La alfabetización en IA como control de gobernanza
Una organización puede registrar un 98 % de finalización de su curso anual de inteligencia artificial y, aun así, no saber si las personas que aprueban decisiones apoyadas por IA comprenden sus limitaciones, si los desarrolladores conocen los controles que deben documentar o si quienes supervisan el sistema saben cuándo detenerlo.
Ese es el problema de tratar la alfabetización en IA como una campaña de formación en lugar de como un control de gobernanza.
La alfabetización empieza a funcionar como control cuando la organización puede conectar cuatro elementos: qué responsabilidad tiene una persona, qué necesita comprender para ejercerla, qué evidencia demuestra esa capacidad y qué cambios obligan a actualizarla.
La obligación ya no equivale a un nivel único de conocimientos
El artículo 4 del Reglamento de Inteligencia Artificial de la Unión Europea exige actualmente que los proveedores y responsables del despliegue de sistemas de IA adopten medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y de otras personas que operan o utilizan esos sistemas en su nombre. La obligación debe considerar los conocimientos técnicos, la experiencia, la educación y formación de las personas, el contexto de uso y los colectivos sobre los que se utilizará el sistema.
Hay un matiz importante para cualquier programa de cumplimiento diseñado antes de 2026. Tras la modificación introducida en julio de 2026, el artículo 4 ya no exige garantizar un nivel específico de alfabetización de cada persona. La obligación sigue existiendo, pero la norma se orienta a que la organización adopte medidas contextualizadas para desarrollar esa alfabetización. La Comisión Europea también aclara que el artículo 4 no obliga, por sí mismo, a medir formalmente el conocimiento de cada empleado y que la formación es una de varias posibles medidas. La supervisión y aplicación de esta obligación comenzó en agosto de 2026.
Esto hace que un enfoque uniforme sea todavía menos defendible. Un curso idéntico para toda la plantilla puede ser administrativamente sencillo, pero no responde necesariamente al contexto, al uso del sistema ni a las responsabilidades asignadas.
Para organizaciones de México o Latinoamérica, el artículo 4 no debe presentarse como una obligación local automática. Su aplicabilidad depende del alcance territorial y del rol que la organización tenga bajo el Reglamento. Sin embargo, el principio de adaptar capacidades al riesgo y a la responsabilidad sigue siendo útil como diseño de control incluso fuera de la Unión Europea.
La alfabetización debe seguir a la responsabilidad
No todas las personas necesitan entender cómo se entrena un modelo. Pero tampoco todas pueden limitarse a saber que “la IA puede equivocarse”.
Una arquitectura práctica puede separar, al menos, cuatro niveles:
| Grupo | Qué debería poder hacer | Evidencia útil |
|---|---|---|
| Personal general | Reconocer usos permitidos y prohibidos, riesgos básicos, reglas de datos y canales de escalamiento. | Inducción, comunicaciones, reconocimiento de políticas, ejercicios breves. |
| Usuarios, revisores y aprobadores | Evaluar resultados, reconocer errores o sesgos relevantes, aplicar supervisión humana y saber cuándo no confiar en la salida. | Formación por caso de uso, simulaciones, criterios de revisión, evidencia de práctica. |
| Propietarios, desarrolladores y validadores | Comprender controles de ciclo de vida, datos, pruebas, documentación, cambios, monitorización e incidentes. | Matrices de competencia, experiencia, certificaciones, resultados de evaluaciones, registros de validación. |
| Gobierno, riesgo, cumplimiento y auditoría | Formular preguntas de gobernanza, interpretar riesgos, evaluar evidencia y determinar cuándo se necesita apoyo especializado. | Planes de desarrollo, experiencia demostrada, formación específica y evidencia de aplicación en revisiones. |
Esta tabla no es una clasificación exigida por el Reglamento de IA. Es una forma de traducir su enfoque contextual y las expectativas de competencia de otros marcos a un control operativo.
El principio central es que la profundidad de la alfabetización debe aumentar cuando aumenta la capacidad de una persona para diseñar, aprobar, operar, supervisar o asegurar una decisión basada en IA.
ISO/IEC 42001 convierte la competencia en algo auditable
ISO/IEC 42001:2023 ayuda a convertir esa lógica en un sistema de gestión. Su cláusula 7.2 sobre competencia exige que la organización determine la competencia necesaria para las personas cuyo trabajo afecta al desempeño de la IA, asegure que sean competentes a partir de educación, formación o experiencia apropiadas, adopte acciones cuando sea necesario y evalúe la eficacia de esas acciones. Además, debe conservar información documentada apropiada como evidencia de competencia.
La cláusula 7.3 añade una dimensión distinta: la toma de conciencia. Las personas bajo el control de la organización deben conocer la política de IA, su contribución al sistema de gestión y las implicaciones de incumplir sus requisitos.
La distinción importa. Saber que existe una política no demuestra que una persona pueda aplicar correctamente un procedimiento de supervisión humana. Haber completado un curso no demuestra que un validador pueda identificar una degradación relevante del sistema.
Un registro de asistencia demuestra exposición a la formación; no demuestra, por sí solo, competencia.
ISO/IEC 42001 es una norma de sistema de gestión, no una ley general sobre IA. Su aplicación puede ser voluntaria, contractual o formar parte de un esquema de certificación. No obstante, ofrece a auditoría una estructura útil para separar conciencia, competencia, evidencia y eficacia.
Qué puede probar Auditoría Interna
Un auditor no necesita diseñar el programa de alfabetización para evaluar si funciona. Puede empezar por reconstruir la cadena entre riesgos, roles y evidencia.
Una revisión práctica puede comprobar:
- Cobertura. ¿La población de formación se deriva del inventario de sistemas y casos de uso de IA, o solo de una lista genérica de empleados?
- Asignación por rol. ¿Existen expectativas diferenciadas para quien usa, aprueba, desarrolla, valida, administra o supervisa IA?
- Contenido. ¿La formación cubre los riesgos reales del caso de uso, las políticas internas, las limitaciones del sistema, el manejo de datos, la supervisión humana y el escalamiento?
- Evidencia de competencia. Cuando el nivel de riesgo lo justifica, ¿la organización conserva evidencia más allá de la asistencia, como ejercicios, simulaciones, evaluaciones prácticas, experiencia o revisión supervisada?
- Eficacia. ¿Se analiza si las medidas reducen errores de uso, incumplimientos, incidentes, excepciones o escalaciones incorrectas?
- Actualización. ¿Existen disparadores claros para revisar la alfabetización cuando cambia un sistema, un caso de uso, una responsabilidad, una política o un requisito regulatorio?
No todos estos elementos son requisitos textuales del artículo 4 del Reglamento de IA. Son criterios de auditoría que permiten evaluar si el control está diseñado y operando de manera coherente; algunos encuentran un respaldo más directo en ISO/IEC 42001 cuando la organización utiliza ese marco.
La evidencia también debe ser proporcional. Para un usuario ocasional de una herramienta aprobada, una inducción específica y reglas claras pueden ser suficientes. Para una persona que valida un sistema de alto impacto, la organización debería esperar evidencia mucho más fuerte de conocimientos y aplicación.
Auditoría también forma parte del problema de competencia
La función de Auditoría Interna no puede evaluar de forma creíble la gobernanza de IA si sus propios profesionales no poseen la competencia necesaria para el trabajo que realizan.
Las Normas Globales de Auditoría Interna abordan este punto desde la profesión. La Norma 3.1 exige que los auditores internos posean u obtengan las competencias necesarias para desempeñar sus responsabilidades y que las desarrollen continuamente. La Norma 10.2, por su parte, asigna al Director de Auditoría Interna responsabilidades sobre el desarrollo, evaluación y suficiencia de las competencias de la función.
Esto no significa que cada auditor deba convertirse en científico de datos. Significa que la función debe saber qué puede evaluar con competencia propia, qué conocimiento debe desarrollar y cuándo necesita especialistas en áreas como validación de modelos, ciberseguridad, privacidad o derecho.
La misma lógica que Auditoría espera encontrar en el negocio debería existir dentro de la función: responsabilidad definida, capacidad apropiada y evidencia de desarrollo.
El control no es el curso: es la capacidad demostrable
Las organizaciones maduras dejarán de preguntar únicamente “¿quién completó la formación?” y empezarán a preguntar “¿quién necesita saber qué para ejercer correctamente su responsabilidad sobre este sistema de IA?”.
Ese cambio transforma la alfabetización en un control verificable. El inventario de IA ayuda a identificar dónde existe exposición; la asignación de roles define quién decide o supervisa; la matriz de competencias traduce esas responsabilidades en capacidades; y la evidencia permite comprobar si el control funciona.
El objetivo no es formar a toda la organización al nivel de un especialista. Es evitar el escenario opuesto: personas con autoridad sobre sistemas de IA que no comprenden suficientemente los riesgos, límites o obligaciones asociados a las decisiones que toman.