En resumen
El artículo 4 del AI Act se aplica desde el 2 de febrero de 2025; según la Comisión, las normas de supervisión y aplicación rigen desde el 2 de agosto de 2026.
El Digital Omnibus (Reglamento (UE) 2026/1744) reescribió el artículo 4: se exigen medidas para apoyar la alfabetización, sin garantizar un nivel concreto para cada persona.
El Decreto Legislativo italiano 179/2026, en vigor desde el 23 de octubre de 2026, no crea una obligación general nueva, pero exige a los empleadores informar y formar sobre los riesgos específicos de la IA (art. 42).
No hace falta un certificado: un registro interno de formación, vinculado al inventario de sistemas de IA, es la forma más sencilla de mostrar las medidas adoptadas.
Una política de IA y la ISO/IEC 42001 dan método a la formación: competencias definidas, toma de conciencia y evaluación de la eficacia.
Desde el 23 de octubre de 2026 está en vigor en Italia el Decreto Legislativo n.º 179, de 7 de octubre de 2026, publicado en la Gazzetta Ufficiale n.º 234 del 8 de octubre. El decreto adapta la normativa italiana al Reglamento de IA (AI Act) en dos frentes: los poderes de las autoridades nacionales y el uso de la inteligencia artificial en la formación. Desarrolla la delegación prevista en la Ley n.º 132, de 23 de septiembre de 2025, la ley italiana sobre IA.
Para las empresas, el momento es relevante. La obligación de alfabetización del artículo 4 del AI Act se aplica desde el 2 de febrero de 2025 y, según la Comisión Europea, las normas de supervisión y aplicación rigen desde el 2 de agosto de 2026. En julio, el Digital Omnibus sobre IA reescribió precisamente el artículo 4. En esta guía ordenamos lo que dicen los textos, quién debe formar a quién, cómo dimensionar la formación, cómo documentarla y cómo vincularla a una política de IA y a la ISO/IEC 42001. Nos basamos solo en textos oficiales: si una norma no dice algo, no lo damos por hecho.
¿No sabes en qué clase de riesgo están tus sistemas de IA? Haz la verificación gratuita de la clase de riesgo AI Act: cinco preguntas, dos minutos, con obligaciones y plazos.
¿Qué prevé el Decreto Legislativo 179/2026 sobre la formación en IA?
El decreto 179/2026 no crea una nueva obligación general de alfabetización para todas las empresas. Lo muestra su estructura: 54 artículos, en su mayoría sobre autoridades, supervisión, sanciones y espacios controlados de pruebas. La formación aparece en el capítulo III, dedicado a la IA en la educación, las profesiones, el trabajo, la sanidad y la administración pública.
Para las definiciones, el decreto remite al artículo 3 del AI Act y a la Ley 132/2025 (artículo 1), y se aplica a los mismos sujetos que el AI Act (artículo 2). En la práctica, para una empresa privada la obligación de alfabetización sigue siendo la del artículo 4 del reglamento europeo. El decreto añade normas nacionales en algunos ámbitos concretos, que vemos a continuación.
Trabajo y seguridad: el artículo 42
El artículo 42 es la norma más cercana al día a día de una empresa. El apartado 2 establece que el uso de sistemas de IA que influyen en la organización del trabajo, los ritmos de producción, la forma de realizar la prestación o las decisiones relevantes para la seguridad se valora en la evaluación de riesgos prevista en el artículo 28 del Decreto Legislativo 81/2008, el código italiano de seguridad laboral.
El apartado 3 exige a los empleadores garantizar una información y formación adecuadas de los trabajadores sobre los riesgos específicos de los sistemas de IA y sobre las medidas de prevención y protección adoptadas. Es una obligación que se suma al artículo 4 del AI Act, con otro enfoque: allí, las competencias para usar la IA de forma informada; aquí, la salud y la seguridad. Si tu empresa usa IA en estos ámbitos, comprueba con el responsable de prevención cómo integrar ambos itinerarios.
Decisiones sobre la relación laboral: el artículo 41
El artículo 41 se refiere al empleador que usa sistemas de IA en los procesos de decisión sobre la relación laboral. Las decisiones finales sobre contratación, modificación o extinción de la relación, incluidas las medidas disciplinarias y las evaluaciones del desempeño, no pueden basarse únicamente en un tratamiento automatizado: la decisión definitiva corresponde a una persona física con un poder real y autónomo.
Antes de iniciar el tratamiento, el empleador debe facilitar la información prevista en el artículo 1-bis del Decreto Legislativo 152/1997, ya citada en el artículo 11 de la Ley 132/2025. El trabajador puede pedir una motivación comprensible de la decisión que le afecta. Aquí la formación cuenta: quien firma la decisión final debe entender qué hace el sistema; si no, el control humano se queda en el papel.
Profesiones, escuela y administración pública
Los demás artículos del capítulo III se refieren a colectivos concretos. El artículo 47 establece que la formación de los colegios profesionales incluya itinerarios de alfabetización y formación en el uso de la IA, con aspectos técnicos, jurídicos y deontológicos; los consejos nacionales tienen seis meses para adaptar sus reglamentos. Otros artículos tratan la escuela, la universidad, la formación de adultos, la justicia, la sanidad y el sector financiero.
Si en tu empresa trabajan profesionales colegiados en Italia, esa formación puede ser útil también para el itinerario interno, pero no lo sustituye: cubre la profesión, no los sistemas concretos que usas tú. El texto completo del decreto puede consultarse en Normattiva.
¿Qué exige el artículo 4 del AI Act tras el Digital Omnibus?
El artículo 4 exige a proveedores y responsables del despliegue de sistemas de IA adoptar medidas para apoyar el desarrollo de la alfabetización en materia de IA de su personal y de las demás personas que se encargan del funcionamiento y uso de los sistemas en su nombre. Es el texto vigente tras el Digital Omnibus sobre IA, el Reglamento (UE) 2026/1744, tal como lo recoge el AI Act Service Desk de la Comisión.
Las medidas tienen en cuenta los conocimientos técnicos, la experiencia, la educación y la formación de las personas, el contexto en que se usan los sistemas y las personas sobre las que se usan. El nuevo texto añade una frase clara: la obligación no exige garantizar un nivel concreto de alfabetización de cada persona.
Qué se entiende por alfabetización en materia de IA
El artículo 3, punto 56, del AI Act define la alfabetización como las capacidades, conocimientos y comprensión que permiten desplegar sistemas de IA con conocimiento de causa y ser conscientes de las oportunidades, los riesgos y los posibles daños. La definición se aplica a proveedores, responsables del despliegue y personas afectadas, cada uno según sus derechos y obligaciones.
No es, por tanto, un curso de programación. Para quien usa una herramienta de IA generativa para redactar textos, alfabetización significa saber que puede producir respuestas inventadas pero verosímiles, qué datos no introducir y cuándo hace falta una revisión humana. Para quien desarrolla un sistema, el nivel técnico exigido es mayor.
Qué ha cambiado con el Omnibus
Según las preguntas y respuestas de la Comisión sobre alfabetización, actualizadas el 20 de octubre de 2026, la alfabetización sigue siendo una obligación para proveedores y responsables del despliegue, pero ya no se exige un nivel concreto o "suficiente". El apartado 2 pide a la Comisión y a los Estados miembros que apoyen a las empresas, en particular a las pymes, también publicando ejemplos prácticos. El apartado 3 encarga al Comité Europeo de IA adoptar recomendaciones con objetivos comunes.
El cambio desplaza la atención del resultado a las medidas. No tienes que demostrar que cada persona ha alcanzado un umbral, pero sí poder mostrar qué medidas has adoptado y por qué son adecuadas a tus sistemas y a tu equipo.
Las fechas que conviene recordar
El artículo 4 se aplica desde el 2 de febrero de 2025. Las preguntas y respuestas de la Comisión indican que las normas de supervisión y aplicación rigen desde el 2 de agosto de 2026 y que la supervisión corresponde a las autoridades nacionales de vigilancia del mercado, no a la Oficina Europea de IA. En Italia, el decreto 179/2026 designa a la ACN, la agencia nacional de ciberseguridad, como autoridad de vigilancia del mercado de los sistemas de IA, con competencias de Banca d'Italia, CONSOB e IVASS para algunos sistemas de alto riesgo del sector financiero (artículo 5).
¿Quién debe formar a quién en la empresa?
La obligación afecta a tu empresa si desarrolla o usa sistemas de IA en su actividad profesional. El AI Act llama proveedor a quien desarrolla un sistema y lo introduce en el mercado con su propio nombre, y responsable del despliegue a quien usa un sistema bajo su propia autoridad. La mayoría de las pymes son responsables del despliegue: usan herramientas desarrolladas por otros.
Las preguntas y respuestas aclaran que las "demás personas" no son empleados, sino sujetos que actúan en el ámbito organizativo de la empresa, como colaboradores, proveedores de servicios o clientes. Aclaran también que quien usa un chatbot generativo para redactar textos publicitarios o traducir está incluido y debería conocer los riesgos específicos, por ejemplo las alucinaciones.
Quién | Qué debe saber, en resumen |
|---|---|
Dirección | Qué sistemas usa la empresa, con qué fin, qué riesgos implican y qué normas internas se aplican |
Quien usa herramientas de IA generativa | Límites de la herramienta, datos que no introducir, revisión de resultados, normas de la política interna |
Quien decide con apoyo de la IA (RR. HH., crédito, calidad) | Cómo leer los resultados, cuándo no fiarse, cómo documentar la decisión humana |
TI y desarrollo | Funcionamiento técnico, pruebas, seguridad, gestión de proveedores de IA |
Colaboradores externos que usan sistemas en tu nombre | Las normas que se aplican a los sistemas que usan para la empresa |
La tabla es un ejemplo para adaptar, no una lista oficial. Para los sistemas de alto riesgo se aplica también el artículo 26, apartado 2: el responsable del despliegue encomienda la supervisión humana a personas con la competencia, la formación y la autoridad necesarias. Las preguntas y respuestas recuerdan que en estos casos pueden ser necesarias medidas adicionales.
¿Cómo dimensionar la formación en IA?
Las preguntas y respuestas de la Comisión indican que no existe un modelo único y que no se imponen cursos obligatorios. Sugieren, eso sí, un itinerario mínimo en cuatro pasos, útil como guía para cualquier empresa.
El primer paso es una comprensión general: qué es la IA, cómo funciona, qué sistemas usa la empresa, con qué oportunidades y riesgos. El segundo es aclarar el papel: ¿la empresa desarrolla sistemas o usa los de otros? El tercero se refiere al riesgo: qué deben saber las personas sobre los sistemas concretos que usan, sus riesgos y cómo mitigarlos. El cuarto es adaptarlo todo a los conocimientos, la experiencia y la formación de las personas, al contexto y a quienes sufren los efectos del sistema.
En la práctica, dimensionar significa que el comercial que usa un asistente de redacción no sigue el mismo itinerario que quien usa un sistema para seleccionar candidatos. Las preguntas y respuestas señalan también que confiar solo en las instrucciones de uso puede ser poco eficaz: un documento que nadie lee no apoya la alfabetización. Funcionan mejor las sesiones breves, los ejemplos con casos reales de la empresa y una actualización cada vez que llega una herramienta nueva.
No hace falta medir los conocimientos de la plantilla con un examen, porque el artículo 4 no lo exige. Una evaluación de la eficacia sigue siendo una buena práctica, y las normas ISO de sistemas de gestión la exigen para las acciones sobre competencias. Lo explicamos en nuestra guía sobre competencia, formación y toma de conciencia.
Cómo documentar la formación: el registro interno
Según la Comisión, no hace falta un certificado: las organizaciones pueden llevar un registro interno de la formación y de las demás iniciativas de orientación. No es una obligación formal, pero es la forma más sencilla de mostrar las medidas adoptadas si una autoridad, un cliente o un auditor las pide.
Un registro útil es breve y está al día. Para cada iniciativa indica fecha, destinatarios, sistemas de IA tratados, contenidos, formato y materiales, además del resultado de una posible evaluación. Vincula el registro al inventario de sistemas de IA: si un sistema entra en uso y el registro no recoge formación sobre él, has encontrado una carencia.
Guarda también los motivos de tus decisiones: por qué un grupo recibió un itinerario básico y otro uno avanzado. Es la lógica del riesgo y el contexto que pide el artículo 4, escrita de modo que otros puedan entenderla. El mismo registro puede incluir la información a los trabajadores del artículo 42 del decreto 179/2026, para tener un único punto de referencia.
Política de IA e ISO 42001: ¿dónde encaja la formación?
La formación funciona mejor si está ligada a normas internas escritas. Una política de IA indica qué herramientas están permitidas, para qué usos, con qué datos y quién aprueba un sistema nuevo. La formación explica esa política a quienes deben aplicarla. Sin política, los cursos se quedan en lo genérico; sin formación, la política se queda en un cajón.
La ISO/IEC 42001 es la norma de sistemas de gestión para la IA y sigue la estructura armonizada común a las normas ISO de sistemas de gestión. Los apartados 7.2 y 7.3 piden determinar las competencias necesarias, asegurarlas mediante formación o experiencia, evaluar su eficacia, conservar información documentada y hacer que las personas conozcan la política y su contribución. Hemos profundizado en la norma en la guía sobre la ISO/IEC 42001.
La ISO 42001 es voluntaria y no equivale al cumplimiento del AI Act. Ofrece, sin embargo, un método para mantener unidos inventario de sistemas, política, evaluación de riesgos, formación y auditoría interna. Para quien usa sistemas que interactúan con personas o generan contenidos, la formación debería tratar también las obligaciones de transparencia del artículo 50.
Qué hacer ya: lista de comprobación operativa
Si tu empresa usa sistemas de IA, estos pasos te permiten empezar con orden. Son actividades internas que puedes poner en marcha sin esperar nuevas normas.
Haz el inventario de sistemas de IA en uso, incluidas las herramientas generativas adoptadas por cada departamento.
Para cada sistema indica tu papel (proveedor o responsable del despliegue), su finalidad y quién lo usa.
Identifica los grupos de personas que formar, incluidos los colaboradores externos que usan sistemas en tu nombre.
Redacta o actualiza la política de IA con usos permitidos, datos prohibidos y normas de revisión de resultados.
Prepara un itinerario básico para todos e itinerarios específicos para quien decide con la IA o la desarrolla.
Abre el registro interno de formación y vincúlalo al inventario.
Si la IA influye en la organización del trabajo o en la seguridad, implica al responsable de prevención en la evaluación de riesgos y la información a los trabajadores.
Qué hacer en los próximos meses
Tras la primera ronda, la alfabetización pasa a ser un proceso continuo. Cada sistema nuevo, cada cambio de proveedor y cada nuevo uso deberían activar una comprobación: quién lo usará, qué debe saber, qué formación necesita. Fija una revisión periódica del registro, por ejemplo junto con la revisión por la dirección si tienes un sistema de gestión.
Sigue las fuentes oficiales: el artículo 4 prevé que la Comisión publique ejemplos prácticos en la plataforma única de información y que el Comité de IA adopte recomendaciones. Los colegios profesionales italianos deben actualizar sus reglamentos en los seis meses siguientes a la entrada en vigor del decreto. Si usas sistemas de alto riesgo, comprueba las obligaciones específicas del AI Act para tu caso; puedes empezar por la página de nuestro servicio AI Act.
Por último, revisa la coherencia entre documentos. La información a los trabajadores, la evaluación de riesgos, la política de IA y el registro de formación deben contar la misma realidad. Una auditoría interna es el momento adecuado para comprobarlo.
Cómo acompaña Complaion a las empresas en el cumplimiento
Complaion acompaña a las empresas con un Lead Auditor dedicado que sigue a tu organización a lo largo del tiempo y propone el itinerario más adecuado a tus necesidades. Trabajamos en AI Act, ISO/IEC 42001, ISO 27001 y las demás normas y certificaciones principales.
La plataforma Complaion recoge las evidencias, gestiona los documentos, mantiene el calendario de actividades y prepara la auditoría. La auditoría interna la realiza el Lead Auditor, para llegar a las verificaciones externas con un sistema ya revisado. Más de 1.000 clientes han elegido Complaion para sus procesos de cumplimiento: si quieres saber por dónde empezar, contáctanos.
Preguntas frecuentes sobre la formación en IA en la empresa
¿La formación en IA es obligatoria para todas las empresas?
El artículo 4 del AI Act se refiere a proveedores y responsables del despliegue de sistemas de IA, es decir, a quien los desarrolla o los usa en su actividad profesional. Si tu empresa usa sistemas de IA, comprueba cómo se aplica la obligación a tu caso. Las preguntas y respuestas de la Comisión aclaran que no se imponen cursos concretos: la obligación es adoptar medidas adecuadas para apoyar la alfabetización de quienes usan los sistemas.
¿Los empleados necesitan un certificado?
No. Según la Comisión, no hace falta un certificado. Las organizaciones pueden llevar un registro interno de la formación y de las demás iniciativas. Un certificado emitido al final de un curso puede ser una prueba útil, pero el artículo 4 no lo exige.
¿El decreto 179/2026 introduce nuevas obligaciones de formación para las empresas?
El decreto no crea una obligación general de alfabetización para las empresas, que sigue siendo la del AI Act. El artículo 42 exige, sin embargo, a los empleadores una información y formación adecuadas de los trabajadores sobre los riesgos específicos de los sistemas de IA y sobre las medidas de prevención adoptadas. El artículo 47 se refiere a la formación organizada por los colegios profesionales.
¿Quién supervisa el cumplimiento del artículo 4?
Según las preguntas y respuestas de la Comisión, la supervisión corresponde a las autoridades nacionales de vigilancia del mercado y las normas correspondientes rigen desde el 2 de agosto de 2026. En Italia, el decreto 179/2026 designa a la ACN como autoridad de vigilancia del mercado de los sistemas de IA, con competencias de Banca d'Italia, CONSOB e IVASS para algunos sistemas de alto riesgo del sector financiero.
¿Hay sanciones específicas por falta de alfabetización?
El artículo 23 del decreto 179/2026, que enumera las sanciones pecuniarias, no menciona el artículo 4 del reglamento. La Comisión recuerda, no obstante, que las autoridades nacionales pueden imponer sanciones y otras medidas conforme al derecho nacional, de forma proporcionada. Lo prudente es poder mostrar las medidas adoptadas con un registro actualizado.
¿También debe formarse quien solo usa un chatbot generativo?
Sí. Según las preguntas y respuestas de la Comisión, quien usa un chatbot generativo en el trabajo está incluido y debería conocer los riesgos específicos, como las alucinaciones. Basta un itinerario proporcionado: límites de la herramienta, datos que no introducir, revisión de resultados y normas de la política interna.
