El artículo 4 del Reglamento (UE) 2024/1689 (AI Act) no es una obligación futura: es exigible desde el 2 de febrero de 2025, junto con el resto del capítulo I. Lo que ha cambiado es su contenido. El Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), en vigor desde el 27 de julio de 2026, sustituyó el artículo 4 íntegramente: pasa de ser una obligación de resultado —garantizar un nivel suficiente— a una obligación de medios —adoptar medidas «para apoyar la promoción» de la alfabetización—. Sigue vigente, sigue siendo exigible y sigue habiendo que documentarla; lo que cambia es su intensidad y cómo se acredita.
Qué dice exactamente el artículo 4
Aquí hay que ir con cuidado, porque durante 2026 se ha citado masivamente una redacción que ya no está en vigor. El artículo 4 ha tenido dos redacciones, y la frontera entre ellas es el 27 de julio de 2026.
Redacción vigente desde el 27 de julio de 2026
Es la que introdujo el artículo 1, punto 5, del Reglamento (UE) 2026/1744 del Parlamento Europeo y del Consejo, de 8 de julio de 2026 (Ómnibus digital sobre IA), publicado en el DO L, 2026/1744, de 24 de julio de 2026. Es la que hay que aplicar hoy:
«Artículo 4. Alfabetización en materia de IA. 1. Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para apoyar la promoción de la alfabetización en materia de IA de su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los colectivos de personas en que se van a utilizar dichos sistemas. Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular.
2. La Comisión y los Estados miembros apoyarán y facilitarán los esfuerzos de los proveedores y responsables del despliegue de sistemas de IA, en particular de las pymes, en el cumplimiento de su obligación en virtud del apartado 1 del presente artículo. A tal fin, la Comisión publicará ejemplos prácticos de cómo cumplir dicha obligación en la plataforma única de información a que se refiere el artículo 62, apartado 3, letra b).
3. El Consejo de IA adoptará recomendaciones, teniendo en cuenta los marcos europeos de competencias, con vistas a apoyar a la Comisión y a los Estados miembros en la promoción de la alfabetización en materia de IA exigida en virtud del apartado 1, incluido mediante el establecimiento de objetivos comunes.»
Redacción original, vigente hasta el 26 de julio de 2026
Es la del Reglamento (UE) 2024/1689 en su versión inicial. La reproducimos por una razón práctica: es la que sigue apareciendo en la mayoría de guías, plantillas y cursos publicados antes de esa fecha, y reconocerla es la forma más rápida de detectar que un documento está desfasado.
«Los proveedores y responsables del despliegue de sistemas de IA adoptarán medidas para garantizar que, en la mayor medida posible, su personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA tengan un nivel suficiente de alfabetización en materia de IA, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los colectivos de personas en que se van a utilizar dichos sistemas».
De obligación de resultado a obligación de medios
La diferencia no es cosmética. La redacción original imponía una obligación de resultado: había que garantizar que las personas tuvieran un nivel suficiente. Ante una inspección, el sujeto obligado tenía que poder sostener que el nivel alcanzado era suficiente, un juicio que no dependía solo de él. La redacción vigente impone una obligación de medios: hay que adoptar medidas para apoyar la promoción de la alfabetización, y el propio artículo excluye de forma expresa que se pueda exigir un nivel concreto a ninguna persona determinada.
Conviene decir con la misma claridad lo que no cambia, porque es donde más se está exagerando: la obligación no desaparece, no pasa a ser voluntaria y no deja de ser exigible. Sigue recayendo sobre proveedores y responsables del despliegue, sigue aplicándose desde el 2 de febrero de 2025 y sigue habiendo que documentarla. Lo que se acredita ya no es el nivel alcanzado por cada persona, sino las medidas que la empresa ha adoptado. Para la mayoría de las pymes eso reduce el riesgo de interpretación, no el trabajo de fondo: sin inventario de sistemas, sin mapa de quién los usa y sin registro de la formación impartida, no hay medidas que mostrar.
El nuevo apartado 2 añade una ayuda concreta que merece la pena seguir: la Comisión debe publicar ejemplos prácticos de cómo cumplir la obligación en la plataforma única de información del artículo 62, apartado 3, letra b). Y el apartado 3 encarga al Consejo de IA recomendaciones apoyadas en los marcos europeos de competencias.
Dos rasgos de la redacción se mantienen intactos, y son los que más se pasan por alto. Primero: obliga tanto a proveedores como a implementadores (responsables del despliegue) —no es una obligación exclusiva de quien desarrolla IA, también de quien simplemente la usa en su empresa—. Segundo: no exige un curso genérico, sino medidas proporcionadas al puesto, la experiencia, la formación y el contexto de uso de cada persona: no es lo mismo lo que necesita quien supervisa un sistema de selección de personal que quien usa un asistente de redacción.
Por qué esta obligación ya está vigente y casi nadie la ha implementado
El artículo 113 del Reglamento establece una entrada en vigor escalonada. El capítulo I (disposiciones generales, donde vive el artículo 4) y el capítulo II (prácticas prohibidas) aplican desde el 2 de febrero de 2025. El resto del calendario —el capítulo III, sección 4 (organismos notificados), los modelos de uso general, la gobernanza y el régimen sancionador desde el 2 de agosto de 2025, salvo el artículo 101, sobre multas a proveedores de modelos de IA de uso general, que el artículo 113, párrafo tercero, letra b), excluye expresamente y remite a la fecha general de aplicación; y la aplicación general del Reglamento el 2 de agosto de 2026— corresponde a otros capítulos. El Ómnibus digital sobre IA aplazó la aplicación del capítulo III, secciones 1, 2 y 3 —los requisitos de los sistemas de alto riesgo y las obligaciones de sus proveedores y responsables del despliegue—, con excepción del artículo 6, apartado 5: al 2 de diciembre de 2027 para los sistemas clasificados de alto riesgo en virtud del artículo 6, apartado 2, y el anexo III, y al 2 de agosto de 2028 para los del artículo 6, apartado 1, y el anexo I. Nada de eso afecta al artículo 4: la alfabetización en IA no se ha aplazado.
En la práctica, esto significa que la alfabetización en IA lleva año y medio siendo exigible mientras muchas pymes españolas la siguen situando mentalmente en el 2 de agosto de 2026, confundiéndola con la fecha de aplicación general del Reglamento. Es un matiz que conviene corregir cuanto antes: el artículo 4 ya era exigible en su redacción original y lo sigue siendo en la nueva, mientras que los requisitos del capítulo III para los sistemas del anexo III no lo serán hasta el 2 de diciembre de 2027. Con un añadido que casi nadie cuenta: a 30 de julio de 2026 España todavía no ha aprobado la ley que designa a las autoridades nacionales de vigilancia del mercado y concreta el procedimiento sancionador, que sigue en tramitación parlamentaria. Eso no hace inexigible la obligación —el Reglamento se aplica igual—, pero sí condiciona quién y cómo la revisa.
Qué significa «alfabetización en materia de IA» según el Reglamento
El considerando 20 del propio Reglamento aclara el objetivo de esta obligación: la alfabetización en materia de IA debe dotar a los proveedores, responsables del despliegue y personas afectadas de los conceptos necesarios para tomar decisiones con conocimiento de causa en relación con los sistemas de IA. No se trata de convertir a toda la plantilla en especialista técnico, sino de que quien opera, supervisa o se ve afectado por un sistema de IA entienda, al nivel que le corresponde, qué hace ese sistema, qué puede fallar y qué riesgos conlleva su uso incorrecto.
Eso da a la obligación un alcance más amplio de lo que suele asumirse. No basta con formar al equipo técnico que integra la IA: también hace falta un nivel adecuado de alfabetización para quien la supervisa en el día a día (por ejemplo, quien revisa las recomendaciones de un sistema de scoring o de selección de personal) y, en determinados contextos, información suficiente para las personas afectadas por sus decisiones.
A quién obliga en la práctica
- Proveedores de sistemas de IA: deben alfabetizar a su propio personal técnico y no técnico que interviene en el desarrollo, la puesta en el mercado o el soporte del sistema.
- Implementadores (la inmensa mayoría de las pymes españolas que usan IA de terceros): deben alfabetizar a quien opera, supervisa o configura el sistema dentro de la organización, y no solo al departamento de tecnología. Un responsable de RR. HH. que supervisa un sistema de cribado de candidaturas necesita alfabetización en IA tanto como quien lo instaló.
- Terceros que actúan en su nombre: la obligación se extiende a las «demás personas que se encarguen en su nombre» del funcionamiento del sistema, lo que puede incluir personal subcontratado o proveedores de soporte.
Si tu empresa todavía no tiene claro si actúa como proveedora o como implementadora frente a un sistema concreto —el punto de partida antes incluso de plantearse la alfabetización—, esa clasificación de rol se resuelve con el clasificador AI Act.
Qué hay que documentar para acreditar el cumplimiento
El artículo 4 no fija un formato concreto de evidencia, pero cualquier auditoría o inspección va a buscar algo más que una afirmación genérica de «ya formamos a la gente». Un expediente mínimo razonable incluye:
- Inventario de sistemas de IA en uso en la empresa, con quién los opera, supervisa o configura.
- Mapa de personal por nivel de exposición: quién solo usa una herramienta de asistencia puntual y quién supervisa decisiones sobre personas (selección, crédito, salud, etc.).
- Contenido de la formación impartida, adaptado a cada perfil: no es lo mismo formar sobre los límites de un asistente de texto que sobre los riesgos de sesgo de un sistema de alto riesgo.
- Registro de asistencia y fechas de cada sesión formativa, con actualización cuando cambian los sistemas usados o se incorpora personal nuevo.
- Criterio de proporcionalidad aplicado: por qué esas medidas se consideran adecuadas para ese puesto y ese contexto de uso, dejando constancia del razonamiento. Tras la reforma del artículo 4 esto ya no consiste en certificar un nivel alcanzado, sino en justificar la medida adoptada.
- Responsable designado de mantener actualizado el programa de alfabetización a medida que cambian los sistemas de IA de la empresa.
Quién debe liderar esta obligación dentro de la empresa
El artículo 4 no exige una figura equivalente al delegado de protección de datos, pero sin un responsable claro la alfabetización tiende a quedar repartida entre RR. HH. y tecnología sin que nadie la documente de forma sistemática. Analizamos con más detalle quién debería asumir esta función —y cuándo conviene ampliar el rol del DPO frente a nombrar una figura distinta— en ¿Quién debe encargarse del AI Act en tu empresa? DPO o no.
Qué pasa si no se cumple
El artículo 4 no está entre las prohibiciones del artículo 5, así que su incumplimiento no activa el tramo más severo del régimen (hasta 35 millones de euros o el 7 % de la facturación mundial, artículo 99, apartado 3). Y aquí hay que ser más preciso de lo que suele leerse: la lista del artículo 99, apartado 4 —la que tarifa las multas de hasta 15 millones de euros o el 3 %— enumera las obligaciones de los artículos 16, 22, 23, 24, 26, 31, 33, 34 y 50, y tras el Ómnibus digital también las del artículo 25, apartados 2 y 4, pero no incluye el artículo 4. Eso no deja la alfabetización sin consecuencias: el artículo 99, apartado 1, obliga a los Estados miembros a establecer el régimen de sanciones y otras medidas de garantía del cumplimiento —multas administrativas, advertencias o medidas no pecuniarias— aplicable a cualquier infracción del Reglamento. El detalle decisivo es que España todavía no ha aprobado esa norma: el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096) sigue en tramitación parlamentaria. Para estimar el orden de magnitud de los tramos que sí están tarifados en el Reglamento, puede consultarse la calculadora de sanciones del AI Act (herramienta orientativa; no sustituye asesoramiento profesional).
Checklist rápido
- Inventario de sistemas de IA en uso, con proveedor y finalidad.
- Identificación de quién opera, supervisa o configura cada sistema.
- Formación diferenciada por nivel de exposición y responsabilidad.
- Registro documental de fechas, contenidos y asistentes.
- Responsable designado de mantener el programa actualizado.
- Revisión cuando se incorporan sistemas nuevos o cambia el personal.
- Enlace con la clasificación de rol (proveedor/implementador) y de riesgo del sistema.
Preguntas frecuentes
¿La alfabetización en IA exige un curso homologado o un certificado oficial?
No. El artículo 4 no exige ningún formato, proveedor ni certificación concretos, y desde su sustitución por el Reglamento (UE) 2026/1744 lo dice de forma aún más clara: la obligación «no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular». Lo que hay que poder acreditar son las medidas adoptadas para apoyar la promoción de la alfabetización, proporcionadas al puesto, la experiencia y el contexto de uso de cada persona.
¿Una pyme pequeña que solo usa ChatGPT internamente tiene que cumplir el artículo 4?
Sí. El artículo 4 no distingue por tamaño de empresa ni exime a quien usa herramientas de terceros de bajo riesgo aparente: obliga a proveedores y responsables del despliegue de sistemas de IA sin atender al nivel de riesgo del sistema. Lo que sí es proporcional es el esfuerzo: las medidas razonables para quien usa un asistente de redacción no son las de quien opera un sistema de alto riesgo. Y desde el 27 de julio de 2026 la obligación es de medios: hay que adoptar medidas para apoyar la promoción de la alfabetización, no garantizar un nivel concreto en ninguna persona en particular. El artículo 4, apartado 2, prevé además que la Comisión y los Estados miembros apoyen y faciliten específicamente a las pymes el cumplimiento de esa obligación.
¿Esta obligación sustituye a la formación en protección de datos o en ciberseguridad?
No. Es una obligación adicional y específica del AI Act, centrada en la comprensión de los sistemas de IA y sus riesgos. Puede coordinarse con los programas de formación en RGPD o seguridad de la información ya existentes en la empresa, pero no los sustituye ni viceversa.
¿Quién comprueba que se cumple el artículo 4 en España?
A 30 de julio de 2026 no hay todavía una respuesta cerrada, y conviene decirlo así: no existe ninguna ley ni real decreto español en vigor que designe formalmente a la autoridad de vigilancia del mercado del artículo 70 del AI Act ni que concrete el procedimiento sancionador nacional. Lo que existe es el Proyecto de Ley Orgánica para el buen uso y la gobernanza de la inteligencia artificial (expediente 121/000096, XV Legislatura), publicado en el BOCG del Congreso, Serie A, núm. 97-1, de 12 de junio de 2026 y, a esta fecha, en fase de enmiendas en la Comisión de Economía, Comercio y Transformación Digital, con el plazo ampliado hasta el 2 de septiembre de 2026: no está publicado en el BOE, no tiene fuerza de ley y su texto puede cambiar. Está previsto, además, que no designe a la AESIA como autoridad única, sino que reparta la vigilancia del mercado entre la AESIA y otros supervisores según el tipo de sistema.
De la AESIA sí consta lo verificado: su creación la autorizan la Ley 22/2021, de 28 de diciembre (disposición adicional centésima trigésima), y la Ley 28/2022, de 21 de diciembre (disposición adicional séptima); el Real Decreto 729/2023, de 22 de agosto, aprueba su Estatuto; tiene su sede institucional en A Coruña; y el 16 de diciembre de 2025 publicó 16 guías de apoyo al cumplimiento del AI Act para sistemas de alto riesgo.
Summum Consultoría ayuda a inventariar los sistemas de IA en uso, mapear al personal por nivel de exposición y dejar documentado el programa de alfabetización exigido por el artículo 4, dentro del plan de adecuación general al AI Act.