Desde el verano el buzón se ha llenado de la misma oferta firmada por seis remitentes distintos: «Formación obligatoria en IA · Art. 4 AI Act · certificado · plazas limitadas». El argumento es siempre idéntico y acaba siempre en un botón de pago. La parte incómoda es que la obligación existe de verdad, no es un invento comercial. Lo que está inventado es casi todo lo que viene detrás de la palabra «obligatoria».
La tesis en una línea: la formación obligatoria en IA para empleados es real y está viva desde febrero de 2025, pero el reglamento no pide un curso, ni un temario, ni un número de horas, ni un certificado. Pide medidas proporcionadas al contexto y al riesgo, y pide poder enseñarlas. Lo que te reclamarán si alguien llama a la puerta no es una factura de formación: es un inventario de sistemas, una política de uso por rol y un registro de quién recibió qué y cuándo.
Aviso antes de seguir: esto es un mapa operativo para saber qué preguntar y qué tener preparado, no asesoramiento legal. El alcance exacto en tu caso depende de qué sistemas uses, para qué y con quién, y eso se cierra con tu asesoría. Lo que sí se puede hacer sin abogado —y es justo lo que casi nunca existe cuando llega la conversación— es tener la lista de sistemas encima de la mesa.
Formación obligatoria en IA para empleados: qué dice el artículo 4 y qué cambió en julio de 2026
El artículo 4 del Reglamento (UE) 2024/1689 se aplica desde el 2 de febrero de 2025, sin periodo transitorio y sin umbral de tamaño: obliga igual a una multinacional que a una empresa de doce personas, siempre que use sistemas de IA. Y no cubre solo a la plantilla. El texto alcanza también a «otras personas que se encarguen del funcionamiento y la utilización» de esos sistemas en nombre de la organización, es decir, al freelance que opera tu agente y al proveedor que lo configura. Fuente: AI talent, skills and literacy, Comisión Europea, consultado el 3 de octubre de 2026.
Lo que casi nadie ha mirado es que en julio de 2026 el artículo cambió de redacción. El Digital Omnibus on AI —Reglamento (UE) 2026/1744, de 8 de julio de 2026, publicado en el Diario Oficial el 24 de julio y en vigor desde el 27— reescribió el artículo 4 sin eliminarlo: donde decía «garantizar un nivel suficiente» de alfabetización en IA, ahora dice «adoptar medidas que apoyen el desarrollo» de esa alfabetización. No se cayó la obligación. Se ablandó el verbo. Fuente: Reglamento (UE) 2026/1744, EUR-Lex, y EU AI Omnibus enters into force, amending the AI Act, White & Case, consultados el 3 de octubre de 2026.
| Elemento del artículo 4 | Hasta el 26 de julio de 2026 | Desde el 27 de julio de 2026 |
|---|---|---|
| El verbo de la obligación | Garantizar un nivel suficiente de alfabetización en IA | Adoptar medidas que apoyen el desarrollo de la alfabetización en IA |
| El estándar que se te exige | Un resultado: que tu gente alcance un nivel | Un esfuerzo demostrable: que las medidas existan y encajen con el contexto de uso |
| A quién alcanza | Personal y terceros que operan los sistemas en tu nombre | Personal y terceros que operan los sistemas en tu nombre |
| Lo que nunca estuvo en el texto | Ni curso concreto, ni horas, ni certificado | Ni curso concreto, ni horas, ni certificado |
La última fila conviene leerla dos veces, porque es la que sostiene este artículo. Ni la redacción original ni la vigente nombran un curso, un temario, un número de horas o un título. Lo que el texto pide es que las medidas tengan en cuenta los conocimientos previos, la experiencia, la formación, el contexto de uso y las personas afectadas. Es un criterio de proporcionalidad. Y un criterio de proporcionalidad no se compra: se aplica.
¿Hay multa por no formar? Los 35 millones que te están enseñando son de otro artículo
La cifra aparece en casi todas las landings de curso, y es la pieza donde el argumento comercial se vuelve directamente falso. El reglamento no fija una sanción específica para el incumplimiento del artículo 4. Los hasta 35 millones de euros o el 7% del volumen de negocio corresponden a las prácticas prohibidas del artículo 5 —manipulación, puntuación social, cierta categorización biométrica—, no a no haber formado a nadie. Lo que hace el artículo 99 es obligar a cada Estado miembro a establecer sanciones «efectivas, proporcionadas y disuasorias», con un margen que va desde el apercibimiento hacia arriba. Enseñar el techo del artículo 5 como si fuera el precio de no dar un curso es vender con una cifra que no es de este expediente.
Lo que sí cambió de fecha es quién mira. En España, la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) entra a supervisar y a poder sancionar a partir del 2 de agosto de 2026. Hasta entonces la obligación existía y nadie preguntaba. Desde entonces la obligación es exactamente la misma y hay alguien con competencia para preguntar. Esa es toda la novedad de este verano, y es suficiente.
Por qué el curso genérico no es lo que pide la norma
El problema del curso de dos horas sobre «qué es la IA generativa» no es que sea malo. Es que responde a una pregunta que el reglamento no hace. El reglamento pregunta por el encaje entre lo que tu gente sabe y lo que tu gente tiene permitido hacer con los sistemas que tenéis. Un temario único no puede encajar con eso por construcción:
- No distingue entre quien usa un asistente para redactar correos y quien ha puesto un modelo a ordenar candidaturas. La norma sí distingue: calibra las medidas por contexto de uso y por personas afectadas.
- El certificado acredita que alguien se sentó, no que tu operación esté cubierta. La Comisión no ha homologado ningún título para el artículo 4: lo que publicó la Oficina de IA fueron preguntas y respuestas y un repositorio de prácticas de alfabetización, que es casi lo contrario a un certificado obligatorio.
- Deja fuera a los terceros que operan sistemas en tu nombre, y el artículo los nombra expresamente. Esos casi nunca están en la lista de asistentes porque no están en la nómina.
- Forma a quien usa la herramienta y no a quien la aprueba. Una supervisión humana sin competencia ni autoridad para parar es mirar: el mismo agujero que cierra la guía de humano en el bucle de la automatización con IA por razones que no tienen nada que ver con el regulador.
Nada de esto significa que un curso no sirva. Significa que un curso es una de las medidas, no la prueba. Y que si compras solo la parte que viene con factura, te queda sin hacer la parte difícil. El coste de ese atajo ya lo contamos por el otro lado: la formación es la partida que nadie presupuesta y recortarla es lo que llena las empresas de licencias muertas. Esto es la otra cara de la misma moneda, con una diferencia: ahora además hay quien puede preguntar.
Las tres cosas que sí tienes que poder enseñar
Si mañana te piden evidencia del artículo 4, no te van a pedir un diploma. Te van a pedir que expliques qué usas, quién puede usarlo y qué hiciste para que esa gente supiera usarlo. Eso son tres artefactos, y ninguno de los tres viene dentro de un curso.
1. El inventario de los sistemas de IA que se usan de verdad
Es el primer entregable, no el tercero: nadie puede calibrar la formación al riesgo de un sistema que no sabe que existe. Y la lista real nunca coincide con la lista oficial, porque entre las licencias corporativas y lo que la gente abre en una pestaña hay una distancia que solo aparece cuando se pregunta sin consecuencias. Ese hueco lo describimos en el inventario de agentes que tu empresa no tiene, y la regla práctica es dura: si tu inventario coincide exactamente con tu lista de licencias, el inventario está sin hacer.
2. Una política de uso por rol, no un PDF para toda la plantilla
La política que vale no dice «usa la IA con responsabilidad». Dice, por rol, qué sistemas puede tocar esa persona, para qué tareas, qué datos puede meter, qué decisiones no puede delegar y a quién avisa cuando algo sale raro. Es la traducción organizativa de lo que en un agente son los permisos del agente de IA: sin un alcance escrito, la supervisión no tiene contra qué compararse y la formación no tiene a qué calibrarse.
3. Un registro de formación con fecha, alcance y nombre
La pieza más barata y la que más falta. Quién recibió qué, cuándo, sobre qué sistemas y con qué contenido —incluidos los terceros—. No hace falta una plataforma: hace falta que exista y que esté al día, porque es lo único que convierte «hicimos cosas» en «estas son las medidas que adoptamos». Y conviene que tenga versiones: cuando cambies de herramienta o le amplíes permisos a un sistema, la medida anterior deja de cubrirte.
Los tres juntos son el expediente. Ninguno lo vende un curso, y los tres son exactamente lo que gobernanza y control de la automatización con IA monta por motivos puramente operativos. Quien ya lo tiene cumple el artículo 4 casi por acumulación; quien no, descubre que la norma le está pidiendo construir la operación que nunca construyó. Nosotros lo montamos como adopción de IA para equipos —playbooks por departamento, formación y política de uso— y, cuando el problema es el expediente completo del reglamento, como cumplir el AI Act operando IA.
Cuánta IA hay ya dentro (y por qué el número oficial se queda corto)
Para dimensionar a quién alcanza esto: en España, el 21,1% de las empresas de 10 o más empleados usaba tecnologías de inteligencia artificial en el primer trimestre de 2025, 8,7 puntos más que el año anterior. Fuente: Encuesta sobre el uso de TIC y del comercio electrónico en las empresas, año 2024 - primer trimestre 2025, INE, nota de prensa de 22 de octubre de 2025. En el conjunto de la UE, la cifra de 2025 fue del 20,0%, frente al 13,5% de 2024. Fuente: 20% of EU enterprises use AI technologies, Eurostat, diciembre de 2025.
Esos números miden adopción declarada por la empresa. El artículo 4 no se activa con la adopción declarada: se activa con el uso. Y la distancia entre lo que una empresa dice que usa y lo que su gente usa de hecho no la recoge ninguna estadística, porque la pregunta no se hace en la encuesta ni dentro de casa. Por eso el inventario va primero: es la única forma de saber si estás en el 21% o si llevas dos años estándolo sin contarlo.
Qué hacer en las próximas dos semanas
- Pregunta sin consecuencias. Un formulario de tres campos —qué herramienta de IA usas, para qué tarea, con qué datos— y el mensaje explícito de que nadie va a tener un problema por contestar. El inventario sale de aquí o no sale.
- Clasifica por riesgo, no por herramienta. Dos columnas: qué decisión toca el sistema y a quién afecta. Un asistente que redacta borradores y un sistema que criba candidaturas no pueden llevar la misma medida.
- Escribe la política por rol en una página. Alcance permitido, datos prohibidos, decisiones no delegables, a quién se avisa. Una página que se lee vence a veinte que se archivan.
- Cubre a los externos en el mismo pase. El freelance, la agencia y el proveedor que operan algo en tu nombre entran en el artículo. Si no están en el registro, no están cubiertos.
- Abre el registro hoy, aunque esté casi vacío. Una hoja con fecha, personas, sistemas y contenido. Lo que diferencia una medida de una intención es que tiene fecha.