Alfabetización en IA obligatoria: qué exige el artículo 4 del AI Act a las empresas

El artículo 4 del Reglamento (UE) 2024/1689, el AI Act, se aplica desde el 2 de febrero de 2025. Fue una de las primeras disposiciones en entrar en aplicación, junto con las prácticas prohibidas del artículo 5. Obliga a proveedores y responsables del despliegue de sistemas de IA a adoptar medidas para fomentar la alfabetización en IA de su personal. La obligación alcanza a cualquier organización que opere en el mercado de la Unión Europea, con independencia de dónde tenga su sede.

Esto incluye a empresas de España, de América Latina o de cualquier otro país cuando colocan un sistema de IA en el mercado europeo. También alcanza a los responsables del despliegue establecidos en la Unión y a quienes, desde fuera, usan sistemas cuyos resultados se utilizan en territorio europeo (artículo 2).

Qué dice exactamente el artículo 4

El texto es breve. Los proveedores y responsables del despliegue deben adoptar medidas para apoyar el desarrollo de la alfabetización en IA de su personal y de otras personas que operan sistemas de IA en su nombre. Deben tener en cuenta los conocimientos técnicos, la experiencia, la educación y la formación de esas personas, así como el contexto de uso y las personas sobre las que se aplican los sistemas.

El Reglamento define la alfabetización en IA en el artículo 3, punto 56. Son las capacidades, los conocimientos y la comprensión que permiten a proveedores, responsables del despliegue y personas afectadas desplegar sistemas de IA con conocimiento de causa, y tomar conciencia de las oportunidades, los riesgos y los posibles perjuicios.

El Reglamento (UE) 2026/1744, el llamado “ómnibus digital” sobre IA, en vigor desde el 27 de julio de 2026, añadió una frase al apartado 1: la obligación no exige garantizar un nivel concreto de alfabetización a ninguna persona. El mismo acto encargó a la Comisión y a los Estados miembros apoyar a proveedores y responsables del despliegue, en especial a las pymes, y publicar ejemplos prácticos de cumplimiento en la plataforma única de información. El Consejo de IA debe adoptar recomendaciones con objetivos comunes, teniendo en cuenta los marcos europeos de competencias.

Una obligación de medios, no de resultado

Las preguntas y respuestas publicadas por la Comisión Europea aclaran el alcance. No existe un modelo único: el Reglamento no impone requisitos estrictos ni cursos obligatorios. Cada organización decide las medidas en función de su personal y de los sistemas que utiliza. Una empresa que usa un asistente conversacional generalista para atención al cliente tiene obligaciones proporcionadas a ese uso. Una organización que despliega sistemas de alto riesgo necesita un programa más estructurado.

La obligación se aplica a todos los proveedores y responsables del despliegue, no solo a quienes operan sistemas de alto riesgo. La supervisión no corresponde a la Oficina de IA, sino a las autoridades nacionales de vigilancia del mercado, que ejercen sus funciones desde el 2 de agosto de 2026. Esas autoridades pueden imponer sanciones y otras medidas por infracciones del artículo 4. Cualquier sanción debe ser proporcionada, caso por caso, considerando la naturaleza y la gravedad de la infracción y su carácter intencional o negligente.

El repositorio de prácticas de la Comisión

La Oficina de IA publicó el 4 de febrero de 2025 un repositorio vivo de prácticas de alfabetización en IA, con ejemplos aportados por los firmantes del Pacto sobre la IA y, más tarde, por otras organizaciones. Replicar esas prácticas no otorga presunción de conformidad con el artículo 4. El repositorio sirve para comparar enfoques: programas por niveles, formación por función, módulos sobre riesgos, sesiones para la dirección.

Cuatro componentes de un programa

Un programa completo cubre cuatro áreas, calibradas según las funciones de la organización.

Conocimiento técnico básico. Cómo funcionan los modelos de lenguaje, dónde fallan, cuáles son sus límites y cómo se interpretan sus resultados.

Conocimiento normativo. El marco del AI Act, la protección de datos aplicable a la IA, las obligaciones de transparencia y los derechos de las personas afectadas.

Competencias operativas por función. Quién usa qué sistema, con qué finalidad, con qué precauciones y con qué proceso de revisión humana.

Ética y responsabilidad. Identificación de sesgos, manipulación, dependencia excesiva del resultado automático y conductas profesionales correctas.

Una formación que cubre solo la parte técnica queda incompleta. Una que cubre solo la normativa queda en la teoría. Una que cubre solo la operativa ignora los riesgos. Las cuatro áreas se dosifican según el perfil: una persona que desarrolla sistemas necesita más profundidad técnica, quien atiende clientes necesita más práctica operativa, la dirección necesita marco normativo y gobernanza.

Tres niveles por función

En la práctica funcionan tres niveles. Un nivel básico para todo el personal que entra en contacto con sistemas de IA: qué es la IA, dónde se usa en la organización, cómo se reconoce y cómo se comunica un problema. Un nivel intermedio para quienes usan IA a diario sin ser especialistas: uso del sistema en su función, límites conocidos y procedimientos de escalado a una persona. Un nivel avanzado para quienes desarrollan, configuran o gestionan sistemas: documentación técnica, gestión de riesgos, evaluación de impacto y protocolos de prueba.

Para los sistemas de alto riesgo, el artículo 26 exige que la supervisión humana se asigne a personas con la competencia, la formación y la autoridad necesarias. El artículo 14 añade que esas personas deben comprender las capacidades y los límites del sistema, reconocer el sesgo de automatización y poder interrumpir el sistema. La alfabetización en IA es la base sobre la que se apoyan esas obligaciones, aplicables a los sistemas del anexo III desde el 2 de diciembre de 2027.

Cómo documentar las medidas

El artículo 4 no exige un formato de prueba. Las autoridades de vigilancia pueden pedir evidencias de que las medidas existen. Sirven el registro de quién ha completado qué módulo, los materiales utilizados, las pruebas de aprendizaje y el calendario de actualización. Las credenciales digitales europeas para el aprendizaje de Europass ofrecen un formato verificable: la organización emisora firma la credencial con un sello electrónico, cualquier alteración rompe el sello y la persona la conserva en su cartera Europass. Abarcan diplomas, certificados de formación, microcredenciales y certificados de participación.

IA en la sombra

Un riesgo frecuente es el uso de asistentes de IA en cuentas personales para tareas de trabajo, fuera del control de la organización. El artículo 4 también cubre esas situaciones: quien opera un sistema en nombre de la organización forma parte del personal al que se dirige la obligación. La respuesta operativa combina una política de uso escrita con ejemplos concretos, alternativas aprobadas por la organización para las necesidades legítimas, formación sobre esa política dentro del programa y una vigilancia razonable, sin controles desproporcionados.

Una formación que evoluciona con los sistemas

El Reglamento no fija una frecuencia de actualización. La lógica del artículo 4 sí la sugiere: las medidas se adaptan al contexto de uso, y ese contexto cambia cuando la organización cambia de modelo, añade casos de uso o modifica el proceso de revisión humana. Un programa vivo incluye sesiones periódicas de actualización normativa, módulos breves sobre nuevas versiones de las herramientas y análisis de casos reales. La estructura recuerda a la formación en seguridad laboral.

Para profundizar

• Evidencing AI Literacy Measures: un modelo operativo para el artículo 4, documento de trabajo con DOI.
• Lista de control del AI Act en 30 puntos, donde la formación es requisito previo.
• Sanciones del AI Act: cómo se calculan y quién responde.
• Versión original en italiano.
• EU AI Act en rafaelpatron.it.