El Reglamento de IA ya obliga a tu pyme (aunque no "uses IA de verdad")

El malentendido más común: "esto es para las grandes tecnológicas"

El Reglamento (UE) 2024/1689, conocido como AI Act, se piensa erróneamente como una norma para quien construye sistemas de IA de alto riesgo: scoring crediticio, selección de personal automatizada, diagnóstico médico. Esa parte existe y es real, pero afecta a relativamente pocas empresas.

Lo que afecta a prácticamente todas —incluida la pyme de 5 personas que usa una herramienta de IA generativa para tareas de oficina— es el artículo 4, que no habla de sistemas de alto riesgo. Habla de alfabetización en IA, y no distingue por tamaño de empresa ni por sector.

Qué dice realmente el artículo 4 (y desde cuándo)

El texto del artículo 4 obliga a que "los proveedores y responsables del despliegue de sistemas de IA" adopten medidas para garantizar que su personal y las personas que operan esos sistemas en su nombre tengan un nivel suficiente de alfabetización en materia de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su formación y el contexto de uso.

"Responsable del despliegue" no significa "quien fabrica la IA". Significa quien la usa dentro de su organización. Si un empleado usa una herramienta de IA para tareas del trabajo, la empresa es responsable del despliegue de esa herramienta, con independencia de que la haya programado un tercero.

Esta obligación entró en vigor el 2 de febrero de 2025, junto con las prohibiciones del artículo 5. No es una fecha futura: lleva año y medio activa cuando escribimos esto.

El cambio de julio de 2026: de obligación de resultado a obligación de medios

Aquí está el matiz que más confusión genera ahora mismo, porque hay mucho contenido desactualizado circulando. El Reglamento (UE) 2026/1744 —conocido como Digital Omnibus— entró en vigor el 27 de julio de 2026 y reformuló el artículo 4. La redacción original sonaba a obligación de resultado: "garantizar un nivel suficiente" de alfabetización, como si tuviera que existir un nivel medible y demostrable por persona.

El texto reformado pide "adoptar medidas para apoyar el desarrollo de la alfabetización en IA del personal", aclarando expresamente que no se exige garantizar un nivel concreto a nadie. Es una obligación de medios: la empresa no tiene que demostrar que su plantilla "sabe" de IA a un nivel determinado. Tiene que demostrar que actuó para que supiera.

Esto es una flexibilización real, pero no una derogación. Seguir sin hacer nada sigue siendo incumplimiento; la diferencia es que ahora el foco de una eventual inspección está en si hubo acción formativa razonable, no en si cada empleado aprobó un examen concreto.

Qué pasa el 2 de agosto de 2026 (y qué no pasa)

El 2 de agosto de 2026 es una fecha que se ha repetido mucho en prensa y en contenido de marketing, a veces de forma confusa. Esto es lo que cambia realmente ese día:

• La AESIA (Agencia Española de Supervisión de la Inteligencia Artificial, con sede en A Coruña) adquiere plenas competencias de inspección y sanción sobre el Reglamento de IA en general.
• Entran en aplicación las obligaciones de transparencia del artículo 50: etiquetado de contenido generado con IA, aviso de que un chatbot es una IA, divulgación de deepfakes.

Lo que no cambia ese día: la obligación del artículo 4 no nace el 2 de agosto de 2026, nace en febrero de 2025. Lo que ocurre en agosto es que la autoridad que puede inspeccionarla y sancionarla queda plenamente operativa. Y el Digital Omnibus, además, aplazó las obligaciones de los sistemas de alto riesgo hasta diciembre de 2027, pero dejó el artículo 4 y el artículo 50 sin cambios de calendario.

Ejemplos cotidianos que ya activan la obligación

No hace falta un caso sofisticado. Estos escenarios, frecuentes en cualquier pyme, activan el artículo 4 tal cual:

• Un empleado de administración usa ChatGPT o Copilot para redactar emails o resumir documentos.
• RRHH usa una herramienta con funciones automáticas para preseleccionar candidaturas.
• Alguien sube documentos de la empresa a una herramienta de IA con funciones de resumen o búsqueda (NotebookLM y similares) sin saber qué política de datos aplica esa herramienta a lo que se sube.
• Se usa una herramienta de transcripción de reuniones que procesa audio en servidores fuera de la UE.

Ninguno de estos casos implica "hacer IA". Todos implican "usar IA", que es exactamente lo que cubre el artículo 4.

Cómo lo aborda Dakoku

En Dakoku aplicamos el mismo criterio que recomendamos: los datos de la plataforma se alojan en servidores en España, con contrato de encargado de tratamiento y sin transferencia internacional de datos, precisamente para que el uso de herramientas digitales en el día a día no genere el tipo de riesgo que el artículo 4 busca prevenir. Estamos preparando además un curso corto de alfabetización en IA orientado a pymes, con la misma lógica de "obligación de medios" que exige la norma: acciones formativas breves y documentables, no un curso de varias horas que nadie termina.

Si quieres que te avisemos cuando esté disponible, o resolver dudas sobre cómo encaja esto con la documentación laboral que ya gestionáis con Dakoku, puedes escribirnos desde [contacto](/contacto.php) o ver [qué incluye la documentación laboral del plan](/soluciones.php#documentacion-laboral).