Si usas ChatGPT de pago para redactar presupuestos, un plugin de IA en WordPress para generar meta descripciones o un chatbot en la web de tu cliente, desde el 2 de febrero de 2025 eres responsable del despliegue de un sistema de IA según el Reglamento europeo. Y eso incluye una obligación que casi nadie te contó con claridad: formar a quien opera esas herramientas. No desde agosto de 2026. Desde hace más de un año.
Lo que sí cambia ahora, el 2 de agosto de 2026, es que las autoridades nacionales —en España, la AESIA y las sectoriales que le acompañen— pueden empezar a pedirte evidencias. No un certificado mágico. No un curso de 40 horas homologado. Papeles. Registros. Algo que demuestre que hiciste algo más que mandar un PDF por email y darlo por cumplido.
Lo que el Ómnibus suavizó (y lo que no)
El Digital Ómnibus, vigente desde finales de julio de 2026, reescribió el artículo 4 del AI Act. Antes la redacción hablaba de garantizar un nivel suficiente de alfabetización en IA. Ahora habla de adoptar medidas para apoyar su promoción, teniendo en cuenta el rol, la formación previa y el contexto de uso de cada persona. Y añade una frase que parece diseñada para quitar pesadillas: no exige garantizar un nivel concreto en nadie.
Suena a alivio. En la práctica es un cambio de enfoque: de obligación de resultado a obligación de medios. Tienes que poder demostrar qué hiciste, no que tu comercial de ventas domine el fine-tuning. Eso, en manos de un auditor sensato, es razonable. En manos de una consultora que vende pack de cumplimiento normativo a 3.000 euros, es una excusa perfecta para venderte un PowerPoint genérico con logo corporativo.
Lo que el Ómnibus no tocó es la fecha de entrada en vigor de esa obligación. Sigue siendo febrero de 2025. Si llevas dieciocho meses usando IA en tu agencia, tu tienda online o tu departamento de soporte sin documentar formación alguna, no estás esperando a que llegue la normativa. Llevas meses en incumplimiento. Solo que hasta ahora casi nadie miraba.
Quién está obligado (spoiler: casi todos)
No hay umbral de tamaño. Una pyme de doce personas que paga una licencia de Copilot o conecta un asistente a su CRM entra en el juego. Tampoco hace falta que desarrolles modelos: basta con desplegar sistemas de IA bajo tu responsabilidad. Autónomos con un equipo externo que opera herramientas por ellos también cuentan. Lo que no te piden es formar a tus clientes finales; el foco está en tu personal y en quien actúe en tu nombre.
En mi experiencia, este es el punto donde la conversación se rompe. El director técnico asiente porque sabe lo que es un LLM. El dueño de la tienda online niega con la cabeza porque cree que el AI Act es cosa de OpenAI y Meta, no de quien usa un generador de fichas de producto. Error. El reglamento no distingue entre frontier model y plugin de cinco euros al mes. Distingue roles: proveedor o responsable del despliegue. Y si contratas, despliegas.
Qué significa formar de verdad
La norma no fija temario ni horas mínimas. Eso da flexibilidad, pero también deja un vacío que el mercado está llenando a su manera. Lo que sí necesitas, según el consenso de las guías jurídicas que he revisado, es proporcionalidad: quien toca datos sensibles con IA necesita más que quien solo usa IA para corregir ortografía en borradores internos.
Un cumplimiento mínimo sensato incluiría inventario de sistemas de IA que usas, política interna de uso firmada, formación diferenciada por rol y registros: temario, asistencia, evaluaciones si las hay. No hace falta inventar un máster. Hace falta dejar de tratar la IA como si fuera Excel con esteroides: algo que instalas y listo.
Lo irónico es que muchas empresas tech llevan años predicando alfabetización digital y ahora, cuando la ley se lo exige explícitamente, la respuesta dominante es externalizar un curso grabado de una hora que nadie termina. Cumplimiento de caja. Exactamente lo que el espíritu del artículo 4 intentaba evitar cuando hablaba de nivel suficiente, antes de que el Ómnibus bajara el listón formal.
El calendario que confunde a todo el mundo
Agosto de 2026 concentra varias fechas y eso genera titulares engañosos. El artículo 50 sobre transparencia —deepfakes, contenidos generados por IA, ciertos sistemas de interacción— entra en juego ahora. Las sanciones del régimen general y la supervisión activa del artículo 4 también se refuerzan en este tramo. Pero otras obligaciones de alto riesgo se han aplazado hasta 2027 u ocho, según el Ómnibus.
Resultado: un calendario Frankenstein en el que una pyme puede creer que tiene dos años de margen mientras ya debía tener archivada la formación de febrero de 2025. Las consultoras lo saben y lo explotan. Las pymes no, porque nadie resume esto sin mezclar plazos como si fueran ingredientes de una receta.
En España además la arquitectura institucional sigue en obras: AESIA, autoridades sectoriales, coordinación con AEPD en materia de datos personales. Eso no elimina la obligación; solo hace más difusa la pregunta de quién te inspecciona primero. Para una empresa pequeña, la presión real puede llegar antes por un cliente enterprise que te pide evidencias de compliance en un contrato, no por una multa administrativa.
Mi lectura: buena intención, mal mercado
La idea de base no me parece descabellada. Si vas a poner IA en procesos que afectan a personas —contratación, atención al cliente, contenido público, decisiones comerciales— quien la opera debería entender límites, sesgos y riesgos básicos. El problema es la implementación industrial del cumplimiento: cursos genéricos, checklists infinitos y pánico comercial mezclado con poca claridad sobre qué aplica a quién.
Tampoco ayuda que el propio reglamento haya cambiado de redacción a meses de activarse la supervisión. Transmite la sensación de que Europa legisla sobre un tren en marcha mirando por el retrovisor. Las empresas honestas quieren hacer las cosas bien; las menos honestas encontrarán la carpeta documental mínima que calme a un auditor distraído.
Y mientras tanto, los laboratorios de IA compiten por capacidades que sus propios informes internos califican como críticas en ciberseguridad, y las pymes reciben emails vendiendo formación obligatoria del AI Act antes de que entiendan si les aplica. Prioridades.
Si mañana un cliente te pide el registro de formación en IA de tu equipo para renovar un contrato, ¿sabrías qué documento enviarle sin inventarlo sobre la marcha?
Fuentes: