Reglamento europeo de inteligencia artificial · qué obliga a una PYME

Desde febrero de 2025 conviven dos lecturas extremas del Reglamento UE 2024/1689 en el tejido empresarial catalán. Por un lado, una parte importante de la pequeña y mediana empresa todavía considera que la norma solo afecta a grandes corporaciones tecnológicas. Por otro, han aparecido formaciones y servicios de consultoría que utilizan el miedo a las sanciones como argumento comercial principal. Ninguno de los dos enfoques sirve para una asesoría de seis personas en Granollers o un despacho de abogados de diez en Lleida. Este artículo intenta ofrecer una tercera vía: leer el Art. 4 tal como está redactado, entender qué exige y qué no exige, y traducirlo a movimientos concretos que una empresa pequeña puede hacer en una semana sin disparar el presupuesto.

El Art. 4 del Reglamento UE 2024/1689 obliga a los proveedores y a los responsables del despliegue de sistemas de IA a adoptar medidas para garantizar un nivel suficiente de alfabetización en IA de su personal, teniendo en cuenta los conocimientos previos, la experiencia, la formación y el contexto previsto de uso. Es una obligación de medios, no de resultado: la empresa tiene que acreditar que ha hecho algo razonable, adaptado a cada puesto. No exige uniformidad: la sensibilidad legal pedida a un técnico contable que prepara modelos fiscales no es la misma que la pedida a la persona de recepción que solo redacta correos. La proporcionalidad es parte del propio articulado.

El Art. 4 es aplicable desde el 2 de febrero de 2025. Aplica a cualquier empresa, también PYMEs, que despliegue IA con su personal. La palabra clave aquí es desplegar: no significa programar, ni desarrollar, ni alojar. Significa simplemente poner la herramienta a disposición del equipo. Si alguien del equipo abre ChatGPT, Claude, Gemini o Copilot para trabajar, la empresa es responsable del despliegue, y eso significa que la obligación de alfabetización ya está activa. Esto incluye también funcionalidades de IA incrustadas en software de gestión, CRM o suites ofimáticas: Microsoft 365 Copilot, Google Workspace con Gemini integrado o asistentes dentro del propio software sectorial son todos sistemas IA a efectos del Reglamento.

El propio Reglamento define alfabetización como el conjunto de competencias, conocimientos y comprensión que permiten utilizar la IA con consciencia de sus posibilidades y riesgos. Para una PYME de servicios profesionales en Cataluña se traduce en algo concreto: saber qué herramienta se usa, para qué, con qué datos, qué decisiones puede tocar y dónde está el límite del criterio profesional humano. No se pide que el equipo sepa explicar la arquitectura interna de un modelo de lenguaje. Se pide que sepa cuándo una respuesta puede ser plausible pero falsa, qué información no se pega nunca en una cuenta sin DPA y qué decisiones quedan siempre del lado del profesional firmante. La distancia entre estas dos lecturas es lo que separa una formación útil de un webinar olvidado.

El Art. 99 del Reglamento UE 2024/1689 fija el régimen sancionador. Las sanciones más altas, hasta 35 millones de euros o el 7% del volumen de negocio anual mundial, se reservan para prácticas prohibidas del Art. 5. Para incumplimientos de otras obligaciones del Reglamento, incluida la del Art. 4, el techo es hasta 15 millones de euros o el 3% del volumen de negocio. Cifras pensadas para grandes corporaciones, no para una asesoría con diez personas. Pero la disuasión no es lo único relevante. Para una PYME, el riesgo realista no es una sanción AESIA directa, sino que en una inspección RGPD, una queja de cliente o un litigio aparezca un dato pegado donde no debía y la empresa no tenga ninguna documentación que acredite haber formado al equipo.

Sin entrar en formalismos de auditoría: una acreditación nominal por persona, adaptada a su puesto, con fecha y responsable; una política interna escrita sobre uso de IA con datos de clientes; constancia de qué cuentas corporativas se usan y bajo qué condiciones contractuales. No hace falta más, pero esto sí. El expediente razonable cabe en una carpeta digital ordenada por trabajador, con cuatro documentos: certificado nominal, política firmada por la persona, copia del DPA del proveedor IA usado y un registro breve de en qué tareas se está aplicando. La calculadora de cumplimiento Art. 4 ayuda a estimar en qué punto está la empresa hoy.

No exige un certificado homologado, ni una titulación oficial, ni un curso de 60 horas. No exige tampoco que el personal sea experto técnico, ni que la empresa contrate auditoría externa preventiva, ni que la AESIA valide la formación de antemano. La norma se conforma con un nivel suficiente, adaptado al uso real. Eso abre la puerta a formación práctica, breve y aplicada, siempre que quede documentada por persona y proporcional al puesto. Cualquier proveedor que afirme entregar una formación obligatoria homologada por la UE está incurriendo en lectura abusiva: la homologación de cursos de IA por la UE no existe como tal todavía. Más detalle en la guía dedicada a empresas pequeñas.

El Reglamento UE de IA no sustituye al RGPD ni a las leyes sectoriales. Conviven en capas: el RGPD regula los datos personales, el Reglamento de IA regula la tecnología como tal, y las normas sectoriales (LGT Art. 95 en fiscalidad, LOPJ Art. 542.3 en abogacía, LOPD sanitaria reforzada en clínicas) añaden deberes específicos de confidencialidad. Una asesoría que use IA con datos fiscales de cliente cumple los tres niveles simultáneamente: cuentas corporativas con DPA Art. 28 RGPD, alfabetización documentada Art. 4 del Reglamento de IA, y respeto al secreto fiscal LGT. Lo tratamos también en el artículo sobre el mito del LOPD.

Durante un Octa de dos días presenciales en la oficina del cliente se introduce el marco legal el primer día, se trabaja persona a persona el segundo día sobre tareas reales, y se cierra con acreditación nominal firmada. El detalle del flujo está en la página del método: introducción en sala, implementación sobre archivos reales y handoff con expediente completo. Los seis meses de acompañamiento OctIA Sí! incluidos cubren la fase en la que aparecen las dudas reales, esa franja entre la semana cuatro y la semana doce en la que la mayoría de iniciativas de IA en PYMEs se diluyen. Más sobre el detalle del Art. 4 en la página dedicada.

Hay cuatro tipos de empresa donde el Art. 4 se cruza con normas sectoriales especialmente exigentes y la documentación nominal cobra valor adicional. Las asesorías fiscales y contables operan bajo el deber de sigilo del Art. 95 LGT, lo que añade capa al RGPD ordinario. Los despachos de abogados están sujetos al Art. 542.3 LOPJ y al deontológico de la abogacía. Las clínicas privadas tratan datos de categoría especial Art. 9 RGPD, con riesgo sanitario reforzado. Y los administradores de fincas gestionan datos personales de comunidades bajo la LPH y, en Cataluña, el Libro V CCC. Para cada uno hay guía sectorial dedicada: asesorías, despachos, clínicas y administradores de fincas. Cada uno tiene además un análisis dedicado del marco legal cruzado con IA: LGT Art. 95 + IA en asesoría, LOPJ Art. 542 + IA en despacho, RGPD Art. 9 + IA en clínica privada y LPH + Libro V CCC + IA en administrador de fincas.

Cuatro lecturas equivocadas se repiten. Primera: pensar que solo aplica si la empresa usa IA explícitamente: la realidad es que muchas suites ofimáticas ya incorporan IA por defecto, y eso ya activa la obligación. Segunda: creer que un certificado de asistencia colectivo cubre el Art. 4: la norma habla de adaptación al puesto, lo que pide nominalización. Tercera: confundir alfabetización con curso técnico: lo que se pide es comprensión y criterio, no programación. Cuarta: posponer toda la decisión hasta que llegue una inspección: para entonces el coste de hacerlo bien es mucho más alto que el de hacerlo con calma.

La plantilla Política de Uso de IA para empleados es gratuita y resume las seis reglas mínimas que cualquier PYME puede adoptar mañana. No sustituye a una formación, pero deja una primera capa documental escrita y abre la conversación interna con la dirección. Para empresas que prefieren una primera capa formativa antes de cualquier decisión mayor, el curso introductorio a la IA de 590€ + IVA es la entrada más sobria. Si lo que se busca es validar si el caso de la empresa encaja con un Octa completo, la llamada de veinte minutos sirve para decidirlo sin guion comercial.