Formación en IA obligatoria para empresas: requisitos y plan de cumplimiento
La búsqueda de formación en IA obligatoria para empresas suele llevar a una conclusión demasiado simple: que toda plantilla debe realizar un curso homologado antes de una fecha concreta. El Reglamento europeo de Inteligencia Artificial sí exige medidas de alfabetización en IA, pero no establece un temario universal, una duración mínima ni un certificado oficial para todas las organizaciones.
Respuesta directa: una empresa que utiliza sistemas de inteligencia artificial debe procurar que las personas que los manejan en su nombre comprendan sus posibilidades, límites y riesgos. La medida adecuada dependerá de las herramientas empleadas, el puesto, la experiencia previa y el impacto que el sistema pueda tener sobre clientes, trabajadores u otras personas.
El artículo 4 del Reglamento (UE) 2024/1689 continúa siendo la referencia vigente. Parlamento y Consejo han aprobado el Ómnibus Digital sobre IA, que suaviza su redacción: las organizaciones deberán apoyar la mejora de la alfabetización en IA, sin garantizar que cada persona alcance un nivel concreto. El expediente europeo figura todavía pendiente de publicación en el Diario Oficial de la Unión Europea, por lo que conviene comprobar el texto consolidado antes de cerrar una política interna.
¿Es obligatoria la formación en IA para las empresas?
El artículo 4 del Reglamento europeo de Inteligencia Artificial obliga a proveedores y responsables del despliegue de sistemas de IA a adoptar medidas para que su personal y otras personas que operen esos sistemas en su nombre tengan un nivel suficiente de alfabetización en IA. La norma ordena valorar los conocimientos técnicos, la experiencia, la educación, la formación, el contexto de uso y las personas sobre las que se utilizará el sistema.
En la práctica, la obligación no equivale necesariamente a contratar un curso externo. Puede cumplirse mediante una combinación proporcionada de formación, instrucciones internas, talleres por funciones, guías de uso, controles y acompañamiento. Lo importante no es acumular horas, sino demostrar que las personas saben utilizar cada herramienta con criterio y conocen los riesgos relevantes de su trabajo.
| La norma exige valorar | No impone de forma general |
|---|---|
| Qué sistemas de IA utiliza la organización y para qué tareas. | Un único curso idéntico para toda la plantilla. |
| El conocimiento y la experiencia de cada grupo profesional. | Una duración mínima de horas lectivas. |
| Los riesgos del caso de uso y su impacto sobre terceros. | Un certificado externo u homologación concreta. |
| Medidas adaptadas al contexto, revisables y proporcionadas. | La creación obligatoria de un responsable o comité de IA. |
¿A qué empresas y profesionales afecta?
El artículo 4 no contiene una exención general por tamaño. Puede afectar tanto a grandes compañías como a pymes, microempresas y profesionales que actúen como proveedores o responsables del despliegue. Una empresa que desarrolla un sistema es proveedora; una organización que utiliza una solución de un tercero bajo su propia responsabilidad suele actuar como responsable del despliegue.
La Oficina Europea de IA aclara en sus preguntas y respuestas que incluso una empresa cuyos empleados usan ChatGPT para redactar anuncios o traducir textos debe informarles de riesgos específicos, como las respuestas inventadas o inexactas. El alcance no se limita, por tanto, a departamentos técnicos ni a compañías que entrenan modelos propios.
Uso administrativo y creativo
Redacción, traducción, resúmenes, presentaciones o análisis preliminares requieren pautas sobre verificación, confidencialidad, propiedad intelectual y revisión humana.
Atención al cliente
Los equipos deben conocer los límites del asistente, cuándo escalar a una persona, cómo evitar respuestas engañosas y qué datos pueden introducir.
Recursos humanos
El cribado de candidaturas, la evaluación o la asignación de tareas exige mayor control por su posible impacto sobre derechos y decisiones laborales.
Desarrollo e integración
Quienes construyen o conectan sistemas necesitan formación más profunda en datos, seguridad, documentación, supervisión y gestión de incidentes.
No todos los empleados necesitan el mismo nivel. Una persona que solo recibe resultados generados por IA necesita saber cómo revisarlos; quien configura el sistema o decide sobre personas a partir de sus resultados requiere una capacitación mucho más específica. Los contratistas y proveedores que usan IA en nombre de la empresa también deben contar con conocimientos adecuados a la tarea.
Cómo crear un plan de formación en inteligencia artificial
Un plan de cumplimiento útil debe partir del uso real de la tecnología. Comprar una formación genérica sin saber qué herramientas utiliza la organización puede producir mucha documentación y poca reducción del riesgo.
Inventariar herramientas y casos de uso
Registra cada sistema, proveedor, departamento, finalidad, tipo de datos introducidos, responsables y personas potencialmente afectadas. Incluye herramientas contratadas oficialmente y usos no autorizados detectados en la plantilla.
Clasificar funciones y nivel de riesgo
Agrupa a las personas por lo que hacen con la IA, no solo por departamento. Distingue entre usuarios ocasionales, usuarios habituales, supervisores, responsables de decisiones e integrantes de equipos técnicos o jurídicos.
Definir reglas de uso
Establece qué herramientas están permitidas, qué información no puede introducirse, qué resultados deben verificarse, cuándo es necesaria autorización y cómo comunicar errores o incidentes.
Diseñar formación por perfiles
Crea un módulo común breve y añade contenidos específicos por herramienta, tarea y riesgo. Una sesión práctica con ejemplos del puesto suele ser más eficaz que un temario teórico idéntico para todos.
Guardar evidencias proporcionadas
Conserva fechas, asistentes, materiales, versiones de las políticas, comunicaciones y cambios aplicados. Un pequeño cuestionario o ejercicio práctico puede servir para comprobar comprensión, aunque no sea una exigencia universal.
Revisar el programa
Actualiza la formación cuando cambien las herramientas, los casos de uso, los riesgos, la normativa o se produzca un incidente. La alfabetización en IA es un proceso continuo, no una acción aislada.
Temario mínimo recomendado
La Comisión Europea no fija un programa cerrado, pero sí identifica elementos que deberían considerarse: comprensión general de la IA, papel de la organización, riesgos de los sistemas utilizados y adaptación a la experiencia de cada grupo. Sobre esa base, un temario práctico puede incluir:
- Qué es un sistema de IA y qué herramientas usa la empresa.
- Capacidades, límites, errores, sesgos y alucinaciones.
- Protección de datos, secretos empresariales y confidencialidad.
- Propiedad intelectual y condiciones de uso de proveedores.
- Verificación humana antes de publicar o decidir.
- Transparencia frente a clientes, usuarios y trabajadores.
- Seguridad, accesos, suplantaciones y manipulación de contenidos.
- Canal interno para dudas, errores e incidentes.
En sistemas de alto riesgo, la preparación debe ser más rigurosa. El personal encargado de utilizarlos y ejercer la supervisión humana ha de comprender su funcionamiento, interpretar correctamente sus resultados, detectar anomalías y saber cuándo detener o ignorar una recomendación automatizada.
Qué documentos conviene conservar
La Oficina Europea de IA indica que no es necesario un certificado específico y que las organizaciones pueden mantener un registro interno de la formación y de otras iniciativas de orientación. Ese registro debería ser sencillo, trazable y coherente con el riesgo.
| Documento o evidencia | Qué debería reflejar |
|---|---|
| Inventario de sistemas de IA | Herramienta, finalidad, responsable, usuarios, datos tratados y nivel de impacto. |
| Matriz de perfiles formativos | Quién necesita formación, sobre qué contenidos y con qué profundidad. |
| Política interna de uso | Usos permitidos, prohibiciones, controles, validación y escalado de incidencias. |
| Registro de acciones | Fecha, asistentes, materiales, duración orientativa y responsable de la sesión. |
| Historial de revisiones | Cambios en herramientas, procedimientos, riesgos, normativa o medidas correctoras. |
La evidencia debe corresponderse con la realidad. Una lista de asistentes no compensa una política que nadie conoce ni una formación que omite el uso cotidiano de herramientas no autorizadas. Para una pyme, un inventario actualizado, una política clara, sesiones breves por perfil y registros de revisión pueden ser más sólidos que un sistema burocrático difícil de mantener.
Sanciones: por qué no existe una multa automática por no hacer un curso
Conviene evitar una afirmación frecuente: el Reglamento no establece que faltar a un curso concreto active automáticamente la multa máxima del AI Act. La supervisión debe valorar el caso, el riesgo, las medidas adoptadas y la normativa sancionadora aplicable.
La ausencia de un programa adecuado puede adquirir especial importancia si se produce un daño, una discriminación, una filtración de información o una decisión incorrecta que una capacitación razonable habría ayudado a evitar. En esos supuestos, los registros internos permiten demostrar qué medidas tomó la organización y si eran proporcionadas al uso del sistema.
Además, la falta de alfabetización puede contribuir a incumplir otras obligaciones: protección de datos, seguridad, transparencia, supervisión humana o normativa laboral. Por eso, el objetivo del plan no debe ser obtener un diploma defensivo, sino reducir errores previsibles y demostrar una gestión responsable.
Errores habituales al implantar la formación
Formar solo al equipo técnico
Marketing, ventas, administración, recursos humanos o dirección pueden usar IA a diario y asumir riesgos relevantes sin desarrollar modelos.
Dar el mismo curso a todos
La norma exige considerar conocimientos, contexto y riesgo. La personalización por funciones es una parte central del enfoque.
Ignorar la IA no autorizada
Prohibir herramientas sin ofrecer alternativas suele ocultar su uso. Es mejor detectar necesidades, fijar límites y facilitar soluciones aprobadas.
No actualizar evidencias
Una formación antigua puede dejar de ser suficiente cuando cambia el sistema, se añaden datos sensibles o la IA pasa a intervenir en decisiones.
Preguntas frecuentes
¿Usar ChatGPT obliga a formar a los empleados?
Cuando se utiliza profesionalmente bajo la responsabilidad de la empresa, deben adoptarse medidas de alfabetización adecuadas. Para tareas de redacción o traducción, como mínimo conviene explicar las alucinaciones, la verificación de datos y las restricciones sobre información confidencial.
¿Toda la plantilla debe realizar el mismo curso?
No. La formación puede diferenciarse por conocimientos, responsabilidad, herramienta y riesgo. Puede existir una base común y módulos específicos para quienes configuran sistemas, validan resultados o toman decisiones apoyadas por IA.
¿Hace falta un certificado homologado?
No existe una certificación obligatoria general para cumplir el artículo 4. La empresa puede impartir formación con recursos internos y conservar registros de las acciones realizadas.
¿Es obligatorio nombrar un responsable de IA?
El artículo 4 no impone una estructura de gobernanza concreta ni una figura equivalente al delegado de protección de datos. Aun así, asignar un responsable operativo ayuda a mantener el inventario, coordinar la formación y revisar incidentes.
¿Cada cuánto debe renovarse la formación?
No hay una periodicidad universal. Debe revisarse cuando se incorporen nuevas herramientas, cambien las funciones, aumente el impacto sobre terceros, aparezcan incidentes o se actualice el marco normativo.
Qué debería hacer ahora una pyme
El punto de partida no es contratar de inmediato una formación extensa, sino conocer el uso real de la IA. Una pyme puede comenzar entrevistando a cada área, elaborar un inventario básico, bloquear los usos claramente inseguros y preparar una guía breve para las herramientas aprobadas. Después podrá formar por perfiles y conservar evidencias sin crear una carga administrativa desproporcionada.
Próximo paso práctico: identifica esta semana qué personas utilizan IA, para qué tareas y con qué datos. Esa fotografía permitirá decidir qué conocimientos faltan, qué controles son prioritarios y qué formación resulta realmente necesaria. Tras la publicación del Ómnibus Digital en el DOUE y de las futuras orientaciones de la Comisión, habrá que revisar la política para mantenerla alineada con la redacción consolidada del artículo 4.
