Reglamento de IA para empleados: guía 2026

Qué se aplica el 23 de agosto de 2026: la obligación de alfabetización en IA se aplica desde el 2 de febrero de 2025 y las autoridades nacionales de vigilancia del mercado comenzaron a supervisar y hacer cumplir el artículo 4 en agosto de 2026. El Reglamento (UE) 2026/1744 modificó la redacción original en julio de 2026. Los proveedores y responsables del despliegue deben adoptar medidas que apoyen la promoción de la alfabetización en IA, pero no tienen que garantizar un nivel concreto para cada persona. La diferencia es importante: no hacer nada es difícil de justificar, mientras que un programa proporcionado puede adaptarse a la empresa, el rol y el caso de uso.

Quién es responsable: el artículo 4 impone la obligación directa a los proveedores y responsables del despliegue de IA. En el uso laboral habitual, la empresa u organización suele ser la responsable del despliegue; el empleado que utiliza un sistema bajo su autoridad normalmente no asume por ello ese rol. La empresa debe seleccionar herramientas aprobadas, asignar responsables, evaluar usos y ofrecer orientación adecuada. El empleado debe seguir la política, proteger los datos, revisar los resultados y comunicar errores o herramientas no autorizadas. Pueden existir deberes laborales e internos, pero el artículo 4 no impone a cada empleado una certificación personal.

Qué debe cubrir la alfabetización en IA: un usuario general necesita entender qué puede y qué no puede hacer la herramienta aprobada, cuándo debe verificar una respuesta, qué datos puede introducir, cómo el sesgo o las respuestas inventadas pueden afectar a personas y dónde comunicar una duda. Los responsables de equipo necesitan conocimientos adicionales sobre rendición de cuentas, compra de herramientas e impacto en empleados o clientes. Los equipos técnicos, jurídicos, de seguridad y de RR. HH. requieren contenidos específicos. Por eso, la formación debe seguir los sistemas y riesgos reales, no ofrecer la misma presentación genérica a todos.

Obligación legal frente a buena práctica: adoptar medidas adecuadas de alfabetización en IA es la obligación jurídica. La Comisión indica que el artículo 4 no exige por sí solo un certificado concreto, un responsable de IA o un comité de gobernanza; conservar un registro interno de formación y otras orientaciones puede ayudar a documentar lo realizado. Una política escrita, un responsable identificado, un inventario de IA, revisiones periódicas, controles de prompts y breves comprobaciones de conocimientos son formas prácticas de aplicar la obligación, pero el artículo 4 no prescribe cada una. El RGPD y las normas laborales o sectoriales pueden imponer requisitos distintos.

Empieza por un inventario de IA: incluye tanto los sistemas comprados de forma centralizada como las funciones de IA ya presentes en ofimática, CRM, soporte, selección de personal y analítica. Para cada elemento anota responsable, usuarios, finalidad, categorías de datos, proveedor o modelo, integraciones, si el resultado afecta a personas y estado de aprobación. Incluye herramientas y extensiones de navegador encontradas por los empleados. El inventario convierte una formación abstracta en instrucciones concretas y hace visible la IA en la sombra antes de que provoque un incidente.

Trata los datos sensibles como un problema de flujo de trabajo, no como una prueba de memoria. Los empleados necesitan ejemplos de su actividad: datos personales y de categorías especiales, secretos de clientes, contratos, credenciales, información financiera no publicada y código fuente. Define qué herramientas y cuentas están autorizadas, qué no debe introducirse nunca, cuándo deben minimizarse o anonimizarse los datos y quién puede aprobar una excepción. Siempre que sea posible, incorpora controles preventivos antes del envío: alertas, bloqueo, supresión o anonimización reducen la dependencia de una memoria perfecta.

Esta guía ofrece información práctica, no asesoramiento jurídico sobre una organización concreta. Los roles y obligaciones dependen de cómo se desarrolle, suministre y utilice cada sistema; además, siguen siendo aplicables la protección de datos y las normas sectoriales. Las organizaciones que utilicen IA para selección de personal, gestión de trabajadores, acceso a servicios u otras decisiones relevantes deberían obtener asesoramiento especializado y evaluar las obligaciones adicionales del sistema concreto.

Un reparto sencillo de responsabilidades

La dirección aprueba el nivel de riesgo y los recursos. Un responsable de IA o gobernanza mantiene el inventario y la política. TI y seguridad configuran herramientas y controles preventivos. Jurídico, privacidad y RR. HH. revisan los casos de su ámbito. Los mandos traducen las reglas al trabajo del equipo. Los empleados utilizan sistemas aprobados, minimizan datos sensibles, verifican resultados relevantes y comunican dudas. Este reparto es una buena práctica, no un organigrama exigido por el artículo 4, pero hace que las medidas sean reales y demostrables.