Alfabetización en IA: la obligación del Reglamento de IA que la mayoría de las pymes desconoce
El artículo 4 del Reglamento de IA es ley activa desde 2025 — y la mayoría de las empresas lo incumplen. Qué hacer esta semana para cumplirlo.
Qué cambió esta semana
La Comisión Europea publicó el 12 de octubre el borrador de un reglamento de ejecución —referencia Ares(2026)9589403— que describe cómo la Oficina Europea de IA investigará las infracciones y aplicará multas bajo el Reglamento de IA. La consulta pública está abierta hasta el 9 de noviembre de 2026, a las 23:59 de Bruselas. La noticia es fresca, pero lo más importante no está en el borrador: está en lo que ya es ley activa desde hace más de un año. Una semana antes, el 5 de octubre, la vicepresidenta ejecutiva de la Comisión Henna Virkkunen respondió en el Parlamento Europeo a preguntas sobre el mandato de la Oficina Europea de IA: aclaró que actúa dentro de las competencias definidas en el artículo 64 del Reglamento de IA y que la supervisión corriente corresponde a las autoridades nacionales de vigilancia del mercado —las que, desde el 2 de agosto de 2026, tienen poderes formales de ejecución. Es en este marco donde vive la obligación que más pymes ignoran: la alfabetización en IA del artículo 4, aplicable desde el 2 de febrero de 2025. Según un análisis de Delbion citado por la guía AI Buzz del 12 de octubre, la mayoría de las empresas europeas ni siquiera sabe que existe. No es una recomendación ni una buena práctica: es una obligación legal ya exigible —y, desde agosto, con fiscalización activa. Este artículo explica qué exige la ley en la práctica, qué añade el borrador de octubre y qué debe hacer una pyme esta semana.
Qué es la alfabetización en IA (artículo 4)
El artículo 4 del Reglamento (UE) 2024/1689 impone a los proveedores y usuarios profesionales de sistemas de IA tomar medidas para garantizar, «en la mejor medida de lo posible», un nivel suficiente de alfabetización en IA de su personal y de otras personas que se ocupen de la operación y el uso de los sistemas de IA en su nombre. La definición legal, en el artículo 3, apartado 56, es sencilla: las competencias, conocimientos y comprensión que permiten tomar decisiones informadas sobre la implantación de sistemas de IA, siendo conscientes de las oportunidades, los riesgos y el daño potencial que la IA puede causar. Hay tres detalles que amplían el alcance más de lo que parece. Primero: la obligación abarca todos los sistemas de IA, no solo los de alto riesgo del anexo III. Quien usa un generador de textos para redactar propuestas, una herramienta de atención al cliente o un lector de facturas está dentro —aunque nunca haya comprado un «sistema de IA» a propósito. Segundo: «otras personas que se ocupen en su nombre» incluye proveedores de servicios, autónomos y consultores que operan los sistemas por usted. Si su asesor usa IA para procesar sus facturas o su agencia genera sus textos con IA, la alfabetización de esas personas es su responsabilidad en la medida en que actúan por su cuenta. Tercero: no hay un currículo fijo, un mínimo de horas ni una certificación obligatoria. El reglamento exige proporcionalidad —medidas calibradas por el conocimiento técnico, la experiencia y la formación de cada persona, por el contexto de uso y por las personas afectadas. Flexibilidad, sí; pero con la carga de la prueba de su lado: ante una autoridad, tendrá que demostrar que las medidas fueron adecuadas a los riesgos de sus sistemas y a los roles de quienes los usan.
Qué significa «nivel suficiente» en la práctica
«Suficiente» es deliberadamente vago en la ley —y ahí entra la proporcionalidad. En la práctica, la mayoría de las pymes tienen tres perfiles de personas, y cada uno necesita un nivel distinto. El operador usa la IA a diario: la comercial que redacta propuestas con un asistente, el técnico que resume llamadas, el administrativo que clasifica facturas. Este perfil necesita alfabetización de uso seguro: qué puede y qué no puede hacer la herramienta, cómo verificar resultados, qué datos no puede pegar nunca en el prompt (datos de clientes, datos de salud, credenciales) y qué hacer cuando algo parece incorrecto. Aquí nacen la mayoría de los incidentes: no por maldad, por exceso de confianza. El gestor decide dónde entra la IA: elige herramientas, aprueba automatizaciones, define procesos. Necesita alfabetización de riesgo: qué usos son de alto riesgo (cribado de currículums, decisiones de crédito, evaluación del desempeño —territorio del anexo III, con reglas que llegan el 2 de diciembre de 2027), qué cambia cuando la IA habla con clientes (transparencia, artículo 50) y cómo documentar decisiones. El responsable de la decisión final —muchas veces el propio dueño de la empresa— necesita alfabetización de gobernanza: saber que la responsabilidad no se subcontrata, que las multas son proporcionales pero reales, y que «no lo sabíamos» no es una defensa. Una sesión práctica de 60 a 90 minutos por perfil, con ejemplos de su propio negocio, cubre lo esencial. Lo que exige la ley no es un curso universitario: es que cada persona comprenda los riesgos de lo que usa —y que pueda demostrarlo con registros: quién participó, cuándo y sobre qué temas.
Marcar el contenido generado por IA: el plazo del 2 de diciembre
El artículo 50, apartado 2, exige que los proveedores de sistemas que generan audio, imágenes, vídeo o texto marquen ese contenido de forma legible por máquina —y, en algunos casos, visible para los usuarios— para que sea identificable como generado por IA. Quienes pusieron esos sistemas en el mercado antes del 2 de agosto de 2026 tienen hasta el 2 de diciembre de 2026 para adaptarse: el plazo está a poco más de un mes. Para una pyme, la pregunta práctica es otra: ¿esto me aplica? Si solo usa herramientas de terceros para generar textos o imágenes, es usuario profesional, no proveedor —y la obligación de marcado recae sobre el proveedor de la herramienta. Pero hay dos escenarios en los que la línea se difumina. El primero: si revende o integra generación de IA en su servicio —por ejemplo, una agencia que entrega vídeos o textos «hechos con IA» a clientes sin marcarlos. El segundo: si modifica sustancialmente un sistema de terceros, puede pasar a ser considerado proveedor. El punto que interesa retener: cuando compre o contrate una herramienta de generación, pregunte al proveedor cómo marca el contenido y pídalo por escrito. Es una pregunta de cumplimiento barata que hoy casi nadie hace —y que, desde diciembre, pasa a formar parte de la diligencia normal. Nótese además que el apartado 1 del mismo artículo —avisar a las personas de que están interactuando con IA— ya se aplica desde el 2 de agosto de 2026. Es la regla de transparencia, y es la que más pymes toca cada día. Es el tema de la siguiente sección.
El cliente tiene que saber que habla con IA
El artículo 50, apartado 1, es directo: las personas deben ser informadas cuando están interactuando con un sistema de IA. En la práctica de las pymes, esto significa una línea de aviso al inicio de la conversación del chatbot de la web o del asistente de WhatsApp —nada más. No exige tecnología nueva ni costes: exige que no se finja que el robot es humano. El ejemplo más común es la atención por WhatsApp. Si tiene un bot que responde preguntas, agenda citas o informa precios, el cliente debe entender que está hablando con IA. Basta una frase: «Hola, soy la asistente virtual de [empresa]» al inicio de la conversación resuelve el requisito. Vale la pena conectar este punto con la demostración que mantenemos en línea: ZapDesk es una recepcionista de IA para WhatsApp de pymes que atiende 24/7, responde con la base de conocimiento de la empresa, informa precios y horarios, agenda citas y guarda contactos interesados —y se presenta como asistente virtual desde el primer mensaje. Puede probarla en directo aquí: https://zapdesk-demo.vercel.app/ Hay una trampa que conviene evitar: la transparencia no es solo el aviso inicial. Si la conversación escala a un humano, dígalo también. Y si el sistema genera contenido que el cliente va a publicar o compartir —presupuestos, descripciones, imágenes—, entra en juego la regla de marcado de la sección anterior. Las dos reglas del artículo 50 trabajan en pareja: una mira a la conversación, la otra al contenido.
Las multas: qué dice el borrador del 12 de octubre
El borrador publicado el 12 de octubre (Ares(2026)9589403) no crea las multas —los techos ya están en la ley— pero describe cómo la Oficina Europea de IA las va a aplicar: acceso al expediente tras las conclusiones preliminares, protección de los secretos comerciales de terceros y un plazo de prescripción de cinco años para imponer multas, reiniciado por actos de investigación, con un techo absoluto de diez años. Los techos, ya en vigor, tienen tres niveles. Para las pymes y las pequeñas empresas de mediana capitalización, se aplica el valor más bajo de cada par —un detalle de proporcionalidad que el borrador confirma y que el Ómnibus Digital vino a reforzar. Hay además un instrumento aparte: las sanciones pecuniarias coercitivas diarias, hasta el 5 % de los ingresos medios diarios o del volumen de negocios anual mundial del ejercicio anterior, por cada día de incumplimiento. Es el mecanismo para quien ignora una decisión, no para quien comete un error puntual. Dos notas de contexto. Primera: el régimen de multas de la Oficina se aplica a su esfera de supervisión directa —sistemas construidos sobre modelos de IA de uso general por el mismo proveedor y sistemas integrados en grandes plataformas. El uso corriente de un chatbot de terceros no coloca a una pyme bajo la supervisión directa de la Oficina; la fiscalización del día a día es de las autoridades nacionales. Segunda: las multas nacionales las define cada Estado miembro, con proporcionalidad obligatoria para pymes. La tabla resume los tres niveles:
| Infracción | Techo: grandes empresas | Techo: pymes |
|---|---|---|
| Prácticas prohibidas (artículo 5) | 35 M€ o el 7% del volumen de negocios | el valor más bajo del par |
| Otras infracciones o incumplimiento de decisiones | 15 M€ o el 3% del volumen de negocios | el valor más bajo del par |
| Información inexacta, incompleta o engañosa | 7,5 M€ o el 1% del volumen de negocios | el valor más bajo del par |
Checklist: qué hacer esta semana
Sin consultores, sin software nuevo. Seis pasos prácticos, del más urgente al más estructural. 1. Haga el registro de las herramientas de IA. Una hoja sencilla: herramienta, para qué sirve, quién es el responsable, qué datos toca, si habla con clientes y quién revisa el resultado. Lleva una tarde y es el documento que una inspección pide primero. 2. Dé una sesión de formación por perfil. 60 a 90 minutos con ejemplos de su negocio: para operadores, uso seguro y verificación; para gestores, riesgos y documentación; para quien decide, responsabilidades. Registre quién participó, cuándo y qué temas se trataron. 3. Cubra a los proveedores externos. Si el asesor, la agencia o un autónomo usan IA en su nombre, inclúyalos en la formación o exija por escrito que cumplen el artículo 4. La responsabilidad sigue la cadena. 4. Ponga el aviso de transparencia. En cada chatbot o asistente de WhatsApp que hable con clientes, una línea al inicio de la conversación: «está hablando con un asistente de IA». Verifique también qué ocurre cuando la conversación pasa a un humano. 5. Pregunte a los proveedores sobre el marcado. Para cada herramienta que genera texto, imagen, audio o vídeo, pida por escrito cómo marca el contenido como generado por IA. El plazo del 2 de diciembre se acerca. 6. Revise lo que decide sobre personas o dinero. Cualquier uso de IA en contratación, crédito, evaluación del desempeño o precios personalizados merece revisión humana y documentación propia —es territorio de alto riesgo, con reglas que llegan el 2 de diciembre de 2027. Nada de esto exige presupuesto. Exige solo que la alfabetización en IA deje de ser «algo para tratar un día» y pase a ser un registro, una sesión y un aviso. La ley ya está aquí —y ahora hay quien la fiscaliza.
Preguntas Frecuentes (FAQ)
Mi empresa es pequeña. ¿El artículo 4 me aplica de verdad?
Sí. La obligación se aplica a todos los proveedores y usuarios profesionales de sistemas de IA, con independencia del tamaño —y abarca todos los sistemas, no solo los de alto riesgo. Lo que cambia con el tamaño es la proporcionalidad: una empresa de cinco personas no necesita el programa de una multinacional, necesita medidas adecuadas a sus riesgos —una sesión de formación, un registro de herramientas, un aviso de transparencia. El Ómnibus Digital vino además a reforzar las simplificaciones para pymes.
Solo usamos ChatGPT y Copilot. ¿Seguimos obligados?
Sí. Quien usa herramientas de terceros es usuario profesional (deployer) y está dentro del ámbito del artículo 4. La ley no distingue entre un sistema a medida y una suscripción mensual: lo que cuenta es que hay personas operando IA en su nombre. Su equipo necesita alfabetización de uso seguro —verificar resultados, saber qué datos no puede pegar nunca en el prompt y reconocer cuándo algo va mal.
¿Cuántas horas de formación exige la ley?
Ningún número fijo. El reglamento no define currículo, horas mínimas ni certificación —exige medidas proporcionales al conocimiento técnico, la experiencia y la formación de cada persona, al contexto de uso y a las personas afectadas. En la práctica, una sesión de 60 a 90 minutos por perfil, con ejemplos de su negocio, cubre lo esencial para una pyme. Lo que la autoridad va a pedir no es un diploma: es el registro —quién participó, cuándo y sobre qué temas.
Nuestro asesor usa IA por nosotros. ¿De quién es la responsabilidad?
Suya, en la medida en que actúa en su nombre. El artículo 4 se extiende expresamente a «otras personas que se ocupen de la operación y el uso de los sistemas de IA» por cuenta de la empresa —proveedores de servicios, autónomos, consultores. Inclúyalos en su formación o exija por escrito que cumplen el artículo 4. Es la dimensión de la cadena de suministro la que más lagunas crea cuando una autoridad pide evidencias.
¿Qué pasa si no hacemos nada?
Desde el 2 de agosto de 2026, las autoridades nacionales de vigilancia tienen poderes formales de supervisión —y los programas de alfabetización en IA, o su ausencia, están entre las primeras cosas que van a examinar. El marco sancionador prevé, para este tipo de infracciones, hasta 15 millones de euros o el 3 % del volumen de negocios mundial, con proporcionalidad obligatoria para pymes. No hace falta imaginar el peor escenario: basta entender que una empresa que documentó formación básica y un registro de herramientas está en una posición incomparablemente mejor que una que no hizo nada.