Si tu empresa usa ChatGPT, Copilot o cualquier otro asistente de IA, probablemente te hayas topado con la frase "el AI Act obliga a formar a los empleados". Suena a otro curso obligatorio con certificado y examen. La realidad es más razonable, y desde la última reforma lo es todavía más. Esto es lo que dice el texto, explicado para quien tiene que cumplirlo.

◢¿Qué es la alfabetización en IA del AI Act?

El AI Act es el Reglamento europeo de inteligencia artificial (Reglamento (UE) 2024/1689). Su artículo 4 habla de "alfabetización en IA", que, dicho de forma sencilla, significa que las personas que trabajan con sistemas de IA entiendan lo básico de lo que usan: qué pueden hacer, dónde fallan y qué riesgos tienen.

El artículo se dirige a dos figuras: los proveedores (quien desarrolla o comercializa un sistema de IA) y los responsables del despliegue (quien lo usa en su actividad profesional). Una pyme que usa un asistente de IA para redactar correos o atender clientes entra en la segunda categoría.

◢¿Qué cambió con el Digital Omnibus?

Y añade una aclaración importante: esta obligación no exige garantizar un nivel concreto de alfabetización en IA a ninguna persona. Es decir, nadie te va a pedir que demuestres que cada empleado ha alcanzado una nota determinada. Te piden que hagas lo razonable para que tu gente esté preparada.

◢¿Es obligatorio hacer un curso o dar un certificado?

Por lo que dice el texto, no hay un curso oficial obligatorio ni un certificado exigido. Lo que se pide son medidas adecuadas a cada caso. Esas medidas deben tener en cuenta:

• ▹Los conocimientos y la formación de las personas implicadas.
• ▹El contexto en el que se usa la IA.
• ▹Las personas o grupos sobre los que se usa.

No se forma igual a quien teclea consultas en un chatbot que a quien lo conecta a la base de datos de clientes, ni a una persona de contabilidad que a un equipo de atención al cliente.

◢¿Quién tiene que cumplirlo en una empresa pequeña?

Quien use sistemas de IA en su actividad profesional, ya sea como proveedor o como responsable del despliegue. Lo que sí hace la reforma es mirar a las pymes: el apartado 2 dice que la Comisión y los Estados miembros deben apoyar y facilitar estos esfuerzos, en especial para las pymes, y que la Comisión publicará ejemplos prácticos de cumplimiento en la plataforma única de información del AI Act.

El apartado 3 añade que el Comité Europeo de IA adoptará recomendaciones apoyándose en marcos europeos de competencias, por ejemplo para fijar objetivos comunes. Mientras esos ejemplos y recomendaciones no estén a mano, lo más prudente es documentar lo que haces.

◢¿Qué medidas puede tomar tu empresa?

No hay una receta oficial, así que lo que sigue es mi planteamiento práctico, no un texto legal. Yo empezaría por cuatro pasos:

1. ▹Saber qué IA se usa de verdad. Haz una lista de herramientas y de quién las usa. Muchas veces hay más de las que cree la dirección, es lo que se llama shadow AI.
2. ▹Fijar una política corta. Qué datos no se pueden pegar en un chatbot, qué herramientas están aprobadas y a quién preguntar ante una duda. Dos páginas bastan.
3. ▹Formar según el puesto. Una sesión práctica para toda la plantilla con ejemplos de su trabajo, y algo más profundo para quien conecta la IA a datos de la empresa. Si quieres entender uno de los riesgos más concretos, tienes qué es la prompt injection.
4. ▹Dejar constancia. Apunta fechas, asistentes y contenidos. Como la norma no pide un nivel garantizado, lo que te protege es poder enseñar que tomaste medidas razonables y proporcionadas.

◢¿Se puede cumplir solo con un vídeo?

Un vídeo por sí solo es una medida muy floja, sobre todo si la plantilla maneja datos de clientes con IA. La norma habla de medidas adaptadas al contexto, y eso apunta a algo más que ver una grabación genérica una vez. No puedo decirte dónde pone un inspector la línea, porque eso lo decidirán las autoridades nacionales y los ejemplos que publique la Comisión. Pero una sesión con casos reales de tu empresa se defiende mejor que una presentación genérica.

◢Qué conviene comprobar antes de actuar

Dos cosas. Primera, que el texto que cito es la versión consolidada que publica el AI Act Service Desk de la Comisión a partir de EUR-Lex, pero la única versión con valor jurídico es la publicada en el Diario Oficial de la UE. Segunda, que las sanciones y el modo de supervisión dependen de cada Estado miembro, así que si tienes dudas concretas, consúltalas con asesoría jurídica.

Si quieres plantear esto a tu plantilla con ejemplos de su día a día, en las formaciones trabajo justo eso: ciberseguridad e IA explicadas para gente que no es técnica.