Dos horas por persona y semana. Cuarenta y cinco semanas de calendario útil. En un equipo de treinta personas son 2.700 horas al año que no se facturan a nadie. Ese es el precio de etiqueta de un programa de formación interna, y conviene ponerlo encima de la mesa antes que cualquier argumento sobre cultura o retención de talento.
Aquí ese programa se llama UPSKill: dos horas semanales, bloqueadas en calendario con la misma prioridad que una guardia.
La obligación se ha ablandado. La evidencia, no
El Reglamento (UE) 2026/1744, el llamado Ómnibus digital sobre IA, se publicó en el DOUE el 24 de julio de 2026 y entró en vigor el 27. Entre otros cambios, reescribe el artículo 4 del Reglamento de IA. Donde antes había que garantizar un nivel suficiente de alfabetización en IA del personal, ahora hay que adoptar medidas para apoyar su desarrollo. El texto añade que la obligación no exige garantizar un nivel específico en ninguna persona en particular.
Buena parte del mercado lo ha leído como una rebaja. Lo es en la letra. En la práctica cambia poco, por dos motivos.
El primero es de calendario. La obligación del artículo 4 se aplica desde el 2 de febrero de 2025, y el 2 de agosto de 2026 el Reglamento pasó a ser aplicable con carácter general, con las autoridades nacionales de supervisión ya operativas. El Ómnibus aplazó las obligaciones de alto riesgo del capítulo III hasta el 2 de diciembre de 2027 y el 2 de agosto de 2028 según el caso. La alfabetización no entró en ese aplazamiento.
El segundo importa más si operas en sanidad, sector público, defensa o cualquier entorno con categoría ENS: el artículo 4 nunca fue el requisito formativo más exigente del expediente. Solo era el más reciente.
Tres marcos, una sola pregunta del auditor
La pregunta es siempre la misma: enséñame el registro. No el plan, no la intención, el registro.
| Marco | Qué exige sobre formación | Evidencia que se pide | Cadencia defendible (criterio propio) |
|---|---|---|---|
| Reglamento de IA, art. 4 (redacción del Ómnibus) | Medidas para apoyar la alfabetización en IA de quien opera los sistemas | Temario, asistentes, fecha, adecuación al rol y al riesgo | Continua, proporcional al riesgo del sistema |
| ENS, mp.per.4 (RD 311/2022) | Formación regular de todo el personal en seguridad de la información, proporcional a sus funciones | Plan por rol, actas, cobertura de la plantilla afectada, áreas mínimas cubiertas | Anual como suelo, trimestral en categoría alta |
| NIS2, art. 20.2 (Directiva UE 2022/2555) | Formación del órgano de dirección y oferta de formación equivalente al personal, de forma periódica | Actas del consejo, contenidos impartidos, trazabilidad de la decisión | Periódica, sin número fijado en la norma |
La columna de cadencia es criterio nuestro, no texto normativo. Ninguna de las tres normas fija horas. Eso no es una ventaja: significa que el listón lo pone el auditor que te toque, y lo pone comparando tu registro con el de organizaciones parecidas.
La deuda de competencia se amortiza igual que la técnica
El Future of Jobs Report 2025 del Foro Económico Mundial, sobre más de mil empleadores, sitúa en el 39% la proporción de competencias nucleares que cambiarán o quedarán obsoletas entre 2025 y 2030. La cifra venía del 44% en 2023 y del 57% en 2020. El mismo informe recoge que el 63% de los empleadores señala la brecha de competencias como su primera barrera de transformación, por delante de la financiación o la regulación.
Tesis propia, no dato: la deuda de competencia se comporta exactamente como la técnica. No aparece en ninguna línea del balance, devenga intereses en silencio y se paga toda de golpe, normalmente durante un incidente. El equipo que no ha tocado nunca un modelo desplegado on-premise no falla el día que decides desplegarlo. Falla seis meses después, a las tres de la mañana, cuando hay que decidir si el comportamiento raro del sistema es un bug, un drift o un ataque.
Por qué dos horas semanales y no un curso anual
Los dos formatos cuestan dinero. No compran lo mismo.
- Horas por persona y año. Una jornada anual de formación deja 8 horas. Dos horas semanales durante cuarenta y cinco semanas dejan 90. Once veces más superficie de contacto con la materia.
- Granularidad de la evidencia. Un acta al año frente a cuarenta y cinco registros fechados con temario y asistentes. Ante una inspección, el segundo formato responde a la pregunta «¿cuándo formasteis al equipo sobre esto?» con una fecha concreta.
- Latencia entre publicación y aplicación. El Ómnibus se publicó el 24 de julio. Con cadencia semanal entra en temario en menos de diez días. Con cadencia anual, en once meses.
- Coste de interrupción. Dos horas sobre una jornada de 40 son el 5% de la capacidad. Un curso de tres días concentrados saca al equipo de producción tres días seguidos y suele coincidir con el peor momento posible.
- Exposición residual. La formación anual concentra el riesgo: si alguien se ausenta ese día, queda un año entero sin cubrir. La semanal degrada con suavidad.
El punto débil del formato semanal es real y conviene decirlo: exige alguien que prepare contenido cada semana. Ese coste no desaparece, se traslada de la factura del proveedor a la agenda de tu gente sénior.
El wellbeing es el mecanismo, no el envoltorio
Aquí es donde el discurso habitual se rompe. La formación continua se vende como beneficio social, al lado del seguro médico y la fruta. Es una descripción pobre de lo que hace.
Lo que agota a un equipo técnico no es el volumen de trabajo. Es operar sistemas que no comprende del todo, con responsabilidad sobre resultados que no puede explicar. Esa distancia entre lo que se te exige y lo que entiendes tiene un nombre operativo, y produce rotación mucho antes que un plan de carrera mal diseñado.
Dos condiciones separan un programa que funciona de un gesto de escaparate. La primera: dentro de la jornada. Formación fuera del horario laboral no es formación, es una expectativa no pagada. La segunda: contenido específico. Una píldora sobre dependencias comprometidas en el registro de npm o sobre cómo se filtra un token en un log sirve a un equipo de plataforma. Un módulo genérico sobre qué es el phishing no sirve a nadie, aunque genere el mismo certificado.
El Imperativo Estratégico
Si tu organización tiene categoría ENS, entra en el ámbito de NIS2 o despliega sistemas de IA con usuarios reales, ya tienes una obligación formativa viva y probablemente un registro incompleto. La distancia entre las dos cosas se mide, no se estima: qué exige cada marco que te aplica, qué evidencias existen hoy, qué huecos quedan y qué cadencia los cierra sin sacar al equipo de producción. Ese diagnóstico es una auditoría de cumplimiento, y se hace antes de contratar ninguna formación, no después. En Pumpún Dixital lo ejecutamos sobre sistemas en explotación, con el criterio de quien también los opera. Empieza por el registro que tendrías que enseñar mañana.. A veces el número incomoda. Siempre es mejor que la impresión.. Si en septiembre te toca notificar en 24 horas, más vale saber hoy qué estás sirviendo exactamente.