No le pedimos que se fíe. Se lo demostramos.

La más nueva de todas, y va exactamente de eso: cómo se construye un sistema de inteligencia artificial y cómo se lo vigila después, para que no termine haciendo cosas raras sin que nadie se dé cuenta.

En todo comité de compras aparece la misma pregunta incómoda: «¿y a la inteligencia artificial quién la controla?». Esta norma es la respuesta por escrito. Queda documentado quién entrena los modelos que miran sus cámaras, con qué datos, quién revisa que acierten y qué se hace el día que fallan. Cuando la pregunta salga en el concejo o en una auditoría, usted muestra el certificado.

Es la referencia mundial para proteger información. Un auditor de afuera se sienta a revisar quién entra a qué, dónde y cómo se guardan las claves, qué se hace el día que alguien pierde una laptop y cómo se detecta a tiempo que algo anda mal.

Su área de sistemas no tiene que creernos: pide el certificado y lo comprueba. Eso le ahorra el cuestionario de seguridad de cuarenta páginas que, si no, tendría que mandarnos, esperar y evaluar. En unas bases, la casilla de seguridad de la información le llega ya acreditada por un auditor externo.

Es la hermana de la anterior, pero centrada en los datos de personas. Regula qué se guarda de alguien, para qué, por cuánto tiempo y quién lo puede ver.

El día que un vecino pregunte qué se guarda de él, existe un procedimiento escrito y no una improvisación. Y cuando le toque justificar el tratamiento de imágenes delante de la autoridad de protección de datos que corresponda, o de su propio delegado, el trabajo ya está hecho y auditado: usted no lo empieza el día que llega el requerimiento.

Es la norma del día malo: el incendio, el ciberataque, el agua entrando a la sala de servidores. Obliga a tener escrito qué se hace, y sobre todo a haberlo ensayado antes de necesitarlo.

En unas bases le van a preguntar qué pasa el día que el sistema se cae y en cuánto vuelve a estar andando. Con esta norma esa respuesta está medida y ensayada, no estimada por alguien de ventas. Es un plan de continuidad que se probó de verdad, no uno que duerme en un cajón hasta el día del incidente.

La norma de toda la vida. Obliga a que la forma de trabajar esté escrita, a medir si funciona y a corregirla cuando no.

Cuando algo sale mal existe un procedimiento escrito para arreglarlo y para que no vuelva a pasar, y ese procedimiento se puede auditar. Deja de depender de que ese día esté de turno el técnico que se lo sabe de memoria. Y en muchas bases esta norma entra como requisito de solvencia técnica: con nosotros esa casilla ya viene marcada.

Mide y reduce lo que gastamos y lo que botamos: consumo eléctrico de los servidores, residuos electrónicos, ciclo de vida de los equipos.

En un proceso de selección los criterios ambientales puntúan, y un proveedor certificado le suma en vez de restarle. Y si su organización tiene que rendir cuentas de sus objetivos de sostenibilidad, nuestro consumo y nuestros residuos ya están medidos y auditados: usted no los tiene que estimar para su reporte anual.

Va de las personas que instalan y mantienen: quien sube a un poste de ocho metros a colocar una cámara, o quien entra a una PTAR o a un túnel.

El personal que pisa su instalación entra capacitado, con equipo y con procedimiento, y eso es justo lo que le van a pedir acreditar cuando entre un contratista a trabajar en su predio. Si hay un accidente adentro, la documentación existe y está auditada por un tercero. Sin ella, el problema termina siendo suyo.

Es el reglamento que rige, de forma obligatoria, los sistemas que usa la Administración de España. Tiene tres niveles, y el alto —el nuestro— se reserva para los sistemas cuya falla tendría consecuencias graves.

El ENS es un reglamento español y lo tenemos acreditado por una entidad de certificación. Para una entidad peruana no es un requisito, y no vamos a decir que lo sea. Lo que sí le sirve es como prueba comprobable: alguien de afuera revisó cómo está construido y operado el sistema en el nivel más exigente que existe en ese marco, y lo firmó. Eso se puede pedir y se puede leer.

Directiva europea. Obliga a los sectores de los que depende la vida diaria —energía, agua, transporte, salud— a protegerse de los ataques informáticos. No habla de categorías: separa entidades esenciales de entidades importantes, según el sector y el tamaño de cada una.

Si su organización responde ante un marco europeo, sus proveedores entran en la cuenta: la directiva mira toda la cadena de suministro, no solo su casa. Con nosotros esa casilla ya está marcada, así que ni nos tiene que auditar usted ni tiene que explicar en su informe por qué contrató a alguien que no la cumple.

Acá conviene empezar por quién firma. El Centro Español de Metrología es el instituto nacional de metrología de España: el organismo que dice si un instrumento mide bien, el mismo que homologa una balanza o un radar. IRIS incorpora NeuralPax, una licencia aparte, y hoy es el único sistema del mundo con la homologación de ese instituto para contar personas, medir aforos y controlar afluencias. O sea que la cifra de gente no sale de una estimación nuestra: la verificó un tercero. Y el alcance es ese y no más: la medida, no el producto entero.

Cuando usted diga que en un evento hubo doce mil personas, ese número tiene detrás una medida homologada y no una estimación. Y esa es justo la cifra que le van a discutir el día que haya que justificar un aforo delante de una aseguradora, de un cliente o de quien tenga que revisarlo. Una estimación no aguanta ahí. Dos precisiones, y las damos sin que nadie las pida: lo homologado es contar personas, no el producto entero; y es una homologación española, que no equivale a una homologación peruana.