No le pedimos que se fíe. Se lo demostramos.

La más nueva de todas, y va exactamente de esto: cómo se construye y cómo se vigila un sistema de inteligencia artificial para que no termine haciendo cosas raras sin que nadie se dé cuenta.

«¿Y a la inteligencia artificial quién la controla?» Es la pregunta más incómoda de un comité de compras, y esta norma la deja contestada por escrito: quién entrena los modelos que ven sus cámaras, con qué datos, quién comprueba que aciertan y qué se hace cuando fallan. El día que esa pregunta salga en un cabildo o en una auditoría, se enseña un certificado en vez de improvisar.

Es la norma de referencia en el mundo para proteger información. Alguien de fuera revisa quién puede entrar a qué, cómo se guardan las claves, qué pasa si a alguien se le pierde una laptop y cómo se detecta que algo anda mal.

Su área de sistemas no tiene que fiarse de nuestra palabra: pide el certificado y lo comprueba. Eso le ahorra el cuestionario de seguridad de cuarenta páginas que, si no, tendría que mandarnos, esperar y evaluar usted. En una licitación, la casilla de seguridad de la información llega ya acreditada por un auditor externo.

Hermana de la anterior, nada más que puesta sobre los datos de personas: qué se guarda de alguien, con qué finalidad, por cuánto tiempo y quién tiene permiso de verlo.

El día que un vecino pregunte qué se guarda de él, existe un procedimiento escrito y no una improvisación. Y cuando le toque justificar el tratamiento de imágenes ante la autoridad competente en materia de protección de datos personales o ante su propio responsable interno, el trabajo ya está hecho y auditado: no lo empieza el día que llega el requerimiento.

Esta trata del día malo y de lo que se hace cuando llega: un incendio, un ciberataque, agua entrando al cuarto de servidores. Y no basta con tenerlo escrito, que también lo exige: hay que haberlo ensayado.

En unas bases de licitación le van a preguntar qué pasa el día que el sistema se cae y en cuánto vuelve a estar en marcha. Con esta norma esa respuesta está medida y ensayada, no estimada por alguien de ventas. Es un plan de continuidad que se probó de verdad, no uno que duerme en un cajón hasta el día del incidente.

La norma de toda la vida. Obliga a que la forma de trabajar esté escrita, a medir si funciona y a corregirla cuando no.

Si algo sale mal, hay un procedimiento para arreglarlo y para que no se repita, y ese procedimiento se puede auditar. No depende de que ese día esté de turno el técnico que se lo sabe. En muchas bases de licitación esta norma aparece como requisito de capacidad técnica: con nosotros, esa casilla viene marcada de casa.

Mide y reduce lo que gastamos y lo que tiramos: consumo eléctrico de los servidores, residuos electrónicos, ciclo de vida de los equipos.

En una licitación pública los criterios ambientales puntúan, y un proveedor certificado le suma en lugar de restarle. Y si su organización tiene que rendir cuentas de sus objetivos de sostenibilidad, nuestro consumo y nuestros residuos ya están medidos y auditados: no los tiene que estimar usted para su informe anual.

Va de las personas que instalan y mantienen: quien sube a un poste de ocho metros a colocar una cámara, o quien entra a una planta de tratamiento o a un túnel.

El personal que pisa su instalación entra capacitado, con equipo y con procedimiento, y eso es justo lo que le van a pedir acreditar antes de dejarlo entrar. Si hay un accidente en su instalación, la documentación existe y está auditada por un tercero. Sin ella, el problema termina siendo suyo.

El Esquema Nacional de Seguridad es el reglamento obligatorio para los sistemas que usa la Administración pública española. Es una norma española y solo aplica allá. Tiene tres niveles y el alto es el más exigente: el de sistemas cuyo fallo tendría consecuencias graves.

Es la auditoría de Estado más dura por la que pasó este producto, y es más exigente que lo que pide casi cualquier licitación. Un tercero revisó, uno por uno, los controles de un sistema al que se le exige que no falle. Aquí no lo presentamos como una casilla que haya que marcar: es evidencia de que el producto se construyó para aguantar que lo revisen a fondo, y esa evidencia se puede mostrar a un comité de compras tal cual está.

Directiva europea que obliga a protegerse de ataques informáticos a los sectores de los que depende la vida diaria: energía, agua, transporte, salud. Y no habla de categorías: separa entidades esenciales de entidades importantes, según el sector y el tamaño.

Es una directiva europea y aquí no obliga a nadie: lo decimos por delante. Lo que le sirve a usted es lo que hay debajo. Para cumplirla nos revisan la casa entera y también la cadena de proveedores, y ese trabajo ya está hecho y auditado. Si su organización opera también en Europa, esa casilla ya viene marcada; y si no, sigue siendo la prueba de que el sistema aguanta que lo revisen a ese nivel.

Lo emite el Ministerio del Interior de España y se llama Certificado de Empresa Instaladora: el nuestro lleva el número 3709. Es el permiso legal para diseñar, equipar, instalar y dar mantenimiento a sistemas electrónicos de seguridad en territorio español. No es un sello de calidad, es el permiso para poder trabajar.

Que la instalación la haga una empresa que tiene permiso para hacerla. Parece obvio y no lo es: buena parte del mercado la montan empresas sin registro, y cuando hay un incidente y el ajustador de la aseguradora pide el certificado de la instaladora, ese papel no aparece y el problema termina siendo del cliente. Nuestro número es el 3709 y se consulta en el registro del Ministerio: no tiene que creernos. Eso sí, es una habilitación española y no la presentamos como permiso mexicano: si su proyecto necesita uno de aquí, se revisa con usted y no se da por hecho.

RASIC es el registro de empresas instaladoras que lleva el Ministerio de Industria español. Para quedar inscrito hay que demostrar tres cosas: que el personal sabe de verdad, que existen los medios para ejecutar y para dar mantenimiento a lo instalado, y que la empresa aguanta económicamente el trabajo que firma.

En unas bases de licitación, la casilla de capacidad técnica llega ya acreditada y no hay que armarla con actas de entrega-recepción y declaraciones bajo protesta de decir verdad. Y en un contrato largo importa todavía más: quien firma cinco años de mantenimiento tiene con qué sostenerlos. Un sistema cuyo instalador desaparece al segundo año se vuelve problema de usted, no de él. El registro es español y aquí no es un requisito: lo que prueba es que esa capacidad la revisó un tercero.

IRIS incorpora NeuralPax, una licencia independiente, y es hoy el único sistema del mundo con esta homologación española: la del Centro Español de Metrología —el instituto nacional de metrología de España— para contar personas, medir ocupación y controlar afluencias. El Centro Español de Metrología es el organismo que dice si un instrumento mide bien: el mismo que homologa una báscula o un radar. Lo que llega hasta aquí no es el sello, es el método: la misma raya, en el mismo lugar, todos los días, y una cifra que revisa alguien que no somos nosotros. Ojo con el alcance: lo homologado es esa medida, no el producto entero.

Cuando usted diga que en un evento hubo doce mil personas, ese número no es una estimación suya: es una medida que verifica un tercero con un método fijo. Eso es lo que sirve cuando hay que sostener una cifra frente a una inspección, frente a una aseguradora o frente a quien la ponga en duda: la misma raya, en el mismo lugar, el mismo día del año pasado y el de hoy. Y dos cosas claras. Es una homologación española, no equivale a una acreditación mexicana y no la presentamos como tal: si su caso necesita una acreditación local, se estudia con usted y no la damos por hecha. Y el alcance: lo homologado es contar personas, no el producto entero.