Tutti vedono la stessa telecamera, in diretta, dentro la stessa riunione

Un allarme, un veicolo fermo dove non dovrebbe, una segnalazione in un impianto. L'operatore lo sta vedendo sul suo schermo. Chi deve decidere è in un altro edificio e il responsabile della zona è per strada. Oggi la conversazione comincia sempre allo stesso modo: qualcuno descrive al telefono quello che ha davanti, e gli altri decidono su una descrizione invece che su un'immagine. Con IRIS si apre una stanza dal muro stesso e la telecamera entra dentro la chiamata: tutti e tre guardano la stessa immagine, nello stesso istante, mentre parlano. Nessuno ha dovuto aprire un'altra applicazione, e nessun'altra avrebbe potuto farlo: per mettere quella telecamera dentro la chiamata bisogna essere anche il sistema che la sta registrando.

Ci sono impianti che semplicemente non possono far uscire un'immagine. Un carcere, un ospedale, un'infrastruttura critica. Per loro, aprire uno strumento di videochiamata esterno e condividere lo schermo non è una comodità discutibile: è una cosa che non possono fare. L'alternativa, per loro, non è un altro strumento: è non fare la riunione. La videoconferenza di IRIS non chiama nessun servizio esterno, né per collegare la stanza né per l'audio e il video. Tutto viaggia sulla stessa porta 443 del resto del sistema, così il reparto di rete non deve aprire nulla di nuovo sul firewall. E funziona allo stesso modo in un impianto senza uscita a internet.

In una stanza di crisi entra chi deve entrare. Gli operatori entrano con il proprio account e con i permessi che hanno già nel sistema. Chi è per strada entra con un collegamento che scade, che tiene il conto dei suoi usi e che si annulla all'istante; quello stesso collegamento decide che cosa può fare: pubblicare la propria telecamera, vedere il muro, scrivere nella chat, o soltanto guardare. In una stanza ci sono quattro ruoli —organizzatore, operatore, campo e spettatore— e chi non è organizzatore non modera, per quanto armeggi con il browser: il rifiuto arriva dal server, non dallo schermo. Stanze, collegamenti, messaggi e registrazioni restano isolati per organizzazione, così una centrale che serve più clienti non li mescola mai.

Quando la riunione finisce, resta. Resta il video, con la sua impronta crittografica che dimostra che nessuno l'ha toccato, custodito nello stesso archivio di prove del video delle telecamere e pronto da allegare a un caso. Resta il registro della stanza, che solo aggiunge e non si riscrive mai: chi è entrato, con quale ruolo e con quale collegamento, quali telecamere si stavano guardando in ogni momento, chi ha silenziato chi e chi ha chiuso. Resta la chat, con quello che si è scritto e con quello che si è chiesto e ha risposto l'intelligenza artificiale. E i limiti si dicono ad alta voce: una stanza accoglie fino a otto persone alla volta, e la nona riceve un avviso di stanza piena, mai un errore muto.

Convocare una riunione di crisi di solito è una pratica a parte: cercare il collegamento, incollarlo in un messaggio e poi spiegare per iscritto dove bisogna guardare. Qui no. Il collegamento della pianta operativa porta la riunione dentro di sé, e con essa quello che l'operatore ha aperto: l'inquadratura della mappa, i livelli, le telecamere che ha scelto e la scheda dell'evento. Se lui ha un fascicolo aperto, all'altro si apre lo stesso. Le telecamere del collegamento non si copiano: si richiedono di nuovo con i permessi di chi lo apre, così un collegamento condiviso non mostra mai a nessuno qualcosa che non potrebbe vedere per conto suo. E chi lo riceve può entrare in modalità di sola visione: segue la pianta e sente la riunione, ma non muove la mappa e non la chiude.

Un prodotto si conosce da quello che fa quando qualcosa non è al suo posto. Se al sistema non è stato detto dove custodire le registrazioni, il registratore non parte e lo dice: non dà per registrata una riunione che non lo è. Se manca un dato che serve per funzionare, il servizio avvisa invece di partire alla cieca con un valore inventato. E finché il servizio delle riunioni non risponde ancora, la schermata di stato lo dichiara invece di mostrare zeri che sembrerebbero dati. Se la registrazione si guasta a metà riunione, la riunione va avanti: il guasto resta annotato, ma nessuno rimane senza parlare. Niente di tutto questo brilla in una dimostrazione; tutto si vede il giorno in cui qualcosa va storto.