La importancia de la alfabetización en IA pese a la simplificación normativa del RIA por el Digital Omnibus europeo

El Reglamento de Inteligencia Artificial y su sistema de alfabetización

El Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024 – (en adelante, “Reglamento Europeo de Inteligencia Artificial” o “RIA”), establece un marco normativo sólido,  fija los niveles de riesgo asociados a los sistemas de inteligencia artificial (IA) y determina las medidas necesarias para la protección de la salud, la seguridad y los derechos fundamentales consagrados por la UE.

Con el fin de alcanzar dichos objetivos, y, teniendo en cuenta el contexto volátil y de desarrollo exponencial de la IA, el RIA establece un sistema de acciones orientadas a la  formación de las personas que participan en el ciclo de vida de la IA y de sus resultados.

El reglamento vigente  adopta un enfoque holístico para la promoción de la alfabetización en materia de IA, que debe implementarse en tres ámbitos interdependientes:

• A nivel europeo: se atribuyen competencias a la Comisión Europea y al Consejo Europeo para impulsar la alfabetización en materia de inteligencia artificial, mediante acciones orientadas a la sensibilización de la población en el ejercicio de sus funciones de gobernanza, de conformidad con lo dispueto en el artículo 66 del RIA.
• A nivel nacional: la Oficina de IA y los Estados miembros deben facilitar la elaboración de códigos de conducta relativos a la aplicación voluntaria de medidas destinadas a lapromoción de la alfabetización en materia de IA, de conformidad con lo dispuesto en el artículo 95 del RIA.
• A nivel interno por parte de las empresas y entidades: el artículo 4 del RIA establece que los proveedores y los responsables del despliegue de sistemas de IA deben, a partir del 2 de febrero de 2025, adoptar medidas para garantizar que tanto su personal interno, como terceros que actúen en su nombre, cuenten con un nivel suficiente de alfabetización en materia de IA, teniendo en cuenta el contexto previsto de  utilización de esta  tecnología. 

Estos ámbitos se encuentran interrelacionados, en la medida en que  las orientaciones a nivel europeo deben guiar las estrategias dirigidas a empresas y entidades, mientras que los resultados de las acciones desarrolladas a nivel nacional deberían retroalimentar la toma de decisiones estratégicas que competen a la Comisión y al Consejo.

La simplificación propuesta en el Omnibus Digital y la persistencia de la alfabetización 

En el marco del paquete regulatorio del Omnibus Digital Europeo, orientado a  la simplificación regulatoria en materia tecnológica y a una mayor armonización de las normas a nivel de la Unión Europea, se propone la modificación del artículo 4 del RIA, que establece  las obligaciones de alfabetización a nivel organizativo y cuya redacción vigente es la siguiente:

Artículo 4. Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para garantizar que, en la mayor medida posible, su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA tengan un nivel suficiente de alfabetización en materia de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los colectivos de personas en que se van a utilizar dichos sistemas.

La propuesta de modificación del RIA, presentada en noviembre de 2025 y actualmente pendiente de aprobación, tiene por objeto eliminar la obligatoriedad de la alfabetización en IA a nivel interno, con el argumento de reducir las cargas administrativas para las empresas, y sustituirla por medidas de fomento a nivel nacional y europeo. A continuación, se detalla la propuesta de redacción del artículo 4 incluida en el Digital Omnibus:

Propuesta de redacción del Artículo 4. La Comisión y los Estados miembros fomentarán que los proveedores y los responsables del despliegue de sistemas de IA adopten medidas para garantizar un nivel suficiente de conocimientos sobre IA por parte de su personal y otras personas que se ocupen del funcionamiento y la utilización de los sistemas de IA en su nombre, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto en el que se vayan a utilizar los sistemas de IA, y teniendo en cuenta las personas o grupos de personas a los que se vayan a dirigir dichos sistemas.

No obstante, aun en el suspuesto de que se apruebe dicha simplificación, las acciones de alfabetización en materia de IA seguirán siendo necesarias para que las empresas y entidades puedan garantizar el cumplimiento de distintas obligaciones legales del RIA que la UE mantiene, así como para asegurar una gestión adecuada de los sistemas de IA y la  mitigación efectiva de los  riesgos asociados.

Roles organizativos que requieren capacitación para el cumplimiento normativo del RIA

Las actividades de alfabetización en materia de IA, ya sea para la intervención en las fases de despliegue y uso de los resultados (outputs), como en las actividades de diseño y desarrollo tecnológico, así como en la implementación, seguimiento y mejora de sistemas de gestión de riesgos, resultan esenciales para garantizar un adecuado nivel de cumplimiento del RIA.

Algunos ejemplos de roles cuya formación, adaptada a la realidad de la organización, resulta necesaria para al cumplimiento del RIA son las siguientes:

• Alta dirección, para orientar la toma de decisiones y la gestión de un plan de digitalización que tenga en cuenta la IA, además de concienciar y facilitar el seguimiento de los riesgos asociados a la tecnología.
• Responsables del despliegue y contratación, para anticipar los riesgos asociados a la implementación de sistemas de IA, con el objetivo de evitar el avance de proyectos prohibidos o que presenten un nivel de riesgo no aceptable para la entidad.
• Responsables de gobernanza de la IA, para garantizar un conocimiento adecuado de la metodología de clasificación y de la posible reclasificación de los sistemas como de alto riesgo, así como el seguimiento de las evaluaciones internas de conformidad.
• Responsables de productos y servicios que incorporen sistemas IA, para la correcta aplicación de los procedimientos de gestión de riesgos, especialmente en lo que respecta a los controles de revisión humana, la gestión postcomercialización y la identificación y tratamiento de incidentes.
• Responsables de comunicación y de experiencia de usuarios externos (UX), para la correcta implementación de las medidas de transparencia relativas a la la interacción con sistemas de IA y la comunicación de sus características, capacidades y limitaciones.
• Usuarios internos de sistemas de IA , para la correcta aplicación de las instrucciones de uso creadas tanto por el proveedor del sistema de IA como, en su caso, por el responsable del despliegue, así como para el respeto de las limitaciones relativas a la información facilitada como entrada (input) y a los contenidos generados como salida (output).
• Departamento jurídico, para la identificación de riesgos transversales (como los relacionados con la protección de datos personales, ciberseguridad, normativa de consumo, información confidencial, propiedad intelectual, etc.) así como para la negociación de contratos con proveedores de sistemas de IA.
• Auditoría interna y función de cumplimiento (compliance), para la comprensión de los controles establecidos por normas nacionales e internacionales (como la ISO 42001) y la verificación de la eficiencia de los sistemas de gobernanza de la IA.

Además de estos roles clave, una estrategia de alfabetización y formación correcta en materia de IA debe tener en cuenta las particularidades cada empresa o entidad, q que deben contar con un asesoramiento adecuado para la identificación de los sistemas IA en uso o desarrollo, determinar la posición de la la organización entidade dentro de la la cadena de suministro de la IA, evaluar y tratar los riesgos en materia de IA,  definir las responsabilidades legales asociadas a cada sistema,  y  diseñar la estructura de gobernanza necesaria. . 

Conclusiones

Las acciones de concienciación y capacitación en relación con el desarrollo y uso de lsistemas de IA resultan fundamentales, con independencia  de que se constituyan o no como una obligación legal expresa, con el objetivo de prevenir riesgos derivados del uso de esta tecnología, y como parte de un sistema global de gestión de cumplimiento. 

En este sentido,  con independencia de la aprobación del Digital Omnibus, resulta necesario que las empresas y entidades definan e integren  medidas de concienciación y formación como un elemento esencial de sus sistemas de gestión de riesgos, con el objetivo de evitar sanciones administrativas y mitigar posibles  consecuencias negativas con clientes, proveedores y personal interno.

Nota informativa elaborada por Guilherme Sicuto, Consultor Senior en Gobernanza de IA, Privacidad y Ciberseguridad, del área de TMT de ECIJA Madrid.