No te pedimos que te fíes. Te lo demostramos.

De todas es la más nueva, y trata justo de eso: cómo se construye y cómo se vigila un sistema de inteligencia artificial para que no termine haciendo cosas raras sin que nadie se dé cuenta.

«¿Y a la inteligencia artificial quién la controla?» es la pregunta más incómoda de un comité de compras, y esta norma la contesta por escrito. Queda documentado quién entrena los modelos que miran tus cámaras, con qué datos, quién comprueba que aciertan y qué se hace cuando fallan. Así, el día que la pregunta salga en un comité o en una auditoría, hay un certificado que enseñar en vez de una improvisación.

En el mundo entero es la norma de referencia para proteger información. Viene alguien de afuera y revisa quién puede entrar en qué, cómo se guardan las claves, qué pasa si alguien pierde una computadora portátil y cómo se detecta que algo va mal.

Tu área de informática no tiene que fiarse de nuestra palabra: pide el certificado y lo comprueba. Eso te ahorra el cuestionario de seguridad de cuarenta páginas que, si no, tendrías que mandarnos, esperar y evaluar vos. En unas bases, la casilla de seguridad de la información llega ya acreditada por un auditor externo.

Es la hermana de la anterior, solo que puesta sobre los datos de personas: qué se guarda de alguien, para qué, cuánto tiempo dura guardado y quién lo puede ver.

El día que una persona pregunte qué se guarda de ella, existe un procedimiento escrito y no una improvisación. Y cuando te toque justificar el tratamiento de imágenes ante quien te lo pida o ante tu propio responsable de datos, el trabajo ya está hecho y auditado: no lo empezás el día que llega el requerimiento.

Trata del día malo: un incendio, un ciberataque, una inundación en el cuarto de servidores. Y obliga a tenerlo escrito y, sobre todo, a haberlo probado.

En unas bases te van a preguntar qué pasa el día que el sistema se cae y en cuánto vuelve a estar en operación. Con esta norma esa respuesta está medida y ensayada, no estimada por alguien de ventas. Es un plan de continuidad que se probó de verdad, no uno que duerme en un cajón hasta el día del incidente.

La norma de toda la vida. Obliga a que la forma de trabajar esté escrita, a medir si funciona y a corregirla cuando no.

Si algo sale mal, hay un procedimiento para arreglarlo y para que no se repita, y ese procedimiento se puede auditar. No depende de que ese día esté de turno la persona que se lo sabe. En muchas bases de licitación esta norma aparece como requisito de solvencia técnica: con nosotros, esa casilla viene marcada de casa.

Mide y reduce lo que gastamos y lo que tiramos: consumo eléctrico de los servidores, residuos electrónicos, ciclo de vida de los equipos.

En una licitación los criterios ambientales puntúan, y un proveedor certificado te suma en lugar de restarte. Y si tu organización tiene que rendir cuentas de sus objetivos de sostenibilidad, nuestro consumo y nuestros residuos ya están medidos y auditados: no los tenés que estimar vos para tu memoria anual.

Va de las personas que instalan y mantienen: quien sube a un báculo de ocho metros a colocar una cámara, o quien entra en una planta de tratamiento o en un túnel.

El personal que pisa tu instalación entra capacitado, con equipo y con procedimiento, y eso es justo lo que te van a pedir acreditar cuando haya que coordinar actividades entre empresas. Si hay un accidente en tu recinto, la documentación existe y está auditada por un tercero. Sin ella, el problema termina siendo tuyo.

Es el reglamento que obliga a los sistemas que usa la Administración española. De sus tres niveles, el alto es el más duro: el que se aplica cuando una falla tendría consecuencias graves.

Es la vara más alta que nos han puesto, y la pasamos: el requisito está cumplido y acreditado por una entidad de certificación. Para quien contrata desde la Administración española eso significa no abrir un expediente para justificar por qué, porque ahí el ENS no es opcional: o el proveedor lo tiene, o el expediente se para. Para quien contrata desde acá no es un requisito, y sirve para otra cosa: para saber con qué exigencia está construido lo que se compra.

Energía, agua, transporte, salud: los sectores de los que depende la vida diaria quedan obligados por esta directiva europea a protegerse de ataques informáticos. No habla de categorías, sino de entidades esenciales y entidades importantes, según el sector y el tamaño.

Si tu organización está obligada por NIS2, tus proveedores entran en la ecuación: la directiva mira toda la cadena de suministro, no solo tu casa. Con nosotros esa casilla ya está marcada, así que ni nos tenés que auditar vos ni tenés que explicar en tu informe por qué contrataste a alguien que no la cumple.

IRIS incorpora NeuralPax, una licencia independiente, y hoy es el único sistema del mundo con esta homologación: la del Centro Español de Metrología —el instituto nacional de metrología de España— para contar personas, medir ocupación y controlar afluencias. Es el organismo que dice si un instrumento mide bien: el mismo que homologa una báscula o un radar. Así que el número de gente que da IRIS no es una estimación nuestra: es una medida comprobada contra un patrón. Ojo con el alcance: lo verificado es esa medida y no el producto entero, y no es una homologación guatemalteca ni la sustituye.

Cuando el número que se publica es que en un evento hubo doce mil personas, ese número se puede volver a comprobar. No es una estimación: es una medida tomada contra un patrón, con un procedimiento repetible, y es justo la que te van a discutir cuando haya que sostener un conteo ante una inspección, ante una aseguradora o, si hace falta, ante un juez. Una estimación no aguanta ahí. Que quede claro el alcance: lo verificado es contar personas, no el producto entero, y esa verificación es española y no guatemalteca.