Enciende la luz.

En alfabetización en IA, sí. El artículo 4 del Reglamento de IA (Reglamento (UE) 2024/1689) obliga a proveedores y responsables del despliegue de sistemas de IA a adoptar medidas para apoyar la promoción de la alfabetización en materia de IA de su personal — aplicable desde el 2 de febrero de 2025, y supervisado por las autoridades nacionales de vigilancia del mercado desde el 2 de agosto de 2026. El Reglamento (UE) 2026/1744 reescribió ese artículo el 27 de julio de 2026: lo que se exige son las medidas, y el propio texto aclara que la obligación no exige garantizar un nivel específico de alfabetización en ninguna persona en particular. NIS2 (Directiva (UE) 2022/2555, artículo 20) exige además que los miembros de los órganos de dirección de las entidades esenciales e importantes reciban formación en ciberseguridad, y espera que esas entidades ofrezcan formación similar a sus empleados de forma periódica.

Casi con seguridad sí. El deber recae sobre los proveedores y los responsables del despliegue, y «responsable del despliegue» es cualquiera que utilice un sistema de IA bajo su autoridad en un contexto profesional. No hay umbral de tamaño, ni de facturación, ni de sector, ni de riesgo: no se limita a los sistemas de alto riesgo. Cuenta ChatGPT, cuenta Copilot y cuentan las funciones de IA que ya vienen dentro de herramientas que pagas desde hace años. Y no cubre solo a la plantilla: alcanza a quien maneje esos sistemas por cuenta de tu empresa, incluidos autónomos y agencias. Lo que queda fuera es el uso personal, fuera del trabajo.

No hay temario oficial, ni formato obligatorio, ni certificación exigida por la norma. La Comisión Europea propone cuatro pasos en su documento de preguntas y respuestas sobre alfabetización en IA: una comprensión general de qué es la IA y qué riesgos trae, determinar si tu organización es proveedora o responsable del despliegue, analizar qué necesita saber cada persona según los sistemas que toca, y adaptar el resultado a su formación y a su puesto. En la práctica los reguladores nacionales coinciden en el contenido: cómo se comportan estos sistemas y dónde fallan (alucinaciones, sesgos, límites), qué herramientas usa la empresa y para qué, las prácticas prohibidas del artículo 5, los deberes de transparencia del artículo 50, la supervisión humana, y lo que imponen protección de datos, confidencialidad y propiedad intelectual. La documentación interna de lo que se hizo es lo que acredita la medida.

Conviene decirlo con precisión, porque circulan cifras que no se sostienen. El artículo 4 no aparece en el artículo 99 del Reglamento de IA, que es donde se fijan las multas europeas armonizadas, así que no hay una multa europea por incumplirlo: las sanciones quedan en manos de cada Estado miembro. En España todavía no existe ese régimen. La AESIA se creó por real decreto, que no puede tipificar infracciones, y el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (expediente 121/000096) sigue en el Congreso — y, tal como está redactado, no tipifica el artículo 4 en ninguna parte. Dicho de otro modo: hoy la AESIA no puede multarte por esto. Lo que sí puede costarte dinero es otra cosa: el artículo 26.2, sobre supervisión humana de sistemas de alto riesgo por personas con la formación adecuada, que el proyecto español sí tipifica como infracción grave a partir de diciembre de 2027; obstruir una inspección de la autoridad de vigilancia del mercado; y la AEPD, que puede sancionar hoy con hasta 20 millones de euros o el 4 % por usos de IA que afecten a datos personales. Nosotros vendemos formación, no miedo: el motivo para hacer esto no es la multa, es que el deber ya está vigente, ya se supervisa, y la evidencia se construye antes de que te la pidan.

Bloquear no detiene la IA en la sombra: la traslada a los móviles personales y a las cuentas privadas, donde no tienes ninguna visibilidad. Tampoco resuelve tu deber de alfabetización del Reglamento de IA: tu equipo sigue tratando con IA integrada en las herramientas que usa cada día. La formación cambia comportamientos donde el bloqueo no llega, y genera la evidencia que el bloqueo nunca va a dar.

No. El curso está alojado en noshadow.ai — a cada empleado le basta su email de trabajo para empezar, desde cualquier dispositivo. Nada que instalar, nada que integrar.

Unos 35 minutos de principio a fin, desde cualquier dispositivo, y se puede hacer en ratos sueltos. El primer módulo es gratuito y dura 5 minutos — pruébalo antes de desplegar nada.

El certificado en sí no caduca: es un registro con fecha de que una persona concreta superó la evaluación un día concreto, y eso sigue siendo cierto. Lo que cambia son las herramientas y las reglas a su alrededor, así que las empresas suelen refrescar la formación de concienciación una vez al año y guardar los certificados de cada año en la carpeta de evidencias.

Es un registro de formación nominativo y fechado, con un número de serie que un auditor puede verificar contra nuestro registro. Respalda tu evidencia para el control A.6.3 de ISO/IEC 27001:2022, para el deber de alfabetización en IA del artículo 4 del Reglamento de IA y para lo que NIS2 espera en su artículo 20. Ningún certificado te hace cumplir por sí solo — este está pensado para encajar en la carpeta de evidencias que sí lo consigue.