España llega tarde: la IA y NIS2 ya obligan
España acumula más de 640 días de retraso en la transposición de la directiva NIS2, pero las empresas no disponen de ese mismo margen.
La Comisión Europea llevó al país ante el Tribunal de Justicia de la UE el 8 de julio de 2026 por no haber incorporado a tiempo las nuevas reglas de ciberseguridad.
Al mismo tiempo, el artículo 4 del Reglamento Europeo de Inteligencia Artificial obliga desde febrero de 2025 a formar al personal que utiliza o gestiona sistemas de IA.
El cambio es profundo: ya no basta con comprar tecnología; hay que demostrar que la organización sabe utilizarla, supervisarla y protegerla.
La excusa del BOE se agota
Durante meses, numerosas compañías han aplazado sus planes de adaptación con un argumento aparentemente prudente: esperar a que España publique la ley definitiva de transposición de NIS2. Sin embargo, la Comisión Europea ya ha confirmado que el retraso español ha entrado en fase judicial.
La directiva fijó el 17 de octubre de 2024 como fecha límite para que los Estados aprobaran sus normas nacionales. El marco español sigue incompleto, pero las medidas fundamentales —gestión de incidentes, continuidad, control de proveedores, autenticación reforzada y formación— proceden directamente del texto europeo y difícilmente sufrirán una rebaja sustancial.
El retraso de la Administración no debe confundirse con una moratoria para las empresas.
La formación deja de ser voluntaria
El artículo 4 del Reglamento de IA exige que proveedores e implantadores adopten medidas para desarrollar la alfabetización de las personas que trabajan con estos sistemas. La obligación se aplica desde el 2 de febrero de 2025, mientras que las autoridades nacionales comenzarán su supervisión y ejecución desde el 2 de agosto de 2026. Aunque desde Skiller School se lleva ofertando desde 2024.
Esto afecta a mucho más que las compañías tecnológicas. Una empresa que utiliza asistentes generativos, herramientas de selección, sistemas de recomendación, chatbots o procesos automatizados también actúa como implantadora.
La Comisión recomienda adaptar la formación al conocimiento del empleado, al nivel de riesgo del sistema y al contexto concreto de uso. Un curso genérico enviado por correo difícilmente acreditará una política seria de cumplimiento.
Tres horas contra el riesgo
En este nuevo mercado regulatorio aparecen propuestas como el Curso de Alfabetización en IA de Skiller, diseñado conforme al artículo 4. El programa tiene una duración de tres horas, un precio anunciado de 150 euros y puede impartirse en línea o dentro de la propia empresa.
Su contenido aborda el Reglamento Europeo de IA, el marco español, las funciones de la Agencia Española de Supervisión de la Inteligencia Artificial y casos prácticos sobre ética y responsabilidad. Está dirigido tanto a desarrolladores como a empresas que utilizan chatbots, recomendadores o sistemas automatizados.
El contraste económico resulta evidente: una formación breve cuesta una fracción mínima frente al impacto de una filtración, una decisión discriminatoria automatizada o una investigación regulatoria.
El consejo entra en escena
NIS2 y el Reglamento de IA comparten una idea esencial: la responsabilidad ya no termina en el departamento informático. El artículo 20 de NIS2 obliga al órgano de dirección a aprobar y supervisar las medidas de gestión de riesgos, además de recibir formación periódica.
El documento adjunto recuerda que las entidades esenciales se enfrentan a sanciones de hasta 10 millones de euros o el 2% de su facturación mundial; para las importantes, el máximo alcanza los 7 millones o el 1,4%. También establece notificaciones de incidentes en 24 horas, una ampliación a las 72 horas y un informe final en un mes. Un consejo desinformado puede convertirse en el principal punto débil de la empresa.
Dos normas, un mismo diagnóstico
La alfabetización en IA enseña a identificar errores, sesgos, usos prohibidos y riesgos sobre datos. NIS2 exige gestionar incidentes, proteger accesos y asegurar la continuidad del negocio. Son marcos diferentes, pero convergen en la conducta diaria de la plantilla.
Un empleado que introduce información confidencial en una herramienta pública de IA puede generar simultáneamente un problema de protección de datos, propiedad intelectual y ciberseguridad. Un directivo que aprueba un sistema automatizado sin comprender sus límites puede añadir un riesgo reputacional y regulatorio.
La tecnología no falla únicamente por el código. También falla por el desconocimiento de quien la utiliza.
El coste de esperar
Las empresas que comiencen ahora todavía pueden convertir el cumplimiento en una ventaja competitiva: inventariar sus herramientas, clasificar riesgos, formar por funciones, documentar la asistencia y establecer protocolos claros para incidentes.
Las que esperen a una inspección tendrán que improvisar evidencias, políticas y responsabilidades bajo presión. Ese hecho revela el verdadero valor de la formación: no consiste solo en obtener un certificado, sino en demostrar que la organización comprende qué sistemas utiliza, qué decisiones delega y quién responde cuando algo sale mal.
España puede continuar discutiendo su calendario legislativo. Las empresas, en cambio, ya están dentro del reloj.
