En resumen: La pregunta “¿cuánto necesito entender sobre la IA?” dejó de ser una cuestión de ambición personal para convertirse en parte en una especificación jurídica. El artículo 4 del Reglamento de IA de la Unión Europea, en vigor desde el 2 de febrero de 2025, exige a los proveedores y a los responsables del despliegue de sistemas de IA que garanticen un nivel suficiente de alfabetización en materia de IA entre su personal y entre cualquier persona que opere sistemas por cuenta de ellos. El resto del Reglamento pasó a ser aplicable con carácter general el 2 de agosto de 2026. La norma define la alfabetización en IA en el artículo 3, punto 56, como las capacidades, los conocimientos y la comprensión que permiten un despliegue informado de los sistemas de IA y la toma de conciencia sobre las oportunidades, los riesgos y los posibles perjuicios. El artículo 14 va más allá y enumera lo que debe poder hacer la persona encargada de supervisar un sistema de alto riesgo: entender las capacidades y los límites del sistema, resistir el sesgo de automatización, interpretar correctamente la salida, decidir no utilizarlo y detenerlo. Por separado, el Marco de Gestión de Riesgos de IA del NIST organiza el trabajo sobre riesgos en cuatro funciones y nombra siete características de una IA fiable. Ninguno de los dos documentos se escribió para el profesional no técnico, pero leídos juntos lo describen con precisión. A continuación, la unión de ambos: una tabla verificada de las disposiciones que ya vinculan a trabajadores corrientes y una Matriz de Alfabetización del Operador que convierte esas obligaciones en cinco competencias con las que puede ponerse a prueba.
Existe un género familiar de artículo que promete volverle competente en IA y a continuación le entrega un glosario. Tokens, parámetros, datos de entrenamiento, alucinación, ajuste fino. Termina de leerlo sabiendo más palabras y sin ninguna capacidad nueva.
El enfoque del glosario fracasa por una razón estructural. El vocabulario es lo que hace falta para seguir una conversación sobre sistemas de IA. La competencia es lo que hace falta para responder de una decisión que uno de esos sistemas influyó. Son cosas distintas, y a las personas con empleos corrientes ahora solo se les pide la segunda.
Lo que cambió es que la pregunta obtuvo una respuesta externa. Los reguladores, tras asumir que los sistemas de IA serían operados en gran medida por personas no especialistas, tuvieron que dejar por escrito de qué deben ser capaces esas personas. Esa respuesta escrita no es completa y no es un plan de estudios. Pero es la primera especificación de comprensión técnica mínima viable que no procede de alguien que quiere venderle un curso.
Las disposiciones que ya vinculan a los trabajadores corrientes
La cobertura del Reglamento de IA se concentra en las prohibiciones y en las obligaciones de los proveedores de modelos. Ambas cosas importan, y ninguna de las dos es la parte que afecta a una responsable de marketing, a un seleccionador de personal o a una analista financiera. Las partes que sí lo hacen son más estrechas y una de ellas es más antigua de lo que la mayoría supone.
La tabla siguiente recoge las disposiciones tal como aparecen en el texto del Diario Oficial del Reglamento (UE) 2024/1689, con las fechas de aplicación fijadas en el artículo 113.
| Disposición | Qué exige | A quién vincula | Aplicable desde |
|---|---|---|---|
| Artículo 4 (alfabetización en IA) | Adoptar medidas para garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en materia de IA del personal y de otras personas que operen sistemas por cuenta de ellos, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación, su formación y el contexto de uso | Proveedores y responsables del despliegue de sistemas de IA | 2 de febrero de 2025 (capítulo I) |
| Artículo 3, punto 56 (definición) | Define la alfabetización en IA como las capacidades, conocimientos y comprensión que permiten un despliegue informado y la conciencia sobre oportunidades, riesgos y posibles perjuicios | Definitorio; enmarca el artículo 4 | 2 de febrero de 2025 (capítulo I) |
| Artículo 5 (prácticas prohibidas) | Enumera las prácticas de IA que no pueden introducirse en el mercado, ponerse en servicio ni utilizarse | Todos los operadores | 2 de febrero de 2025 (capítulo II) |
| Artículo 14 (supervisión humana) | Los sistemas de alto riesgo deben poder ser supervisados de forma efectiva por personas físicas; quien supervise debe poder entender capacidades y límites, mantenerse alerta ante el sesgo de automatización, interpretar correctamente la salida, negarse a usar el sistema e interrumpirlo | Proveedores, con medidas que aplican los responsables del despliegue | 2 de agosto de 2026 |
| Artículo 50 (transparencia) | Las personas deben ser informadas de que interactúan con un sistema de IA salvo que resulte evidente; los contenidos sintéticos de audio, imagen, vídeo y texto deben marcarse en un formato legible por máquina | Proveedores y responsables del despliegue de determinados sistemas | 2 de agosto de 2026 (capítulo IV) |
| Anexo III, punto 4 (empleo) | Clasifica como de alto riesgo la IA usada para la contratación y la selección, incluida la publicidad selectiva de empleo, el filtrado de solicitudes y la evaluación de candidatos, así como la usada para decisiones de promoción o terminación, asignación de tareas y seguimiento o evaluación del rendimiento | Determina qué herramientas de trabajo conllevan obligaciones de alto riesgo | 2 de agosto de 2026 |
| Vía del artículo 6, apartado 1 | Clasificación de alto riesgo para sistemas de IA que sean componentes de seguridad de productos cubiertos por la legislación de armonización de la Unión | Sistemas integrados en productos | 2 de agosto de 2027 |
Dos elementos de esa tabla merecen más atención de la que suelen recibir.
El primero es la fecha del artículo 4. La alfabetización en IA pasó a ser una obligación dieciocho meses antes de que entrara en aplicación el grueso del Reglamento. Se situó en el capítulo I, las disposiciones generales, y el capítulo I se aplica desde el 2 de febrero de 2025. Las organizaciones que esperaban a agosto de 2026 para pensar en la capacitación de su personal ya iban tarde.
El segundo es el punto 4 del anexo III. La categoría de alto riesgo suele imaginarse como algo exótico: productos sanitarios, identificación biométrica, infraestructuras críticas. También abarca el filtrado de candidaturas y el seguimiento del rendimiento de los empleados. Eso es software corriente de recursos humanos. Significa que la persona con más probabilidades de acabar designada como supervisora humana de un sistema de IA de alto riesgo no es una ingeniera. Es una seleccionadora de personal.
Lo que la norma dice de un operador competente
El artículo 14 es el único lugar del Reglamento donde las capacidades exigidas a un ser humano se enumeran en lugar de insinuarse. Establece que el sistema debe facilitarse de modo que la persona encargada de la supervisión pueda, según resulte adecuado y proporcionado, hacer cinco cosas.
Entender adecuadamente las capacidades y los límites pertinentes del sistema. Mantenerse consciente de la posible tendencia a confiar de forma automática o excesiva en la salida, que el texto denomina sesgo de automatización, en particular cuando el sistema aporta información o recomendaciones para una decisión que tomará una persona física. Interpretar correctamente la salida. Decidir, en cualquier situación concreta, no utilizar el sistema o ignorar, anular o revertir su salida. E intervenir en el funcionamiento o interrumpir el sistema mediante un botón de parada o un procedimiento equivalente que permita detenerlo de forma segura.
Lea esa lista como una descripción de puesto y no como una cláusula de cumplimiento, y algo se vuelve evidente. Ninguna de esas cinco capacidades exige saber cómo funciona un transformador. Todas exigen saber para qué sirve este sistema concreto, dónde falla y qué significa su salida. Es un tipo de conocimiento técnico distinto del que tienen los ingenieros, y no es un tipo inferior.
La cuarta capacidad reencuadra todo lo demás. La norma da por supuesto que la competencia incluye la legitimidad para negarse. Un operador que no puede decir “no voy a usar esta salida” no ha sido alfabetizado, sea cual sea la formación que haya recibido.
La otra mitad: qué añade el marco de riesgos
El Reglamento de IA le dice de qué debe ser capaz. No le dice qué mirar. Para eso, la referencia pública más utilizada es el Marco de Gestión de Riesgos de IA del NIST, publicado como NIST AI 100-1 y redactado para ser voluntario, independiente del sector y utilizable por organizaciones de cualquier tamaño.
Dos de sus estructuras resultan directamente útiles para quien no es especialista.
El marco organiza el trabajo sobre riesgos en cuatro funciones: GOVERN, MAP, MEASURE y MANAGE, con la gobernanza concebida para atravesar las otras tres en lugar de situarse junto a ellas. Y nombra siete características de los sistemas de IA fiables: válidos y fiables; seguros; resistentes y resilientes; responsables y transparentes; explicables e interpretables; con protección de la privacidad; y justos, con los sesgos perjudiciales gestionados.
El NIST publicó después un documento complementario específico para sistemas generativos, el Generative AI Profile, aparecido en julio de 2024 como NIST AI 600-1. Enumera doce riesgos exclusivos de la IA generativa o agravados por ella, y dos de ellos corresponden a la lista de cualquier operador no técnico. El primero es la confabulación, que el NIST define como la producción de contenidos formulados con seguridad pero erróneos o falsos, y que identifica de forma explícita con el fenómeno conocido coloquialmente como alucinación. El segundo es la configuración humano-IA, que el NIST describe como las disposiciones o interacciones entre una persona y un sistema de IA que pueden llevar a antropomorfizar indebidamente el sistema, o a la aversión algorítmica, el sesgo de automatización, la confianza excesiva o el vínculo emocional.
Ese segundo riesgo merece una pausa. El modo de fallo que nombra el NIST no es el modelo. Es la relación entre el modelo y la persona que lo usa, y funciona en ambas direcciones: confiar de más es un riesgo y desconfiar por reflejo también lo es. Nadie puede depurarle eso desde el lado de la ingeniería.
Las siete características son, en esencia, los modos de fallo enunciados como objetivos. Cada una describe una manera en que un sistema puede fallarle, y sobre cada una un operador no técnico puede formarse una opinión sin leer la documentación del modelo. Si una salida fue correcta es una cuestión de validez. Si usted puede decir por qué se produjo es una cuestión de explicabilidad. Si se comporta igual con distintos grupos de personas es una cuestión de equidad. Ninguna requiere código.
La Matriz de Alfabetización del Operador
Aquí es donde los dos documentos hacen juntos algo que ninguno hace solo. El Reglamento especifica capacidades sin decir qué inspeccionar. El NIST especifica qué inspeccionar sin decir quién debe ser capaz de hacerlo. Unirlos produce un conjunto de competencias para el profesional no técnico.
La matriz siguiente es un marco editorial de CEOtudent. Las dos columnas de la izquierda están documentadas, las dos de la derecha son nuestra síntesis y deben leerse como un argumento, no como un hallazgo.
| Competencia | Anclaje jurídico (Reglamento, art. 14, ap. 4) | Lente de riesgo (NIST AI 100-1) | La pregunta que debe poder responder | Cómo se ve la incompetencia |
|---|---|---|---|---|
| 1. Alcance | Entender las capacidades y los límites pertinentes del sistema | Válido y fiable | ¿Para qué se construyó este sistema y con qué tipo de entrada deja de ser fiable? | Usar una herramienta fuera de su finalidad prevista porque produjo una respuesta fluida |
| 2. Sospecha | Mantenerse consciente de la tendencia a confiar en exceso en la salida (sesgo de automatización) | Responsable y transparente | ¿En qué condiciones dudaría de esta salida y he comprobado hoy alguna de ellas? | Aprobar salidas cada vez más rápido a medida que se acumula una confianza sin pruebas |
| 3. Interpretación | Interpretar correctamente la salida del sistema | Explicable e interpretable | ¿Sé qué mide realmente esta puntuación, este ranking o este valor de confianza? | Tomar un ranking por un juicio, o un valor de confianza por una probabilidad de acertar |
| 4. Rechazo | Decidir no usar el sistema, o ignorar, anular o revertir su salida | Justo, con sesgos perjudiciales gestionados | ¿Con qué fundamentos puedo rechazar esta salida y lo he hecho alguna vez? | No haber anulado nunca el sistema y no disponer de un proceso que lo permita |
| 5. Interrupción | Intervenir o detener el sistema de forma segura | Seguro; resistente y resiliente | ¿Quién detiene esto, cómo, y cuánto tarda en detenerse? | Nadie en la sala sabe quién tiene la autoridad para apagarlo |
La matriz es deliberadamente corta. Cinco competencias, cada una rastreable hasta una capacidad jurídica concreta y una característica de fiabilidad concreta. Si un programa de formación no puede mostrar dónde desarrolla cada una de las cinco, está enseñando vocabulario.
Fíjese en lo que falta. No hay fila para la arquitectura del modelo, ni para el volumen de datos de entrenamiento, ni para la técnica de prompt. Todo eso merece aprenderse y no es el suelo. El suelo es la capacidad de responder de una decisión que el sistema influyó, y la propia lista del Reglamento es mejor guía para eso que cualquier plan de estudios que se venda hoy.
Leer la matriz frente a su semana real
La matriz rinde cuando la aplica a un sistema que ya usa en lugar de a la IA en abstracto.
Elija una herramienta en la que su equipo se apoyó esta semana. Un filtro de candidaturas, un modelo de previsión, un asistente de redacción, una alerta de fraude. Después responda por escrito a las cinco preguntas, en orden, y fíjese en cuáles no sabe responder.
La mayoría descubre que puede responder parcialmente la uno y la tres. Sabe aproximadamente para qué sirve la herramienta y aproximadamente qué significa su salida. Falla en la dos, la cuatro y la cinco. No tiene condiciones declaradas bajo las cuales dudaría, ni fundamentos sobre los que pueda rechazar, ni idea de quién la detiene.
Esa distribución merece tomarse en serio, porque la dos, la cuatro y la cinco son las competencias que hacen real la supervisión. La uno y la tres le convierten en usuario informado. La dos, la cuatro y la cinco le convierten en operador. El Reglamento pide lo segundo.
Si quiere desarrollar la capacidad de fondo en vez de la lista de verificación, los trabajos relacionados en este sitio son el lugar para seguir: la distinción entre saber de IA y trabajar con soltura con ella en alfabetización frente a fluidez en IA, el argumento de por qué la habilidad con los prompts no basta en la ingeniería de prompts no es suficiente, los conceptos previos a delegar trabajo en sistemas autónomos en alfabetización en agentes, la habilidad que desplaza al oficio del prompt en qué es la ingeniería de contexto, y la cuestión de dónde invertir el tiempo de aprendizaje en qué herramientas de IA merecen un aprendizaje profundo.
Dónde tiene límites este enfoque
Tres advertencias honestas.
El Reglamento de IA es derecho europeo. Si trabaja fuera de la Unión Europea y su empleador no introduce sistemas en el mercado de la Unión ni utiliza salidas en la Unión, nada de esto le vincula. Las competencias siguen siendo transferibles, porque se dedujeron de lo que la supervisión exige realmente, pero la obligación no lo es.
El artículo 4 está redactado en términos blandos. Exige medidas para garantizar, en la mayor medida posible y atendiendo al contexto, un nivel suficiente de alfabetización. No es un estándar verificable, y el Reglamento no le vincula ningún requisito de formación concreto. Tratarlo como un mandato preciso fuerza el texto.
Y la matriz es una síntesis, no un estándar codificado. El Reglamento no remite al NIST, y el NIST no remite al Reglamento. Ponerlos en correspondencia es nuestro juicio editorial sobre lo que la superposición implica. Otra persona podría establecer una correspondencia distinta e igualmente defendible.
Nada de eso cambia el desplazamiento de fondo. Durante la mayor parte de la última década, entender los sistemas de IA fue opcional para los profesionales no técnicos y premiaba a los curiosos. Ahora está especificado, fechado y, en una jurisdicción, es obligatorio. A quienes les irá bien no es a los que memorizaron el glosario. Es a los que pueden decir, de un sistema concreto, un martes concreto, exactamente qué hace mal y qué van a hacer al respecto.
Preguntas frecuentes
¿Significa el artículo 4 que mi empleador tiene que enviarme a un curso de IA?
No. El texto exige a proveedores y responsables del despliegue adoptar medidas para garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en IA, teniendo en cuenta los conocimientos técnicos, la experiencia, la educación, la formación y el contexto de uso. No especifica formato, temario, certificado ni número de horas. Una sesión interna estructurada sobre los sistemas que usted realmente opera se acerca más a lo que describe la disposición que un curso genérico.
No soy técnico. ¿De verdad se espera que supervise un sistema de alto riesgo?
Con frecuencia, sí. El punto 4 del anexo III clasifica como de alto riesgo la IA usada para contratación, filtrado de solicitudes, evaluación de candidatos, decisiones de promoción y terminación, asignación de tareas y seguimiento del rendimiento. Esos sistemas los operan recursos humanos y mandos intermedios, no ingenieros. El artículo 14 sitúa la capacidad de supervisión en la persona física designada, sea quien sea.
¿Qué es el sesgo de automatización y por qué aparece nombrado en la norma?
Es la tendencia a confiar de forma automática o excesiva en la salida de un sistema automatizado. El Reglamento lo nombra expresamente en el artículo 14 como algo de lo que la persona supervisora debe mantenerse consciente, y destaca el caso en que un sistema aporta información o recomendaciones para una decisión que formalmente toma una persona. Ese es el caso habitual en el trabajo: el sistema no decide, sugiere, y la persona aprueba.
¿Es obligatorio el marco del NIST?
No. NIST AI 100-1 es un marco voluntario. Aparece aquí porque aporta las categorías de inspección que el Reglamento deja abiertas y porque sus siete características de fiabilidad las puede usar alguien que no sabe leer documentación de modelos.
¿Cuándo entró realmente en aplicación el Reglamento de IA de la Unión Europea?
El artículo 113 fija la fecha general de aplicación el 2 de agosto de 2026. Los capítulos I y II, que contienen las definiciones, el artículo 4 sobre alfabetización en IA y las prácticas prohibidas, se aplicaron antes, desde el 2 de febrero de 2025. El capítulo III sección 4, el capítulo V, el capítulo VII, el capítulo XII y el artículo 78 se aplicaron desde el 2 de agosto de 2025. El artículo 6, apartado 1, que cubre los sistemas de IA que son componentes de seguridad de productos regulados, y sus obligaciones correspondientes se aplican desde el 2 de agosto de 2027.
¿Qué competencia debería construir primero?
El rechazo. Es la que casi nadie ha ejercido nunca, la que revela si la supervisión es real o ceremonial, y la única que exige un cambio de proceso en lugar de un cambio de conocimiento. Si no existe una vía por la que usted pueda rechazar una salida y que ese rechazo se sostenga, las otras cuatro competencias no tienen adónde ir.
Fuentes
- Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial, Diario Oficial de la Unión Europea, artículo 3, punto 56, sobre la definición de alfabetización en materia de IA
- Reglamento (UE) 2024/1689, artículo 4 sobre alfabetización en materia de IA y artículo 5 sobre prácticas de IA prohibidas, capítulo I y capítulo II
- Reglamento (UE) 2024/1689, artículo 14 sobre supervisión humana y artículo 50 sobre obligaciones de transparencia
- Reglamento (UE) 2024/1689, artículo 113 sobre entrada en vigor y aplicación, y anexo III punto 4 sobre empleo y gestión de los trabajadores
- National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework (AI RMF 1.0), NIST AI 100-1, Departamento de Comercio de los Estados Unidos, enero de 2023
- National Institute of Standards and Technology, Artificial Intelligence Risk Management Framework: Generative Artificial Intelligence Profile, NIST AI 600-1, julio de 2024
Este contenido fue recopilado con el apoyo de la IA tras una investigación exhaustiva, y luego redactado y preparado para su publicación por el equipo editorial de CEOtudent.
This post is also available in:
