Non ti chiediamo di fidarti. Te lo dimostriamo.

È la norma più recente di tutte e parla proprio di questo: come si costruisce e si sorveglia un sistema di intelligenza artificiale perché non finisca a fare cose strane senza che nessuno se ne accorga.

Questa norma ti mette per iscritto la risposta alla domanda più scomoda di un comitato acquisti: «e l'intelligenza artificiale chi la controlla?». È documentato chi addestra i modelli che guardano le tue telecamere, con quali dati, chi verifica che ci prendano e cosa si fa quando sbagliano. Il giorno in cui quella domanda arriva in consiglio o in un audit, mostri un certificato invece di improvvisare.

È la norma di riferimento al mondo per proteggere le informazioni. Qualcuno di esterno verifica chi può accedere a cosa, come si custodiscono le credenziali, cosa succede se qualcuno perde un portatile e come ci si accorge che qualcosa non va.

I tuoi sistemi informativi non devono fidarsi della nostra parola: chiedono il certificato e lo verificano. Ti risparmia il questionario di sicurezza da quaranta pagine che altrimenti dovresti mandarci, aspettare e valutare tu. In una gara, la casella della sicurezza delle informazioni arriva già attestata da un auditor esterno.

È la sorella della precedente, ma centrata sui dati delle persone. Regola cosa si conserva di qualcuno, per quale scopo, per quanto tempo e chi può vederlo.

Il giorno in cui un cittadino chiede cosa si conserva di lui, esiste una procedura scritta e non un'improvvisazione. E quando dovrai giustificare il trattamento delle immagini davanti al Garante o al tuo responsabile della protezione dei dati, il lavoro è già fatto e verificato: non lo inizi il giorno in cui arriva la richiesta.

Parla di cosa succede nel giorno storto: un incendio, un attacco informatico, un allagamento nella sala server. La norma obbliga ad averlo scritto e, soprattutto, ad averlo provato.

In una gara ti chiederanno cosa succede il giorno in cui il sistema cade e in quanto torna operativo. Con questa norma quella risposta è misurata e provata, non stimata da qualcuno del commerciale. È un piano di continuità che è stato davvero testato, non uno che dorme in un cassetto fino al giorno dell'incidente.

La norma di sempre. Obbliga a mettere per iscritto il modo di lavorare, a misurarlo e a correggerlo quando non funziona.

Se qualcosa va storto, esiste una procedura per sistemarlo e perché non si ripeta, ed è una procedura verificabile. Non dipende dal fatto che quel giorno sia di turno il tecnico che se ne intende. In molte gare pubbliche questa norma compare come requisito di capacità tecnica: con noi quella casella arriva già spuntata.

Misura e riduce ciò che consumiamo e ciò che buttiamo: consumo elettrico dei server, rifiuti elettronici, ciclo di vita degli apparati.

In una gara pubblica i criteri ambientali danno punti, e un fornitore certificato te ne aggiunge invece di toglierteli. E se la tua organizzazione deve rendicontare gli obiettivi di sostenibilità, i nostri consumi e i nostri rifiuti sono già misurati e verificati: non devi stimarli tu per il bilancio annuale.

Riguarda le persone che installano e manutengono: chi sale su un palo di otto metri a montare una telecamera, o chi entra in un depuratore o in un tunnel.

Il personale che mette piede nel tuo impianto arriva formato, con dispositivi e con procedura, ed è esattamente quello che ti chiederanno di documentare nel coordinamento delle imprese in appalto. Se succede un infortunio nella tua area, la documentazione esiste ed è verificata da un terzo. Senza, il problema diventa tuo.

Lo Schema Nazionale di Sicurezza è il regolamento obbligatorio per i sistemi usati dalla pubblica amministrazione spagnola. Ha tre livelli e l'alto è il più severo: quello dei sistemi il cui guasto avrebbe conseguenze gravi.

Se sei pubblica amministrazione spagnola, puoi affidarci il lavoro senza aprire un fascicolo per giustificare il perché. Il requisito è soddisfatto e attestato da un ente di certificazione, e questo si vede nei tempi della pratica. Per i sistemi della pubblica amministrazione l'ENS non è opzionale: o il fornitore ce l'ha, o la pratica si ferma.

È la direttiva europea che obbliga i settori da cui dipende la vita quotidiana — energia, acqua, trasporti, sanità — a proteggersi dagli attacchi informatici. La categoria alta è quella dei soggetti più critici.

Se la tua organizzazione è soggetta a NIS2, i tuoi fornitori entrano nell'equazione: la direttiva guarda tutta la catena di fornitura, non solo casa tua. Con noi quella casella è già spuntata, quindi non devi né verificarci tu né spiegare nella tua relazione perché hai scelto qualcuno che non è a norma.

IRIS integra NeuralPax, una licenza indipendente, ed è oggi l'unico sistema al mondo con questa omologazione: quella del Centro Español de Metrología per contare persone, misurare capienze e controllare i flussi. Il Centro Español de Metrología è l'ente che dice se uno strumento misura bene: lo stesso che omologa una bilancia o un autovelox. Quindi il numero di persone che dà IRIS non è una nostra stima: è una misura verificata da un terzo. Attenzione alla portata: l'omologato è quella misura, non l'intero prodotto.

Quando dici che a un evento c'erano dodicimila persone, quel numero ha un sostegno ufficiale. Per questo serve a rispettare la normativa vigente sulle capienze negli eventi: non è una stima, è una misura omologata, ed è proprio quella che ti contesteranno quando bisognerà giustificare una capienza davanti a un'ispezione, a un'assicurazione o, se serve, a un giudice. Una stima lì non regge. Sia chiara la portata: l'omologato è contare persone, non l'intero prodotto.