Cogniria
Todos los artículos

Formación obligatoria en IA: qué queda del artículo 4 tras el Ómnibus

Cogniria · · 7 min de lectura

Pongamos una asesoría de 30 personas. Alguien de laboral pega una nómina en un asistente de IA para que le ayude a redactar un correo al trabajador, y en contabilidad usan un traductor automático para los contratos de un cliente extranjero. Nadie ha recibido ninguna formación sobre estas herramientas. ¿Está incumpliendo la asesoría el Reglamento europeo de IA?

Lo más probable es que sí, aunque hoy cumplir le resulta más fácil que hace unos meses. Desde el 2 de febrero de 2025, las empresas que usan sistemas de IA en su trabajo tienen que ocuparse de que su personal sepa usarlos. En julio de 2026 la Unión Europea rebajó esa obligación: ya no hay que garantizar un nivel concreto de conocimientos, sino adoptar medidas razonables y poder enseñarlas.

Qué cambió en julio de 2026

El Reglamento (UE) 2024/1689, el Reglamento de IA, dedica su artículo 4 a la «alfabetización en materia de IA», que el artículo 3 define como las capacidades y conocimientos para usar estos sistemas con criterio y conocer sus riesgos. En la redacción original, proveedores y responsables del despliegue debían adoptar medidas para garantizar, en la mayor medida posible, que su personal tuviera «un nivel suficiente de alfabetización en materia de IA».

Ese «nivel suficiente» es lo que ha desaparecido. El Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA, se publicó el 24 de julio de 2026 y entró en vigor el 27. Sustituye el artículo 4 por una obligación de adoptar medidas «para apoyar la promoción» de la alfabetización, y añade una frase que despeja dudas: la obligación «no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular».

Su considerando 8 explica el motivo: exigir un nivel suficiente a todo el mundo era una carga que pesaba sobre todo a las pequeñas empresas. A cambio, la Comisión y los Estados tienen que apoyar a las pymes, y la Comisión publicará ejemplos prácticos de cumplimiento.

Una cosa no ha cambiado. Si la empresa usa un sistema de IA de alto riesgo, el artículo 26.2 le sigue obligando a encargar la supervisión humana a personas con «la competencia, la formación y la autoridad necesarias». La Comisión lo recuerda en sus preguntas y respuestas.

¿Usar ChatGPT te convierte en sujeto obligado?

El artículo 4 se aplica a proveedores, que son quienes desarrollan y comercializan un sistema de IA, y a responsables del despliegue, que son quienes lo usan bajo su propia autoridad fuera del ámbito personal. Esta segunda figura abarca a casi cualquier empresa.

La Comisión pone en sus preguntas y respuestas justo ese ejemplo: si la plantilla usa ChatGPT para escribir textos publicitarios o traducir, la empresa tiene que cumplir el artículo 4, y esas personas deben conocer riesgos como las alucinaciones. La asesoría del principio está en ese caso, y también lo estaría si el asistente viniera integrado en el programa de nóminas. Cuentan además los colaboradores externos que usan los sistemas de la empresa en su nombre.

Quién lo vigila y qué pasa si no se cumple

Según la Comisión, el artículo 4 no lo vigila la Oficina de IA europea sino las autoridades nacionales de vigilancia del mercado, que supervisan estas normas desde el 2 de agosto de 2026.

En España, el Consejo de Ministros aprobó el 26 de mayo de 2026 el proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial y lo envió al Congreso. El proyecto encarga la supervisión de los sistemas que no están regulados por legislación de producto principalmente a la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA), junto con la AEPD y el CGPJ según el ámbito. A octubre de 2026 la ley no se ha publicado en el BOE, así que esa designación sigue siendo una propuesta.

Sobre multas, el artículo 99.4 del Reglamento no incluye el artículo 4 entre las infracciones con cuantía fijada en el propio texto, así que dependerá de la ley española. La Comisión indica que cualquier sanción debe ser proporcionada al caso, y apunta que una actuación es más probable si hay un incidente causado por falta de formación del personal.

Cómo cumplirlo sin pasarse

La Comisión deja claras algunas cosas. No hace falta un certificado, basta con llevar un registro interno de las formaciones u otras acciones, y no es obligatorio crear un responsable ni un comité de IA. También advierte de que, en muchos casos, limitarse a pedir a la plantilla que lea las instrucciones de uso de la herramienta puede ser ineficaz.

Con eso, un esquema proporcionado se parece a esto:

En la asesoría del principio, la tabla cabe en una hoja. Una sesión común con una guía de uso aceptable, más un módulo corto para quien maneja nóminas y contratos de clientes, cubre lo razonable. Si alguien pregunta, lo que habrá que enseñar es la prueba de que se hizo, con nombres y fechas.

Esta formación se puede bonificar con el crédito de FUNDAE si guarda relación con la actividad de la empresa o es transversal, dura al menos 2 horas y es gratuita para quien la recibe. En teleformación, la plataforma tiene que registrar la actividad de cada participante, según la información de FUNDAE. Las jornadas y los seminarios no cuentan como acciones bonificables, como explican sus preguntas frecuentes.

Donde la IA se cruza con la ciberseguridad

Al responsable de seguridad, de todo esto le preocupa sobre todo una cosa: los datos. La nómina que se pega en un asistente público sale de la empresa y queda sujeta a las condiciones del proveedor de la herramienta. Una política corta que diga qué herramientas están aprobadas y qué no se puede pegar en ellas evita buena parte del problema, y la formación del artículo 4 es el sitio natural para explicarla.

El otro cruce es el phishing. Con IA generativa es fácil escribir un correo fraudulento sin faltas y adaptado a quien lo recibe, así que la vieja pista de las erratas pierde valor. Tiene más sentido acostumbrar a la plantilla a confirmar por otro canal cualquier petición de pago o de cambio de cuenta bancaria.

Las cuatro señales de esta píldora (el remitente, la prisa, el saludo genérico y el enlace del botón) siguen sirviendo aunque el correo esté perfectamente escrito. Al reproducirlo, el vídeo se carga desde YouTube.

Cómo lo resolvemos en Cogniria

En Cogniria formamos y concienciamos en ciberseguridad, con simulaciones de phishing gestionadas. El catálogo incluye un curso de uso seguro de la IA generativa, en tres niveles, y otro sobre phishing e ingeniería social potenciados por IA. La plataforma deja hecho el registro por persona y curso, con fecha y nota, y lo exporta para el auditor: es el tipo de registro interno que menciona la Comisión. Puedes ver el catálogo de formación o solicitar una demo y te enseñamos cómo queda con tu plantilla.

Fuentes

Solicita una demo

Una sesión de 20-30 minutos. Te contactamos en menos de 24 horas laborables.

En la demo verás…

  • El informe de cumplimiento en directo
  • El catálogo de cursos con audio
  • Una campaña de phishing gestionada
  • Cómo se exporta la evidencia

Email

[email protected]

* Campos obligatorios