiento escrito y no una improvisación. Y cuando le toque justificar el tratamiento de imágenes ante quien corresponda o ante su propio delegado, el trabajo ya está hecho y auditado: usted no lo empieza el día que llega el requerimiento.

Un incendio, un ciberataque, una inundación en el cuarto de servidores: va del día malo. La norma obliga a tenerlo escrito y, sobre todo, a haberlo probado.

«¿Y qué pasa el día que el sistema se cae? ¿En cuánto vuelve?» Eso se lo van a preguntar en un pliego, y con esta norma la respuesta está medida y ensayada, no estimada por alguien de ventas. Es un plan de continuidad que se probó de verdad, no uno que duerme en un cajón hasta el día del incidente.

La norma de toda la vida. Obliga a que la forma de trabajar esté escrita, a medir si funciona y a corregirla cuando no.

Si algo sale mal, hay un procedimiento para arreglarlo y para que no se repita, y ese procedimiento se puede auditar. No depende de que ese día esté de turno el técnico que se lo sabe. En muchos pliegos esta norma aparece como requisito de solvencia técnica: con nosotros, esa casilla viene marcada de casa.

Mide y reduce lo que gastamos y lo que botamos: consumo eléctrico de los servidores, residuos electrónicos, ciclo de vida de los equipos.

En un concurso los criterios ambientales puntúan, y un proveedor certificado le suma en vez de restarle. Y si su organización tiene que rendir cuentas de sus objetivos de sostenibilidad, nuestro consumo y nuestros residuos ya están medidos y auditados: usted no los tiene que estimar para su memoria anual.

Va de las personas que instalan y mantienen: quien sube a un poste de ocho metros a colocar una cámara, o quien entra a una planta de tratamiento o a un túnel.

El personal que pisa su instalación entra formado, con equipo y con procedimiento, y eso es justo lo que le van a pedir acreditar en la coordinación con contratistas. Si hay un accidente en su recinto, la documentación existe y está auditada por un tercero. Sin ella, el problema termina siendo suyo.

Es el reglamento obligatorio para los sistemas que usa la Administración española, con tres niveles. El alto es el más exigente: el de los sistemas cuyo fallo tendría consecuencias graves.

O el proveedor lo tiene, o el expediente se para: para esos sistemas el ENS no es opcional. Si usted es administración pública española, puede contratarnos sin abrir un expediente para justificar por qué, porque el requisito está cumplido y acreditado por una entidad de certificación. Y eso se nota en lo que se demora el expediente en salir.

Es la directiva europea que obliga a los sectores de los que depende la vida diaria —energía, agua, transporte, salud— a protegerse de ataques informáticos. La directiva no habla de categorías: separa entidades esenciales de entidades importantes, según el sector y el tamaño.

Si su organización está obligada por NIS2, sus proveedores entran en la ecuación: la directiva mira toda la cadena de suministro, no solo su casa. Con nosotros esa casilla ya está marcada, así que ni nos tiene que auditar usted ni tiene que explicar en su informe por qué contrató a alguien que no la cumple.

IRIS incorpora NeuralPax, una licencia independiente, y hoy es el único sistema del mundo con esta homologación: la del Centro Español de Metrología —el instituto nacional de metrología de España— para contar personas, medir aforos y controlar afluencias. Ese organismo es el que dice si un instrumento mide bien: el mismo que homologa una báscula o un radar. Así que el número de gente que da IRIS no es una estimación nuestra: es una medida verificada por un tercero. Ojo con el alcance: lo homologado es esa medida, no el producto entero, y no equivale a una acreditación ecuatoriana.

Cuando usted diga que en un evento hubo doce mil personas, ese número lo respalda un tercero. No es una estimación: es una medida homologada por el Centro Español de Metrología, el instituto nacional de metrología de España. Y esa diferencia es justo la que se nota cuando hay que justificar un aforo ante una inspección, ante una aseguradora o ante quien tenga que valorarlo: una estimación no aguanta ahí. Que quede claro el alcance: lo homologado es contar personas, no el producto entero, y esa homologación es española, así que no equivale a una acreditación ecuatoriana.