Etiqueta: RGPD e IA

El 2 de agosto de 2026 no es el día en que nace tu obligación de formar a la plantilla en inteligencia artificial. Esa obligación lleva en vigor desde febrero de 2025. El 2 de agosto es el día en que la AESIA puede empezar a comprobar si la has cumplido.Y a fecha de hoy, quedan poco más de siete semanas.Si tu empresa usa Copilot, ChatGPT, Gemini o cualquier software con funciones automáticas de decisión —y a estas alturas casi todas lo hacen—, el Artículo 4 del Reglamento Europeo de IA te obliga a garantizar que tus empleados tienen un nivel suficiente de alfabetización en IA. No es una guía de buenas prácticas. Es una obligación legal con plazo.La mayoría de las empresas todavía no tiene nada documentado. Y la trampa no es que cumplir sea caro o complejo: es que improvisarlo en siete semanas, sin un plan que aguante una inspección, es la forma más rápida de gastar dinero en algo que no cumple. Aquí tienes lo que la ley exige de verdad, y por qué este es el peor momento para hacerlo solo.Qué te exige el Artículo 4 (y qué NO sirve para cumplirlo)El texto del Reglamento es deliberadamente amplio. Obliga a proveedores y usuarios de sistemas de IA a adoptar medidas para garantizar un nivel suficiente de alfabetización en IA entre su personal y entre quienes operan estos sistemas en su nombre (Reglamento (UE) 2024/1689, art. 4).Tres cosas que conviene entender bien antes de mover un euro:No hay umbral de tamaño. La obligación afecta igual a un autónomo, a una microempresa y a una multinacional, siempre que usen IA en su actividad. Da igual que tengas 5 empleados o 5.000.La formación debe ser proporcional. La ley no fija un número de horas ni un formato. Sí exige que el contenido esté adaptado al nivel técnico del empleado, al sector y a las herramientas concretas que usa en su puesto.Documentar no es opcional. Un curso genérico de "introducción a la IA", sin registros de asistencia ni evidencia de aprendizaje, no cumple. La ley exige que puedas demostrar, ante una inspección, que cada persona recibió formación adecuada a su rol.Lo que no te sirve para cumplir: saber usar ChatGPT, tener a un empleado que hizo un curso online por su cuenta, o colgar un PDF de "políticas de uso" en la intranet. He visto las tres cosas presentadas como "ya estamos formados". Ninguna aguanta una pregunta de la AESIA.Las 7 competencias que tu plan tiene que cubrirLa Comisión Europea y la AESIA han marcado las áreas que un plan de alfabetización debe contemplar. La profundidad de cada una depende del uso real de IA en tu empresa, pero el mapa es este:#CompetenciaQué significa en la práctica1Comprensión general de la IAQué es, cómo funciona, qué sistemas usa tu empresa, oportunidades y riesgos2Rol organizativoSi desarrollas o despliegas IA, y qué implica legalmente cada posición3Evaluación de riesgosRiesgos de los sistemas que usa cada empleado: alucinaciones, sesgos, fugas de datos4Formación técnica contextualAdaptada al nivel, sector y herramientas concretas del puesto5Uso responsableProtección de datos, qué no compartir con IA pública, supervisión humana6Interpretación de outputsMantener revisión humana, saber verificar resultados7Marco legal básicoAI Act y RGPD en el contexto de la IA, obligaciones de la empresaAquí está la parte que casi nadie hace bien: no todo el mundo necesita el mismo nivel en cada bloque. Un operario que usa mantenimiento predictivo necesita dominar el 5 y el 6. Un director de RRHH o legal necesita además el 2, el 3 y el 7. Tratar a toda la plantilla por igual es a la vez ineficiente (formas de más a quien no lo necesita) e insuficiente (formas de menos a quien asume el riesgo legal). Por eso el plan se estructura por niveles.El modelo de 3 niveles que aplico en mis formacionesLa aproximación que mejor responde al requisito de proporcionalidad es dividir el plan según el grado de exposición de cada rol a los sistemas de IA:NivelAudienciaContenido principalDuración orientativaBásicoToda la plantillaQué es la IA, uso ético y seguro, cuándo no fiarse del output, datos personales y privacidad2–4 hIntermedioUsuarios intensivos (marketing, RRHH, atención al cliente, operaciones)Prompting aplicado al rol, detección de sesgos, evaluación crítica de outputs, herramientas del puesto6–10 hAvanzadoDirección, legal, IT, RRHH estratégicoGestión de riesgos, AI Act en profundidad, gobernanza, documentación de cumplimiento10–20 hEl nivel básico aplica al 100% de la plantilla. El intermedio y el avanzado se asignan por rol, no por voluntariedad: el comercial que mete datos de clientes en una herramienta pública necesita el intermedio aunque no lo pida.Dicho esto, lo que constituye "nivel suficiente" para cada puesto lo define cada organización según sus sistemas y riesgos. No existe una tabla universal que se aplique de forma mecánica — y desconfía de quien te venda una.Los 4 documentos que la AESIA te puede pedirTener la formación hecha no sirve de nada si no puedes demostrarlo. Ante una inspección, estos son los cuatro documentos que tienes que poder enseñar:Inventario de sistemas de IA en uso. Todas las herramientas con IA que la empresa utiliza o ha desplegado, clasificadas por departamento y nivel de riesgo según los Anexos del Reglamento. Incluye el software de terceros con IA integrada (que casi siempre se olvida).Política de uso de IA por rol. Qué sistemas puede usar cada tipo de empleado, para qué tareas y con qué restricciones (por ejemplo, qué datos no pueden introducirse en IA pública). No tiene que ser un reglamento extenso: tiene que existir y estar accesible.Registros de formación. Quién recibió qué formación, cuándo y con qué resultado: listas de asistencia, fechas, contenido y, a ser posible, evaluación del aprendizaje.Evaluación de riesgos de sistemas de alto impacto. Para los sistemas que entran en alto riesgo del Anexo III (decisiones de RRHH, acceso a servicios esenciales, infraestructuras críticas), la evaluación específica y las medidas de mitigación adoptadas.Si ya documentas para RGPD o ISO, buena parte de esto son extensiones de lo que ya gestionas. Pero "extensión" no significa "automático": ensamblar estos cuatro documentos de forma coherente con el plan formativo es precisamente donde se atascan los proyectos que se hacen sin método.FUNDAE: la formación puede salirte más barata de lo que creesLa formación en competencias digitales e IA puede bonificarse a través de FUNDAE, el crédito de formación continua al que tienen acceso las empresas que cotizan a la Seguridad Social. La teleformación se bonifica a razón de 7,50 € por hora y alumno, y el crédito disponible escala con el tamaño de la empresa (desde unos cientos de euros en microempresas hasta cinco cifras en grandes organizaciones).La condición es operativa, no menor: la acción formativa debe comunicarse a FUNDAE antes de empezar, impartirse a través de entidad organizadora autorizada y documentarse correctamente. Es decir: si vas a aprovechar el crédito, hay que diseñarlo así desde el principio. Improvisar y querer bonificar después no funciona.Traducción práctica: una parte significativa del coste de cumplir con el Artículo 4 puede salir del crédito que tu empresa probablemente ya tiene asignado y aún no ha gastado este año.Por qué esto no es un proyecto para improvisar en siete semanasAquí está lo importante. El diseño del plan no es lo difícil; lo has leído arriba en cinco minutos. Lo difícil es la ejecución bajo presión de plazo:Contextualizar tres niveles de contenido a tu sector y a tus herramientas reales (un módulo genérico de "introducción a la IA" que no mencione tus sistemas no cumple el requisito de proporcionalidad).Acordar internamente quién aprueba la política de uso, quién valida que el inventario es completo, quién encuentra hueco en agenda para impulsar el proyecto. En las empresas medianas y grandes, el cuello de botella casi nunca es el contenido: son las dependencias internas, y cada una se come días que no tienes.Encajar todo con los requisitos de FUNDAE si quieres bonificar.Dejar la documentación cerrada para que aguante una inspección, no solo para que "esté hecha".Y este es el motivo por el que, a siete semanas de la fecha, hacerlo solo es la opción más cara: no por el presupuesto, sino por el riesgo de llegar a agosto con un cumplimiento que no se sostiene.Lo que aporta un programa diseñado e impartido por alguien que domina las dos mitades del problema —la jurídica y la pedagógica— es que no estás eligiendo entre un abogado que te explica el AI Act pero no sabe formar, o un formador que da un taller majo pero ignora qué pide la norma. La formación del Artículo 4 vive exactamente en esa intersección. Es la razón por la que la diseño combinando el marco legal real (AI Act, RGPD) con contenido aplicado al puesto, y dejando la documentación de cumplimiento lista de salida.Para terminarEl Artículo 4 es una obligación concreta, en vigor, con un plazo que ya está encima. No necesitas un presupuesto extraordinario ni un proyecto de transformación: necesitas un plan estructurado por niveles, contenido adaptado a los roles reales de tu empresa y la documentación que pruebe que se ha ejecutado. Las tres cosas, antes de agosto.La pregunta que debes hacerte no es si tu empresa va a cumplir el Artículo 4. Es si va a llegar al 2 de agosto con evidencia que aguante una inspección, o con un PDF en la intranet y la esperanza de que nadie pregunte. ¿En cuál de los dos escenarios estás hoy?¿Quieres cumplir el Artículo 4 sin improvisar y con la documentación lista para inspección?Diseño e imparto programas de alfabetización en IA a medida para empresas: los tres niveles, contextualizados a tu sector y tus herramientas, con la documentación de cumplimiento incluida y bonificables vía FUNDAE.👉 Solicita información sobre formación para tu empresaQue la IA te acompañe.Contenido basado en la normativa vigente a la fecha de publicación (Reglamento (UE) 2024/1689). No constituye asesoramiento jurídico individualizado.