Nous ne vous demandons pas de nous croire. Nous le prouvons.

C'est la norme la plus récente de toutes et elle porte exactement là-dessus : comment on construit et on surveille un système d'intelligence artificielle pour qu'il ne finisse pas par faire n'importe quoi sans que personne s'en aperçoive.

Cette norme vous donne par écrit la réponse à la question la plus gênante d'un comité d'achats : l'intelligence artificielle, qui la contrôle ? Il est documenté qui entraîne les modèles qui regardent vos caméras, avec quelles données, qui vérifie qu'ils voient juste et ce qui se passe quand ils se trompent. Le jour où cette question tombe en conseil ou en audit, vous montrez un certificat au lieu d'improviser.

C'est la norme de référence mondiale pour protéger l'information. Un tiers vérifie qui peut accéder à quoi, comment sont conservés les identifiants, ce qui se passe si quelqu'un perd un portable et comment on détecte qu'il y a un problème.

Votre DSI n'a pas à nous croire sur parole : elle demande le certificat et le vérifie. Cela vous épargne le questionnaire de sécurité de quarante pages qu'il faudrait sinon nous envoyer, attendre et évaluer vous-même. Dans un appel d'offres, la case sécurité de l'information arrive déjà validée par un auditeur externe.

C'est la sœur de la précédente, centrée sur les données des personnes. Elle encadre ce qu'on conserve de quelqu'un, pourquoi, combien de temps et qui peut le consulter.

Le jour où un habitant demande ce qui est conservé sur lui, il existe une procédure écrite et non une improvisation. Et quand il faudra justifier le traitement des images devant l'autorité de protection des données ou devant votre DPO, le travail est déjà fait et audité : vous ne le commencez pas le jour où la demande arrive.

Elle traite du mauvais jour : un incendie, une cyberattaque, une inondation dans la salle serveurs. La norme oblige à l'avoir écrit et, surtout, à l'avoir testé.

Un appel d'offres vous demandera ce qui se passe le jour où le système tombe et en combien de temps il revient. Avec cette norme, cette réponse est mesurée et répétée, pas estimée par un commercial. C'est un plan de continuité réellement testé, pas un plan qui dort dans un tiroir jusqu'au jour de l'incident.

La norme classique. Elle impose que la façon de travailler soit écrite, mesurée, et corrigée quand elle ne marche pas.

Si quelque chose va de travers, il existe une procédure pour le corriger et pour que cela ne se reproduise pas, et cette procédure est auditable. Cela ne dépend pas du technicien qui sait faire et qui est de garde ce jour-là. Dans beaucoup d'appels d'offres publics, cette norme figure comme exigence de capacité technique : avec nous, la case est déjà cochée.

Elle mesure et réduit ce que nous consommons et ce que nous jetons : consommation électrique des serveurs, déchets électroniques, cycle de vie des équipements.

Dans un marché public, les critères environnementaux rapportent des points, et un fournisseur certifié vous en ajoute au lieu de vous en retirer. Et si votre organisation doit rendre compte de ses objectifs de durabilité, notre consommation et nos déchets sont déjà mesurés et audités : vous n'avez pas à les estimer pour votre rapport annuel.

Elle concerne les personnes qui installent et entretiennent : celle qui monte sur un mât de huit mètres poser une caméra, ou qui entre dans une station d'épuration ou un tunnel.

Le personnel qui entre chez vous arrive formé, équipé et avec une procédure — c'est exactement ce qu'on vous demandera de prouver dans la coordination des entreprises intervenantes. S'il y a un accident sur votre site, le dossier existe et il a été audité par un tiers. Sans lui, le problème finit par être le vôtre.

Le Schéma national de sécurité est le règlement obligatoire pour les systèmes utilisés par l'administration espagnole. Il compte trois niveaux et le niveau élevé est le plus exigeant : celui des systèmes dont la défaillance aurait des conséquences graves.

Si vous êtes une administration publique espagnole, vous pouvez nous contracter sans ouvrir un dossier pour justifier pourquoi. L'exigence est remplie et attestée par un organisme de certification, et cela se voit sur les délais du dossier. Pour les systèmes de l'Administration, l'ENS n'est pas optionnel : soit le fournisseur l'a, soit le dossier s'arrête.

C'est la directive européenne qui oblige les secteurs dont dépend la vie quotidienne — énergie, eau, transports, santé — à se protéger des cyberattaques. La catégorie haute vise les entités les plus critiques.

Si votre organisation est soumise à NIS2, vos fournisseurs entrent dans l'équation : la directive regarde toute la chaîne d'approvisionnement, pas seulement votre maison. Avec nous, la case est déjà cochée : vous n'avez ni à nous auditer ni à expliquer dans votre rapport pourquoi vous avez retenu quelqu'un qui n'est pas conforme.

IRIS intègre NeuralPax, une licence indépendante, et c'est aujourd'hui le seul système au monde à détenir cette homologation : celle du Centro Español de Metrología pour compter des personnes, mesurer des jauges et contrôler des flux. Le Centro Español de Metrología est l'organisme qui dit si un instrument mesure juste : le même qui homologue une balance ou un radar. Le nombre de personnes que donne IRIS n'est donc pas une estimation de notre part : c'est une mesure vérifiée par un tiers. Attention à la portée : l'homologation porte sur cette mesure, pas sur le produit entier.

Quand vous annoncez douze mille personnes à un événement, ce chiffre a un appui officiel. C'est pour cela qu'il satisfait la réglementation en vigueur sur les jauges d'événements : ce n'est pas une estimation, c'est une mesure homologuée, et c'est précisément celle qu'on vous contestera quand il faudra justifier une jauge devant une inspection, devant un assureur ou, s'il le faut, devant un juge. Une estimation ne tient pas là. Que la portée soit claire : l'homologation porte sur le comptage de personnes, pas sur le produit entier.