Cuando una pyme encarga a una asesoría, agencia, proveedor tecnológico o profesional independiente una tarea que utiliza inteligencia artificial, surge una duda concreta: ¿la empresa debe ocuparse también de que esa persona sepa usarla con criterio? La respuesta depende de la relación con el sistema y del trabajo realizado. El artículo 4 del Reglamento europeo de IA incluye a personas que operan o usan sistemas en nombre de proveedores o responsables del despliegue; no convierte automáticamente a cada proveedor comercial en destinatario de un curso idéntico.
La Comisión Europea menciona expresamente a contratistas y prestadores de servicios entre los ejemplos de personas que pueden estar dentro del ámbito. Para una pyme, esto invita a coordinar la formación según tareas, herramientas y riesgos, sin trasladar a terceros una obligación indiscriminada ni confiar solo en una cláusula contractual. Esta guía explica cómo delimitar el caso y organizar medidas proporcionadas.
Qué dice ahora el artículo 4 del Reglamento de IA
El Reglamento (UE) 2026/1744, en vigor desde julio de 2026, modificó el artículo 4 del Reglamento de IA. La redacción actual pide a proveedores y responsables del despliegue que adopten medidas para apoyar el desarrollo de la alfabetización en IA de su personal y de otras personas que se ocupan del funcionamiento y uso de sistemas en su nombre. Entre los factores que deben considerarse están los conocimientos técnicos, la experiencia, la educación y formación, el contexto de uso y las personas o grupos sobre quienes se utiliza el sistema.
La modificación aclara que no se exige garantizar un nivel específico de alfabetización a cada individuo. Tampoco prescribe un curso universal, un certificado obligatorio ni un número fijo de horas. Eso no significa que la organización pueda ignorar cómo se usan los sistemas: el deber sigue siendo tomar medidas y ajustarlas a las circunstancias. La modificación oficial publicada en EUR-Lex es la referencia para comprobar el texto vigente.
¿Qué proveedores o colaboradores pueden quedar incluidos?
La pregunta útil es “¿qué sistema opera, para quién y bajo qué responsabilidad?”. Una agencia que prepara campañas con IA para la pyme o un proveedor que mantiene un flujo de clasificación de consultas puede actuar en su nombre en esa tarea.
Contratar a una empresa no significa automáticamente que toda su plantilla deba recibir el curso interno de la pyme. Si el proveedor usa IA para sus propios fines y fuera del servicio, el análisis cambia. La guía de la Comisión Europea distingue los roles y el ámbito organizativo; describe el servicio real en vez de etiquetar a todos los terceros por igual.
Un método de cinco pasos para una pyme
1. Dibuja el proceso y localiza el uso de IA
Empieza por el proceso contratado: redactar respuestas, resumir documentos, extraer datos o ejecutar acciones. Anota la herramienta, quién la usa y revisa la salida, y si se conecta a correo, CRM u otro sistema. Incluye usos informales que ya formen parte del servicio.
2. Aclara funciones y responsabilidad
Define quién selecciona la herramienta, fija su finalidad, controla permisos y datos, revisa resultados y atiende errores. Resume tarea, sistema, responsable y canal de escalado en las instrucciones del servicio.
3. Evalúa el riesgo de la tarea, no solo el nombre de la herramienta
Comprueba qué errores o daños podría causar el uso. Un borrador interno y una recomendación sobre una persona no requieren necesariamente los mismos controles. Si se trata de un sistema de alto riesgo, pueden aplicar requisitos adicionales, incluida formación para la supervisión humana.
Para servicios habituales, revisa al menos confidencialidad, exactitud, sesgos relevantes, acceso y posibilidad de detener el flujo. Si el proveedor trata datos personales, coordina esta revisión con las obligaciones de protección de datos que correspondan; la alfabetización en IA no las sustituye.
4. Ajusta la orientación a la función externa
Una persona que redacta textos necesita practicar la verificación de afirmaciones y saber qué información no debe introducir. Quien clasifica solicitudes debe conocer los casos que no puede resolver automáticamente y cómo derivarlos. Quien mantiene una integración debe entender permisos, registros, errores y procedimiento de parada. Una sesión común puede explicar reglas de la pyme, pero los ejercicios deben cubrir la tarea que cada persona realiza.
No es necesario duplicar cursos si el colaborador ya cuenta con conocimientos pertinentes y puede aplicarlos al sistema concreto. Sí conviene confirmar que entiende las instrucciones de la empresa, sus límites y el modo de avisar de una incidencia. La formación en IA para empresas puede organizarse por funciones y casos reales, en lugar de ofrecer una demostración idéntica para todo el mundo.
5. Registra medidas y revisa los cambios
Guarda una evidencia proporcionada: fecha, función, herramienta o proceso, orientación impartida, ejercicio realizado, responsables y mejoras acordadas. La Comisión aclara que no hace falta un certificado específico y que puede conservarse un registro interno de formaciones u otras iniciativas de orientación. El registro sirve para aprender y explicar qué se hizo; no acredita automáticamente el cumplimiento ni garantiza un resultado.
Revisa el acuerdo cuando cambia el proveedor, el sistema, los datos, el grado de autonomía o las personas afectadas. Un cambio de “prepara borradores” a “envía respuestas sin revisión”, por ejemplo, merece una nueva evaluación y posiblemente nuevas instrucciones y prácticas.
Cómo coordinarse con un contratista sin burocracia
Antes de iniciar el servicio, acuerda herramientas permitidas, datos que pueden tratarse, resultados que requieren revisión y canal para avisar de errores. Pide información sobre las competencias aplicadas a la tarea, no un certificado genérico. Si hay una carencia, pacta orientación breve o un piloto supervisado.
El contrato aclara responsabilidades, pero no reemplaza la orientación práctica. Evita recopilar datos personales de formación si basta con confirmar que el proveedor entiende las instrucciones y límites acordados.
En proyectos donde además se automatizan tareas, empieza con un proceso acotado y controles visibles. La automatización de procesos con IA debe mantener claro quién revisa excepciones y cómo se detiene un flujo. Para ampliar el contexto, consulta otros artículos sobre IA, adopción y trabajo práctico en empresas.
Errores que conviene evitar
- Formar a todo tercero por igual: ajusta la medida a la tarea y al contexto.
- Confiar solo en el contrato o manual: incluye orientación práctica sobre límites, revisión y escalado.
- Exigir un certificado universal: no lo establece el artículo 4; conserva evidencia proporcionada.
- Ignorar cambios: revisa el plan si cambian el sistema, el proveedor o la autonomía.
Empieza con un inventario de servicios, una conversación con cada proveedor relevante y un ejercicio breve con un caso anonimizado. Si surgen usos no autorizados o errores, aclara las reglas y refuerza la formación. La meta es que quienes usan IA en nombre de la empresa comprendan la tarea y sus límites.
Si necesitas diseñar esa formación por responsabilidades y procesos, consulta la formación en IA para empresas.
Fuentes oficiales
- Reglamento (UE) 2026/1744, que modifica el artículo 4 del Reglamento de IA.
- Comisión Europea: preguntas y respuestas sobre alfabetización en IA.
- Reglamento (UE) 2024/1689, texto del Reglamento de Inteligencia Artificial.
- INCIBE: guía para gestionar incidentes de ciberseguridad y riesgos de proveedores.
Nota informativa: contenido divulgativo, no constituye asesoramiento jurídico. El alcance concreto depende de las funciones, el sistema y el contexto de cada servicio; consulta el texto oficial y asesoramiento especializado cuando corresponda.
Preguntas frecuentes
¿Todos los proveedores de una pyme deben formarse en IA?
No automáticamente. Hay que valorar si personas externas operan o usan sistemas en nombre de la organización y qué tarea realizan.
¿Es obligatorio pedir un certificado de alfabetización en IA?
El artículo 4 no establece un certificado universal. La Comisión indica que puede conservarse un registro interno de medidas y orientaciones.
¿Basta con incluir una cláusula en el contrato?
No por sí sola. El acuerdo ayuda a aclarar funciones, pero las personas que usan el sistema necesitan orientación adecuada a su trabajo.
¿Qué cambia si el proveedor usa IA de alto riesgo?
Puede haber obligaciones adicionales según el rol y el sistema, incluida formación para la supervisión humana. Es necesario comprobar el caso concreto.
