Estás obligado a formarte en IA. Y a demostrarlo.

Si usas ChatGPT para escribir un presupuesto, tienes una obligación legal que casi nadie te ha contado. No es una recomendación. Está en un reglamento europeo, lleva vigente desde febrero de 2025, y a partir del 2 de agosto de 2026 hay una autoridad que puede pedirte que acredites que la cumples.

Y te lo digo entero desde la primera página, porque el resto de sitios donde vas a leer esto no lo hace: el 2 de agosto no se abre ningún cajón de multas con tu nombre. Lo que empieza ese día es la vigilancia. En el módulo 4 lo verás con el artículo delante y entenderás por qué la diferencia importa.

Pero para ti la consecuencia práctica es la misma: a partir de esa fecha te lo pueden preguntar, y ahora mismo no tienes nada que enseñar.

Qué es el AI Act

El Reglamento (UE) 2024/1689. Se aprobó en julio de 2024 y es la primera norma del mundo que regula la IA de forma completa.

Es un reglamento, no una directiva. La diferencia importa: se aplica directo en España, sin que el Estado tenga que trasladarlo a una ley propia. Ya te aplica. No hay periodo de gracia esperando a que alguien lo transponga.

Dentro hay un artículo corto, el artículo 4, «Alfabetización en materia de IA». Ese es el que te toca a ti.

A quién aplica

Aquí está la trampa en la que cae casi todo el mundo. La norma distingue dos papeles:

• Proveedor: quien desarrolla un sistema de IA y lo pone en el mercado. Y también tú, si desarrollas algo propio o lo vendes bajo tu marca.
• Responsable del despliegue: quien usa un sistema de IA bajo su propia autoridad, en el marco de una actividad profesional.

Si abres ChatGPT para redactar la descripción de un piso, eres responsable del despliegue. Y el artículo 4 se dirige a los dos.

No hay umbral de tamaño. No dice «empresas de más de X empleados». No dice «facturación superior a». Un autónomo que usa Copilot está tan dentro como una empresa de doscientas personas. La única diferencia es cuánto tiene que hacer, no si tiene que hacer algo.

Lo único que queda fuera es el uso puramente personal y no profesional. Es la única excepción que recoge la norma. Si le pides recetas a ChatGPT un domingo, no. Si le pides el correo para un cliente un lunes, sí.

Y atención a una confusión que va a aparecer sola: esto no depende de que manejes datos personales. Puedes no meter ni un dato de nadie y estar dentro exactamente igual. Los datos son otra norma —el RGPD, que veremos en el módulo 7— y va por separado. Lo que activa el artículo 4 es usar la herramienta en tu trabajo. Nada más.

Antes de saber qué tienes que hacer, tienes que saber sobre qué. Mucha gente cree que tiene IA en su negocio y no la tiene. Otra mucha la tiene y no lo sabe.

La definición legal, en cristiano

El Reglamento define un sistema de IA como un sistema basado en máquinas, diseñado para funcionar con distintos niveles de autonomía, que puede mostrar capacidad de adaptación tras el despliegue, y que a partir de las entradas que recibe infiere cómo generar resultados —predicciones, contenidos, recomendaciones o decisiones—.

Quédate con dos palabras: infiere y autonomía.

Un programa normal sigue reglas que alguien escribió: si pasa esto, haz aquello. Siempre igual. Un sistema de IA deduce el resultado a partir de patrones, y por eso ante la misma entrada puede darte dos respuestas distintas.

El test práctico: ¿alguien escribió la regla, o la máquina la dedujo?

Sí es IA

• ChatGPT, Claude, Gemini, Copilot. Cualquier asistente conversacional.
• Generadores de imagen o vídeo, y la mayoría de funciones «mágicas» de las herramientas de diseño.
• Transcriptores automáticos: la transcripción de Zoom o de Teams.
• Traductores neuronales: DeepL, Google Translate.
• Correctores que reescriben, no que subrayan.
• Recomendadores: el motor que sugiere pisos parecidos a un visitante de tu web.
• Cribado automático de candidatos o de leads por puntuación.
• Los resúmenes automáticos de tu CRM o de tu bandeja de entrada.

No es IA

• Una fórmula de Excel, por larga que sea. Y una tabla dinámica tampoco.
• Una automatización que mueve datos de un sitio a otro. El flujo no es IA. Otra cosa es que dentro del flujo llames a un modelo: ese paso sí lo es.
• Un filtro de correo de los de toda la vida.
• Un buscador por palabras clave en tu web.
• Un chatbot de árbol de decisión. Si solo tiene botones y respuestas escritas de antemano, no es IA. Si entiende lo que le escribes con tus palabras, sí.

La zona gris, que es donde vive casi todo el mundo

La duda de verdad no suele ser ChatGPT. Es el software que ya usabas y al que le han metido IA sin que te enteres.

Tu CRM que ahora «sugiere el mejor momento para llamar». Tu gestor de correo que redacta borradores. Tu programa de facturación con un botón de «resumir». Tu plataforma inmobiliaria que puntúa leads.

Todos esos son sistemas de IA que tú estás desplegando en tu negocio, aunque no los hayas elegido como tales.

Ejercicio, y hazlo ahora porque lo vas a necesitar al final: escribe todas las herramientas de software que usas en una semana normal. Al lado de cada una, marca si tiene alguna función que infiera algo en lugar de seguir una regla escrita. Ante la duda, entra en su página y busca «AI» o «IA». Casi todas lo anuncian a gritos, porque venden.

Esa lista es tu inventario de sistemas de IA. Es la primera hoja de tu registro de evidencias y es lo primero que te van a pedir si alguien pregunta.

El Reglamento no trata igual a un traductor automático que a un sistema que decide quién entra en la cárcel. Clasifica por riesgo, y de ese nivel depende todo lo demás: cuántas obligaciones tienes y cuánta formación necesita tu gente.

1. Riesgo inaceptable: prohibido

Artículo 5. No es que esté regulado: es que no se puede, ni con consentimiento, ni con avisos, ni con un buen abogado. Entre otras prácticas:

• Puntuación social: valorar a personas por su comportamiento para tratarlas peor en contextos que nada tienen que ver.
• Manipulación subliminal o aprovechamiento de la vulnerabilidad de alguien por su edad, discapacidad o situación social.
• Reconocimiento de emociones en el trabajo o en centros educativos. Este pilla a más gente de la que parece: software que analiza la cara o la voz de un empleado para medir su ánimo o su atención.
• Categorización biométrica para inferir raza, ideología, religión u orientación sexual.
• Raspado masivo e indiscriminado de caras de internet o de cámaras.

Se aplican desde el 2 de febrero de 2025 y llevan la multa más alta: hasta 35 millones de euros o el 7 % de la facturación mundial.

2. Alto riesgo

Sistemas que afectan a la seguridad o a los derechos de las personas. Los recoge el anexo III: empleo, educación, crédito y seguros, servicios públicos esenciales, infraestructuras críticas, sanidad, justicia, migración y procesos democráticos.

Traducido a una pyme, esto es alto riesgo:

• Software que criba currículums o puntúa candidatos.
• Software que decide ascensos, tareas o despidos.
• Software que evalúa la solvencia de una persona.
• Software que evalúa o admite alumnos.

Si estás aquí, esta guía no te vale. Necesitas asesoramiento específico, porque además del artículo 4 te caen obligaciones del artículo 26: supervisión humana con personas competentes y con autoridad real, conservación de registros, información a los trabajadores afectados.

Un apunte de calendario: el Reglamento (UE) 2026/1744 aplazó estas obligaciones al 2 de diciembre de 2027 para los sistemas del anexo III, y al 2 de agosto de 2028 para los integrados en productos regulados. Aplazadas no es lo mismo que canceladas. Y el artículo 4 no se aplazó.

3. Riesgo limitado: transparencia

Aquí el Reglamento no te pide gran cosa, pero te pide una: que se sepa. Es el artículo 50.

• Si un chatbot habla con personas, tienen que saber que hablan con una máquina, salvo que sea obvio.
• El contenido sintético debe estar marcado como tal en formato legible por máquina.
• Los deepfakes y las imágenes manipuladas deben identificarse.
• El texto generado por IA publicado para informar al público sobre asuntos de interés general debe indicarse, salvo que haya habido revisión humana con responsabilidad editorial.

Fíjate en esa última excepción, porque es la que te salva el blog: si repasas y asumes la responsabilidad de lo que publicas, estás fuera de la obligación de etiquetado.

4. Riesgo mínimo

Todo lo demás. Y aquí está el 95 % de los autónomos y pymes: redactar textos, resumir reuniones, traducir, generar imágenes para redes, ayudar a programar.

Sin obligaciones específicas… excepto el artículo 4, que aplica en todos los niveles, incluido este. Ese es el punto que casi nadie entiende: riesgo mínimo no significa obligación cero. Significa que tu obligación es la de formar, y poco más.

Dónde caes tú

Coge el inventario del módulo anterior y clasifica cada herramienta. La pregunta que decide no es qué herramienta es, sino para qué la usas.

El mismo ChatGPT es riesgo mínimo si le pides que te redacte un anuncio, y alto riesgo si le pegas diez currículums y le pides que elija tres. La herramienta no cambia. El uso sí.

Este es el módulo importante. Y viene con una advertencia: si has leído sobre esto en cualquier sitio antes de hoy, lo que leíste ya no es la norma.

Lo que cambió el 27 de julio de 2026

El Reglamento (UE) 2026/1744, el Digital Omnibus on AI, se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026. Su artículo 1, punto 5, sustituye entero el artículo 4.

Esto es lo que cambió, palabra por palabra, en la versión española del Diario Oficial:

Se te juzga por lo que hiciste, no por lo que tu gente sepa el día que pregunten.

Cuidado con la lectura fácil: esto no significa que la obligación haya desaparecido ni que se haya aplazado. No se aplazó. Lo que se aplazó son las obligaciones de alto riesgo. El artículo 4 sigue vigente y sigue siendo exigible desde el 2 de febrero de 2025.

El propio Reglamento explica por qué, en su considerando 8: las obligaciones estrictas «no serían adecuadas para todos los tipos de proveedores y responsables del despliegue» y crean una carga de cumplimiento adicional «en particular para las pequeñas empresas». Y remata con una frase que te conviene tener a mano: «la alfabetización en materia de IA debe ser una prioridad estratégica, independientemente de las obligaciones reglamentarias y las posibles sanciones».

Lo que SÍ te pide

1. Adoptar medidas. Formación, guías internas, sesiones, un documento de uso aceptable, seguir esta guía. La norma no dice el formato.

2. Que sean proporcionales a cuatro cosas que el propio artículo enumera: los conocimientos técnicos de la persona, su experiencia, su educación y formación, y el contexto de uso del sistema. Más lo que hay en juego para las personas sobre las que se usa.

Traducido: si usas IA para redactar textos comerciales, con lo básico vas servida. Si la usas en algo que afecta a alguien, tienes que subir el listón. Nadie te pide lo mismo a ti que a un banco.

3. Que alcance a todos los que operan sistemas de IA en tu nombre. No solo empleados. Becarios, freelances, la agencia que te lleva las redes, el asesor externo. Si trabajan con IA para ti, entran.

4. Dejar constancia. Esto no está en el artículo 4 con esas palabras, y hay que decirlo así de claro. Sale de dos sitios: de que una obligación de medios solo se acredita mostrando los medios, y de que la propia Comisión Europea dice en sus preguntas frecuentes oficiales que las organizaciones pueden mantener un registro interno de las formaciones y demás iniciativas realizadas.

Si no lo documentas, a efectos prácticos no lo hiciste.

Lo que NO te pide

• Certificado oficial. La Comisión Europea lo dice literalmente: no hace falta certificado. Cualquiera que te venda uno como obligatorio te está vendiendo humo.
• Número mínimo de horas. No existe.
• Proveedor homologado ni formador acreditado. No hay registro de formadores, porque la norma no lo pide.
• Formato concreto. No hay plantilla oficial.
• Garantizar que tu gente aprenda. Desde el 27 de julio de 2026, expresamente no.

¿Y la multa?

Toca ser honesta. El artículo 99 enumera los artículos cuyo incumplimiento lleva multa tasada —el 5, el 16, el 22, el 23, el 24, el 26, el 31, el 33, el 34 y el 50—. El artículo 4 no está en esa lista. Su incumplimiento se rige por el régimen sancionador general que cada Estado miembro debe establecer. En España viene en el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, todavía en tramitación.

Lo que sí es firme: el 2 de agosto de 2026 empieza la aplicación general del Reglamento y la vigilancia por las autoridades nacionales. A partir de ahí pueden preguntarte. Y el día que estés en cualquier expediente por cualquier motivo, la pregunta de qué formación tenía quien usaba la herramienta va a salir.

Cumplir esto te cuesta una tarde. No cumplirlo te cuesta no tener nada que enseñar.

Formar a alguien en IA no es enseñarle a escribir prompts. Es que sepa cómo falla la herramienta. Porque falla de maneras concretas y repetidas, y todas tienen la misma pinta: la de una respuesta segura, bien escrita y equivocada.

1. Se lo inventa, y lo hace bien

Un modelo de lenguaje no consulta una base de datos: predice qué texto encaja. Cuando no sabe, no calla. Rellena. Y lo rellena con el mismo tono de seguridad que cuando acierta.

El caso que se cita siempre: Mata contra Avianca. Dos abogados de Nueva York presentaron ante un tribunal federal un escrito con seis sentencias que ChatGPT había inventado. Nombres, números de caso, citas internas. Todo falso. El 22 de junio de 2023 el juez Castel les impuso a ellos y a su despacho una sanción de 5.000 dólares y les obligó a escribir a cada juez cuyo nombre aparecía en las sentencias inventadas, para explicarles que no las habían dictado.

Lo peligroso no es que se equivoque. Es que se equivoca igual de convincentemente que cuando acierta. No hay señal. Por eso no puedes fiarte del tono.

Dónde te va a pasar a ti: metros cuadrados de un inmueble, plazos legales, importes, referencias catastrales, artículos de una ley, nombres de personas.

2. Sesgos

El modelo aprendió de textos escritos por personas, con los prejuicios de esas personas dentro. Reproduce lo que vio, y lo que vio no era neutral.

El caso de manual es Amazon. Desarrolló desde 2014 una herramienta interna que puntuaba currículums de una a cinco estrellas, y descubrió que penalizaba sistemáticamente a las mujeres: había aprendido de diez años de currículums recibidos, mayoritariamente de hombres. Llegó a penalizar el currículum solo por contener la palabra «women's» o el nombre de una universidad femenina. Abandonaron el proyecto, y se supo en octubre de 2018 cuando lo publicó Reuters.

Dónde te va a pasar: cualquier momento en que le pidas a la IA que elija, ordene, puntúe o descarte personas.

3. Datos confidenciales en un chat

Esto es lo que de verdad le va a pasar a una pyme española, y con diferencia.

Samsung, 2023. Según publicaron Bloomberg y Forbes, en veinte días hubo tres incidentes. Un ingeniero pegó código fuente propietario en ChatGPT para que le resolviera un error. Otro grabó una reunión interna, la transcribió y pegó la transcripción para que le hicieran el acta. Un tercero, una secuencia de pruebas de fabricación de chips. En mayo de 2023 Samsung prohibió la herramienta a toda la plantilla.

Cuando pegas algo en una herramienta de IA, ese texto sale de tu organización y llega a un servidor de un tercero. Según el producto y el plan que tengas contratado, puede usarse para entrenar. Y si son datos personales de tus clientes, no es solo un problema de IA: es un tratamiento de datos con todo lo que arrastra en el RGPD.

4. Decisiones sin revisar

El fallo silencioso. Nadie se equivoca: simplemente nadie mira. Se copia y se pega.

El presupuesto que sale con un cero de más. El correo que le dice al cliente algo que no habías prometido. El contrato con una cláusula que la IA consideró estándar y no lo era en España. La publicación con el nombre del cliente anterior, porque la conversación venía de antes.

No hay caso famoso porque este fallo no sale en los periódicos. Sale en tu cuenta de resultados.

5. Confundir fluidez con competencia

El más difícil de ver, porque es tuyo. La IA escribe mejor que la mayoría de la gente, y eso hace que un texto bien escrito parezca un texto bien pensado. No es lo mismo.

Un análisis de mercado redactado impecablemente puede estar basado en datos de 2021, de otro país y de otro sector. Se lee estupendamente. Y es inútil.

Cuanto más segura suena una respuesta y menos capaz eres tú de verificarla, más peligrosa es.

Si le preguntas algo que sabes, detectas el error al momento. Si le preguntas algo que no sabes —que es justo para lo que la usas—, no lo detectas.

Ya sabes cómo falla. Ahora, qué haces tú. Supervisar no es leerlo todo dos veces: eso no lo hace nadie y por eso no funciona. Es saber dónde mirar.

Antes de usar una respuesta, una sola pregunta:
Si esto está mal, ¿quién lo paga y cuánto?

Si la respuesta es «nadie, lo reescribo», tira para adelante. Si la respuesta es «un cliente», «mi reputación» o «un juzgado», comprueba. De ahí salen tres niveles.

Nivel 1: úsalo y ya

Cuando el error es tuyo, barato y reversible: lluvia de ideas, títulos, enfoques, reescribir un texto que tú ya has escrito, resumir un documento que tú tienes delante, traducir algo que vas a revisar igualmente, ordenar tus propias notas.

Aquí no hace falta comprobar nada, y no porque comprobar esté mal, sino porque el error no le cuesta nada a nadie: si no sirve, lo tiras y lo pides otra vez. Guárdate el tiempo de revisión para los dos niveles siguientes.

Nivel 2: comprueba lo comprobable

Cuando el texto sale de tu casa o entra en algo que firmas. Regla: no revises el texto, revisa los datos duros.

Los datos duros son: cifras, fechas, nombres propios, referencias legales, direcciones, plazos, precios, porcentajes, cualquier afirmación sobre el mundo que no hayas escrito tú.

Método, y tarda dos minutos:

• Léelo una vez buscando solo datos, no estilo.
• Subraya cada dato duro.
• Comprueba cada uno en la fuente: la escritura, el BOE, tu propio CRM, la web oficial.
• Lo que no puedas comprobar, bórralo. Un texto sin ese dato es mejor que un texto con un dato falso.

Nivel 3: la IA propone, tú decides

Cuando afecta a una persona, a un compromiso o a dinero.

La IA puede ayudarte a pensar. La decisión y la firma son tuyas, y tienes que ser capaz de explicar la decisión sin mencionar a la IA. Si tu única razón es «lo dijo ChatGPT», no tienes razón.

Este nivel no es un consejo mío. Para los sistemas de alto riesgo, el artículo 26 exige supervisión humana por personas con competencia, formación y autoridad suficientes —y con la capacidad real de no seguir la recomendación—. Si tú no estás en alto riesgo no te obliga, pero el criterio es el bueno y te vale igual.

Lo que no se delega nunca

• La decisión final sobre una persona. Contratar, despedir, alquilar, dar o no dar crédito.
• La responsabilidad. Ante un cliente, ante Hacienda, ante un juez, quien responde eres tú. «Lo hizo la IA» no es una defensa.
• Lo que no entiendes. Si no eres capaz de detectar un error en la respuesta, no estás supervisando: estás obedeciendo.
• La relación con el cliente cuando el asunto es delicado. Una reclamación, un problema, una mala noticia. Se nota, y se nota mal.

Cinco señales de que hay que parar y comprobar

• La respuesta cita una fuente concreta: una sentencia, un artículo, un estudio.
• Da cifras exactas que tú no le has dado.
• Habla de normativa española o de plazos legales.
• Responde muy rápido y muy seguro a algo que sabes que es complicado.
• Te dice lo que querías oír. Estos modelos tienden a darte la razón.

Y por si crees que esto es cosa mía, mira lo que pone al pie de la propia herramienta, debajo de la caja donde escribes:

Y una cosa que sí puedes hacer hoy: escribe media hoja con las normas de uso de IA en tu negocio. Qué herramientas se pueden usar, qué no se pega nunca en ellas, y qué hay que revisar siempre antes de que salga. Media hoja, y entra directa en tu registro como «medida adoptada».

Del artículo 4 te libras con una tarde. Del RGPD no te libras nunca, y lleva multas tasadas desde 2018. Este es el módulo donde el riesgo real deja de ser teórico.

Dos normas a la vez

El Reglamento de IA y el Reglamento General de Protección de Datos se aplican en paralelo. Cumplir uno no te exime del otro. Cuando metes datos personales en una herramienta de IA estás haciendo un tratamiento de datos personales con todas las consecuencias: base jurídica, información al interesado, contrato con el encargado, seguridad, plazo de conservación.

La diferencia práctica: el artículo 4 no tiene multa tasada. El RGPD sí, y llega hasta 20 millones de euros o el 4 % de la facturación mundial. La Agencia Española de Protección de Datos lleva años sancionando y sabe perfectamente cómo hacerlo.

Lo que no se mete jamás

• Datos de salud. Informes médicos, bajas, diagnósticos, partes de accidente.
• Ideología, religión, afiliación sindical, orientación sexual, origen racial o étnico. Son categorías especiales del artículo 9 del RGPD.
• Datos biométricos: huellas, reconocimiento facial, voz para identificar a alguien.
• Datos de menores.
• Antecedentes penales o datos de infracciones.
• Credenciales: contraseñas, claves de API, accesos a sistemas.
• Documentación de identidad: DNI, NIE, pasaporte. Ni el número ni el escaneo.
• Datos bancarios: IBAN, tarjetas.
• Información bajo secreto profesional o acuerdo de confidencialidad.

Lo que se puede meter, con cuidado

• Textos sin datos personales dentro.
• Documentos anonimizados de verdad. Anonimizar no es quitar el nombre: es quitar todo lo que permita identificar a alguien, incluida la combinación de datos. Un piso, una calle y una fecha de compraventa identifican a una persona aunque no aparezca su nombre.
• Datos propios de tu negocio que no sean personales ni confidenciales.
• Datos personales cuando tengas base jurídica, hayas informado al interesado y hayas firmado el encargo de tratamiento. Es posible. No es improvisable.

Así se ve funcionando, en una herramienta real y en un encargo real:

Cuatro cosas que sí puedes hacer esta semana

1. Mira qué plan tienes contratado. No es lo mismo la versión gratuita que un plan de empresa. Los de empresa suelen incluir compromiso de no entrenar con tus datos y permiten firmar el contrato de encargado. Búscalo y guarda la captura: es evidencia.

2. Impide que entrenen con tus conversaciones. Casi todas las herramientas tienen un ajuste para esto, escondido en «controles de datos» o similar. Búscalo y déjalo en la posición que NO permite el entrenamiento — según la herramienta eso significa apagar un interruptor o desmarcar una casilla, así que fíjate en cómo queda, no en lo que hiciste para llegar ahí. Haz una captura de la pantalla ya configurada: esa captura es la evidencia.

3. Firma el encargo de tratamiento. Si metes datos personales de clientes, el proveedor es un encargado del tratamiento y necesitas contrato con él, más comprobar dónde se almacenan los datos y qué garantías hay si salen de la UE.

4. Escribe la regla de sustitución y dísela a tu gente. Antes de pegar nada: fuera nombres, fuera DNI, fuera direcciones, fuera teléfonos. Se sustituyen por «CLIENTE A», «INMUEBLE 1». La IA hace exactamente el mismo trabajo, y lo que sale de tu casa ya no identifica a nadie.

El error que va a cometer alguien de tu equipo

No va a ser malicioso. Va a ser el jueves a las siete de la tarde, con prisa, pegando el correo entero de un cliente enfadado —con su nombre, su teléfono y su número de expediente— para que le ayuden a redactar una respuesta educada.

Es el uso más razonable del mundo. Y acaba de salir de tu organización información personal de un tercero, sin base jurídica, sin información al interesado y sin contrato.

Por eso el artículo 4 existe. No para que tu gente sepa qué es una red neuronal, sino para que sepa que ese jueves hay que quitar el nombre antes de pegar.

Este es el módulo por el que hice la guía. Lo anterior es explicar la norma. Esto es lo único que te van a pedir si algún día alguien pregunta: el papel.

Por qué la evidencia es la guía

Desde el 27 de julio de 2026 el artículo 4 es una obligación de medios: te pide adoptar medidas para apoyar la promoción de la alfabetización, y dice expresamente que no exige que garantices un nivel específico de alfabetización de ninguna persona en particular.

Piensa en lo que eso significa cuando alguien pregunta. No te van a examinar a tu gente. Te van a preguntar qué medidas adoptaste. Y esa pregunta solo se contesta de una manera: enseñando algo.

La Comisión Europea, en sus preguntas frecuentes oficiales, lo dice sin rodeos: no hace falta certificado, y las organizaciones pueden mantener un registro interno de las formaciones y demás iniciativas realizadas.

El registro: qué tiene que contener

1. Quién eres. Nombre o razón social, NIF, actividad, número de personas que usan IA, fecha.

2. Qué herramientas usas. El inventario del módulo 2: herramienta, para qué la usas, quién la usa y en qué nivel de riesgo cae. Sin esto lo demás no se sostiene, porque la proporcionalidad se mide contra esto.

3. Qué medidas has adoptado. La formación recibida —esta guía, con su temario y su fecha—, cualquier otra, y las normas internas que hayas escrito. Media hoja de normas de uso cuenta como medida y hay que anotarla.

4. Por qué ese nivel es proporcional. El bloque que casi todo el mundo se salta y el que de verdad te defiende. Un párrafo escrito por ti: uso estas herramientas, para esto, todo cae en riesgo mínimo, no tomo decisiones automatizadas sobre personas, y por eso una formación básica documentada es proporcional. Con tus palabras, no copiado.

5. Revisión. Fecha de la próxima revisión y qué la dispararía antes: una herramienta nueva, un uso nuevo, un cambio de normativa. Un registro con fecha de revisión demuestra que hay un proceso vivo. Uno sin ella demuestra que rellenaste un papel una tarde.

El certificado: para qué sirve y para qué no

Para qué sirve: para archivarlo junto al registro como prueba de que una persona concreta hizo una formación concreta en una fecha concreta. Si tienes gente, uno por persona.

Para qué no sirve: no es un título oficial, no lo homologa nadie y no te acredita ante ninguna autoridad por sí solo. No existe ningún certificado que haga eso, porque la norma no lo contempla.

Su valor es exactamente el mismo que el de un parte de asistencia a un curso interno. Que es precisamente lo que la Comisión dice que vale.

Los cuatro pasos, hoy

• Rellena el inventario. Diez minutos: las herramientas que usaste esta semana.
• Rellena el registro. Media hora. Lo largo es el párrafo de proporcionalidad, y escribirlo tú es el punto.
• Genera el certificado, tuyo y de cada persona que use IA en tu negocio. Lo tienes justo debajo.
• Guárdalo donde lo encuentres. Una carpeta «Cumplimiento IA» junto a lo del RGPD, con la fecha en el nombre del archivo. Si tardas veinte minutos en encontrarlo el día que te lo pidan, es como no tenerlo.

Al terminar esto has hecho una formación proporcional a tu riesgo, y tienes documentado qué formación, quién la hizo, cuándo, sobre qué herramientas y por qué ese nivel es el adecuado. Eso es exactamente lo que pide el artículo 4 en su redacción vigente. Ni más, ni menos.

Y cuando llegue el 2 de agosto y alguien pregunte, tú tendrás un folio. La mayoría no va a tener nada.