El Reglamento (UE) 2024/1689, conocido como Reglamento de IA o AI Act, fijó el 2 de agosto de 2026 como fecha general de aplicación. Esa fecha ya pasó, y buena parte de la cobertura la resumió diciendo que la Unión Europea acababa de retrasar la norma. El resumen resulta engañoso para cualquiera que tenga que responder por la formación de su personal.
El aplazamiento existe, pero tiene apellido. El Digital Omnibus sobre IA movió las obligaciones de los sistemas de alto riesgo, que son las que exigen gestión de riesgos, documentación técnica, evaluación de conformidad y supervisión humana. Lo que no movió es la obligación que habla de personas.
Esta pieza no recorre el reglamento entero ni entra en la clasificación de riesgos. Se centra en el artículo 4, en qué exige sobre formación, a quién alcanza dentro de una organización que solo usa herramientas de IA y qué evidencia sostiene ese cumplimiento.
¿Qué aplazó el Digital Omnibus y qué sigue en fecha?
El Digital Omnibus sobre IA reordenó el calendario del reglamento durante 2026. El desplazamiento afecta a los sistemas de alto riesgo, no al conjunto de la norma, y esa distinción cambia bastante la lectura del titular.
| Bloque de obligaciones | Fecha vigente |
|---|---|
| Alfabetización en IA (artículo 4) | En aplicación desde el 2 de febrero de 2025 |
| Prácticas prohibidas | En aplicación desde el 2 de febrero de 2025 |
| Transparencia (artículo 50) | 2 de agosto de 2026, sin cambios |
| Sistemas de alto riesgo del anexo III | 2 de diciembre de 2027, aplazado |
| Sistemas de alto riesgo del anexo I | 2 de agosto de 2028, aplazado |
El artículo 4 no aparece entre lo aplazado porque ya estaba en aplicación desde febrero de 2025. Lo que sí cambió con el Digital Omnibus es su redacción. La obligación pasó de garantizar un nivel suficiente de alfabetización en IA a apoyar el desarrollo de esa alfabetización, una formulación menos exigente en el resultado y que mantiene intacto el deber de actuar.
Conviene no leer ese matiz como una rebaja de importancia, porque en paralelo ocurrió lo contrario. La Comisión Europea explica en sus preguntas y respuestas sobre alfabetización en IA que la obligación ya aplicaba desde el 2 de febrero de 2025 y que las autoridades nacionales de vigilancia del mercado empezaron a supervisarla y hacerla cumplir el 2 de agosto de 2026.
Durante año y medio la obligación existió sin autoridad que la revisara. Ese periodo terminó.
¿Qué exige el artículo 4 sobre alfabetización en IA?
El artículo 4 obliga a los proveedores y a los responsables del despliegue de sistemas de IA a adoptar medidas para que su personal, y las demás personas que se ocupan del funcionamiento y la utilización de esos sistemas en su nombre, desarrollen alfabetización en materia de IA.
La alfabetización en materia de IA es la capacidad de una persona para usar sistemas de inteligencia artificial con conocimiento de causa, entendiendo qué puede hacer la herramienta, dónde falla y qué consecuencias tiene su resultado sobre quienes lo reciben. No es formación técnica sobre cómo se construye un modelo, sino criterio sobre cómo se usa y cuándo conviene desconfiar de lo que devuelve.
La norma no fija un temario, ni horas mínimas, ni un certificado que cerrar. En su lugar enumera los factores que modulan la medida, y son los que hacen que dos organizaciones con la misma plantilla deban formar de forma distinta.
- Los conocimientos técnicos, la experiencia, la educación y la formación previas de cada persona.
- El contexto en el que se van a utilizar los sistemas de IA.
- Las personas o los colectivos sobre los que se van a usar esos sistemas.
Ese último factor es el que más se pasa por alto. La exigencia no depende solo de quién opera la herramienta, sino de sobre quién recae su resultado. Un sistema que interviene en decisiones sobre candidatos, clientes o pacientes eleva el listón de lo que su operador necesita entender, aunque la interfaz sea sencilla.
La ausencia de un temario cerrado no es un vacío que convenga celebrar. Significa que la organización decide el alcance y después tiene que justificarlo, igual que ocurre con el principio de proporcionalidad en otros marcos europeos. Es la misma lógica de responsabilidad propia que ya aparecía en las exigencias de concienciación de la Directiva NIS2.
¿A quién alcanza la obligación dentro de tu organización?
Aquí está el punto que más veces se calcula mal. El artículo 4 no habla solo de quien desarrolla IA, habla también del responsable del despliegue, que es quien utiliza un sistema de IA bajo su propia autoridad en un contexto profesional.
Con esa definición, la obligación deja de ser un asunto del sector tecnológico. Una asesoría que usa un asistente para redactar borradores, un departamento de recursos humanos que filtra currículos con una herramienta comercial o un equipo de soporte con un chatbot entran en el supuesto sin haber programado nada.
La confusión habitual consiste en mirar la clasificación de riesgo antes que la propia figura. Que un sistema no sea de alto riesgo, y que sus obligaciones específicas se hayan aplazado a diciembre de 2027, no altera el artículo 4, que se aplica con independencia del nivel de riesgo del sistema utilizado. Una organización puede quedar fuera del anexo III por completo y seguir teniendo que formar a quien opera sus herramientas.
Determinar el propio encaje vuelve a ser una decisión de la organización, no una notificación que llegue de fuera. Es el mismo cálculo que DORA obliga a hacer sobre su ámbito de aplicación, donde tampoco existe un registro oficial de entidades sujetas.
El perímetro tampoco se detiene en la plantilla. El artículo se refiere al personal y a las demás personas que se ocupan del funcionamiento y la utilización de los sistemas por cuenta de la organización, de modo que un contratista que opera la herramienta queda dentro del mismo círculo. Es el desplazamiento hacia la cadena de suministro que ya vimos en otros marcos y que conviene resolver antes de que aparezca en un cuestionario de seguridad de un cliente.
Hay un efecto secundario que merece atención. Cuando una organización no forma a su gente en el uso de IA, el uso no desaparece, se vuelve invisible y migra a herramientas personales fuera de todo control, un fenómeno que ya analizamos al ver por qué bloquear ChatGPT no resuelve el shadow AI. La alfabetización en IA y la reducción de ese riesgo son el mismo trabajo.
¿Cómo se demuestra la alfabetización en IA ante la autoridad?
Se demuestra con registros, y con registros que expliquen decisiones. Como el artículo 4 pide ajustar las medidas al perfil de cada persona y al contexto de uso, una lista de asistentes a una sesión genérica responde mal a la pregunta que la autoridad va a hacer.
Sobre la capa de personas, la evidencia que sostiene el cumplimiento suele apoyarse en estos elementos.
- Inventario de los sistemas de IA en uso y de las áreas que los operan, que es lo que delimita el alcance de la formación.
- Identificación del rol de cada persona respecto de esos sistemas, distinguiendo a quien decide, a quien opera y a quien revisa el resultado.
- Contenidos diferenciados por ese rol, con un alcance justificable frente a los factores del artículo 4.
- Registro de quién recibió formación, cuándo y sobre qué, con cobertura del personal externo que opera sistemas en nombre de la organización.
- Actualización sostenida en el tiempo, porque el catálogo de herramientas cambia más rápido que el plan de formación anual.
Esa exigencia de trazabilidad por función no es nueva para quien ya trabajó otros marcos. La diferencia entre acreditar formación y acreditar comportamiento la desarrollé al desglosar el control 6.3 de ISO 27001:2022, y el problema de reconstruir ese rastro a mano aparece en las preguntas del auditor que un Excel no contesta.
SMARTFENSE, como plataforma de concienciación con presencia en España y LATAM, dispone de un programa formativo dedicado al Reglamento de IA con 10 módulos organizados en dos itinerarios, uno para todo el personal y otro para dirección y C-Level. Cada acción queda registrada y segmentada por grupo y por función, que es la unidad en la que el artículo 4 plantea la exigencia. El detalle está en la página de cumplimiento del Reglamento de IA y el mapa normativo completo, en la página de cumplimiento.
El calendario del Reglamento de IA se movió para los sistemas y se quedó quieto para las personas. Esa asimetría dice algo sobre cómo entiende el legislador europeo el riesgo de esta tecnología, y deja a las organizaciones con una obligación que lleva más de un año vigente y que ahora, además, tiene quien la revise.
Deja una respuesta