Formación en IA para empresas

El 27 de julio de 2026 entró en vigor el Reglamento Ómnibus Digital sobre inteligencia artificial. Reformuló el artículo 4 del EU AI Act (Reglamento (UE) 2024/1689) en un punto que marca la diferencia en la práctica: de asegurar se pasó a fomentar.

Desde entonces, los proveedores y responsables del despliegue de sistemas de IA deben adoptar medidas para fomentar la competencia en IA de su personal y de otras personas que actúen en su nombre. Lo que ya no tienen que hacer: garantizar que cada persona alcance un nivel de competencia determinado. La Comisión había propuesto originalmente suprimir por completo la obligación para las empresas; en el texto final se ha mantenido, solo que formulada de manera más suave.

Tres cosas que a menudo se confunden y que conviene distinguir:

• La obligación no es nueva ni está aplazada. El artículo 4 se aplica desde el 2 de febrero de 2025. El Digital Omnibus no ha creado para él una nueva fecha límite, a diferencia de la IA de alto riesgo, cuyas obligaciones se aplazaron.
• Más suave no significa sin efecto. “Fomentar” es una obligación de actuar. Quien no hace nada, no la cumple.
• Lo obligatorio es la competencia, no el certificado. El EU AI Act no prescribe ni una formación concreta ni un organismo de certificación. Un justificante es útil de todos modos, pero como su prueba, no como exigencia legal.

La norma afecta a los proveedores (quienes desarrollan sistemas de IA o los ofrecen con su propio nombre) y a los responsables del despliegue (quienes los utilizan bajo su propia responsabilidad). El segundo caso es el más frecuente: en cuanto en su empresa alguien utiliza ChatGPT para textos de ofertas, Microsoft Copilot para presentaciones o una herramienta de IA en el CRM, usted es responsable del despliegue en el sentido del Reglamento.

No existe un límite inferior según el tamaño de la empresa. También la empresa artesana con ocho empleados queda incluida si en ella se utilizan herramientas de IA en el día a día. Lo que el Reglamento sí tiene en cuenta es la adecuación: el alcance y la profundidad de las medidas dependen del contexto en el que se utilizan los sistemas y de las personas que trabajan con ellos.

En la práctica, esto significa que una empresa en la que la IA solo se utiliza para borradores de texto debe algo distinto de una que utiliza IA en la selección de personal o la concesión de créditos; allí se aplican además, en cualquier caso, las normas de alto riesgo.

No le afecta si en su empresa demostrablemente no se utilizan sistemas de IA. Sin embargo, esto ocurre con menos frecuencia de lo que muchos suponen: hoy las funciones de IA están integradas en paquetes ofimáticos, herramientas de traducción y software de atención al cliente sin que se llamen así.

El Reglamento no indica un número de horas, ni un currículo, ni un formato de examen. Describe un objetivo y le deja a usted el camino. En la práctica de supervisión se han consolidado cuatro elementos como lo que razonablemente cabe esperar:

• Inventario. ¿Qué sistemas de IA se utilizan realmente en su empresa, también los que nadie ha introducido oficialmente?
• Transmisión de fundamentos. Todas las personas que trabajan con IA comprenden qué puede hacer el sistema, dónde se equivoca de forma fiable y qué datos no pintan nada allí.
• Reglas. Una política interna que haga vinculante el manejo, en lugar de dejarlo en manos de cada persona.
• Documentación. Quién aprendió qué y cuándo. Sin este elemento, habrá hecho los otros tres, pero no podrá demostrarlo.

El cuarto punto es donde falla en la práctica. Una buena formación que todos recuerdan pero de la que no existe lista de participantes es, en caso de inspección, difícil de distinguir de no haber realizado ninguna formación.

Desde el 2 de agosto de 2026, el EU AI Act se aplica con carácter general, salvo las obligaciones aplazadas para la IA de alto riesgo, que comienzan el 2 de diciembre de 2027 y el 2 de agosto de 2028, respectivamente.

Esto no cambia nada en la obligación del artículo 4: se aplica desde el 2 de febrero de 2025.

Para situar con honestidad las cifras que circulan actualmente por el mercado: los muy citados 35 millones de euros, o el siete por ciento del volumen de negocio anual mundial, son el límite máximo para las prácticas de IA prohibidas según el artículo 5: puntuación social, sistemas manipuladores, identificación biométrica remota. No son la sanción por no haber realizado una formación. Cómo se sancionan en concreto las infracciones del artículo 4 lo regulan los Estados miembros a nivel nacional; el Reglamento exige expresamente tener en cuenta el tamaño de las pymes y las startups. Quien le anuncie una multa de millones por la falta de una formación en IA le vende miedo en lugar de información.

El riesgo real está en otra parte y es más concreto: la responsabilidad y el incumplimiento del deber de diligencia cuando un uso de la IA sin formación causa un daño: una infracción de la protección de datos por una introducción descuidada, una decisión errónea basada en una fuente inventada, un resultado de selección discriminatorio.

No existe una lista de comprobación oficial. Pero lo que una autoridad o un auditor suele querer ver es fácil de predecir, porque son las mismas preguntas que en cualquier otra obligación de instrucción:

• ¿Quién recibió formación? Una lista nominal, no “todos los empleados”.
• ¿Cuándo? Una fecha por persona, no un periodo.
• ¿Con qué? Resumen de contenidos o currículo de la medida.
• ¿Con qué resultado? Un justificante de que los contenidos han calado; un examen final aprobado es lo más sencillo.
• ¿Y para los nuevos empleados? Un procedimiento que funcione sin que nadie tenga que acordarse.

Precisamente para esto está concebida nuestra formación: cada persona termina con un certificado de participación fechado, verificable mediante código QR, y en el área de equipo ve de un vistazo quién falta todavía. El certificado es válido durante un año, no porque la ley lo exija, sino porque el estado de la técnica cambia en este campo más rápido que en la mayoría de los demás.

El error de aplicación más frecuente es tratar a todos por igual: o demasiado poco para unos, o demasiado para otros. Son útiles tres niveles:

Usuarios generales: con diferencia, la mayor parte de la plantilla. Utilizan herramientas de IA en el día a día: textos, investigación, resúmenes, traducciones. Necesitan los fundamentos, una buena intuición sobre alucinaciones y sesgo y, sobre todo, claridad sobre qué datos no pertenecen a una herramienta de IA. Este es el ámbito que cubre nuestra formación.

Responsables técnicos: quienes seleccionan, introducen o configuran sistemas de IA. Se necesita además: comprensión de las clases de riesgo, evaluación de proveedores, encargo del tratamiento, obligaciones de etiquetado.

Roles con riesgo elevado: quienes utilizan IA en la selección de personal, la concesión de créditos, decisiones de acceso o procesos relevantes para la seguridad. Aquí se aplican los requisitos de alto riesgo del AI Act y la formación debe estar referida al sistema y a la tarea. Una formación de fundamentos no lo sustituye, tampoco la nuestra.

Para determinados campos profesionales hemos adaptado los casos prácticos, porque las preguntas allí son distintas: los asesores fiscales trabajan con datos de clientes, los despachos de abogados, además, con el secreto profesional, los centros de cuidados con datos de salud según el artículo 9 del RGPD, las empresas artesanas sin departamento de TI propio y los municipios con el derecho administrativo por encima.

Del artículo 4 no puede derivarse un plan de estudios. De los riesgos contra los que se dirige, sí. Cinco temas pertenecen a toda formación en IA seria para usuarios generales:

• Cómo funciona la tecnología y dónde se equivoca de forma fiable. Quien no comprende que un modelo de lenguaje genera plausibilidad y no verdad, no revisa el resultado.
• Valorar los resultados. Reconocer alucinaciones, contrastar fuentes, advertir sesgos. Es la competencia con mayor valor práctico.
• Protección de datos. Qué datos pueden introducirse, cuáles nunca, qué aporta un contrato de encargado del tratamiento y qué no.
• El marco jurídico. Clases de riesgo, obligaciones de etiquetado, quién es responsable de qué en la empresa.
• Aplicación. Sin la parte práctica, la formación se queda en teoría y las reglas se eluden en lugar de cumplirse.

La formación se realiza íntegramente online, a su propio ritmo, y se completa en 60 a 90 minutos. Cinco capítulos obligatorios con 46 tarjetas de aprendizaje, además de 18 preguntas de examen basadas en situaciones laborales reales y no de libro de texto; se incluyen cinco módulos adicionales opcionales. Cada capítulo debe aprobarse con un mínimo del 70 por ciento, el progreso se guarda y puede interrumpirse en cualquier momento.

Al final hay un certificado de participación en PDF, verificable mediante código QR, con fecha y nombre. Para equipos existe un área en la que ve el estado de todos los empleados, puede enviar invitaciones y descargar un informe de cumplimiento normativo en PDF. Los precios: 19,90 € para personas individuales, 14,90 € por persona a partir de dos, 9,90 € por persona a partir de veinte, en cada caso netos más IVA, pago único, sin suscripción.

Y el límite, porque forma parte de ello: esta formación cubre los fundamentos para usuarios generales. Para los requisitos específicos de cada rol y para las aplicaciones de alto riesgo, usted, como empleador, sigue siendo responsable de formar de manera complementaria, referida al sistema y a la tarea. Le expedimos el justificante verificable de la parte de fundamentos, no de todo.

Ver la oferta y los precios · Ver gratis el capítulo 1

• Formar solo a TI. Las infracciones de la protección de datos se producen en ventas y en marketing, donde se copian datos de clientes en una herramienta de texto, no en desarrollo.
• Formar una vez y darlo por hecho. Se incorporan nuevos empleados, las herramientas cambian. Sin un procedimiento para los rezagados, la lista está incompleta a los seis meses.
• Formar, pero no documentar. El error más frecuente y más caro. Lo que no puede acreditar, en caso de inspección es como si no lo hubiera hecho.
• Esperar un certificado “oficial”. No existe ningún organismo de certificación previsto por el EU AI Act. Quien lo anuncia afirma más de lo que existe.
• Olvidar la política. Una formación sin norma vinculante significa que cada persona decide por sí misma qué puede ir a una herramienta de IA. Eso es precisamente lo que la obligación de competencia pretende evitar.

Quien quiera plantear el tema más allá del mero cumplimiento de la obligación, encontrará el acceso a través del desarrollo de personal en formación continua en IA. Quien busque el texto de la ley en detalle, lo encontrará explicado en la formación EU AI Act. Y quien necesite la protección de datos como tema propio: la formación RGPD está al lado y no sustituye a esta formación.