Jefe de estudios del área de Derecho. Facultad Business & Tech La gobernanza de la IA conforme al Reglamento (UE) 2024/1689 -en adelante, RIA- exige abandonar la formación «café para todos» y avanzar hacia una alfabetización diferenciada por perfiles, funciones y riesgos, conectada con una supervisión humana efectiva A medida que la Inteligencia Artificial -en adelante, IA- se incorpora al trabajo cotidiano, muchas empresas han empezado a responder de una manera previsible: organizando cursos. La reacción es comprensible, pero insuficiente.
María Luisa García Torres, Dra. en Derecho Procesal
Una organización no se convierte en alfabetizada en IA porque toda su plantilla haya asistido a la misma sesión, superado un test o conozca qué es un prompt. La pregunta es otra: ¿sabe cada persona qué puede hacer con la IA que utiliza, qué riesgos debe reconocer, qué resultados debe verificar, cuándo detenerse y; a quién escalar un problema? Ahí empieza una verdadera política de alfabetización.
La alfabetización en IA ya es una obligación
El RIA define en su art. 3.56 la alfabetización en materia de IA como las capacidades, conocimientos y comprensión que permiten realizar un despliegue informado de los sistemas de IA y tomar conciencia de sus oportunidades, riesgos y posibles perjuicios.
Su art. 4 exige a proveedores y responsables del despliegue adoptar medidas para apoyar la promoción de la alfabetización de su personal y de quienes utilicen u operen sistemas de IA en su nombre. Deben hacerlo atendiendo a conocimientos, experiencia, educación y formación, contexto previsto de uso y personas o colectivos afectados.
Tras la reforma introducida por el Reglamento (UE) 2026/1744, el art. 4.1 aclara que esta obligación no exige garantizar un nivel específico de alfabetización de cada persona. Se flexibiliza el resultado exigible, pero se mantiene la obligación de adoptar medidas adaptadas.
Y no es una obligación futura. El art. 4 RIA resulta aplicable desde el 2 de febrero de 2025. La cuestión ya no es si las empresas deben ocuparse de la alfabetización, sino cómo convertirla en un verdadero control de gobernanza: proporcionado al riesgo, adaptado a cada función y capaz de demostrar su eficacia.
El error del “curso para todos”
El art. 4 RIA no describe una obligación de formar a todos por igual. Describe una obligación de alfabetizar atendiendo a quién utiliza la IA, para qué la utiliza y qué riesgo genera ese uso.
No necesita saber lo mismo quien utiliza una herramienta generativa que quien desarrolla un modelo, valida una decisión automatizada, negocia un sistema o debe supervisarlo.
Un usuario de IA generativa necesita comprender riesgos de alucinación, confidencialidad y verificación. Recursos Humanos puede necesitar además conocer riesgos de discriminación y sesgo; Jurídico, los límites regulatorios, contractuales y probatorios; Tecnología, arquitectura, integración y seguridad; el DPO, los riesgos asociados al tratamiento de datos personales y; el CISO, los de seguridad de la información.
El AI Officer, cuando exista, necesitará visión transversal para coordinar funciones, conectar alfabetización, inventario y políticas y detectar cuándo escalar. La alta dirección necesita su propio nivel: no para conocer cada detalle técnico, sino para comprender riesgos estratégicos, regulatorios y reputacionales, fijar el riesgo aceptable y decidir lo que exceda la gestión ordinaria.
Quienes asuman la supervisión humana de sistemas de alto riesgo necesitarán capacidades específicas para comprender, cuestionar, ignorar, revertir o detener determinadas actuaciones del sistema.
Alfabetizar exige primero saber quién utiliza qué
No puede existir una política seria de alfabetización sin inventario. La empresa necesita identificar qué sistemas utiliza, con qué finalidad, quién los opera, qué decisiones apoyan y qué personas pueden verse afectadas.
Solo entonces puede responder: ¿qué necesita saber cada perfil para utilizar correctamente este sistema? Inventario y alfabetización deben formar parte del mismo modelo de gobernanza. El uso de herramientas no autorizadas o shadow AI hace esta cuestión todavía más relevante.
Una matriz de alfabetización, no un catálogo de cursos
Una política madura debería construir una matriz que cruce tres variables: perfil, sistema y riesgo. El perfil determina la función de la persona; el sistema, qué tecnología utiliza; y el riesgo, la profundidad del conocimiento necesario.
A partir de ahí pueden existir distintos niveles:
- Una alfabetización general sobre conceptos básicos, riesgos, usos autorizados y políticas internas.
- Una formación funcional adaptada a áreas concretas -RRHH, Marketing, Jurídico, Compras o Tecnología-.
- Una formación reforzada para quienes desarrollan, validan, supervisan o adoptan decisiones mediante sistemas de mayor impacto.
No necesita la misma alfabetización quien utiliza una herramienta generativa para proponer ideas de contenido comercial que quien, en Recursos Humanos, utiliza un sistema para analizar o filtrar candidaturas. En este segundo caso habrá que atender además a su posible clasificación conforme al art. 6 y al anexo III RIA y, cuando resulte aplicable el régimen de alto riesgo, a las exigencias específicas de supervisión humana.
La Comisión Europea confirma este enfoque: no existe una solución única. Las medidas deben adaptarse a conocimientos, experiencia, formación, contexto, finalidad de uso y riesgos. Advierte además de que, en muchos casos, limitarse a facilitar instrucciones de uso puede resultar insuficiente.
Saber utilizar IA también significa saber cuándo no utilizarla
La alfabetización no consiste solo en adquirir habilidades. Debe enseñar también límites.
Una persona alfabetizada debería saber qué herramientas están autorizadas, qué información no puede introducir, qué resultados requieren comprobación, cuándo necesita intervención humana, qué usos exigen autorización previa y ante qué anomalías debe suspender la utilización o escalar el problema.
Por ello, alfabetización y política interna de IA no pueden avanzar separadamente. Formar para utilizar sistemas cuya finalidad, límites o procedimientos internos no están definidos genera conocimiento técnico, pero no necesariamente gobernanza.
En los sistemas de alto riesgo el nivel cambia
La alfabetización se intensifica cuando la IA puede afectar a derechos, seguridad o decisiones relevantes.
El art. 26.2 RIA prevé que la supervisión humana de sistemas de alto riesgo se encomiende a personas con competencia, formación y autoridad necesarias. El art. 14 define capacidades como comprender las limitaciones del sistema, evitar el sesgo de automatización, interpretar sus resultados, apartarse de ellos o intervenir y detener el sistema cuando proceda.
Cuando resulte aplicable este régimen, la formación deja de ser mera sensibilización: se convierte en condición de una supervisión humana real.
La alfabetización también debe dejar evidencia
El RIA no exige un certificado específico de alfabetización. La Comisión Europea señala que las organizaciones pueden conservar un registro interno de las formaciones y otras iniciativas adoptadas para cumplir el art. 4 RIA.
La pregunta no debería ser quién asistió, sino qué necesidad se identificó, qué perfiles y contenidos se definieron, a qué sistemas estaban vinculados y qué evidencia conserva la organización.
Pero esa evidencia tampoco debería limitarse a acreditar que la formación se impartió. Debe permitir justificar por qué era adecuada para ese perfil, ese sistema y ese riesgo, y qué hizo la organización cuando errores, incidentes o cambios tecnológicos revelaron que había dejado de serlo. Registrar una formación acredita que se impartió; no acredita, por sí solo, que fuera eficaz.
Cuando exista tratamiento de datos personales, esta lógica conecta con la responsabilidad proactiva del art. 5.2 RGPD: no basta con cumplir, hay que poder demostrarlo. Y estándares voluntarios como ISO/IEC 42001 pueden ayudar a integrar estas evidencias en un sistema de gestión de IA orientado a la implantación, mantenimiento y mejora continua. No sustituyen al RIA ni convierten la certificación en obligatoria.
No es una formación de una sola vez
La IA cambia demasiado deprisa para una política estática. Cambian modelos, capacidades, proveedores, niveles de autonomía, riesgos y funciones.
Por ello, la alfabetización debería revisarse cuando se incorpora un nuevo sistema, cambia sustancialmente uno existente, aparece un incidente, se modifica una política interna o una persona asume nuevas responsabilidades.
No se trata de repetir cursos por calendario, sino de actualizar capacidades cuando cambia aquello que debe ser gobernado.
¿Quién debe gobernar la alfabetización?
Recursos Humanos o la función de Formación pueden gestionar el programa, pero no deberían definirlo aisladamente.
El propietario funcional identifica el uso de su área. Tecnología conoce el funcionamiento del sistema. Jurídico, Compliance, DPO y CISO aportan los riesgos de sus ámbitos. El AI Officer, cuando exista, puede coordinar la matriz con el inventario, las políticas y el modelo general de gobernanza. Y la alta dirección debe asegurar recursos y directrices suficientes para que la alfabetización no quede reducida a una actuación formal.
Coordinar no significa concentrar competencias.
De cumplir con un curso a construir capacidad real
La reforma de 2026 ha dejado claro que el art. 4 no exige garantizar un nivel uniforme o predeterminado de alfabetización. Pero precisamente por ello cobra más importancia que cada organización pueda justificar por qué las medidas adoptadas son adecuadas para sus personas, sistemas y riesgos.
La alfabetización en IA no debería medirse por el número de diplomas emitidos ni por el porcentaje de plantilla que ha completado un curso. Debe medirse por la capacidad real de las personas para reconocer un riesgo, cuestionar un resultado, detener un uso inadecuado y escalar una decisión cuando sea necesario.
Una empresa no está alfabetizada en IA porque sus trabajadores sepan utilizarla. Lo está cuando saben utilizarla con criterio, reconocer sus límites, cuestionar sus resultados y activar los controles adecuados cuando algo deja de funcionar como debería.