No te pedimos que te fíes. Te lo demostramos.

De esto va, y es la norma más nueva de todas: cómo se construye y cómo se vigila un sistema de inteligencia artificial para que no termine haciendo cosas raras sin que nadie se dé cuenta.

«¿Y a la inteligencia artificial quién la controla?» Ésa es la pregunta incómoda de todo comité de compras, y esta norma la deja contestada por escrito: quién entrena los modelos que miran tus cámaras, con qué datos, quién comprueba que aciertan y qué se hace cuando fallan. El día en que la pregunta aparezca en una reunión o en una auditoría, hay un certificado que mostrar en lugar de una explicación improvisada.

Es la norma de referencia mundial para proteger información. Viene alguien de afuera y revisa quién puede entrar a qué, cómo se guardan las claves, qué pasa si alguien pierde una notebook y de qué manera se detecta que algo anda mal.

Tu área de informática no tiene que creernos: pide el certificado y lo comprueba. Eso te ahorra el cuestionario de seguridad de cuarenta páginas que si no tendrías que mandarnos, esperar y evaluar vos. Y en un pliego, la casilla de seguridad de la información llega ya acreditada por un auditor de afuera.

La misma idea de la anterior, aplicada a los datos de personas: qué se guarda de alguien, con qué finalidad, por cuánto tiempo y quién tiene permiso para verlo.

El día que un vecino pregunte qué se guarda de él, hay un procedimiento escrito y no una improvisación. Y cuando te toque justificar el tratamiento de imágenes ante la autoridad de control que corresponda o ante tu propio delegado, el trabajo ya está hecho y auditado: no arranca el día en que llega el pedido.

Es la norma del día malo: un incendio, un ataque informático, agua adentro de la sala de servidores. Obliga a tener escrito qué se hace y, sobre todo, a haberlo probado antes.

Qué pasa el día en que el sistema se cae, y en cuánto vuelve a andar: eso lo va a preguntar el pliego. Con esta norma la respuesta está medida y ensayada, y no estimada por alguien de ventas. Es un plan de continuidad que se probó de verdad, no uno que duerme en un cajón hasta el día del incidente.

La norma de toda la vida. Obliga a que la forma de trabajar esté escrita, a medir si funciona y a corregirla cuando no.

Cuando algo sale mal existe un procedimiento para arreglarlo y para que no vuelva a pasar, y ese procedimiento se puede auditar: no depende de que ese día esté de guardia el técnico que se lo sabe. En muchos pliegos la norma aparece además como requisito de solvencia técnica, y esa casilla ya viene marcada de casa.

Mide y reduce lo que gastamos y lo que tiramos: consumo eléctrico de los servidores, residuos electrónicos, ciclo de vida de los equipos.

Un proveedor certificado suma en lugar de restar cuando la licitación puntúa criterios ambientales. Y si tu organización rinde cuentas de sus objetivos de sostenibilidad, nuestro consumo y nuestros residuos ya vienen medidos y auditados: no te toca estimarlos a vos para la memoria anual.

Va de las personas que instalan y mantienen: quien sube a una columna de alumbrado de ocho metros a colocar una cámara, o quien entra a una planta de tratamiento de efluentes o a un túnel.

La gente que pisa tu instalación entra formada, con equipo y con procedimiento, que es justo lo que te van a pedir acreditar cuando controles quién entra a trabajar a tu predio. Si hay un accidente adentro, la documentación existe y está auditada por un tercero. Sin ella, el problema termina siendo tuyo.

Es el reglamento obligatorio de los sistemas que usa la Administración pública española, con tres niveles. El alto es el más exigente de los tres: el que se les pide a los sistemas cuya falla tendría consecuencias graves.

Cuando un pliego pide un marco de seguridad reconocido, el requisito ya está cumplido y acreditado por una entidad de certificación, y eso se nota en lo que tarda el expediente en salir. Para los sistemas de la Administración española el ENS no es opcional: o el proveedor lo tiene, o el expediente se frena.

Es la directiva europea que obliga a los sectores de los que depende la vida diaria —energía, agua, transporte, salud— a protegerse de ataques informáticos. La directiva no habla de categorías: separa entidades esenciales de entidades importantes, según el sector y el tamaño.

La directiva mira la cadena de suministro entera, no solo tu casa: si tu organización está obligada por NIS2, tus proveedores entran en la cuenta. Con nosotros la casilla ya está marcada, así que no tenés que auditarnos ni explicar en tu informe por qué contrataste a alguien que no la cumple.

IRIS lleva adentro NeuralPax, una licencia independiente, y hoy es el único sistema del mundo con esta homologación: la del Centro Español de Metrología para contar personas, medir aforos y controlar afluencias. Ese organismo es el instituto nacional de metrología de España, el que dice si un instrumento mide bien: el mismo que homologa una balanza o un radar. Así que el número de gente que da IRIS no es una estimación nuestra: es una medida verificada por un tercero. Ojo con el alcance: lo homologado es esa medida, no el producto entero, y no equivale a una homologación paraguaya.

Ese número lo respalda un tercero: cuando digas que en un evento hubo doce mil personas, no estás dando una estimación, estás dando una medida homologada por el Centro Español de Metrología, el instituto nacional de metrología de España. Y la diferencia se nota justo cuando hay que justificar un aforo ante una inspección, ante una aseguradora o, si hace falta, ante un tribunal: una estimación ahí no aguanta. El alcance, claro desde el principio: lo homologado es contar personas, no el producto entero, y es una homologación española, no paraguaya.