Formación obligatoria IA empleados: los errores clave
Llevamos meses viendo el mismo patrón en empresas que nos contactan asustadas: han hecho "algo" de capacitación en inteligencia artificial, tienen un PDF firmado por su gente y creen que ya están cubiertos. Cuando les pedimos el expediente, la conversación se apaga.
El Artículo 4 del Reglamento (UE) 2024/1689 es aplicable desde el 2 de febrero de 2025. No en agosto de 2026, como todavía leemos en artículos publicados este otoño. La información sobre qué se aplaza y qué no en el AI Act está mezclada de forma bastante caótica, y eso ha generado una confusión peligrosa: la mayoría de organizaciones asume que la formación obligatoria en IA para empleados es un tema del futuro. No lo es. Es del presente, y llevamos casi un año dentro del plazo de exigibilidad.
Vamos a repasar los errores que estamos viendo con más frecuencia, ordenados de menos a más grave, y qué aspecto tiene una alfabetización que aguantaría una revisión seria.
El error de tratar el Artículo 4 como un curso genérico de una tarde
El precepto obliga desde el 2 de febrero de 2025 a todo proveedor o responsable del despliegue de sistemas de inteligencia artificial a garantizar un nivel suficiente de alfabetización entre el personal que los utiliza. No exige un curso concreto: exige capacidad demostrable, adaptada al rol y al riesgo, con evidencia documental disponible ante inspección.
Este es el fallo número uno. Nos ha pasado con clientes de más de 200 empleados: contrataron una sesión online de tres horas titulada "Introducción a la IA generativa", pasaron lista, y cerraron el expediente.
El problema no es la duración. Son cuatro cosas que ese formato jamás cubre: contexto de uso real dentro de la organización, riesgos específicos por departamento, políticas internas aplicables, y trazabilidad de cada asistente vinculada a su puesto. Una educación genérica te enseña qué es un LLM. No te enseña qué puede hacer tu comercial con Copilot cuando redacta una oferta que compromete a la empresa.
Y aquí está el detalle que casi todo el mundo pasa por alto: la norma no exige un curso, exige alfabetización suficiente. Son cosas distintas. La primera se compra, la segunda se construye.
Confundir dar acceso a ChatGPT con alfabetizar al equipo
Nos llamó una empresa hace unos meses (unos 80 empleados, sector servicios) muy orgullosa: habían comprado licencias de ChatGPT Enterprise para toda la plantilla. Cuando les preguntamos por la formación, la respuesta fue literalmente: "Es muy intuitivo, lo usan sin problema".
Facilitar el acceso a una herramienta no capacita a nadie. Y sin embargo es lo que estamos viendo en el 70% de las pymes que hemos auditado en 2025: confunden despliegue con alfabetización. Son dos capas distintas del mismo problema.
La alfabetización que exige el reglamento europeo implica que cada persona entienda tres cosas mínimas sobre las herramientas que usa: qué datos puede meter y cuáles no, qué salidas debe revisar antes de publicar o enviar, y en qué casos debe escalar a un responsable. Sin eso, tener licencias es peor que no tenerlas, porque multiplicas la superficie de exposición sin multiplicar el criterio.
Formar solo al departamento técnico ignorando a marketing, atención al cliente y RRHH
Otro clásico. La empresa forma al equipo de IT porque son los que "entienden de esto", y deja fuera a los departamentos que realmente están usando inteligencia artificial todos los días.
¿Sabes quién genera más riesgo con IA en una empresa media? Marketing, cuando pasa listas de clientes a un modelo para segmentar. Atención al cliente, cuando usa un chatbot que responde sobre políticas de devolución. RRHH, cuando filtra CVs con herramientas automatizadas (esto último, por cierto, cae directamente en el Anexo III como sistema de alto riesgo desde agosto de 2026).
El precepto habla de "personal encargado del funcionamiento y utilización" de sistemas de IA. Utilización. No desarrollo. Si tu community manager usa una herramienta generativa para redactar posts, entra en el ámbito. Y si no le has formado, tienes un problema.
No documentar nada: el fallo que convierte una formación válida en un incumplimiento
Aquí es donde la mayoría de empresas se derrumban en una inspección. Aunque hayan hecho una alfabetización decente.
La norma no te pide un curso. Te pide poder demostrar que has hecho lo suficiente. Y la diferencia entre "sé que lo hicimos" y "puedo enseñárselo a la AESIA en 48 horas" es abismal.
Lo que hemos visto que sí sirve como evidencia: lista nominal de asistentes con fecha y puesto, materiales entregados archivados con versión, evaluación de comprensión por escrito (aunque sean 10 preguntas), acta interna del responsable que aprobó el plan, y política de uso interna firmada individualmente. Sin estos cinco elementos, una preparación puede haber ocurrido y ser irrelevante desde el punto de vista probatorio.
Nuestro equipo, cuando entra a auditar, empieza siempre por pedir el expediente. Si no hay expediente, no hay conversación. Hay incumplimiento.
Pensar que el AI Act empieza en agosto de 2026 (la obligación real llegó antes)
Este error nos lo encontramos cada semana. Alguien lee un titular sobre "el AI Act entrará en vigor en 2026" y desconecta. Grave error.
El reglamento europeo tiene una aplicación escalonada. La obligación de alfabetización y las prácticas prohibidas del Capítulo II son exigibles desde el 2 de febrero de 2025. Los sistemas de propósito general (GPAI) desde el 2 de agosto de 2025. Los sistemas de alto riesgo del Anexo III, esos sí, en agosto de 2026.
Es decir: cuando el titular hable de 2026 se refiere a una parte muy concreta. La enseñanza no. Esa ya la debías tener el 3 de febrero de 2025. Llevamos casi un año dentro del plazo. Cada mes que pasa sin plan documentado suma exposición ante una posible revisión de la AESIA, cuya sede se ubica en A Coruña y que empezó a operar en 2024.
Señales de que la formación de tu empresa es un paripé ante una inspección
Hicimos hace poco una checklist rápida para clientes que dudan si lo suyo se sostiene. Si respondes "sí" a más de tres de estas, tienes un problema:
- El curso duró menos de dos horas y era la misma para todos los perfiles.
- No hay lista nominal con fecha y firma de asistencia.
- Nadie evaluó si los asistentes comprendieron el contenido.
- No existe una política de uso interno firmada individualmente.
- No se identificaron los sistemas de inteligencia artificial concretos que usa la empresa antes de formar.
- El contenido no menciona ni el precepto del artículo 4 ni el Reglamento (UE) 2024/1689.
- No hay un responsable interno designado por escrito para el cumplimiento.
- No se ha actualizado la enseñanza desde que se dio (aunque hayan entrado empleados nuevos).
Esta última es especialmente sangrante. Formar en marzo y no volver a formar a los que entraron en septiembre es incumplimiento puro. La obligación es continuada, no puntual.
El camino correcto: cómo estructurar una alfabetización en IA que aguante una auditoría
Vamos a lo que sí funciona. Lo hemos aplicado ya en decenas de organizaciones, desde despachos de 12 personas hasta grupos industriales de 400. La estructura es siempre la misma, solo cambia la escala. Y sí, buena parte de estas horas son bonificables al 100% vía FUNDAE si eliges bien el proveedor y documentas el diseño formativo.
Fase 1: Inventario antes que formación
No se puede formar sobre algo que no has identificado. Antes de contratar cursos, hay que levantar el inventario completo: qué herramientas de inteligencia artificial usa cada departamento, con qué proveedor, para qué finalidad, con qué datos de entrada. Este documento es la base de todo lo demás.
Sin inventario, cualquier capacitación es abstracta. Con inventario, sabes exactamente qué riesgos formar y a quién.
Fase 2: Segmentación por rol y nivel de exposición
No todo el mundo necesita la misma capacitación. Un desarrollador que integra APIs de OpenAI necesita contenido técnico y de riesgo. Un comercial que usa Copilot para redactar emails necesita algo mucho más ligero pero muy concreto sobre datos personales y confidencialidad. Un directivo necesita entender la responsabilidad legal de deployer.
Tres niveles como mínimo: básico transversal (todos), específico por rol (según inventario), avanzado para responsables. Esto es lo que la norma llama "alfabetización adaptada".
Fase 3: Política de uso interna vinculante
La formación y la política van juntas. Necesitas un documento breve (2-3 páginas máximo) con lo que sí se puede y lo que no, firmado individualmente por cada persona formada. Ese documento es lo primero que pediremos si venimos a auditarte, y lo primero que pedirá la AESIA.
Fase 4: Evaluación y expediente
Cerrar cada ciclo formativo con una evaluación breve (aunque sean 8-10 preguntas) y archivar todo: lista de asistentes, materiales entregados con versión y fecha, resultados de evaluación, política firmada. Todo esto compone el expediente de medidas implantadas que exige la obligación.
Fase 5: Mantenimiento continuo
Y aquí está la parte que casi nadie hace: la preparación se actualiza cada 6-12 meses, y cada nueva incorporación pasa por ella antes de tocar ninguna herramienta de IA. Sin esto, el expediente caduca. Y un expediente caducado es un incumplimiento en toda regla.
Todo este flujo lo tenemos automatizado dentro de nuestra plataforma de cumplimiento del AI Act, precisamente porque descubrimos que las empresas fallan siempre en los mismos tres puntos: el inventario inicial, la trazabilidad documental y el mantenimiento continuo. Automatizarlo evita que se caiga por el eslabón más débil, que suele ser el tiempo interno para mantenerlo vivo.
Una advertencia final
Las sanciones del reglamento no son testimoniales. Hasta 35 millones de euros o el 7% de la facturación mundial anual por prácticas prohibidas. Hasta 15 millones o el 3% por incumplimiento de otras obligaciones. Y aunque esta obligación específica no aparece directamente en el régimen sancionador más agresivo, sí es la primera pieza que se comprueba en cualquier revisión, y un incumplimiento aquí abre la puerta a mirar todo lo demás.
La formación obligatoria en inteligencia artificial para empleados no es un checkbox. Es la base sobre la que se apoya todo el cumplimiento posterior. Empezar por aquí, bien hecho, ahorra sustos después.
Preguntas frecuentes
¿Es obligatorio formar a los empleados en inteligencia artificial?
Sí. Cualquier empresa que use sistemas de IA en su operativa (proveedor o deployer) debe garantizar un nivel suficiente de alfabetización entre el personal que los utiliza. La obligación se extiende también a personas externas que actúen en nombre de la organización, no solo al empleado directo.
¿Desde cuándo es obligatoria la formación en inteligencia artificial en las empresas?
Desde el 2 de febrero de 2025. Es una de las primeras disposiciones del Reglamento (UE) 2024/1689 que entró en vigor, junto con la prohibición de prácticas de riesgo inaceptable. No hay periodo de gracia adicional: llevamos casi un año dentro del plazo de exigibilidad.
¿Qué sanciones tiene no cumplir el Artículo 4 del AI Act?
El régimen sancionador general del reglamento contempla multas de hasta 15 millones de euros o el 3% del volumen de negocio mundial anual por incumplimiento de obligaciones distintas a las prácticas prohibidas. En la práctica, un fallo en alfabetización suele ser la puerta de entrada a una revisión más amplia que puede escalar por otras vías.
¿Qué debe incluir?
Debe estar adaptada al rol del empleado, al contexto de uso real de las herramientas de IA en la empresa, y a los riesgos específicos que su puesto puede generar. Como mínimo: identificación de sistemas usados, límites de uso, tratamiento de datos, y procedimientos de escalado. Todo respaldado por evidencia documental archivada.
¿A qué empresas afecta el Reglamento Europeo de inteligencia artificial?
A cualquier empresa establecida en la UE que desarrolle, comercialice o despliegue sistemas de IA, y también a organizaciones extracomunitarias cuyo output llegue al mercado europeo. No hay umbral de tamaño: una pyme de 10 personas que usa ChatGPT profesionalmente está dentro del ámbito subjetivo tanto como una multinacional.