A gente não te pede para confiar. A gente mostra.

É a norma mais recente de todas e é exatamente sobre isso: como se constrói e se vigia um sistema de inteligência artificial para ele não acabar fazendo coisa estranha sem ninguém perceber.

Esta norma te dá por escrito a resposta para a pergunta mais chata de um comitê de compras: “e a inteligência artificial, quem controla?”. Está documentado quem treina os modelos que olham as suas câmeras, com que dados, quem confere que eles acertam e o que se faz quando eles erram. No dia em que essa pergunta aparecer numa reunião ou numa auditoria, você mostra um certificado em vez de improvisar.

É a norma de referência no mundo para proteger informação. Alguém de fora revisa quem pode acessar o quê, como as senhas são guardadas, o que acontece se alguém perder um notebook e como se detecta que alguma coisa está errada.

O seu pessoal de TI não precisa acreditar na nossa palavra: pede o certificado e confere. Isso te poupa o questionário de segurança de quarenta páginas que, senão, você teria que mandar, esperar e avaliar. Num edital, o campo da segurança da informação já chega acreditado por um auditor externo.

É a irmã da anterior, só que voltada para dado de pessoa. Ela regula o que se guarda de alguém, para quê, por quanto tempo e quem pode ver.

No dia em que um cidadão perguntar o que é guardado sobre ele, existe um procedimento escrito e não uma improvisação. E quando você precisar justificar o tratamento de imagens para a autoridade de proteção de dados ou para o responsável da sua casa, o trabalho já está feito e auditado: você não começa no dia em que o pedido chega.

É sobre o que acontece no dia ruim: um incêndio, um ataque cibernético, um alagamento na sala de servidores. A norma obriga a ter isso escrito e, principalmente, a ter testado.

Num edital vão te perguntar o que acontece no dia em que o sistema cai e em quanto tempo ele volta a funcionar. Com esta norma essa resposta está medida e testada, e não estimada por alguém de vendas. É um plano de continuidade que foi testado de verdade, não um que dorme numa gaveta até o dia do incidente.

A norma de sempre. Ela obriga a ter o jeito de trabalhar escrito, a medir se funciona e a corrigir quando não funciona.

Se alguma coisa dá errado, tem um procedimento para resolver e para não se repetir, e esse procedimento dá para auditar. Não depende de o técnico que entende do assunto estar de plantão naquele dia. Em muito edital esta norma aparece como requisito de capacidade técnica: com a gente, esse campo já vem preenchido.

Mede e reduz o que a gente gasta e o que a gente joga fora: consumo elétrico dos servidores, resíduo eletrônico, ciclo de vida dos equipamentos.

Numa licitação os critérios ambientais pontuam, e um fornecedor certificado soma para você em vez de subtrair. E se a sua organização tem que prestar contas de metas de sustentabilidade, o nosso consumo e os nossos resíduos já estão medidos e auditados: você não precisa estimar isso para o seu relatório anual.

É sobre as pessoas que instalam e mantêm: quem sobe num poste de oito metros para colocar uma câmera, ou quem entra numa estação de tratamento ou num túnel.

A equipe que entra na sua instalação chega treinada, com equipamento e com procedimento, e é exatamente isso que vão te pedir para comprovar na integração de terceiros. Se acontecer um acidente dentro do seu recinto, a documentação existe e está auditada por um terceiro. Sem ela, o problema acaba sendo seu.

É o regulamento que a Administração espanhola obriga a cumprir em todo sistema que ela usa. São três níveis, e o alto é o mais duro de todos: aquele em que uma falha do sistema deixa estrago grave atrás.

Se você é administração pública espanhola, dá para contratar a gente sem abrir um processo para justificar por quê. O requisito está cumprido e acreditado por uma certificadora, e isso aparece no tempo que o processo leva. Para os sistemas da Administração o ENS não é opcional: ou o fornecedor tem, ou o processo para.

É a diretiva europeia que obriga os setores de que a vida diária depende — energia, água, transporte, saúde — a se protegerem de ataque cibernético. A diretiva não fala de categorias: ela separa entidade essencial de entidade importante, conforme o setor e o tamanho.

Se a sua organização está obrigada pela NIS2, os fornecedores dela entram na conta: a diretiva olha a cadeia de fornecimento inteira, não só a sua casa. Com a gente esse campo já está preenchido, então você não precisa nos auditar nem explicar no seu relatório por que contratou alguém que não cumpre.

O IRIS traz dentro o NeuralPax, uma licença independente, e é hoje o único sistema do mundo com esta homologação: a do Centro Español de Metrología para contar pessoas, medir lotação e controlar afluência. O Centro Español de Metrología é o instituto nacional de metrologia da Espanha, o órgão que diz se um instrumento mede bem: o mesmo que homologa uma balança ou um radar. Por isso o número de gente que o IRIS dá não é estimativa nossa: é uma medida conferida por um terceiro. Atenção ao alcance: isso não é uma homologação brasileira e não vale como tal, e o que está homologado é essa medida, não o produto inteiro.

Quando você disser que num evento teve doze mil pessoas, quem sustenta esse número é um terceiro. Não é estimativa: é uma medida homologada pelo Centro Español de Metrología, o instituto nacional de metrologia da Espanha. E essa diferença é justamente a que aparece quando alguém precisa justificar uma lotação numa fiscalização, numa seguradora ou, se for o caso, na Justiça: estimativa não se sustenta ali. E que fique claro o alcance: isso não é uma homologação brasileira e não vale como tal, e o que está homologado é contar pessoas, não o produto inteiro.