Alfabetización en IA: la única obligación del AI Act que ya te obliga hoy

TL;DR

• El artículo 4 del Reglamento (UE) 2024/1689 se aplica desde el 2 de febrero de 2025. Obliga a proveedores y a responsables del despliegue de cualquier sistema de IA, no solo de los de alto riesgo.
• Si en tu empresa se usa ChatGPT, Copilot, un asistente de redacción o un módulo de IA dentro del ERP, eres «responsable del despliegue» y el artículo 4 te alcanza.
• El Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), en vigor desde el 27 de julio de 2026, sustituyó el artículo 4 por una redacción más suave. Ya no habla de «garantizar» un nivel suficiente, sino de «adoptar medidas para apoyar la promoción» de la alfabetización. Y añade una frase que quita mucha ansiedad: «Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular».
• No obliga a certificar a nadie, ni fija horas mínimas, ni exige superar un examen.
• Se acredita con documentos, no con diplomas: inventario de sistemas de IA, política de uso, registro de formación y evidencias.
• En España, el régimen sancionador sigue siendo un proyecto de ley, y su texto publicado el 12 de junio de 2026 no tipifica el incumplimiento del artículo 4 como infracción.

---

¿Qué dice el artículo 4 y a quién obliga exactamente?

El AI Act tiene una arquitectura escalonada: cuanto mayor es el riesgo, más obligaciones. La mayoría de los artículos que asustan (documentación técnica, evaluación de la conformidad, marcado CE, registro en la base de datos de la UE) solo se activan si tu sistema es de alto riesgo, y esas obligaciones no llegan hasta diciembre de 2027 o agosto de 2028, según el caso.

El artículo 4 es la excepción. Está en el capítulo I, «Disposiciones generales», y el artículo 113, párrafo tercero, letra a), fija que los capítulos I y II se aplican desde el 2 de febrero de 2025. Sin transitoriedad, sin depender del nivel de riesgo y sin depender del tamaño de la empresa.

Obliga a dos figuras, definidas en el artículo 3:

• Proveedor (punto 3): quien desarrolle un sistema de IA, o para quien se desarrolle, y lo introduzca en el mercado o lo ponga en servicio con su propio nombre o marca, «previo pago o gratuitamente».
• Responsable del despliegue (punto 4): «una persona física o jurídica, o autoridad pública, órgano u organismo que utilice un sistema de IA bajo su propia autoridad, salvo cuando su uso se enmarque en una actividad personal de carácter no profesional».

Esa última coletilla es la que separa a la empresa del particular. Usar un chatbot para escribir un poema el domingo es actividad personal. Usarlo el lunes para redactar propuestas comerciales, no.

¿Qué cambió el 27 de julio de 2026?

El Ómnibus digital sobre IA, publicado en el DOUE el 24 de julio de 2026 y en vigor tres días después, sustituyó íntegramente el artículo 4 en el punto 5 de su artículo 1. La nueva redacción tiene tres apartados. El primero, literal:

> «1. Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los colectivos de personas en que se van a utilizar dichos sistemas. Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.»

El apartado 2 traslada carga al sector público: «La Comisión y los Estados miembros apoyarán y facilitarán los esfuerzos de los proveedores y responsables del despliegue de sistemas de IA, en particular de las pymes, en el cumplimiento de su obligación en virtud del apartado 1 del presente artículo. A tal fin, la Comisión publicará ejemplos prácticos de cómo cumplir dicha obligación en la plataforma única de información a que se refiere el artículo 62, apartado 3, letra b)».

El apartado 3 encarga al Consejo de IA recomendaciones que tengan en cuenta los marcos europeos de competencias, «incluido mediante el establecimiento de objetivos comunes».

Lo que ha cambiado en la práctica:

El considerando 8 del Ómnibus explica el motivo con una franqueza poco habitual: la experiencia de las partes interesadas mostró que «una solución que imponga obligaciones estrictas para garantizar un nivel suficiente de alfabetización en materia de IA no sería adecuada para todos los tipos de proveedores y responsables del despliegue», y que esas obligaciones crean «una carga relativa al cumplimiento adicional, en particular para las pequeñas empresas». Y añade una idea que conviene no perder de vista: la alfabetización en IA «debe ser una prioridad estratégica, independientemente de las obligaciones reglamentarias y las posibles sanciones».

Traducción para una pyme: la obligación se ha vuelto más razonable, no ha desaparecido.

¿Me obliga si en mi empresa solo usamos ChatGPT o Copilot?

Sí. Y esto es lo que más cuesta aceptar.

El artículo 3, punto 1, define «sistema de IA» como «un sistema basado en una máquina que está diseñado para funcionar con distintos niveles de autonomía y que puede mostrar capacidad de adaptación tras el despliegue, y que, para objetivos explícitos o implícitos, infiere de la información de entrada que recibe la manera de generar resultados de salida, como predicciones, contenidos, recomendaciones o decisiones, que pueden influir en entornos físicos o virtuales».

Un asistente conversacional generativo encaja sin discusión. También encajan el módulo que redacta descripciones de producto en tu tienda online, el que resume llamadas en el CRM, el que sugiere respuestas en el correo o el que clasifica facturas entrantes. El artículo 4 no distingue por riesgo: dice «sistemas de IA», a secas.

Lo que sí distingue es el contexto previsto de uso. La medida que tomes con una plantilla de cinco personas que usa un chatbot para borradores no tiene que parecerse a la de una asesoría que emplea IA para preclasificar expedientes de clientes. El propio artículo lo dice: hay que tener en cuenta los conocimientos, la experiencia, la formación del personal y el contexto de uso.

¿Qué es un «nivel suficiente» de alfabetización en IA?

El Reglamento define el concepto en el artículo 3, punto 56: «las capacidades, los conocimientos y la comprensión que permiten a los proveedores, responsables del despliegue y demás personas afectadas, teniendo en cuenta sus respectivos derechos y obligaciones en el contexto del presente Reglamento, llevar a cabo un despliegue informado de los sistemas de IA y tomar conciencia de las oportunidades y los riesgos que plantea la IA, así como de los perjuicios que puede causar».

El considerando 20 lo desarrolla: los conceptos «pueden variar en función del contexto pertinente» e incluyen entender la aplicación correcta de los elementos técnicos durante el desarrollo, las medidas que deben aplicarse durante el uso, «las formas adecuadas de interpretar los resultados de salida del sistema de IA» y, para las personas afectadas, comprender cómo les repercuten las decisiones tomadas con ayuda de IA.

Aterrizado a una pyme, un nivel suficiente significa que quien usa la herramienta sabe:

• Qué hace el sistema y qué no hace. Que genera texto plausible no es lo mismo que texto verificado.
• Que puede equivocarse, y con qué tipo de error. Cifras inventadas, citas falsas, sesgos.
• Qué datos no se meten. Datos personales de clientes, información confidencial, credenciales.
• Cuándo hay que revisar la salida antes de usarla, y quién firma esa revisión.
• A quién avisar cuando algo sale mal.

Si tu personal sabe eso y puedes demostrar que se lo enseñaste, has cumplido el espíritu y la letra del artículo 4.

¿Qué NO exige el artículo 4?

Conviene decirlo claro, porque hay bastante ruido comercial alrededor.

• No exige certificaciones. Ni oficiales, ni de un proveedor concreto, ni de una norma técnica. No hay ningún sello «artículo 4» que comprar.
• No fija horas mínimas de formación. No hay un número en la norma.
• No exige un examen ni una nota de corte. El texto vigente es explícito: no obliga a garantizar «un nivel específico de alfabetización en materia de IA de ninguna persona en particular».
• No exige contratar a un consultor. Nada impide hacerlo internamente.
• No exige formar a los clientes. El destinatario es «su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA». Eso incluye a autónomos y subcontratas que operen la herramienta por ti; no a quien te compra.
• No sustituye a otras obligaciones. Si además despliegas un sistema de alto riesgo, el artículo 26, apartado 2, sí exige encomendar la supervisión humana «a personas físicas que tengan la competencia, la formación y la autoridad necesarias», y el apartado 7 obliga a informar previamente a los representantes de los trabajadores y a los trabajadores afectados.

¿Cómo se acredita en la práctica?

Con papeles fechados. La lógica es la misma que en protección de datos o en prevención de riesgos: si no está documentado, no ocurrió.

Cuatro documentos, y ninguno tiene por qué ocupar más de un par de folios.

1. Inventario de sistemas de IA. Una tabla con: herramienta, proveedor, para qué se usa, quién la usa, qué datos entran, quién la aprobó y fecha. Es la base de todo lo demás y, además, es lo primero que te va a pedir cualquiera que audite.

2. Política de uso de IA. El documento que hay que crear el lunes. Contenido mínimo:

• Herramientas autorizadas y prohibidas, con nombre.
• Qué datos no pueden introducirse nunca.
• Obligación de revisión humana antes de usar una salida hacia el exterior (cliente, publicación, decisión).
• Regla de verificación de datos, cifras y citas.
• Qué hacer ante un resultado dudoso o un incidente, y a quién se avisa.
• Fecha de aprobación y responsable.

3. Registro de formación. Fecha, duración, contenidos, asistentes y firma o acuse de recibo. Vale una sesión interna de 45 minutos. Lo que no vale es no dejar rastro.

4. Evidencias. Los materiales usados, el correo de comunicación de la política a la plantilla, las respuestas de acuse, las cláusulas incorporadas a contratos con subcontratas que operen sistemas por ti.

Añade una fecha de revisión. El Reglamento va a seguir moviéndose y la Comisión tiene encomendado publicar ejemplos prácticos.

¿Qué pasa si no lo hago? ¿Hay multa?

Aquí hay que ser preciso y no vender miedo.

El artículo 99, apartado 4, del AI Act enumera los incumplimientos sancionados con hasta 15.000.000 € o el 3 % del volumen de negocios mundial: obligaciones de proveedores (art. 16), representantes autorizados (art. 22), importadores (art. 23), distribuidores (art. 24), responsables del despliegue (art. 26), organismos notificados y transparencia (art. 50). El artículo 4 no está en esa lista.

Ahora bien, el apartado 1 del mismo artículo 99 encarga a los Estados miembros establecer el régimen de sanciones «aplicable a las infracciones del presente Reglamento». Es decir: la puerta queda abierta al legislador nacional.

En España, esa puerta todavía no se ha cerrado. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial se publicó en el Boletín Oficial de las Cortes Generales (Congreso, Serie A, núm. 97-1) el 12 de junio de 2026. En su capítulo de infracciones y sanciones (artículos 13 a 29), el texto publicado no tipifica el incumplimiento del artículo 4. Es un proyecto sujeto a enmiendas y no está en vigor, así que esto puede cambiar.

Conclusión operativa: hoy no hay una multa nominada por no formar a tu gente. Sí hay dos razones prácticas para hacerlo igual. La primera, que si un empleado filtra datos de clientes a una herramienta pública, el problema no llega por el AI Act sino por el RGPD, y la política de uso es tu defensa. La segunda, que cualquier cliente corporativo o licitación pública que te pida evidencias de gobernanza de IA se conformará con lo mismo que exige el artículo 4.

¿Qué guías oficiales existen y cuáles son vinculantes?

Ninguna guía es vinculante. Conviene tenerlo claro antes de pagar por interpretaciones.

La AESIA publicó en diciembre de 2025 un paquete de 16 guías: dos introductorias (01 y 02), trece técnicas (03 a 15) y un manual de uso de las *checklists* (16), además de un archivo comprimido con las listas de comprobación y ejemplos. La propia agencia advierte en su web que las guías «no tienen carácter vinculante ni sustituyen ni desarrollan la normativa aplicable», y que serán actualizadas «una vez se apruebe el Ómnibus digital que modifica el Reglamento de Inteligencia Artificial». Es decir: útiles como plantilla, pendientes de revisión en su contenido.

A escala europea, el nuevo artículo 4, apartado 2, encarga a la Comisión publicar ejemplos prácticos de cumplimiento en la plataforma única de información prevista en el artículo 62, apartado 3, letra b). Cuando aparezcan, serán la referencia más cercana a un estándar de facto.

¿Cómo lo monto en cuatro semanas?

Cuatro semanas a ritmo de una tarde por semana. Ese es el tamaño real del problema.

---

Preguntas frecuentes

¿El artículo 4 se aplica también a los autónomos?

Sí, si usan sistemas de IA en su actividad profesional. La definición de responsable del despliegue incluye a personas físicas y solo excluye el uso enmarcado en «una actividad personal de carácter no profesional».

Si mi proveedor de software ya forma a mi equipo, ¿estoy cubierto?

Puede servir como parte de la medida, pero el sujeto obligado sigue siendo tu empresa. Guarda el certificado de asistencia, el temario y las fechas, e incorpóralos a tu registro de formación.

¿Tengo que formar a todo el personal o solo a quien usa IA?

El artículo 4 se refiere al personal «y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA». Lo proporcionado es formar a quien usa las herramientas y dar una nota informativa breve al resto, sobre todo si en algún momento pueden empezar a usarlas.

¿Cuánto tiene que durar la formación?

La norma no fija duración. Lo que se valora es que sea adecuada a los conocimientos previos y al contexto de uso. Una sesión corta bien documentada y repetida al incorporarse gente nueva es más defendible que un curso largo sin registro.

¿Cambia algo si mi empresa desarrolla su propia IA en vez de comprarla?

Cambia mucho, pero no por el artículo 4. Pasas a ser también proveedor, con las obligaciones que correspondan según el riesgo del sistema. El artículo 4 se te aplica en ambos casos.

Con el Ómnibus, ¿puedo relajarme y no hacer nada?

No. La obligación sigue existiendo y su fecha de aplicación no se ha movido: 2 de febrero de 2025. Lo que ha cambiado es el listón, que ahora es de esfuerzo razonable y no de resultado garantizado.

---

Fuentes

• Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024 (Reglamento de Inteligencia Artificial). Artículos 3 (puntos 1, 3, 4 y 56), 4, 26, 62, 99 y 113; considerando 20:
• Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026 (Ómnibus digital sobre IA). DOUE Serie L, 2026/1744, de 24 de julio de 2026. Punto 5 del artículo 1 (nueva redacción del artículo 4) y considerando 8:
• AESIA, Agencia Española de Supervisión de la Inteligencia Artificial. Guías 01 a 16 y compendio de *checklists*:
• Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial. Boletín Oficial de las Cortes Generales, Congreso de los Diputados, XV Legislatura, Serie A, núm. 97-1, 12 de junio de 2026: