Desde agosto de 2026, hablar del AI Act en una empresa española ya no puede limitarse a una presentación sobre conceptos básicos. El artículo 4 del Reglamento europeo mantiene para proveedores y responsables del despliegue de sistemas de inteligencia artificial la obligación de adoptar medidas que apoyen la alfabetización en IA de su personal y de otras personas que operen o utilicen esos sistemas en su nombre.
La obligación se aplica desde el 2 de febrero de 2025. La novedad operativa de agosto de 2026 es que las autoridades nacionales de vigilancia del mercado comenzaron la supervisión y aplicación de estas reglas.
Esta guía explica qué significa para empresas, pymes y Recursos Humanos en España, qué no exige automáticamente la norma y cómo construir un programa defendible sin caer en cursos genéricos ni burocracia vacía.
Respuesta rápida: qué debe hacer una empresa
| Pregunta | Respuesta práctica |
|---|---|
| ¿A quién alcanza? | A proveedores y responsables del despliegue de sistemas de IA, respecto del personal y otras personas que los operan o usan en su nombre. |
| ¿Desde cuándo aplica el artículo 4? | Desde el 2 de febrero de 2025. |
| ¿Qué cambió en agosto de 2026? | Comenzó la supervisión y aplicación por las autoridades nacionales competentes. |
| ¿Existe un curso único obligatorio? | No. Las medidas deben adaptarse al conocimiento, experiencia, contexto, propósito y riesgo. |
| ¿Se exige un certificado individual? | No. La Comisión indica que puede mantenerse un registro interno de formación y otras iniciativas. |
| ¿Basta con enviar el manual de la herramienta? | No siempre. Para muchos usos puede ser insuficiente sin orientación y práctica. |
La referencia central es la guía de preguntas y respuestas sobre alfabetización en IA de la Comisión Europea, actualizada tras los cambios introducidos en 2026.
Qué exige actualmente el artículo 4 del AI Act
El artículo 4 obliga a proveedores y responsables del despliegue de IA a tomar medidas para apoyar el desarrollo de la alfabetización en IA de las personas que operan o utilizan los sistemas en su nombre. La organización debe considerar:
- el conocimiento técnico y la experiencia previa;
- la educación y formación de las personas;
- el contexto en el que se utiliza la IA;
- el propósito del sistema;
- las personas o grupos sobre quienes puede producir efectos;
- el nivel y la naturaleza del riesgo.
Tras las modificaciones europeas de julio de 2026, la alfabetización sigue siendo una obligación, pero no se impone un nivel único o suficiente que toda persona deba acreditar. La Comisión Europea subraya que el enfoque debe facilitar el cumplimiento y adaptarse a cada realidad.
Qué significa alfabetización en IA dentro de una empresa
No equivale a convertir a toda la plantilla en especialista técnica. Una persona alfabetizada para su función debe comprender lo necesario para usar, supervisar o decidir sobre una herramienta concreta con criterio. Eso suele incluir:
- qué sistema utiliza la empresa y para qué;
- qué datos puede y no puede introducir;
- qué errores, alucinaciones o sesgos puede producir;
- cómo verificar resultados antes de actuar;
- cuándo se necesita revisión humana o escalado;
- cómo afecta el uso a clientes, candidatos, empleados o ciudadanía;
- qué transparencia debe ofrecerse en cada caso;
- cómo registrar incidentes y comunicar riesgos.
La Comisión ofrece un ejemplo directo: si empleados usan ChatGPT para redactar publicidad o traducir textos, deben conocer riesgos específicos como las alucinaciones. El hecho de mantener a una persona en el circuito de decisión tampoco sustituye su preparación: esa persona necesita competencias adecuadas para supervisar el sistema.
¿Es obligatoria una formación formal en IA?
No existe un formato único de curso impuesto para todas las compañías. El programa puede combinar formación, guías, práctica supervisada, sesiones breves, protocolos, comunidades internas y actualizaciones periódicas. La medida correcta depende del uso y del riesgo.
Lo que resulta débil es asumir que aceptar unas condiciones de uso o leer un manual equivale automáticamente a comprender el sistema. Para una herramienta de apoyo editorial de bajo impacto puede bastar una intervención breve con reglas claras y ejercicios. Para IA aplicada a selección, crédito, salud, educación, acceso a servicios o decisiones sobre personas, el nivel de profundidad y supervisión debe ser mayor.
Los responsables del despliegue de sistemas de alto riesgo mantienen además obligaciones específicas de capacitación vinculadas a la supervisión humana. No conviene anticipar que todo uso empresarial cotidiano es de alto riesgo: la clasificación debe hacerse sistema por sistema, con apoyo jurídico y técnico cuando sea necesario.
Un modelo de formación por roles
| Grupo | Competencias prioritarias | Evidencia útil |
|---|---|---|
| Toda la plantilla usuaria | Conceptos básicos, herramientas autorizadas, privacidad, verificación y escalado. | Registro de sesión, guía vigente y ejercicio breve. |
| RRHH, marketing, finanzas y áreas usuarias | Riesgos del caso de uso, sesgos, calidad, transparencia y revisión humana. | Taller por proceso, casos evaluados y checklist de validación. |
| Equipos técnicos y de datos | Limitaciones, pruebas, trazabilidad, monitorización, seguridad y documentación. | Evaluaciones técnicas, control de versiones y registro de cambios. |
| Compras y legal | Clasificación del sistema, cláusulas, responsabilidades, datos y documentación del proveedor. | Cuestionario de proveedor y expediente de decisión. |
| Dirección y propietarios de proceso | Gobernanza, apetito de riesgo, impacto, recursos y respuesta a incidentes. | Actas, decisiones, indicadores y revisión periódica. |
| Contratistas que usan IA en nombre de la empresa | Reglas equivalentes a su tarea y acceso. | Cláusula, acreditación interna y control de acceso. |
La matriz evita dos errores: impartir el mismo contenido a todo el mundo y formar solo al equipo técnico. La exposición real suele estar en procesos de negocio donde una respuesta de IA se transforma en comunicación, recomendación o decisión.
Cómo implementar un programa en ocho pasos
1. Inventariar los sistemas y usos reales
Registra herramientas corporativas, integraciones, pilotos y usos no formalizados. Pregunta qué tarea resuelve cada sistema, quién lo utiliza, qué datos recibe y sobre quién produce efectos. Incluir la IA generativa de uso cotidiano es esencial.
2. Definir el papel de la organización
No es lo mismo desarrollar un sistema que desplegar una solución de terceros. Una empresa puede ocupar varios roles a la vez según el producto, la personalización y el uso. Esta clasificación orienta responsabilidades y contenidos formativos.
3. Evaluar contexto y riesgo
Prioriza los usos que afectan a personas, derechos, datos sensibles, reputación o decisiones relevantes. Documenta limitaciones conocidas, posibles errores, grupos afectados y controles existentes.
4. Segmentar audiencias
Agrupa por tarea, exposición y capacidad de decisión. Una persona que resume reuniones necesita reglas distintas a un reclutador que filtra candidatos o a un equipo que desarrolla modelos.
5. Diseñar contenidos aplicados
Combina una base común con módulos por caso. Utiliza ejemplos reales de la organización, salidas incorrectas, dilemas de datos y ejercicios de escalado. La alfabetización mejora cuando la persona practica la revisión, no solo escucha definiciones.
6. Activar controles de trabajo
La formación debe conectarse con herramientas autorizadas, permisos, plantillas de validación, revisión humana, etiquetado cuando corresponda y un canal para reportar incidentes. Una clase aislada no corrige un proceso mal diseñado.
7. Conservar evidencias proporcionadas
La Comisión aclara que no se exige un certificado específico. Puede mantenerse un registro interno de formaciones y otras iniciativas. Conviene conservar versión del contenido, asistentes, audiencia, fecha, casos cubiertos, ejercicios y cambios posteriores.
8. Revisar y actualizar
Una herramienta, proveedor o proceso puede cambiar en semanas. Define revisiones por riesgo y eventos: incorporación de un nuevo sistema, modificación sustancial, incidente, cambio de proveedor o nueva guía oficial.
Evidencias que conviene conservar
- inventario de sistemas, casos de uso y responsables;
- criterio de segmentación de audiencias;
- mapa de riesgos y controles por caso;
- contenidos y versiones de las acciones formativas;
- asistencia o participación en las iniciativas;
- ejercicios, evaluaciones prácticas o confirmaciones de comprensión cuando aporten valor;
- políticas de uso, guías rápidas y flujos de escalado;
- evaluaciones de proveedores y cambios de herramientas;
- incidentes, aprendizajes y medidas correctivas;
- revisiones aprobadas por responsables de proceso.
Documentar no significa almacenar datos personales innecesarios. La evidencia debe ser suficiente, proporcional y gestionada conforme a las reglas de privacidad y conservación de la organización.
Transparencia: otra obligación relevante desde agosto de 2026
La alfabetización del artículo 4 no debe confundirse con las obligaciones de transparencia del artículo 50, aunque ambas se refuerzan. La Comisión publicó en julio de 2026 directrices sobre transparencia aplicables desde el 2 de agosto.
Según el caso, los proveedores deben facilitar que las personas sepan cuándo interactúan directamente con IA y marcar contenido generado o manipulado de forma legible por máquina. Determinados responsables del despliegue también deben informar sobre exposición a deepfakes, contenido de interés público generado sin revisión humana o editorial y sistemas de reconocimiento de emociones o categorización biométrica. Existen excepciones y condiciones, por lo que no debe aplicarse una etiqueta genérica a todo contenido sin analizar el supuesto.
Qué papel tiene la AESIA en España
La Agencia Española de Supervisión de Inteligencia Artificial tiene la misión de liderar y coordinar la supervisión de la IA en España. Su estatuto contempla la supervisión de sistemas y, cuando corresponda, funciones sancionadoras dentro del marco europeo y nacional.
Un convenio publicado en el BOE en abril de 2026 confirma además el trabajo de AESIA como autoridad de vigilancia del mercado y su colaboración en alfabetización, protección de derechos fundamentales y detección de sesgos. Esto no significa que cualquier carencia formativa produzca automáticamente una multa. La Comisión señala que la aplicación debe ser proporcionada y valorar la naturaleza, gravedad, intencionalidad o negligencia del caso.
Errores que debilitan el cumplimiento
- Comprar un curso genérico sin inventariar los sistemas utilizados.
- Formar solo a perfiles técnicos y olvidar las áreas de negocio.
- Permitir herramientas no autorizadas sin reglas sobre datos.
- Confundir revisión humana con supervisión competente.
- Guardar una lista de asistencia sin demostrar qué riesgos se trabajaron.
- Prometer que un certificado garantiza por sí solo el cumplimiento.
- Tratar toda IA como alto riesgo o, en el extremo contrario, asumir que ninguna lo es.
- Olvidar a contratistas y proveedores que operan sistemas en nombre de la empresa.
- No actualizar la formación cuando cambia la herramienta o el proceso.
Checklist para empresas y RRHH tras agosto de 2026
- Nombrar responsables del inventario y del programa de alfabetización.
- Registrar sistemas, casos de uso, usuarios y personas afectadas.
- Clasificar el papel de la empresa y evaluar el riesgo de cada caso.
- Definir herramientas autorizadas y datos que no deben introducirse.
- Segmentar la formación por rol y nivel de exposición.
- Incluir alucinaciones, sesgos, privacidad, seguridad, transparencia y revisión humana.
- Conectar la formación con controles y canales de incidentes.
- Conservar evidencias internas proporcionadas y versionadas.
- Revisar si aplican obligaciones de transparencia del artículo 50.
- Programar actualizaciones y seguimiento con indicadores útiles.
Indicadores útiles sin convertir la formación en burocracia
| Indicador | Qué permite observar |
|---|---|
| Cobertura por grupo de riesgo | Si las personas prioritarias recibieron la intervención adecuada. |
| Casos de uso inventariados | Si la organización conoce su exposición real. |
| Incidentes y casi incidentes | Dónde fallan las reglas, herramientas o competencias. |
| Calidad de revisión | Si se detectan errores antes de convertir salidas en decisiones. |
| Tiempo de actualización | Cuánto tarda la empresa en adaptar guías tras un cambio relevante. |
| Uso de herramientas autorizadas | Si la formación se traduce en una práctica más controlada. |
Conclusión
El AI Act no exige que toda la plantilla complete el mismo curso ni que cada persona obtenga un certificado. Sí exige que las organizaciones proveedoras o responsables del despliegue de IA adopten medidas de alfabetización ajustadas al conocimiento, el contexto y el riesgo. Desde agosto de 2026, esa obligación entra en una etapa de supervisión efectiva.
La respuesta más sólida combina inventario, segmentación por roles, práctica aplicada, controles de proceso, evidencias proporcionadas y actualización continua. RRHH tiene un papel central, pero no exclusivo: debe coordinarse con legal, privacidad, seguridad, tecnología, compras y propietarios de procesos.
Para convertir este marco en una ruta de formación aplicada para líderes, profesionales y equipos de Recursos Humanos, conoce G-Talent HR. La solución permite estructurar aprendizaje online alineado con las necesidades reales de cada rol y acompañar la adopción responsable de la IA sin perder el criterio humano.
