No te pedimos que nos creas. Te lo demostramos.

De todas las de esta página es la última en llegar, y llegó por este tema exacto: cómo se arma y cómo se controla un sistema de inteligencia artificial, para que no termine haciendo cualquier cosa mientras nadie mira.

Esta norma deja por escrito la respuesta a la pregunta más incómoda de un comité de compras: «¿y a la inteligencia artificial quién la controla?». Está documentado quién entrena los modelos que miran tus cámaras, con qué datos, quién comprueba que aciertan y qué se hace cuando fallan. El día que esa pregunta aparezca en una auditoría o en una reunión de directorio, mostrás un certificado en vez de improvisar.

Es la norma con la que se mide, en todo el mundo, si una empresa protege bien la información. Viene alguien de afuera y revisa lo que uno no se revisa solo: quién entra a qué, cómo se guardan las claves, qué pasa el día que alguien pierde una notebook y cómo se detecta que algo anda mal.

Tu área de informática no tiene que creernos: pide el certificado y lo comprueba. Eso te ahorra el cuestionario de seguridad de cuarenta páginas que, si no, tendrías que mandarnos, esperar y después evaluar. En un pliego, la casilla de seguridad de la información llega ya acreditada por un auditor externo.

Misma familia que la anterior, con el foco corrido a los datos de personas: qué se guarda de alguien, para qué se guarda, cuánto tiempo queda y quién lo puede mirar.

El día que un vecino pregunte qué se guarda de él, hay un procedimiento escrito y no una improvisación. Y cuando te toque justificar el tratamiento de imágenes ante la autoridad de protección de datos que te corresponda, o ante tu propio delegado, el trabajo ya está hecho y auditado: no arranca el día que llega el pedido.

Trata del día malo: un incendio, un ciberataque, agua adentro de la sala de servidores. Lo que exige no es solo tener el plan escrito, es haberlo probado, que es donde se cae la mitad de los planes.

«¿Y el día que el sistema se cae?» es una pregunta de pliego, y también «¿en cuánto vuelve?». Con esta norma las dos respuestas están medidas y ensayadas: no las estima alguien de ventas. Un plan de continuidad probado de verdad, y no uno que duerme en un cajón hasta el día en que hace falta.

La norma de toda la vida. Obliga a que la forma de trabajar esté escrita, a medir si funciona y a corregirla cuando no.

Si algo sale mal hay un procedimiento para arreglarlo y para que no vuelva a pasar, y ese procedimiento se puede auditar. No depende de que ese día esté de turno el técnico que se lo sabe. En muchos pliegos esta norma aparece como requisito de solvencia técnica: con nosotros, esa casilla viene marcada de fábrica.

Mide y baja lo que gastamos y lo que tiramos: consumo eléctrico de los servidores, residuos electrónicos y ciclo de vida de los equipos.

Los criterios ambientales puntúan en una licitación, así que un proveedor certificado suma donde otro resta. Y si tu organización rinde cuentas de sus objetivos de sostenibilidad, nuestro consumo y nuestros residuos vienen medidos y auditados: no hay que estimarlos a mano para la memoria anual.

Va de las personas que instalan y mantienen: quien sube a una columna de ocho metros a colocar una cámara, o quien entra a una planta de tratamiento de efluentes o a un túnel.

La gente que pisa tu instalación entra formada, con equipo y con procedimiento, y eso es justamente lo que te van a pedir acreditar cuando entra un contratista. Si hay un accidente adentro de tu predio, la documentación existe y está auditada por un tercero. Sin eso, el problema termina siendo tuyo.

Es el reglamento que la Administración española le impone a todo sistema que usa, sin excepción, y se llama Esquema Nacional de Seguridad. Trae tres niveles. El alto, que es el nuestro, está pensado para los sistemas donde una falla se paga caro.

Para los sistemas de la Administración pública española el ENS no es opcional: o el proveedor lo tiene, o el trámite se frena. Nosotros lo tenemos cumplido y acreditado por una entidad de certificación, así que esa parte no hay que justificarla con un informe aparte. Y en un llamado internacional, tener un marco de seguridad acreditado por un tercero se lee igual en cualquier mesa.

Europa puso por escrito qué sectores no se pueden caer —energía, agua, transporte, salud— y les exigió defenderse de los ataques informáticos. Eso es NIS2. Adentro no hay categorías: hay entidades esenciales y entidades importantes, y en cuál cae cada organización lo deciden su sector y su tamaño.

Si tu organización está obligada por NIS2, tus proveedores entran en la cuenta: la directiva mira toda la cadena de suministro y no solamente tu casa. Con nosotros esa casilla ya está marcada, así que ni nos tenés que auditar vos ni tenés que explicar en tu informe por qué contrataste a alguien que no la cumple.

IRIS incorpora NeuralPax, una licencia aparte, y hoy es el único sistema del mundo con esta homologación: la del Centro Español de Metrología para contar personas y controlar afluencias. El Centro Español de Metrología es el instituto nacional de metrología de España, el organismo que dice si un instrumento mide bien: el mismo que homologa una balanza o un radar. Así que la cantidad de gente que da IRIS no es una estimación nuestra: es una medida verificada por un tercero. Ojo con el alcance, que lo decimos nosotros y sin que nadie pregunte: lo homologado es esa medida y no el producto entero, y no equivale a ninguna homologación uruguaya.

Cuando digas que en un evento hubo doce mil personas, ese número lo respalda un tercero. No es una estimación: es una medida homologada por el Centro Español de Metrología, el instituto nacional de metrología de España. Y la diferencia se nota justo cuando hay que sostener una cifra de gente ante una inspección, ante una aseguradora o, llegado el caso, ante un juez: ahí una estimación no se sostiene. Dos aclaraciones sobre el alcance: lo homologado es contar personas, no el producto entero, y esa homologación no equivale a ninguna homologación uruguaya.