No te pedimos que te fiés. Te lo demostramos.

Cómo se construye y se vigila un sistema de inteligencia artificial para que no ande haciendo cosas raras sin que nadie se dé cuenta. De eso trata, y es la norma más reciente de la lista.

“¿Y a la inteligencia artificial quién la controla?” es la pregunta más incómoda de un comité de compras, y esta norma la contesta por escrito. Queda documentado quién entrena los modelos que miran tus cámaras, con qué datos, quién comprueba que aciertan y qué se hace cuando fallan. Así que el día que esa pregunta salga en una junta o en una auditoría, lo que se enseña es un certificado, no una improvisación.

Quién puede entrar a qué, cómo se guardan las claves, qué pasa si alguien pierde una computadora portátil, cómo se detecta que algo va mal: todo eso lo revisa alguien de afuera. En el mundo es la norma de referencia para proteger información.

Tu área de informática no tiene que creernos: pide el certificado y lo comprueba. Eso te ahorra el cuestionario de seguridad de cuarenta páginas que, si no, tendrías que mandarnos, esperar y evaluar vos. En una licitación, la casilla de seguridad de la información llega ya acreditada por un auditor externo.

Datos de personas: qué se guarda de alguien, para qué, cuánto tiempo y quién puede verlo. Es la hermana de la anterior, con ese foco.

El día que una persona pregunte qué se guarda de ella, existe un procedimiento escrito y no una improvisación. Y cuando toque justificar el tratamiento de imágenes ante quien corresponda o ante tu propio delegado de protección de datos, el trabajo ya está hecho y auditado: no se empieza el día que llega el requerimiento.

Es la norma del día malo: un incendio, un ciberataque, agua en el cuarto de equipos. Obliga a tenerlo escrito y, sobre todo, a haberlo probado.

En un cartel de licitación te van a preguntar qué pasa el día que el sistema se cae y en cuánto vuelve a estar andando. Con esta norma esa respuesta está medida y ensayada, no estimada por alguien de ventas. Es un plan de continuidad que se probó de verdad, no uno que duerme en una gaveta hasta el día del incidente.

La norma de toda la vida. Obliga a que la forma de trabajar esté escrita, a medir si funciona y a corregirla cuando no.

Que ese día esté de turno el técnico que se lo sabe deja de importar: si algo sale mal hay un procedimiento para arreglarlo y para que no se repita, y ese procedimiento se puede auditar. En muchas licitaciones públicas la norma aparece además como requisito de solvencia técnica, y esa casilla viene marcada de casa.

Mide y reduce lo que gastamos y lo que botamos: consumo eléctrico de los servidores, residuos electrónicos, ciclo de vida de los equipos.

Un proveedor certificado suma en lugar de restar, porque en una licitación pública los criterios ambientales puntúan. Y si tu organización tiene que rendir cuentas de sus objetivos de sostenibilidad, nuestro consumo y nuestros residuos ya vienen medidos y auditados: no hay que estimarlos para la memoria anual.

Quien se sube a un poste de ocho metros a colocar una cámara, quien entra a una planta de tratamiento, quien baja a un túnel: de esa gente trata, la que instala y mantiene.

El personal que pisa tu instalación entra capacitado, con equipo y con procedimiento, y eso es justo lo que te van a pedir acreditar cuando se coordinan trabajos entre empresas. Si hay un accidente en tu predio, la documentación existe y está auditada por un tercero. Sin ella, el problema termina siendo tuyo.

Para los sistemas que usa la Administración española hay un reglamento obligatorio, y es este. Tiene tres niveles; el alto es el más exigente, el de los sistemas cuya falla tendría consecuencias graves.

Sin abrir un expediente para justificar por qué: así podés contratarnos si sos administración pública española. El requisito está cumplido y acreditado por una entidad de certificación, y eso se nota en lo que tarda el expediente en salir, porque para esos sistemas el ENS no es opcional —o el proveedor lo tiene, o el expediente se para—. Fuera de España sirve como referencia de nivel de exigencia, no como requisito.

Energía, agua, transporte, salud: los sectores de los que depende la vida diaria están obligados por esta directiva europea a protegerse de ataques informáticos. Y no habla de categorías: separa entidades esenciales de entidades importantes, según el sector y el tamaño.

La directiva mira toda la cadena de suministro, no solo tu casa: si tu organización está obligada por NIS2, tus proveedores entran en la ecuación. Con nosotros esa casilla ya está marcada, así que no hay que auditarnos ni hay que explicar en un informe por qué se contrató a alguien que no la cumple.

IRIS incorpora NeuralPax, una licencia independiente, y hoy es el único sistema del mundo con esta verificación: la del Centro Español de Metrología para contar personas, medir ocupación y controlar afluencias. El Centro Español de Metrología es el instituto nacional de metrología de España, el organismo que dice si un instrumento mide bien: el mismo que verifica una báscula o un radar. Así que el número de gente que da IRIS no es una estimación nuestra: es una medida comprobada por un tercero. Dos precisiones: no equivale a una acreditación salvadoreña ni la sustituye, y lo verificado es esa medida, no el producto entero.

Cuando digás que en un evento hubo doce mil personas, ese número lo respalda un tercero. No es una estimación: es una medida verificada ante el Centro Español de Metrología, que es el instituto nacional de metrología de España. Eso no equivale a una acreditación salvadoreña ni la sustituye; lo que aporta es el método, y el método se puede volver a comprobar. Y esa diferencia es justo la que se nota cuando hay que justificar un conteo ante una inspección, ante una aseguradora o ante quien lo pida: una estimación ahí no aguanta. Que quede claro el alcance: lo verificado es contar personas, no el producto entero.