Es la obligación más antigua del AI Act, la que casi ninguna empresa ha tocado y, desde agosto de 2026, la que ya se puede sancionar. También es la más fácil de resolver bien.
Lleva vigente desde febrero de 2025. No es nueva. Lo que cambió en agosto de 2026 es que ahora se puede multar por ella.
Consiste en que quien usa IA en tu empresa entienda qué está usando y qué información puede meter dentro y qué no.
Es la obligación que deja expuesto a casi todo el mundo, precisamente porque no hace ruido: no hay nada visible que falte, como sí lo hay cuando falta un aviso en un chat.
Si solo vas a actuar sobre una cosa del AI Act, que sea esta. Y no porque sea la más aparatosa —no lo es— sino por una razón muy concreta: es la única en la que casi todo el tejido empresarial español está en descubierto desde hace año y medio.
La obligación de etiquetar contenido llegó en agosto de 2026 y se ve venir: si tienes un chatbot sin aviso, falta algo visible. La de formación no se ve. No hay ningún hueco evidente en tu web que delate que no la has hecho. Y por eso nadie la ha hecho.
La obligación de formar al equipo lleva vigente desde febrero de 2025. Lo que cambia con el régimen sancionador es que ahora se puede multar por ella.
Merece la pena leerlo dos veces, porque contradice lo que casi todo el mundo asume. La creencia general es que el AI Act "empezó" en agosto de 2026. Para la transparencia y para las sanciones, sí. Para la formación, no: llevaba ya año y medio en vigor.
Es decir: la obligación más antigua del reglamento es también la que menos empresas han cumplido. Esa combinación —tiempo transcurrido y cumplimiento casi nulo— es exactamente lo que la convierte en el punto de riesgo real, por encima del etiquetado.
Y hay un detalle que la hace todavía más fácil de pasar por alto: como el gran titular del verano de 2026 fue el aplazamiento del alto riesgo a diciembre de 2027 y agosto de 2028, mucha gente concluyó que había margen para todo. Para el alto riesgo lo hay. Para esto, no: hace año y medio que se agotó.
La obligación no va de etiquetar nada ni de rellenar documentación. Va de que quien usa IA en tu empresa entienda qué hace la herramienta y qué información puede meter dentro y qué no.
Eso es todo. Y por eso es tan resoluble.
Lo que el reglamento no hace es publicar un programa formativo, un número de horas ni una certificación. No existe un "título oficial de alfabetización en IA" que haya que sacarse. Eso tiene dos lecturas:
Y una advertencia comercial, porque ya está pasando: si alguien te vende un curso presentándolo como "el certificado obligatorio del AI Act", te está vendiendo algo que no existe. La formación es obligatoria; el certificado concreto de nadie, no.
La norma dice que tu equipo tiene que saber lo que usa, pero no dice en qué. Esto es lo que recomendamos nosotros, por orden de importancia real:
Una IA generativa no consulta: predice. No busca la respuesta en una base de datos y te la trae; construye la respuesta más probable palabra a palabra.
Entender eso evita la mayoría de los errores, porque cambia por completo cómo se revisa lo que produce. Alguien que cree que la IA "consulta" da por buena una cifra inventada. Alguien que sabe que predice, la comprueba.
Si solo pudieras enseñar un concepto, sería este.
Datos de clientes, datos personales, contratos, contraseñas.
En una hoja, con ejemplos de tu negocio, no en un manual de cuarenta páginas. Un manual largo no se lee; una hoja con cinco ejemplos reconocibles, sí.
Esta parte, además, no es solo del AI Act: pegar datos de clientes en una IA pública es un asunto de RGPD, y de los serios. Que la misma hoja te resuelva las dos cosas es la mejor relación esfuerzo-resultado de todo el reglamento.
Es la parte que te exime de etiquetar. Si tu equipo sabe revisar de verdad, la obligación de transparencia casi desaparece sola, porque lo que decide el etiquetado no es si intervino una IA, sino si una persona lo revisó antes de salir.
Aquí conviene ser concreto: revisar no es leer en diagonal. Es comprobar los datos, corregir lo que esté mal y asumir el resultado.
Los cuatro casos de transparencia aplicados a lo vuestro: la web, el chat, los vídeos, lo que publicáis.
No en abstracto. Sobre vuestras cosas, con vuestros ejemplos.
La lista de lo permitido. Sin ella, cada uno usa lo que encuentra por su cuenta — y eso es el descontrol de siempre.
Esta parte suele ser la que más resistencia genera y la que más ordena. No hace falta que sea restrictiva: puede ser generosa. Pero tiene que existir.
No es lo mismo lo que necesita saber administración que dirección.
Quien maneja facturas y datos personales necesita mucho detalle en el punto 2. Quien publica en redes necesita el 4. Dirección necesita entender el 1 y el 5 para poder decidir. Una charla única para toda la empresa acaba siendo demasiado técnica para unos y demasiado superficial para otros.
Con una sesión corta por perfil se cubre. No hace falta un plan de formación anual ni una plataforma de e-learning.
Y conviene dejar constancia de quién la ha recibido, para que si alguna vez hay que demostrarlo, esté escrito.
Esto es más importante de lo que parece. Hacer la formación y no poder demostrarla es, a efectos prácticos, bastante parecido a no haberla hecho. Y no requiere nada sofisticado:
Una hoja de asistencia firmada y el material en una carpeta compartida. Ya está.
Terminamos con la parte que no suele contarse.
Casi todo lo que el AI Act pide en formación es lo que a tu empresa le convenía hacer de todas formas, con reglamento o sin él:
Es una de las pocas obligaciones regulatorias que, bien hecha, deja a la empresa mejor y no solo más cubierta. Si te lo van a exigir de todas formas, al menos que sirva de algo.
El cuadro completo del reglamento —las dos obligaciones, el calendario y qué aplica a una pyme— está en la guía del AI Act para empresas. Y si lo que te preocupa es la sanción, aquí está por qué la multa de 35 millones casi nunca es la tuya.
Resumen informativo a fecha de publicación. No es asesoramiento jurídico.
Las dos obligaciones que ya se aplican, los cinco puntos de formación y el calendario real, en PDF. Sin formulario y sin dejar tus datos.
Descargar gratisDesde febrero de 2025. Es la obligación más antigua de las que afectan al uso normal de la IA en una empresa. Lo que cambió el 2 de agosto de 2026 es que entró el régimen sancionador, así que desde entonces también se puede multar por no haberla cumplido.
El reglamento pide que quien usa IA en la empresa tenga un nivel suficiente de comprensión de lo que está usando, pero no publica un programa ni un número de horas. Eso significa que el contenido lo decides tú, con criterio y proporcionado a lo que realmente se usa en tu empresa. Lo que no vale es no hacer nada.
Sirve de poco. Un curso genérico explica qué es un modelo de lenguaje, pero no le dice a tu equipo qué herramientas están aprobadas en tu empresa, qué información no se pega nunca ni quién firma qué. La parte que de verdad reduce riesgo es la que habla de tu negocio.
No hay un mínimo fijado. Y conviene desconfiar de quien te venda un número exacto de horas como si fuera un requisito legal. Lo razonable es una sesión corta por perfil, proporcionada al uso real, y repetirla cuando cambien las herramientas.
Dejando constancia: quién asistió, cuándo, y qué se cubrió. Una hoja de asistencia y el material usado son suficientes para empezar. Hacer la formación y no poder demostrarlo es, a efectos prácticos, parecido a no haberla hecho.
Las dos obligaciones que ya se aplican, los cuatro casos que hay que etiquetar, el calendario real tras el Ómnibus Digital y la multa que sí te aplica.
Los cuatro casos que obligan a avisar, los cinco que no, y dónde está exactamente la raya cuando hay revisión humana.
Los dos techos de sanción, a qué incumplimiento corresponde cada uno y por qué el titular más repetido está mal.