La obligación de formar a tu equipo en IA existe desde febrero de 2025, pero era papel mojado: no había nadie con competencia para exigirla. Eso terminó el 2 de agosto de 2026, cuando las autoridades nacionales de vigilancia del mercado pasaron a poder exigir el artículo 4. Aquí tienes lo que hay que hacer exactamente, con un plan de 90 minutos, la plantilla de registro y la política de uso que necesitas guardar. Sin curso de pago, sin certificado y sin abogado.
⚡ Lo esencial
- El artículo 4 del AI Act obliga a toda organización que use IA, sin umbral de tamaño: también al autónomo con dos personas contratadas.
- Se aplica desde el 2 de febrero de 2025, pero es exigible por las autoridades nacionales desde el 2 de agosto de 2026.
- La Comisión Europea es explícita: no hace falta certificado, ni un formato concreto, ni evaluar el conocimiento de los empleados.
- Lo que sí hace falta es un registro interno de la formación y de las medidas adoptadas. Eso es la prueba.
- Con una sesión bien diseñada de 90 minutos y una política de una página, una pyme normal cumple.
Qué dice exactamente el artículo 4
Merece la pena leerlo entero, porque es corto y porque casi todo lo que se ha escrito sobre él le añade cosas que no dice. El Reglamento (UE) 2024/1689 establece que los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en materia de IA de su personal y de las demás personas que se encarguen del funcionamiento y la utilización de los sistemas en su nombre, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto de uso.
Cuatro ideas salen de ahí, y ninguna es la que te vende un curso:
-
Es una obligación de medios, no de resultado
“En la mayor medida posible” significa que se te juzga por las medidas que adoptaste, no por si todo el mundo aprobó un examen. Si actuaste con diligencia y puedes demostrarlo, has cumplido.
-
Alcanza a más gente que tu plantilla
Habla de “las demás personas que se encarguen del funcionamiento y la utilización en su nombre”. Eso incluye a la freelance que te lleva las redes con IA generativa y al proveedor que opera tu chatbot.
-
Es proporcional al contexto
El nivel exigible depende de qué sistema es, quién lo usa y sobre quién tiene efecto. No es lo mismo redactar borradores de correo que puntuar currículums.
-
Cubre a los afectados, no solo a los usuarios
El texto pide considerar “las personas o los grupos de personas en relación con los cuales se vayan a utilizar los sistemas”. Si tu IA toca a clientes, pacientes o candidatos, la formación tiene que hablar de ellos.
A quién obliga (y desde cuándo se puede exigir de verdad)
No hay umbral de tamaño, de facturación ni de sector. Si en tu organización alguien usa un sistema de IA para trabajar, el artículo 4 te aplica. Un despacho de tres personas que redacta con ChatGPT está dentro; una empresa de 400 que no usa IA en ningún proceso, no.
La fecha importa más de lo que parece. La obligación existe desde el 2 de febrero de 2025, pero durante dieciocho meses no hubo autoridad nacional habilitada para exigirla. La propia Comisión aclaró en su documento de preguntas y respuestas sobre alfabetización en IA que serían las autoridades de vigilancia del mercado quienes la harían cumplir, a partir del 2 de agosto de 2026.
La obligación llevaba año y medio en vigor. La capacidad de exigirla llegó este agosto.
Ese cambio de estado es el que convierte el artículo 4 de “algo que habría que mirar” en una tarea con fecha. Y llega justo cuando el resto del reglamento se ha aplazado: como explicamos en la guía de qué cumple tu pyme hoy tras el Ómnibus Digital, lo que se retrasó a 2027 es el bloque de alto riesgo, no este.
La autoridad central es la AESIA, con sede en A Coruña, coordinada con la AEPD en lo que toca a datos personales y con las autoridades sectoriales en su terreno. El régimen sancionador nacional concreto lo fija el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, aún en tramitación en el Congreso.
Lo que el artículo 4 NO exige
Esta sección te va a ahorrar dinero. La Comisión Europea, en el documento citado arriba, es inusualmente concreta sobre lo que no se pide:
- No hace falta un certificado. Ni oficial, ni de un organismo acreditado, ni de nadie. No existe un “certificado AI Act” reconocido para el artículo 4.
- No hay un formato obligatorio. Vale un webinar, un e-learning, una sesión presencial o una guía interna bien hecha. No hay horas mínimas.
- No hay que evaluar el conocimiento de los empleados. El artículo 4 no impone hacer exámenes ni medir competencias.
- No se impone una estructura de gobernanza. No necesitas nombrar un comité ni un cargo específico para cumplirlo.
- No hay un marco de competencias único. La Comisión dice expresamente que no hay una talla única.
Desde agosto circulan ofertas de “certificación obligatoria AI Act” con precios de tres cifras por empleado y urgencia de multa. La obligación es real; el certificado no lo es. Si contratas formación externa —que puede ser una decisión perfectamente razonable— contrátala por su calidad y por el tiempo que te ahorra, no porque un correo te diga que sin ella te multan.
Tres niveles según lo que hace cada persona
La proporcionalidad del artículo 4 se aplica bien con una segmentación simple. Clasifica a tu gente en tres grupos y dale a cada uno lo que le corresponde:
| Nivel | Quién está aquí | Qué necesita saber | Dedicación razonable |
|---|---|---|---|
| Básico | Toda la plantilla, aunque no use IA a diario | Qué es un sistema de IA, qué son las alucinaciones, qué datos no se suben nunca, a quién avisar si algo falla | 45–60 minutos, una vez al año |
| Operativo | Quien usa IA en su trabajo diario: marketing, atención al cliente, administración | Lo anterior más límites de la herramienta concreta, revisión de resultados, avisos de transparencia y confidencialidad con clientes | 90 minutos + guía escrita de la herramienta |
| Crítico | Quien opera sistemas que afectan a personas: RR. HH., crédito, evaluación | Lo anterior más sesgos, supervisión humana efectiva, cómo documentar decisiones y cómo atender una reclamación | Media jornada + procedimiento escrito |
La mayoría de pymes solo tienen los dos primeros niveles. Si tienes gente en el tercero, además de formación tienes probablemente un sistema de alto riesgo entre manos, y ahí la conversación es otra.
El plan de 90 minutos que cumple (y que además sirve)
Este es el guion que usamos con clientes. Cubre lo que la Comisión pide y, sobre todo, resuelve los problemas que una pyme tiene de verdad con la IA. Se puede impartir internamente.
-
Qué es y qué no es un sistema de IA — 15 minutos
Un modelo de lenguaje predice texto plausible; no consulta una base de datos de verdades. Enseña un ejemplo real de tu sector en el que la herramienta se inventa un dato con total seguridad. Es la diapositiva que más cambia comportamientos. Si necesitas material, sirve tal cual el artículo sobre por qué la IA alucina y cómo detectar datos falsos.
-
Qué puede salir mal en nuestra empresa — 20 minutos
Tres riesgos concretos con nombre y apellido: filtrar datos de un cliente en un prompt, publicar un dato inventado, y tomar una decisión sobre una persona basándose en una salida no revisada. Que cada asistente ponga un ejemplo de su propio puesto.
-
Qué datos no salen de aquí — 20 minutos
La regla operativa: nada que identifique a una persona, nada bajo acuerdo de confidencialidad, nada de credenciales. Y explicar la diferencia entre una cuenta personal gratuita y una cuenta de empresa en cuanto al uso de las conversaciones para entrenamiento — lo desglosamos en qué hacen ChatGPT, Gemini y Claude con tus conversaciones.
-
Cómo se revisa y cómo se avisa — 20 minutos
Quién valida antes de publicar o enviar, qué se comprueba siempre (cifras, nombres, citas, enlaces) y cuándo hay que decir al destinatario que hay IA de por medio: chatbots, contenido audiovisual sintético, textos publicados sin revisión editorial.
-
Herramientas aprobadas y a quién preguntar — 15 minutos
Lista cerrada de herramientas permitidas, cómo se pide añadir una nueva y quién es la persona de contacto ante una duda o un incidente. Sin esto, la formación se evapora en dos semanas.
Grábala. Una sesión grabada de 90 minutos resuelve la incorporación de cada persona nueva durante todo el año, y la fecha del archivo es por sí misma parte de tu evidencia. Si tienes empleados, pregunta a tu gestoría si la formación externa que contrates es bonificable por FUNDAE; la interna normalmente no lo es, pero tampoco cuesta dinero.
El registro de evidencias: lo único que te van a pedir
La Comisión lo dice sin rodeos: basta con un registro interno de las formaciones y demás iniciativas. No hay un modelo oficial, así que aquí tienes uno que funciona. Una hoja de cálculo con estas columnas y una carpeta con los adjuntos:
| Campo | Qué anotar | Por qué importa |
|---|---|---|
| Fecha | Día de la sesión o de la publicación de la guía | Demuestra que actuaste antes de que te preguntaran |
| Acción | Sesión, e-learning, guía interna, comunicación | El artículo 4 habla de “medidas”, en plural y en sentido amplio |
| Contenido | Índice o guion de lo impartido | Es lo que prueba que el contenido era pertinente al contexto |
| Participantes | Nombres y puesto, incluidos externos que operan IA en tu nombre | Cubre el alcance completo que exige el artículo |
| Nivel | Básico, operativo o crítico | Documenta la proporcionalidad de tu decisión |
| Materiales | Enlace al PDF, al vídeo o a la política | Convierte la afirmación en prueba |
| Próxima revisión | Fecha objetivo, normalmente a 12 meses | Demuestra que es un proceso vivo, no un trámite |
Cinco minutos de mantenimiento después de cada sesión. Ese archivo es exactamente lo que enseñas si un cliente corporativo te lo pide en un pliego o si una autoridad pregunta.
La política de uso de IA en una página
La formación sin norma escrita se olvida. La norma escrita sin formación no se entiende. Necesitas las dos, y la segunda cabe en una cara. Estos son los ocho puntos que no pueden faltar:
- Herramientas aprobadas. Lista cerrada, con la cuenta corporativa que hay que usar en cada una.
- Datos prohibidos. Qué no se pega nunca en un prompt: datos personales de clientes, información bajo NDA, credenciales, documentación financiera no publicada.
- Revisión humana obligatoria. Qué salidas no pueden salir de la empresa sin que una persona las valide, y quién valida.
- Transparencia. Cuándo hay que decir al destinatario que ha intervenido la IA, con la fórmula concreta a usar.
- Decisiones sobre personas. Prohibición explícita de decidir sobre empleados, candidatos o clientes basándose solo en una salida automática.
- Propiedad intelectual. Qué se puede publicar, qué hay que comprobar y qué contenido generado no se registra como propio sin revisión.
- Incidentes. Qué hacer si se filtró algo o si se publicó un error: a quién se avisa y en cuánto tiempo.
- Vigencia y revisión. Fecha de la versión y compromiso de revisarla al menos una vez al año.
Ponle fecha y versión, que la firme quien dirige y guárdala junto al registro. Con la política, el registro y la sesión grabada, tienes el expediente completo del artículo 4.
Cinco errores que dejan la formación sin valor
- Formar solo al equipo técnico. El riesgo real está en administración, ventas y atención al cliente, que son quienes pegan datos sensibles en un prompt sin pensarlo.
- Contar el AI Act en vez de contar el trabajo. Una sesión sobre el reglamento aburre y no cambia nada. La sesión útil habla de los documentos de tu empresa y de los errores de tu sector.
- No incluir a los externos. La agencia y el freelance que operan herramientas en tu nombre entran en el alcance del artículo. Mándales la política y anota que lo hiciste.
- Hacerla una vez y olvidarla. Las herramientas cambian cada trimestre. Una revisión anual con dos correos de recordatorio entre medias es suficiente.
- No guardar nada. El error más caro y el más fácil de evitar. Una formación impecable sin registro es, a efectos prácticos, una formación que no ocurrió.
Te lo dejamos montado en una semana
Sesión de formación adaptada a tus herramientas y a tu sector, política de uso de IA redactada para tu empresa y registro de evidencias listo para enseñar. Y, de paso, salimos con una lista de lo que te conviene automatizar.
Ver cómo trabajamosAviso: guía práctica escrita a 27 de agosto de 2026, no asesoramiento jurídico. Si operas sistemas de IA que toman decisiones sobre personas, contrasta con un abogado especializado.
