Reglamento europeo de IA: qué obliga a tu empresa

Este artículo es orientativo y no es asesoramiento legal. Su alcance es deliberadamente estrecho: explicar qué parte del Reglamento europeo de IA —el Reglamento (UE) 2024/1689— afecta ya, de forma directa, a una empresa normal —una pyme con diez o con cien personas usando ChatGPT, Copilot o Gemini para trabajar— y dejar fuera todo lo que no se puede afirmar sin margen de error.

Esa parte es el artículo 4, y cabe en una frase: la empresa tiene que poder responder de que la gente que usa estas herramientas en su nombre sabe lo que hace. No hace falta montar un proyecto para eso. Hacen falta tres cosas modestas: formar, dejar constancia de que se ha formado y tener escrito un criterio de uso.

Si lo que buscas es el mismo marco aplicado a un centro educativo —con la parte de datos de menores, que aquí no toco—, está en la guía de normativa de IA en las aulas. Este artículo va de empresa.

Qué dice el artículo 4 y desde cuándo se aplica

El artículo 4 del Reglamento europeo de IA obliga a proveedores y responsables del despliegue de sistemas de IA a «adoptar medidas para apoyar el desarrollo de la alfabetización en materia de IA de su personal y de otras personas que se ocupen del funcionamiento y el uso de sistemas de IA en su nombre», de modo que quede garantizado un nivel suficiente de alfabetización en la materia.

Las fechas, según la nota de preguntas y respuestas de la Comisión Europea: el artículo entró en vigor el 2 de febrero de 2025, así que la obligación ya se aplica, y las autoridades pueden supervisar su cumplimiento desde el 3 de agosto de 2026. Conviene entender bien la segunda fecha: no es el día en que nace la obligación, sino a partir de cuándo puede comprobarse.

Merece la pena leer despacio a quién señala el texto: a las personas que se ocupan del uso de estos sistemas en nombre de la organización. Eso incluye a quien resume facturas con un chat desde administración, al comercial que redacta propuestas y a quien pega un párrafo en una herramienta para traducirlo. No es un asunto del departamento de sistemas, si es que lo hay.

Hasta dónde alcanza cada una de las dos figuras que menciona el artículo —proveedor y responsable del despliegue— y en cuál encaja exactamente tu empresa es una pregunta jurídica, de las que se le hacen a un asesor con el caso delante y no a un artículo de blog. Lo que sí se puede decir sin riesgo es que la obligación de alfabetización es la que se lee de forma más directa y, con diferencia, la más fácil de atender.

Qué significa «alfabetización» aquí, en la práctica

La palabra suena a plan formativo largo, y en una pyme no lo es. Traducida al día a día, alfabetización en IA significa que quien usa la herramienta pueda responder a cuatro cosas sobre su propio trabajo:

• Qué hace y qué no hace la herramienta que tiene delante, sin confundir una función real con una expectativa.
• Dónde falla: que puede inventarse un dato con aplomo, que no sabe lo que no ha visto y que un texto correcto no es un texto cierto.
• Qué información no entra ahí, con una regla que se pueda recordar sin consultar un manual.
• Qué hay que revisar antes de que algo salga de la empresa con el nombre de la empresa encima.

Nada de eso exige un temario universitario ni cuarenta horas. Exige un rato bien dirigido sobre las tareas reales del puesto, que es de lo que va una formación en IA para empresas cuando está bien planteada: no un recorrido por menús, sino el criterio con el que una persona decide qué le pide a la herramienta y de qué no se fía.

Lo que la Comisión aclara que no hace falta

Aquí está la parte que rara vez aparece cuando alguien usa el reglamento como argumento de venta. La misma nota de la Comisión Europea dice que «no hay un tamaño único para todos cuando se trata de alfabetización en IA y no se imponen requisitos estrictos o entrenamientos obligatorios», y añade que «no es necesario un certificado», porque «las organizaciones pueden llevar un registro interno de las formaciones y/u otras iniciativas de orientación».

Traducido: nadie te va a pedir un diploma. Lo que se espera es que puedas explicar qué medidas has tomado, proporcionadas a lo que tu empresa hace realmente con la IA. Si te ofrecen un curso como «certificación obligatoria» del reglamento europeo, ya sabes por dónde mirar: qué acredita realmente un curso de IA con certificado.

Las dos medidas que una empresa sí puede acreditar

De todo lo anterior salen dos cosas concretas, y las dos están al alcance de una empresa pequeña sin abrir un expediente.

La primera es formación real, con registro. Formación de la gente que usa las herramientas, sobre las tareas que hace de verdad, y un registro que no tiene por qué ser nada sofisticado: quién, cuándo, sobre qué y cuánto duró. Una hoja de cálculo actualizada después de cada sesión cumple esa función mejor que un documento solemne que nadie mantiene. Si la formación se va a hacer igualmente, conviene comprobar antes si encaja con el crédito de formación de la empresa, porque cambia el coste de la decisión: eso está en formación en IA bonificada por FUNDAE.

La segunda es un criterio de uso escrito. Qué herramientas se pueden usar, con qué información, qué se revisa antes de que salga y quién responde. No lo desarrollo aquí porque ya está desarrollado, apartado por apartado, en qué debe incluir una política de uso de IA; lo que importa en este contexto es que el documento no es un trámite paralelo a la formación, sino su otra mitad. La norma dice qué se puede hacer; la formación enseña a hacerlo. Por separado, cada una se queda coja: un documento que nadie ha leído no alfabetiza a nadie, y una sesión sin criterio escrito se olvida en tres semanas.

Cumplir por cumplir no acredita gran cosa

Existe la tentación de resolver esto con el mínimo esfuerzo: un vídeo de veinte minutos, un test de cinco preguntas, un pantallazo de que todo el mundo lo hizo. Sale barato y deja un registro. También es la peor manera de gastar el dinero, por dos motivos que van juntos.

El primero es de negocio. El criterio que aplico a cualquier formación, incluidas las mías: si al terminar no hay entre tres y cinco casos de uso claros que el equipo pueda repetir por su cuenta, estaba mal diseñada. No mal impartida: mal diseñada. Una sesión que no deja eso no cambia cómo trabaja nadie, y el gasto se convierte en una línea de la contabilidad sin contrapartida.

El segundo es que tampoco resuelve lo otro. Lo que se espera es poder explicar qué medidas se han tomado para que la gente sepa usar estas herramientas. Un registro de asistencia acredita que la sesión existió, no que alguien sepa hoy algo que no sabía hace un mes. La diferencia entre las dos cosas se nota en cuanto alguien pregunta por un caso concreto —qué se puede pegar en un chat, qué se hace con un resultado dudoso— y la respuesta del equipo es un silencio.

Dicho de otra forma: la alfabetización no se compra en forma de certificado. Se nota, o no se nota, en cómo trabaja la gente tres semanas después.

El otro punto: los usos clasificados de alto riesgo

Hay un segundo elemento del reglamento que conviene conocer, aunque solo sea para situar el terreno. La Comisión Europea clasifica, en su página sobre el marco regulador de la IA, determinados usos de sistemas de IA como de alto riesgo, y el ejemplo que pone en el ámbito educativo es la puntuación de exámenes.

Lo traigo con una razón y con una advertencia. La razón: sirve para entender que el reglamento no trata igual todos los usos, y que hay una distancia real entre pedirle a un chat un borrador que después revisa una persona y delegar en un sistema una decisión que afecta a alguien. La advertencia: si en tu empresa hay algún uso de IA que se acerque a decidir sobre personas, esa es exactamente la consulta que hay que llevar a un asesor jurídico, no resolverla leyendo un artículo. Aquí no vas a encontrar el listado de categorías ni los requisitos de cada una, y es deliberado.

El ejemplo de la Comisión aterriza de forma más directa en un centro educativo, y por eso lo desarrollo en su contexto en la guía de normativa de IA en las aulas.

Lo que este artículo no te va a decir

Por si no ha quedado claro, la lista de ausencias es intencionada:

• Fechas de otras obligaciones del reglamento distintas de la del artículo 4.
• El listado de categorías de riesgo y los requisitos de cada una.
• El régimen sancionador.
• Qué documentación exacta debe conservar tu empresa y durante cuánto tiempo.

No están porque no puedo afirmarlas aquí con la seguridad que merecen, y en materia normativa un dato aproximado es peor que ninguno: alguien puede tomar una decisión cara a partir de él. Para esas preguntas la vía es un asesor jurídico, y merece la pena hacerlas con el inventario de usos delante, no en abstracto.

Hay además una razón de fondo para la cautela. El reglamento se ha convertido en un buen argumento comercial, y circulan ofertas que lo estiran. Cuando alguien te llame diciendo que tienes que cumplir algo antes de una fecha determinada, pídele el artículo concreto y el enlace a la fuente oficial. Con eso se cae la mitad de lo que se ofrece.

Un orden razonable para los próximos meses

Si quieres dejar esto resuelto sin convertirlo en un proyecto, el orden que funciona es este:

1. Escribe qué se está usando ya. Una tarde basta: qué herramientas, quién las usa, para qué tareas y con qué información. Sin esto, cualquier decisión posterior es a ciegas.
2. Decide el criterio de uso y ponlo por escrito. Es una decisión de dirección, no una configuración técnica, y una o dos páginas son suficientes.
3. Forma por puestos, no por catálogo. Administración, comercial y dirección no necesitan lo mismo, y mezclarlos en la misma sesión genérica es la vía rápida a que no sirva para nadie. Cómo priorizar eso, con qué empezar y qué dejar para después está en en qué formar al equipo en IA y en qué orden.
4. Guarda el registro y actualízalo. Después de cada sesión, no una vez al año cuando alguien pregunte.

Los cuatro pasos se pueden hacer en un trimestre tranquilo. Ninguno requiere contratar nada que no fueras a contratar igualmente si querías que el equipo trabajara mejor.

En resumen

Del Reglamento europeo de IA, lo que afecta hoy y de forma directa a una empresa normal es la obligación de alfabetización del artículo 4: que la gente que usa estas herramientas en su nombre sepa lo que hace. Está en vigor desde febrero de 2025, puede supervisarse desde agosto de 2026 y no exige ningún certificado; exige poder explicar qué medidas has tomado. Las dos que están al alcance de cualquiera son formar de verdad y tener el criterio de uso escrito. El resto del reglamento —categorías, requisitos, consecuencias— es terreno de asesoramiento jurídico, y este artículo no lo pisa a propósito.

Si lo que falta antes de decidir nada es criterio en la dirección —qué se permite, qué se revisa, hasta dónde se llega—, eso se trabaja en mentoría en IA para directivos; si lo que falta es que el equipo sepa usar lo que ya tenéis pagado, es formación en IA para empresas. Y si prefieres ordenarlo antes en voz alta, reserva media hora: salimos con el inventario de usos empezado y una idea clara de qué hace falta formar y qué no. A veces la conclusión es que ya estáis razonablemente cubiertos, y decirlo también forma parte del trabajo.