Artículo 4 del Reglamento de IA de la UE: la obligación de alfabetización en IA (AI literacy), explicada con claridad

El artículo 4 del Reglamento de IA de la UE (alfabetización en IA) obliga a los proveedores y a los responsables del despliegue de sistemas de IA a adoptar medidas que fomenten la alfabetización en IA de su personal. La obligación rige desde el 2 de febrero de 2025, afecta a todos los niveles de riesgo y se cumple mediante formaciones documentadas y basadas en roles. El Reglamento de IA no fija un régimen de multas propio para el artículo 4: las sanciones las establecen los Estados miembros.

La obligación de alfabetización en IA es la norma más subestimada de todo el Reglamento de IA. No es una norma especial para la IA de alto riesgo, sino una obligación básica para cualquier empresa que utilice IA en su actividad, desde el copiloto de marketing hasta la herramienta agéntica de investigación.

• ¿Quién? Tanto los proveedores (providers) como los responsables del despliegue (deployers). Para casi todas las empresas de la UE se aplica el rol de responsable del despliegue. A las empresas suizas, el Reglamento de IA solo las alcanza en las condiciones del art. 2, apartado 1, por ejemplo, cuando introducen sistemas de IA en el mercado de la UE o cuando la información de salida de sus sistemas de IA se utiliza en la UE.
• ¿Desde cuándo? Desde el 2 de febrero de 2025, plenamente aplicable. El Ómnibus Digital no aplazó el artículo 4, pero le dio una nueva redacción en julio de 2026.
• ¿Cómo cumplirla? Con un plan de formación documentado y basado en roles. No hace falta ningún certificado, pero se esperan pruebas.

Qué exige en concreto el artículo 4

Desde la nueva redacción introducida por el Ómnibus Digital, los proveedores y los responsables del despliegue deben adoptar medidas que apoyen el desarrollo de la alfabetización en IA de su personal y de otras personas que, en su nombre, se ocupen del funcionamiento y del uso de sistemas de IA. Hasta julio de 2026, el artículo 4 exigía garantizar, en la mayor medida posible, un «nivel suficiente» de alfabetización en IA. Ese objetivo ha desaparecido: la nueva redacción no exige un nivel de competencia determinado de cada persona (Q&A de la Comisión Europea).

Para ello deben tenerse en cuenta los conocimientos técnicos, la experiencia, la educación y la formación de las personas en cuestión, así como el contexto en el que se van a utilizar los sistemas de IA y las personas o los colectivos de personas con los que se van a utilizar (art. 4, apartado 1, en la redacción del Reglamento (UE) 2026/1744).

Importante: la norma no exige ningún certificado ni ninguna certificación externa. Sí se espera, en cambio, la documentación del programa de competencias. En esa documentación se apoya normalmente una autoridad cuando comprueba el cumplimiento. Quien no pueda presentar una medida demostrable tendrá un problema en caso de inspección, aunque su personal esté formado de hecho.

Desde cuándo rige la obligación y qué ha cambiado el Ómnibus Digital

El artículo 4 rige desde el 2 de febrero de 2025, junto con el catálogo de prácticas prohibidas del artículo 5. Así, la alfabetización en IA figura entre las primerísimas obligaciones aplicables del Reglamento de IA.

El Ómnibus Digital se publicó en el Diario Oficial el 24 de julio de 2026 como Reglamento (UE) 2026/1744 y está en vigor desde el 27 de julio de 2026. Aplaza la mayor parte de las obligaciones de alto riesgo: el anexo III se aplica ahora a partir del 2 de diciembre de 2027, y el anexo I, a partir del 2 de agosto de 2028. El artículo 4 no lo aplaza. En noviembre de 2025, la Comisión había propuesto convertir la obligación en un simple mandato de fomento dirigido a los Estados miembros y a la Comisión (Q&A de la Comisión Europea). Lo que se aprobó, en cambio, fue la nueva redacción descrita más arriba: la obligación sigue recayendo en los proveedores y los responsables del despliegue.

Para la alfabetización en IA, esto significa sin lugar a dudas que la obligación ya está plenamente activa. Ya no hay ningún periodo transitorio.

A quién afecta la obligación: proveedores y responsables del despliegue

A diferencia de la mayoría de las obligaciones del Reglamento de IA, el artículo 4 no distingue por nivel de riesgo. Se aplica en los cuatro niveles de riesgo, también a aplicaciones de riesgo mínimo como agentes RAG internos que trabajan con documentos no sensibles o copilotos de generación de código para uso interno.

La clave para las pymes en Europa: casi todas las empresas son responsables del despliegue, no proveedores. Quien usa Microsoft 365 Copilot, Google Gemini for Workspace, ChatGPT Enterprise, Anthropic Claude for Work o herramientas especializadas de terceros es responsable del despliegue y, por tanto, está obligado por el artículo 4. Un error muy extendido es pensar: «Solo usamos Microsoft 365 Copilot, así que no estamos dentro del ámbito de aplicación». Falso: la pyme que actúa como responsable del despliegue es el operador responsable, y la obligación de alfabetización en IA le afecta con independencia de la herramienta.

Cómo cumplir la obligación en la práctica: el plan de formación

El Q&A de la Comisión Europea sobre alfabetización en IA (publicado por primera vez en mayo de 2025 y actualizado en julio de 2026) señala como mínimo: una comprensión general de la IA en la empresa, el propio rol como proveedor o responsable del despliegue, el riesgo de los sistemas utilizados y medidas que se basen en ese análisis y se ajusten a los conocimientos previos y al contexto de uso. De ahí se deriva un enfoque basado en roles y proporcional al riesgo. Sobre esa base, recomendamos los siguientes contenidos:

• Conciencia de qué es la IA y en qué se diferencia del software convencional (según las directrices sobre la definición de sistema de IA del 6 de febrero de 2025).
• Los cuatro niveles de riesgo y las obligaciones básicas que se aplican a los usos concretos de la IA en la empresa.
• Cómo reconocer una práctica prohibida según el artículo 5.
• Reconocer los desencadenantes de transparencia según el artículo 50 (chatbots, contenidos sintéticos, deepfakes).
• Para el personal con responsabilidad operativa sobre sistemas de alto riesgo: las expectativas en materia de supervisión humana (art. 14, art. 26(2)), las obligaciones de notificación de incidentes (art. 26(5), art. 73) y la obligación de información del art. 26(7) frente a los representantes de los trabajadores y los trabajadores afectados antes de utilizar IA de alto riesgo en el lugar de trabajo. Los derechos de codeterminación del comité de empresa se derivan del derecho laboral nacional: en Austria, por ejemplo, en el caso de medidas de control y sistemas técnicos de control de los trabajadores que afecten a la dignidad humana (§ 96 Abs. 1 Z 3 ArbVG); en Alemania, en el caso de dispositivos técnicos destinados a supervisar el comportamiento o el rendimiento de los empleados (§ 87 Abs. 1 Nr. 6 BetrVG).
• Para desarrollo y compras: la diligencia debida sobre los proveedores y la trampa de la modificación sustancial (art. 25).
• Para la dirección: el riesgo de multas (art. 99) y la responsabilidad en materia de gobernanza.

Asignar los roles a niveles de competencia

La implementación práctica empieza con una matriz de roles. Se recomienda asignarlos a los niveles de alta dirección, mandos intermedios, operativo, técnico y usuario final. A una pyme de 200 personas le bastan normalmente de 3 a 5 módulos de competencias distintos; un gran grupo del DAX, el ATX o el SMI con más de 5.000 empleados necesita más bien más de 10 módulos.

Documentación, localización y coordinación

Para un cumplimiento sólido hay cuatro pautas prácticas:

• Documentar las formaciones: registros de asistencia, control de versiones de los contenidos, actualización periódica.
• Localizar los contenidos: alemán para DE/AT, alemán/francés/italiano para CH, teniendo en cuenta los marcos de antidiscriminación y protección de datos aplicables en cada caso.
• Coordinarse con el comité de empresa: si usas IA en el lugar de trabajo, comenta pronto con él el programa de formación. El artículo 4 no lo exige, pero facilita la implantación.
• Remitir a fuentes oficiales: el KI-Service Desk de la BNetzA (Bonn), la KI-Servicestelle de la RTR (Viena) y los materiales del Risk Monitor de la FINMA (para profesionales del sector financiero).

El riesgo de multas

El artículo 4 no tiene un régimen de multas propio en el Reglamento de IA: el artículo 99 no lo menciona en ninguno de sus tres niveles de multas. Las sanciones por infringir el artículo 4 las fijan los Estados miembros conforme al art. 99(1). Desde el 2 de agosto de 2026, las autoridades nacionales de vigilancia del mercado son las competentes para la supervisión y la aplicación. Toda sanción debe ser proporcionada y atender al caso concreto (Q&A de la Comisión Europea).

En una inspección cuenta lo que puedas demostrar. El artículo 4 no contiene una obligación de documentación propia; el Q&A menciona los registros internos de formaciones y otras medidas como posible prueba. Según el Q&A, es más probable que haya sanción si un incidente puede atribuirse a una formación o unas instrucciones insuficientes del personal.

La falta de alfabetización en IA sale cara cuando lleva a incumplir obligaciones sancionadas con multas. El artículo 99 establece tres niveles; en cada uno, lo determinante es el importe más alto:

• Art. 99(3): prácticas prohibidas según el artículo 5, hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial.
• Art. 99(4): obligaciones enumeradas de forma exhaustiva de proveedores, responsables del despliegue y otros operadores, sobre todo las de los arts. 16 y 26 para sistemas de alto riesgo (como la supervisión humana del art. 26(2)), así como las obligaciones de transparencia del art. 50, hasta 15 millones de euros o el 3 %.
• Art. 99(5): información incorrecta, incompleta o engañosa facilitada a autoridades u organismos notificados, hasta 7,5 millones de euros o el 1 %.

Para las pymes y las start-ups se aplica, según el artículo 99(6), el importe menor de los dos (cantidad absoluta o porcentaje), no el mayor. El Ómnibus Digital extiende esta protección, con el nuevo art. 99, apartado 6 bis, a las pequeñas empresas de mediana capitalización (SMC), aunque solo para las multas del art. 99(4) y (5), no para las prácticas prohibidas.

Ejemplo de cálculo con cifras

Una pyme industrial austriaca con 180 empleados y 40 millones de euros de facturación anual utiliza un copiloto agéntico de investigación y elaboración de ofertas (riesgo mínimo). La dirección considera que la alfabetización en IA «no es relevante, porque no es un sistema de alto riesgo».

Jurídicamente es un error: el artículo 4 se aplica a todos los niveles de riesgo. Sin embargo, para la simple infracción del artículo 4 no se puede calcular un importe de multa a partir del Reglamento de IA, ya que la sanción depende del derecho nacional. Lo que sí se puede calcular es una infracción derivada. Supongamos que la empresa crea más adelante su propio chatbot para clientes. Como nadie en el equipo del proyecto conoce la obligación de informar, los clientes no saben que están hablando con una IA. Esto infringe el art. 50(1) y entra en el art. 99(4): hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial. Como la empresa, con menos de 250 empleados y por debajo del umbral de facturación, es una pyme, se aplica según el art. 99(6) el importe menor, en este caso el 3 % de 40 millones de euros = 1,2 millones de euros. Este límite máximo se aplica a la infracción derivada; no es una multa por el artículo 4. Frente a ello está un plan de formación conforme: 4 módulos para unas 180 personas, actualización anual y asistencia documentada en el LMS. El coste se sitúa en el tramo bajo de las cuatro a cinco cifras en euros. La relación entre el esfuerzo de implantación y la exposición al riesgo deja clara la prioridad.

Para agencias y decisores B2B

Las agencias de marketing se ven afectadas por partida doble: como responsables del despliegue de sus propias herramientas de IA (agentes de copywriting, generadores de imagen y vídeo) y como asesoras de sus clientes, que también deben demostrar su alfabetización en IA. Quien pone en marcha un programa de competencias documentado y basado en roles cubre su propia obligación del artículo 4 y, al mismo tiempo, crea un módulo de consultoría que puede vender, incluida la coordinación con las obligaciones de transparencia (art. 50) y la información a los representantes de los trabajadores (art. 26(7)). Para los decisores B2B, la alfabetización en IA es la puerta de entrada pragmática a todo el cumplimiento del Reglamento de IA: es obligatoria, exigible de inmediato y se puede cumplir de forma sólida con un esfuerzo asumible.

Ayudamos a empresas y agencias de toda Europa a crear un programa de alfabetización en IA capaz de superar una inspección: desde la matriz de roles hasta la estructura de documentación, pasando por módulos localizados.

Nota: este artículo tiene carácter meramente informativo y no constituye asesoramiento jurídico. Para una valoración vinculante de tu caso concreto, consulta a un profesional del derecho cualificado.