Tiempo lectura: 10 minutos
Checklist AI Act: 7 preguntas que todo responsable de formación debe poder responder
El Reglamento Europeo de IA no exige un curso. Exige que puedas demostrar que tu equipo entiende la IA que usa: qué puede hacer, qué no puede hacer y qué riesgos implica.
El Artículo 4 del Reglamento (UE) 2024/1689 establece algo más concreto de lo que parece a primera vista: no basta con que los empleados usen sistemas de IA. La organización tiene que poder demostrar que entienden lo que usan, qué puede hacer, qué no, y qué consecuencias tiene confiar en su output sin criterio propio.
Actualizado a septiembre de 2026, con dos fechas que conviene no mezclar. La obligación de alfabetización en IA se aplica desde el 2 de febrero de 2025.¹ Lo que empezó el 2 de agosto de 2026 es la aplicación general del Reglamento y la capacidad efectiva de supervisión, que en España ejerce la Agencia Española de Supervisión de la Inteligencia Artificial (AESIA).
La pregunta que más escuchamos ahora en los equipos de formación no es "¿qué dice la ley?". Es: "¿cómo sé si lo que tenemos ya es suficiente?"
Este checklist sirve exactamente para eso. No es una guía completa del Reglamento, que está en nuestra guía detallada del Artículo 4. Es una herramienta de diagnóstico: siete preguntas que te ayudan a ver dónde está el trabajo hecho y dónde quedan huecos reales, ahora que la fase de supervisión ya está abierta.
El Artículo 4 obliga a quienes despliegan sistemas de IA, no solo a quienes los desarrollan. Eso incluye cualquier herramienta de IA que usen tus empleados: asistentes de escritura, plataformas de análisis predictivo, sistemas de recomendación, herramientas de contratación con IA, generadores de contenido.
Sin inventario, no puedes saber quién necesita formarse ni en qué. La obligación no es genérica, está ligada a los sistemas concretos que usa cada rol.
Lo que deberías tener: un registro actualizado de qué sistemas de IA están en uso, en qué departamentos y para qué funciones. No tiene que ser sofisticado, una hoja de cálculo sirve. Lo que no sirve es no tenerlo.
El Reglamento clasifica los sistemas de IA en cuatro categorías: riesgo inaceptable (prohibidos), alto riesgo, riesgo limitado y riesgo mínimo. Los requisitos de formación son más exigentes para los sistemas de alto riesgo, entre ellos los que afectan a selección de personal, evaluación del rendimiento, gestión de acceso a servicios o infraestructura crítica.
Lo que deberías tener: una clasificación básica de cada sistema del inventario. Para sistemas de alto riesgo, la exigencia de competencia documentada es mayor, y el tipo de formación necesaria también.
"Alfabetización en IA suficiente" no significa lo mismo para todos. El Artículo 4 contempla explícitamente que el nivel de competencia debe adaptarse al rol: el técnico que entrena un modelo necesita una comprensión diferente a la del comercial que usa una herramienta de análisis de clientes o a la del manager que toma decisiones basadas en recomendaciones automatizadas.
Formar a toda la plantilla con el mismo módulo genérico no cumple la obligación: la cubre en papel, pero no en sustancia.
Lo que deberías tener: una matriz de roles y competencias que defina, para cada perfil, qué aspectos de los sistemas de IA en uso debe entender y en qué nivel de detalle.
Este es el punto donde muchas organizaciones se quedan cortas sin saberlo. El Artículo 4 requiere que los empleados entiendan tres dimensiones de los sistemas que usan: qué puede hacer el sistema, qué no puede hacer y qué riesgos implica su uso.
Un módulo de onboarding de herramienta que explica "cómo abrir sesión, cómo hacer una consulta, cómo interpretar el resultado" no cumple esto. Falta la dimensión crítica: cuándo el sistema puede equivocarse, qué sesgos puede tener, qué consecuencias tiene confiar ciegamente en su output.
Lo que deberías tener: contenido formativo que incluya, para cada sistema, al menos un bloque sobre limitaciones conocidas y un bloque sobre riesgos de mal uso o sobreconfianza.
Aquí hay una distinción que muchos equipos pasan por alto: tener un sistema de formación no es lo mismo que tener evidencia lista para auditoría.
Un LMS con módulos publicados es un sistema. La evidencia es otra cosa: registros individualizados que muestren que cada empleado concreto completó la formación, en qué fecha, y con qué resultado si hubo evaluación. La diferencia importa porque en una inspección no se audita la plataforma, se audita la persona. "María García, del departamento de operaciones, completó el módulo de alfabetización en IA el 15 de mayo con un 85% en la evaluación final" es evidencia. "Tenemos un curso en el LMS al que tienen acceso todos los empleados" no lo es.
Un PDF enviado por email no genera ese registro. Una sesión presencial sin lista de asistencia firmada con resultado, tampoco.
Lo que deberías tener: registros de completado individualizados por empleado, módulo, fecha y resultado de evaluación, generados automáticamente por el sistema y exportables en formato que soporte una auditoría (SCORM, xAPI u otro estándar de trazabilidad reconocido).
El Reglamento entiende la alfabetización en IA como una competencia continua, no como un certificado puntual. Los sistemas de IA se actualizan, las guías de aplicación del Reglamento se publican de forma progresiva, y el catálogo de herramientas en uso en tu empresa cambiará.
Una formación diseñada una sola vez para cumplir en agosto de 2026 puede quedar obsoleta antes de que acabe el año.
Lo que deberías tener: un mecanismo de revisión periódica del contenido formativo (como mínimo, anual) y un proceso claro para actualizar los módulos cuando se incorpora un nuevo sistema de IA o cuando cambia uno existente.
No dentro de tres meses. Hoy.
Esta es la pregunta de cierre porque revela si el trabajo de cumplimiento está hecho o solo planificado. El inventario, la clasificación de riesgo, la matriz de roles, el contenido de formación, los registros, el plan de actualización: si alguno de estos elementos existe solo como intención, el cumplimiento no está completo.
La AESIA no evalúa planes. Evalúa evidencias.
La obligación de alfabetización en IA no empezó en agosto de 2026, empezó el 2 de febrero de 2025. Lo que cambió en agosto de 2026 es que hay quien puede venir a comprobarlo.
Es la confusión más extendida en los equipos de cumplimiento, y tiene una consecuencia práctica incómoda: si tu organización planificó la formación en IA como un proyecto para 2026, la evidencia de 2025 no existe. No es un problema teórico, porque una inspección puede preguntar por el periodo en el que la obligación ya era exigible.
| Fecha | Qué aplica | Estado a septiembre de 2026 |
|---|---|---|
| 1 de agosto de 2024 | Entrada en vigor del Reglamento | Cumplida |
| 2 de febrero de 2025 | Alfabetización en IA (Artículo 4) y prácticas prohibidas | Exigible desde hace más de un año |
| 2 de agosto de 2025 | Modelos de IA de propósito general y gobernanza | En aplicación |
| 2 de agosto de 2026 | Aplicación general del Reglamento, obligaciones de transparencia y supervisión efectiva | En aplicación: ventana de inspección abierta |
| 2 de diciembre de 2027 | Obligaciones de los sistemas de alto riesgo del Anexo III | Pendiente |
| 2 de agosto de 2028 | Alto riesgo integrado en productos ya regulados | Pendiente |
Con ese calendario delante, hay tres huecos que aparecen una y otra vez y que casi ninguna organización tiene cubiertos.
La formación pudo darse de forma informal, en una sesión interna o en una circular, pero sin registro nominal no es evidencia. Documentar retroactivamente lo que sí ocurrió, con fechas reales y sin inventar, es más defendible que dejar el periodo en blanco.
La mayoría de los inventarios de sistemas de IA se elaboraron en la primera oleada de cumplimiento. Desde entonces han entrado herramientas nuevas por la puerta de atrás, adoptadas por un equipo concreto sin pasar por compras ni por IT.
Un módulo grabado hace dieciocho meses describe capacidades y límites que ya no coinciden con las herramientas actuales. Es el mismo problema de fondo que en cualquier formación normativa: el contenido envejece más rápido que el ciclo de revisión anual, y aquí el desfase se mide en meses.
Siete preguntas. En la mayoría de organizaciones, dos o tres quedan sin respuesta sólida. Eso no es un fracaso, es un diagnóstico útil.
El camino desde aquí es práctico: primero el inventario (no puedes hacer nada sin él), después la clasificación de riesgo por sistema, después la matriz de roles, y a partir de ahí el diseño de la formación con trazabilidad desde el primer módulo. El orden importa porque cada paso habilita el siguiente.
Lo que ya no cabe es tratarlo como un proyecto a futuro. La obligación lleva activa desde febrero de 2025 y la supervisión, desde agosto de 2026: cualquier hueco que quede hoy es un hueco con la ventana de inspección abierta.
Desde el 2 de febrero de 2025. Es una fecha distinta de la del 2 de agosto de 2026, que es cuando el Reglamento pasó a aplicarse con carácter general y las autoridades nacionales pudieron ejercer la supervisión. La obligación de formar es anterior a la capacidad de inspeccionarla.
No. La obligación de garantizar "alfabetización en IA suficiente" aplica a cualquier organización que despliega sistemas de IA, es decir, que los usa en sus operaciones. Si tu empresa usa una herramienta de IA para selección de personal, análisis de clientes o gestión operativa, el Artículo 4 te aplica.
Desde el 2 de agosto de 2026 la AESIA puede abrir procedimientos de supervisión, y la obligación es exigible desde febrero de 2025. Las sanciones del Reglamento para infracciones de los requisitos aplicables a operadores (que incluye el Art. 4) pueden alcanzar hasta 15 millones de euros o el 3% de la facturación global anual. Para incumplimientos menos graves, las sanciones son menores, pero el riesgo reputacional y la exposición ante auditorías internas también cuentan.
Depende del contenido, pero en la mayoría de casos no es suficiente. El Artículo 4 exige que la formación sea proporcional al rol y a los sistemas concretos que usa el empleado. Un módulo introductorio de conceptos generales puede ser el punto de partida, pero no el punto final.
El Artículo 4 establece la obligación general de alfabetización en IA para todos los empleados que trabajan con sistemas de IA, independientemente del nivel de riesgo. Los sistemas de alto riesgo (Anexo III del Reglamento) tienen requisitos adicionales específicos: documentación técnica, supervisión humana, auditorías, registro de actividad. Son dos capas distintas: la del Artículo 4 aplica en todos los casos; los requisitos de alto riesgo se añaden cuando el sistema entra en esa categoría.
¹ Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, Reglamento Europeo de Inteligencia Artificial - EUR-Lex ² Marco regulador de la IA: calendario de aplicación - Comisión Europea ³ AESIA, Agencia Española de Supervisión de la Inteligencia Artificial
Programa de fomento de la contratación indefinida de personas jóvenes cualificadas, en el marco del Sistema Nacional de Garantía Juvenil. Se ha recibido de LABORA Servicio Valenciano de Empleo y Formación una subvención del programa indicado por la contratación indefinida en 2024 de persona/s joven/es cualificada/s inscrita/s en el Sistema Nacional de Garantía Juvenil, actuación susceptible de cofinanciación por el Fondo Social Europeo Plus (FSE+) 2021-2027 o cualquier otro fondo de la Unión Europea. Expediente ECOGJU/2024/550/46.
