Desde el 2 de febrero de 2025, cualquier organización que use inteligencia artificial en su actividad tiene una obligación concreta: garantizar que las personas que la manejan sepan lo que están manejando. Lo dice el artículo 4 del Reglamento (UE) 2024/1689, y no distingue por tamaño. Se aplica igual a una plantilla de tres personas que a una multinacional.

La mayoría de comités de dirección con los que hablo han interpretado ese artículo como un encargo para el departamento de formación. Contratar un curso, pasar lista, guardar el certificado. Es una lectura razonable y es insuficiente.

Lo que la norma pide de verdad

El artículo 4 habla de un nivel de competencia suficiente, y añade una condición que suele pasar desapercibida: suficiente en relación con el contexto de uso y con las personas sobre las que el sistema va a tener efecto. Es decir, no pide el mismo conocimiento a quien redacta correos con un asistente que a quien deja que un modelo ordene una lista de candidatos.

Esa gradación es la parte útil de la norma. Obliga a mirar cada uso por separado y a preguntarse qué pasa cuando el sistema se equivoca. Si la respuesta es «se revisa y ya está», el riesgo es bajo. Si la respuesta es «nadie lo sabría», hay un problema que ninguna formación resuelve.

La pregunta que casi nadie se hace

En la práctica, el punto donde se rompen las cosas no es el conocimiento. Es la autoría. Cuando una herramienta redacta una propuesta comercial, calcula un precio o descarta una solicitud, ¿de quién es esa decisión?

He visto organizaciones con políticas de IA de doce páginas que no saben contestar. Y he visto equipos pequeños que lo tienen resuelto en una frase: «esto lo firma Marta». La diferencia no está en la madurez tecnológica. Está en si alguien se ha sentado a repartir responsabilidades antes de repartir licencias.

Tres decisiones que conviene tener por escrito

No hace falta un marco de gobernanza corporativo para empezar. Hacen falta tres respuestas, y caben en una hoja:

  • Qué usos están permitidos y cuáles no. Con nombres de procesos concretos, no con categorías. «Preparar borradores de propuestas» es un uso; «mejorar la productividad» no lo es.
  • Quién revisa cada uno antes de que salga. Una persona con nombre, no un departamento. Los departamentos no firman.
  • Qué queda registrado. Si dentro de seis meses hay que explicar por qué se tomó una decisión, alguien tiene que poder reconstruirla.

Las tres son decisiones de dirección, no de tecnología. Ninguna requiere entender cómo funciona un modelo por dentro. Todas requieren estar dispuesto a decir quién asume las consecuencias.

El calendario aprieta, pero no es lo importante

El grueso del Reglamento europeo se aplica desde el 2 de agosto de 2026, y esa fecha está concentrando toda la atención. Entiendo la urgencia, pero creo que enfoca mal el problema. Una organización que llegue a agosto con la formación documentada y sin saber quién responde de qué habrá cumplido el trámite y seguirá igual de expuesta.

La exposición real no es regulatoria. Es operativa. Un sistema que propone precios sin que nadie los valide acabará proponiendo uno mal tarde o temprano, y el problema no será la multa: será el cliente.

Alfabetizar es enseñar a desconfiar

La formación que funciona no explica qué es un transformador. Explica en qué casos concretos esta herramienta, en esta empresa, ha dado resultados que parecían buenos y no lo eran. Enseña a reconocer el momento en que la respuesta suena bien y hay que comprobarla igualmente.

Eso no se aprende en un curso genérico. Se aprende con los propios casos, revisados en equipo, incluidos los que salieron mal. Es más incómodo y es lo único que cambia el comportamiento de la gente.

La gobernanza de la inteligencia artificial no empieza con una política. Empieza cuando alguien escribe una lista de nombres al lado de una lista de decisiones y acepta lo que eso significa.