Prueba de Competencias Digitales EPSO: formato, trampas y cómo prepararla

Las Competencias Digitales constituyen la prueba EPSO que más ha cambiado en las últimas convocatorias. Ya no es una mera verificación de si el candidato sabe usar una hoja de cálculo: es una evaluación estructurada de la soltura con que se opera dentro del propio marco de política digital de la UE — RGPD, Ley de IA, Directiva de Accesibilidad de la Web, licencias Creative Commons y las cinco áreas de competencia de DigComp 2.2. Tu puntuación se integra directamente en la clasificación, en pie de igualdad con el razonamiento verbal, numérico y abstracto.

Qué evalúa

La prueba de Competencias Digitales se ancla en el marco DigComp 2.2 de la Comisión Europea, la referencia oficial sobre competencia digital de la ciudadanía. El marco se organiza en cinco áreas de competencia, y las preguntas EPSO se redactan para encajar limpiamente en ellas. Rara vez verás preguntas del tipo "nombra el marco"; cada ítem te pide aplicar una competencia a un escenario institucional realista.

Área 1 — Alfabetización en información y datos: búsqueda con operadores booleanos, evaluación de fuentes, reconocimiento de la curación algorítmica, gestión de metadatos y archivos.
Área 2 — Comunicación y colaboración: elegir el canal adecuado, compartir de forma segura, netiqueta, gestión de la identidad digital, participación ciudadana a través de los portales de la UE.
Área 3 — Creación de contenidos digitales: producir contenidos estructurados, integrar fuentes, derechos de autor y Creative Commons, accesibilidad (WCAG 2.1 AA), pensamiento algorítmico.
Área 4 — Seguridad: protección de dispositivos, protección de datos conforme al RGPD, bienestar digital y derecho a la desconexión, huella ambiental de la actividad digital.
Área 5 — Resolución de problemas: resolución técnica de incidencias estructurada, ajuste de herramientas a necesidades, uso creativo de las tecnologías digitales, identificación de lagunas de competencia.
Ítems transversales sobre IA: DigComp 2.2 añadió ítems explícitos de conocimiento sobre IA generativa — alucinaciones, ingeniería de prompts, verificación humana — que se proyectan sobre las competencias 1.2, 2.1 y 3.2.
Derecho de la UE integrado: hay que esperar referencias directas al RGPD, a la Ley de IA de la UE, a la Directiva (UE) 2016/2102 sobre accesibilidad de los sitios web y a la Directiva RAEE integradas en los escenarios.

La regla de oro. Las Competencias Digitales son una prueba de conocimientos disfrazada de prueba de competencia. Cada respuesta correcta está anclada en una subcompetencia DigComp específica, un artículo del RGPD, un nivel de riesgo de la Ley de IA o una cláusula de licencia CC. Si no puedes nombrar el ancla, no podrás descartar los distractores con fiabilidad.

Las trampas recurrentes

A lo largo de cientos de ítems de práctica, se repiten las mismas familias de trampas. Aprender a reconocerlas de un vistazo es la mayor parte de la batalla:

Metadatos frente a telemetría frente a contenido estructurado. Una pregunta sobre nombres de autor ocultos en un archivo Word publicado es una cuestión de higiene de metadatos; otra sobre registros de uso de CPU y ancho de banda es telemetría; otra sobre columnas de un CSV es contenido estructurado. La EPSO suele colocar las tres etiquetas en las opciones.
Confusión entre principios del RGPD. Los candidatos mezclan limitación de la finalidad (art. 5(1)(b) — recogidos con una finalidad determinada), minimización de datos (art. 5(1)(c) — solo lo necesario) y limitación del plazo de conservación (art. 5(1)(e) — no más tiempo del necesario). Los distractores explotan precisamente esta confusión.
Confusión entre niveles de riesgo de la Ley de IA. La Ley fija cuatro niveles — inaceptable (prohibido: puntuación social, extracción no selectiva de imágenes faciales), alto riesgo (regulado: contratación, identificación biométrica, infraestructuras críticas), limitado (obligaciones de transparencia: chatbots, deepfakes) y mínimo (sin obligaciones específicas). Confundir limitado con alto riesgo es el error clásico.
Modelos de servicio en la nube (IaaS / PaaS / SaaS). La trampa está en quién gestiona qué. IaaS = el proveedor opera el hardware y tú gestionas desde el sistema operativo hacia arriba; PaaS = el proveedor gestiona el entorno de ejecución y tú solo despliegas código; SaaS = tú solo configuras la aplicación. Los distractores intercambian las responsabilidades en una de las capas.
CC frente a CCO en los correos electrónicos. Poner destinatarios externos en CC revela la dirección de cada destinatario a todos los demás — una infracción del RGPD habitual y totalmente evitable. CCO oculta los destinatarios entre sí. La trampa aparece en escenarios sobre comunicaciones a múltiples partes interesadas.
Compresión con pérdida frente a sin pérdida. Para registros institucionales irreemplazables (PDF firmados, hojas de cálculo maestras, vídeos fuente), la respuesta es sin pérdida (ZIP, PNG, FLAC, ProRes). Para miniaturas y previsualizaciones dirigidas a la ciudadanía, la con pérdida (JPEG, MP3, H.264) es válida. El distractor invierte los dos contextos.

Entrena tus Competencias Digitales

Preguntas realistas al estilo EPSO sobre datos, seguridad, IA y creación de contenidos, con explicaciones para cada respuesta.

Empezar a practicar → Primer set gratuito · sin coste

Cómo prepararse

Tres referencias canónicas responden, en silencio, a la mayoría de las preguntas que vas a encontrar. Léelas una vez, no como chuletas de examen sino para interiorizar el vocabulario. La primera es el propio marco DigComp 2.2, publicado por el Centro Común de Investigación — en particular las cinco áreas de competencia, los verbos que emplea el marco ("evaluar", "compartir", "desarrollar", "proteger", "resolver") y los ítems de conocimiento sobre IA añadidos en la revisión 2.2. La segunda es el RGPD, con el foco puesto en el artículo 5 (los seis principios de tratamiento), el artículo 9 (categorías especiales) y el artículo 30 (registro de actividades de tratamiento). La tercera es la Ley de IA de la UE — en particular los niveles de riesgo y las prácticas que la Ley prohíbe expresamente.

Más allá de las referencias, la preparación más fiable es la práctica cronometrada con explicaciones cuidadosamente redactadas. Las preguntas de Competencias Digitales premian a quien sabe nombrar el ancla: cuando lees el enunciado sobre un correo de phishing, debes registrar de inmediato "competencia 4.1, protección de dispositivos"; cuando lees uno sobre un formulario de inscripción a un evento, "artículo 5(1)(c), minimización de datos". El ancla te dice qué distractor es la trampa. Sin ella, las respuestas erróneas con apariencia plausible son muy difíciles de descartar bajo presión de tiempo.

Un consejo práctico: cuando una opción mencione un número, una fecha o un instrumento concreto de la UE por su nombre (Directiva RAEE, Directiva (UE) 2016/2102, Reglamento (UE) 2019/788), casi siempre será la respuesta correcta o un cebo cuidadosamente colocado. Trátalos como detalles cruciales, no como color de fondo.

Ejemplos resueltos

Tres ejemplos en el formato EPSO real — escenario institucional breve, cuatro opciones, solo una totalmente correcta. Lee cada enunciado, elige tu respuesta y después revela la explicación — prestando atención a en torno a qué trampa se construye cada distractor.

Ejemplo 1 — Confusión entre metadatos, phishing y ransomware

Escenario. Un informe listo para su publicación todavía contiene marcas de cambios y nombres de autor ocultos; ¿cómo se denomina este riesgo?

Captación de credenciales mediante phishing.
Exposición accidental de metadatos sensibles.
Inyección de carga útil de ransomware.
Exposición a una denegación de servicio distribuida.

Mostrar respuesta

Respuesta: B. Los documentos de Office almacenan cantidades importantes de metadatos más allá del texto visible — nombres de autor, historial de edición, control de cambios, comentarios, rutas de archivo e incluso coordenadas GPS en las fotos incrustadas. Publicar un archivo sin depurarlos es el clásico fallo de divulgación accidental, anclado en la competencia DigComp 4.2 Protección de datos personales y privacidad. La solución consiste en pasar el inspector de documentos ("Comprobar si hay problemas → Inspeccionar documento") antes de la publicación.

Por qué falla cada distractor:
• A — phishing es un ataque entrante de ingeniería social que engaña al usuario para que ceda sus credenciales; el escenario describe un percance de publicación saliente, en la dirección opuesta del riesgo.
• C — ransomware cifra archivos para extorsionar un pago; el control de cambios no es una carga útil y el archivo en cuestión se publica, no se detona.
• D — DDoS inunda un servicio para inutilizarlo; no tiene ninguna dimensión de higiene documental.

Patrón de trampa. Tres de las cuatro opciones son términos de seguridad reales en la categoría equivocada. La EPSO comprueba con frecuencia si sabes situar un riesgo en la familia correcta (higiene de datos frente a malware frente a ataque de red) antes de recurrir a la etiqueta técnica.

Ejemplo 2 — Minimización de datos del RGPD en un formulario de inscripción

Escenario. En virtud del principio de minimización de datos del RGPD, ¿qué campos debería solicitar un formulario de inscripción a un evento?

Ningún campo estructurado — solo un cuadro de texto libre.
Nombre, correo electrónico, domicilio, religión y opiniones políticas.
Datos completos de la tarjeta de crédito aunque el evento sea gratuito.
Solo los datos necesarios para organizar el evento, como nombre, correo electrónico y organización.

Mostrar respuesta

Respuesta: D. El artículo 5(1)(c) del RGPD exige que los datos personales sean "adecuados, pertinentes y limitados a lo necesario" en relación con los fines del tratamiento — el principio de minimización de datos, central en la competencia DigComp 4.2 Protección de datos personales y privacidad. La prueba previa a añadir un campo es concreta: ¿podríamos organizar el evento sin él? Si la respuesta es sí, se omite.

Por qué falla cada distractor:
• A — solo texto libre es la trampa del dato no estructurado: recoge información personal que el responsable no puede acotar ni tratar lícitamente, infringiendo el mismo artículo 5(1)(c).
• B — religión y opiniones políticas son categorías especiales en virtud del artículo 9 del RGPD; requieren consentimiento explícito y una base jurídica independiente. Recogerlas para "completar un perfil" es el caso de manual de extralimitación en el RGPD.
• C — datos de tarjeta para un evento gratuito son, por definición, no necesarios; recogerlos aumenta la exposición ante una brecha sin finalidad alguna e infringe directamente la minimización de datos.

Patrón de trampa. Cada respuesta incorrecta corresponde a un modo de fallo distinto del RGPD — recogida no estructurada, extralimitación en categorías especiales, recogida excesiva injustificada. Memoriza los tres para reconocerlos al instante bajo presión de tiempo.

Ejemplo 3 — Licencia Creative Commons BY-NC-ND en un evento de pago

Escenario. ¿Puede utilizarse un gráfico con licencia CC BY-NC-ND en las diapositivas de una conferencia pública de pago organizada por un socio externo?

Sí — los gráficos de política pública están exentos de derechos de autor en todo el mundo.
Sí — todas las licencias Creative Commons permiten un uso sin restricciones.
No — "NC" excluye los contextos comerciales y "ND" excluye las modificaciones.
Sí, siempre que se cambien los colores de fondo.

Mostrar respuesta

Respuesta: C. La competencia DigComp 3.3 Derechos de autor y licencias exige leer cada cláusula CC por separado. BY = atribución; NC = solo uso no comercial; ND = sin obras derivadas. Una conferencia de pago es un contexto comercial con independencia de que el socio de la UE sea sin ánimo de lucro — el criterio de comercialidad mira al evento, no al licenciatario — por lo que se infringe NC. Además, ND prohíbe cualquier modificación, incluido el recorte, el recoloreado o la traducción de los rótulos.

Por qué falla cada distractor:
• A — "exención de política pública" es una categoría inventada — los gráficos son expresiones protegidas de datos incluso cuando las cifras subyacentes son públicas.
• B — "todas las licencias CC permiten un uso sin restricciones" confunde Creative Commons con el dominio público (CC0); las licencias CC estándar imponen obligaciones reales.
• D — recolorear no esquiva ND, sino que lo activa. Cualquier modificación es una obra derivada, incluido un cambio de color.

Patrón de trampa. Tres de las cuatro respuestas incorrectas se apoyan en que el candidato asuma que "abierto", "público" o "edición menor" excusan el incumplimiento de la licencia. Lee literalmente el código de cuatro letras (BY / NC / ND / SA), siempre.

Estos ejemplos están redactados con el estilo exacto de nuestro banco de práctica de los Sets 1–4 — misma longitud del enunciado, mismo formato de cuatro opciones, misma clasificación de trampas utilizada en las explicaciones. No son preguntas oficiales EPSO.

Preguntas frecuentes

¿Cuántas preguntas de Competencias Digitales hay en la prueba EPSO AD-5?

Cuarenta preguntas en 60 minutos, puntuadas de 0 a 40. La puntuación de Competencias Digitales se integra directamente en tu clasificación junto con los demás componentes de razonamiento y de conocimientos sobre la UE.

¿Las Competencias Digitales cuentan para mi clasificación?

Sí. Las Competencias Digitales se puntúan en su totalidad y contribuyen a tu clasificación final — no son una barrera de apto/no apto. Cada punto cuenta para tu posición frente al resto de candidatos.

¿Cuál es el error más habitual?

Confundir metadatos con telemetría, o tratar la salida de una herramienta de IA como fiable sin verificar la fuente. La prueba pide reiteradamente distinguir categorías de información digital y aplicar verificación humana a los contenidos generados por máquina.

La forma más rápida de mejorar es practicar en condiciones realistas y cronometradas. El primer set es gratuito.