Cumple el Art. 4
mientras formas a tu equipo.

Sí. El Reglamento no establece umbral mínimo de plantilla. Si la empresa despliega cualquier sistema de IA con su personal —ChatGPT, Copilot en Microsoft 365, Gemini en Google Workspace, una herramienta sectorial con IA integrada— queda dentro del ámbito subjetivo. Una asesoría de 5 personas que use IA generativa para borradores o resúmenes está obligada a documentar la alfabetización de esas 5 personas.

Cualquier sistema que cumpla la definición del Art. 3.1 del Reglamento: sistemas basados en máquinas que, a partir de entradas, generan salidas como predicciones, contenido, recomendaciones o decisiones. En la práctica entra todo: asistentes generativos, traductores automáticos, transcriptores con IA, OCR avanzado, herramientas de extracción de datos, agentes integrados en CRMs, generadores de imagen.

La AESIA puede actuar de oficio o a instancia de parte. No notifica con antelación obligatoria. Las inspecciones más probables responden a denuncias —de empleados, clientes, ex-trabajadores, competencia— o a campañas sectoriales. El expediente de alfabetización debe estar listo en todo momento, no preparado a posteriori.

El Art. 4 obliga a 'adoptar medidas' verificables. Sin documento firmado por la plantilla, sin acreditación nominal y sin registro de cuentas corporativas, la inspección concluye que no se ha cumplido la obligación. La consecuencia no es solo la sanción del Art. 99: es la dificultad de defenderse ante una reclamación laboral o un incidente de protección de datos posterior.

Solo si la formación está adaptada al contexto previsto de uso y al nivel previo de cada persona, como exige el texto literal del artículo. Un MOOC genérico de 'introducción a la IA' no acredita que una abogada laboralista haya aprendido a usar IA en su trabajo concreto. La AESIA evalúa adecuación, no solo asistencia.

No. FUNDAE es un mecanismo de bonificación de la cuota de formación profesional, no un sello de cumplimiento normativo. Una formación puede ser 100% bonificable y, a la vez, no cumplir el Art. 4 si no está adaptada al puesto, al nivel previo y al sistema concreto que la persona usa. Ambas dimensiones —bonificación y cumplimiento— deben coincidir.

Son obligaciones acumulativas, no alternativas. El RGPD regula el tratamiento de datos personales que la IA pueda procesar; el Art. 4 regula que el personal sepa usar la IA correctamente. Una política IA bien escrita cubre ambos planos: qué se puede introducir en un prompt, qué cuenta corporativa se usa, qué proveedor tiene firmado el contrato de encargado del tratamiento del Art. 28 RGPD.

El Art. 4 no obliga a designar DPO. La obligación de DPO sigue las reglas del RGPD (Art. 37): tratamiento a gran escala de categorías especiales, observación sistemática, organismos públicos. En una asesoría o despacho que use IA con datos de clientes, la figura del DPO puede ser recomendable por el RGPD, no por el Reglamento de IA.

Las actuaciones administrativas siguen la Ley 40/2015 y la Ley 39/2015. La AESIA puede notificar requerimientos documentales previos o personarse en visita de inspección según el caso. La obligación de tener el expediente al día no depende del aviso: el Art. 4 ya está vigente, la documentación debe existir hoy.

El Reglamento no fija periodicidad concreta. La práctica razonable —y la que está adoptando la mayoría de empresas que asesoramos— es revisión a los 6 meses y renovación formal cada 12 meses, alineada con la rápida evolución de las herramientas. Cada incorporación de nuevo personal o de nueva herramienta también dispara una actualización del expediente.

Sí. Desde el 2 de agosto de 2026 la AESIA tiene potestad sancionadora completa sobre cualquier empresa privada que despliegue sistemas de IA con su personal, sin umbral mínimo de plantilla. La inspección puede iniciarse de oficio o tras denuncia. El Proyecto de Ley Orgánica IA aprobado el 26 de mayo de 2026 mantiene la proporcionalidad por tamaño como atenuante, pero no exime a las PYMES. Una empresa de 8 personas con ChatGPT activado y sin política IA firmada está expuesta exactamente igual que una de 80.

Los techos del Art. 99 del Reglamento UE 2024/1689 son los mismos para cualquier tamaño: hasta 35 millones de euros o el 7% del volumen de negocio mundial para infracciones del Art. 5 (prácticas prohibidas); hasta 15 millones o el 3% para infracciones del Art. 50 (transparencia) y para incumplimientos del Art. 4 (alfabetización). En una PYME pequeña la sanción real aplicada por desconocimiento documentado se sitúa muy por debajo, con reducciones por pronto pago y por adopción de medidas correctoras. El Proyecto de Ley Orgánica IA español incorpora atenuantes específicos para empresas con plantilla reducida y primera infracción.

El Proyecto de Ley Orgánica IA aprobado el 26 de mayo de 2026 regula en su Art. 29.4 un canal externo de información dentro de la AESIA. Permite a cualquier persona —empleado actual, ex-trabajador, cliente, competencia— comunicar de forma anónima un posible incumplimiento del Reglamento UE de IA por parte de una empresa. La AESIA está obligada a evaluar la información recibida y, si procede, iniciar actuaciones de oficio. Para una PYME esto significa que la política IA firmada y la formación documentada del equipo dejan de ser un papel formal y pasan a ser una protección real frente a denuncias internas.