AI Act y formación en inteligencia artificial: qué deben saber las empresas

El Ómnibus digital sobre IA se publicó en el Diario Oficial de la UE el 24 de julio de 2026 y entró en vigor el 27 de julio. Aplazó las obligaciones de alto riesgo, añadió nuevas prohibiciones y modificó otras reglas, entre ellas el artículo 4. Cualquier texto anterior a esa fecha, incluidas versiones previas de este artículo, puede describir un calendario o una redacción que ya no están vigentes.

El AI Act se despliega por capas. Estas son las fechas principales, y el detalle está en nuestro checklist del AI Act para empresas:

1. 2 de febrero de 2025

   se aplican las prácticas prohibidas (artículo 5) y la alfabetización en IA (artículo 4).

2. 2 de agosto de 2025

   modelos de IA de uso general, gobernanza y capítulo de sanciones, salvo las multas de la Comisión a esos modelos.

3. 27 de julio de 2026

   entra en vigor el Ómnibus, con la nueva redacción del artículo 4.

4. 2 de agosto de 2026

   aplicación general del reglamento, incluida la transparencia del artículo 50. Según la Comisión, la supervisión del artículo 4 por las autoridades nacionales corresponde desde esta fecha.

5. 2 de diciembre de 2026

   nuevas prohibiciones sobre material íntimo no consentido y material de abusos sexuales de menores.

6. 2 de diciembre de 2027

   alto riesgo del Anexo III, como empleo, educación o crédito.

7. 2 de agosto de 2028

   alto riesgo vinculado a productos regulados, artículo 6.1 y Anexo I.

El artículo 4.1 vigente dice que los proveedores y responsables del despliegue «adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA» de su personal y de las demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA. Deben tener en cuenta sus conocimientos técnicos, experiencia, educación y formación, el contexto previsto de uso y las personas sobre las que se van a usar los sistemas. Añade que esta obligación no exige garantizar un nivel específico de alfabetización de ninguna persona en particular.

Las preguntas frecuentes de la Comisión, actualizadas en octubre de 2026 y no vinculantes, aclaran varios puntos: no hay un formato único, no se imponen formaciones estrictas, no hay obligación de medir conocimientos y no hace falta certificado, porque basta con que la organización pueda llevar un registro interno. También advierten de que, en muchos casos, limitarse a pedir que se lean las instrucciones de uso puede resultar ineficaz.

El AI Act distingue dos figuras principales, y una misma empresa puede ser ambas según el sistema. Un proveedor desarrolla un sistema de IA o lo introduce en el mercado con su nombre o marca. Un responsable del despliegue (deployer) lo utiliza bajo su autoridad en su actividad profesional.

El artículo 4 obliga a las dos figuras y alcanza a su personal y a otras personas que se encarguen del funcionamiento y uso de los sistemas en su nombre. La Comisión lo describe como quien trata directamente con el sistema dentro de la organización. Para contratistas o proveedores de servicios, indica que depende del tipo de sistema y del riesgo. Por eso, cuando un tercero opera un sistema en nombre de la empresa, conviene acordar por contrato cómo se aborda.

Esta lista es nuestra recomendación, apoyada en las preguntas frecuentes de la Comisión. No es un requisito oficial ni una lista de lo que vaya a pedir una autoridad:

• Comprensión general de qué es la IA, qué tipos de sistemas existen y cómo se diferencian de un software tradicional.
• Capacidades y limitaciones de los sistemas concretos que usa la organización, incluidas alucinaciones, sesgos y errores típicos.
• Riesgos asociados a cada uso y qué obligaciones del AI Act pueden aplicarse a la empresa.
• Buenas prácticas: qué información se puede introducir, cómo verificar las salidas y cuándo escalar a una persona.
• Nociones del AI Act, del RGPD y de las políticas internas aplicables.
• Registro interno de las acciones realizadas: destinatarios, contenidos y fecha.

El artículo 4 no figura en la lista del artículo 99.4, la que fija multas de hasta 15 millones de euros o el 3 % del volumen de negocios para determinadas obligaciones. Las preguntas frecuentes de la Comisión indican que las autoridades nacionales podrían imponer sanciones y otras medidas por infringir el artículo 4, con base en las leyes nacionales, y que cualquier sanción debe ser proporcionada al caso.

En España, el proyecto de ley orgánica que debía desarrollar el régimen sancionador caducó en octubre de 2026 al disolverse las Cortes. Esto no permite concluir ni que las multas sean imposibles ni que exista una moratoria. Cómo se aplicaría a un caso concreto es una cuestión para un profesional jurídico. Lo explicamos en multas del AI Act y supervisión en España.

Más allá de la sanción, un uso mal orientado de la IA puede causar errores y problemas de datos o reputación. Además, algunos clientes pueden preguntar qué medidas se han adoptado. Por eso la alfabetización nos parece útil incluso al margen de la obligación legal.

Estas son nuestras recomendaciones para que la formación sirva de verdad y deje constancia de lo hecho. No son requisitos legales:

• Mapear primero, formar después: identificar qué sistemas de IA usa la organización, en qué procesos y con qué riesgo, antes de diseñar el contenido.
• Itinerarios por perfil: dirección, mandos intermedios, perfiles operativos y técnicos no necesitan lo mismo.
• Casos del propio sector: la formación se adopta mejor cuando los ejemplos se reconocen como propios.
• Evaluación opcional: no es obligatoria, pero ayuda a comprobar si la formación funciona.
• Conexión con políticas internas: la política de uso de IA, el procedimiento de incidentes y los registros existentes.
• Registro interno: acciones realizadas, destinatarios y fecha. Facilita explicar las medidas adoptadas si alguien pregunta.

Cuatro errores conceptuales que conviene evitar:

• Pensar que, tras el Ómnibus, el artículo 4 ha desaparecido. Sigue siendo una obligación.
• Creer que obliga a certificar o a examinar a cada empleado. La Comisión indica que no.
• Confundir una comunicación puntual con una medida adecuada. Depende del contexto, y la Comisión advierte de que remitir a las instrucciones suele quedarse corto.
• Tratar a toda la plantilla como un bloque. El propio artículo pide tener en cuenta conocimientos, experiencia y contexto de uso.

Un mínimo razonable, según nuestro criterio: saber qué sistemas de IA se usan y en qué papel actúa la empresa, tener una política interna de uso de IA, haber adoptado medidas de alfabetización adaptadas a los grupos más expuestos y conservar un registro de ellas. Si hay sistemas de alto riesgo, conviene empezar a preparar con tiempo la supervisión humana y la información necesaria antes del 2 de diciembre de 2027.