La mayoría de las organizaciones españolas saben que el Reglamento de IA de la UE está llegando. La mayoría ha empezado a pensar en sistemas de IA de alto riesgo, clasificación de riesgos y documentación técnica. Muy pocas han mirado la obligación de cumplimiento que ya lleva más de un año en vigor.
El Artículo 4 del Reglamento de IA de la UE es jurídicamente vinculante desde el 2 de febrero de 2025.
Exige que todo proveedor y responsable del despliegue de sistemas de IA garantice que su personal — y cualquier otra persona que opere IA en su nombre — tenga un nivel suficiente de alfabetización en IA proporcional a su función. No “algo de concienciación”. No “un webinar de una hora”. Un nivel de alfabetización adecuado a los sistemas de IA específicos que utilizan, los riesgos que esos sistemas conllevan y las decisiones que sus resultados informan.
Si su organización utiliza herramientas de IA — y en 2026, prácticamente toda organización lo hace — esta obligación se le aplica hoy. No desde agosto. No cuando se apruebe la ley nacional de IA. Ahora mismo.
AESIA ha confirmado que evaluará el cumplimiento de la alfabetización en IA como parte de su actividad supervisora más amplia del Reglamento de IA de la UE desde el 2 de agosto de 2026. La Oficina Europea de IA ha señalado que la acción de aplicación regulatoria es más probable cuando los incidentes pueden atribuirse a una formación inadecuada. La falta de un programa documentado de alfabetización en IA será tratada como un factor agravante en investigaciones más amplias del Reglamento de IA de la UE — lo que significa que aumenta su exposición en cualquier otro problema de cumplimiento, no solo en el propio Artículo 4.
Esta guía explica exactamente qué exige el Artículo 4, qué significa “suficiente” en la práctica, a quién cubre la obligación, qué espera ver AESIA como evidencia y cómo crear un programa que realmente satisfaga el estándar legal.
Desarrollar alfabetización en IA específica para cada puesto, comprender las expectativas de AESIA y crear evidencia documentada de cumplimiento antes de agosto de 2026.
El texto completo del Artículo 4 del Reglamento de IA de la UE dice:
“Los proveedores y responsables del despliegue de sistemas de IA tomarán medidas para garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en IA de su personal y de otras personas que se ocupen de la operación y el uso de sistemas de IA en su nombre, teniendo en cuenta sus conocimientos técnicos, experiencia, educación y formación, así como el contexto en el que se utilizarán los sistemas de IA, y considerando a las personas o grupos de personas sobre quienes se utilizarán los sistemas de IA.”
Cada frase importa:
“Tomarán medidas” — esta es una obligación vinculante, no una recomendación. La palabra “shall” en el lenguaje regulatorio de la UE indica un requisito legal.
“En la mayor medida posible” — esto no es una laguna. Es una cláusula de proporcionalidad. Significa que debe hacer lo razonablemente alcanzable dado el tamaño y los recursos de su organización. No significa que pueda saltarse la obligación. Una pyme de 10 personas está sujeta a un estándar diferente al de un banco de 10.000 personas — pero ambas están sujetas a un estándar.
“Un nivel suficiente” — no un nivel fijo. No un número mínimo de horas. Un nivel adecuado a la función de la persona, sus conocimientos existentes y los sistemas de IA con los que interactúa. La suficiencia se evalúa por persona y en contexto.
“Personal y otras personas” — la obligación no se limita a empleados. Se extiende a contratistas, proveedores de servicios y cualquier otra persona que opere IA en nombre de la organización.
“Teniendo en cuenta sus conocimientos técnicos, experiencia, educación y formación” — la organización debe evaluar lo que cada persona ya sabe antes de diseñar la formación. Un científico de datos experimentado que trabaja con sistemas de IA no necesita el mismo programa que un representante de atención al cliente que utiliza una herramienta de enrutamiento de tickets impulsada por IA.
“El contexto en el que se utilizarán los sistemas de IA” — la alfabetización debe calibrarse al sistema de IA específico, no solo a la IA en general. Una persona que opera un sistema de scoring crediticio necesita alfabetización sobre riesgo crediticio, sesgo algorítmico y regulación financiera. Eso es diferente de lo que necesita una persona que utiliza una herramienta de generación de contenido.
“Considerando a las personas o grupos de personas sobre quienes se utilizarán los sistemas de IA” — la alfabetización también debe tener en cuenta el lado del impacto. Si su sistema de IA afecta a grupos vulnerables — clientes mayores, candidatos a empleo, beneficiarios de prestaciones sociales — las personas que lo operan deben entender ese panorama específico de riesgo.
El calendario:
El malentendido más común sobre el Artículo 4 es que solo se aplica a las personas que técnicamente operan sistemas de IA — científicos de datos, ingenieros, desarrolladores. Esto es incorrecto.
La obligación se extiende a toda persona que se ocupe de la operación y el uso de sistemas de IA en nombre de la organización. La Comisión Europea ha aclarado este alcance explícitamente:
Empleados en cualquier función que utilice herramientas de IA — responsables de RR. HH. que usan software de cribado de CV, personal financiero que utiliza analítica impulsada por IA, personal de atención al cliente que usa chatbots de IA, equipos de ventas que utilizan herramientas CRM impulsadas por IA. Si interactúan con un sistema de IA en su trabajo, se aplica la obligación del Artículo 4.
Contratistas y proveedores de servicios — un contratista de call center que opera una herramienta de triaje de llamadas basada en IA en nombre de una empresa española de telecomunicaciones debe recibir formación sobre esa herramienta bajo el Artículo 4. La obligación no se detiene en el límite legal de la organización. Si una persona opera IA en nombre de la organización, el responsable del despliegue es responsable de garantizar su alfabetización.
Clientes en algunos contextos — la Comisión ha señalado que, cuando los clientes operan sistemas de IA en nombre de un proveedor o responsable del despliegue (por ejemplo, en contextos de software B2B donde el cliente configura y opera una herramienta de IA proporcionada por el proveedor), la obligación puede extenderse a garantizar que esos clientes tengan alfabetización adecuada. Esto es particularmente relevante para proveedores SaaS cuyos clientes utilizan funciones de IA en contextos de alto riesgo.
Alta dirección y miembros del consejo — aunque no estén técnicamente “operando” sistemas de IA, la orientación de la Comisión y el enfoque de AESIA sobre gobernanza de IA dejan claro que se espera una alfabetización en IA significativa a nivel de liderazgo. Es improbable que líderes que no pueden demostrar ningún entendimiento de cómo funcionan los sistemas de IA, qué riesgos conllevan o qué exige el Reglamento de IA de la UE a su organización satisfagan la evaluación de AESIA sobre madurez de gobernanza.
La implicación práctica para las organizaciones españolas: antes de diseñar su programa de alfabetización en IA, realice un inventario de herramientas de IA — identificando cada sistema de IA en uso en cada función — y luego mapee a cada persona que interactúa con él. Esa población es el alcance de su obligación del Artículo 4.
El Reglamento de IA de la UE no define un currículo mínimo, un número mínimo de horas de formación ni un formato de certificación requerido. La Comisión ha confirmado: no existe un estándar único para todos. La suficiencia se evalúa en relación con la función de la persona, sus conocimientos existentes y los sistemas de IA con los que interactúa.
Esta flexibilidad es intencional — pero no significa que el estándar sea vago. La orientación regulatoria y los patrones emergentes de aplicación dejan claro cómo es “suficiente” en la práctica.
La alfabetización en IA suficiente para una persona determinada significa que puede:
La alfabetización suficiente NO es:
La Comisión ha sido explícita: el contenido genérico de “introducción a la IA” que no aborda los casos de uso específicos de IA de la organización probablemente no satisfará el estándar de “suficiente” para personas con responsabilidades operativas de IA. El estándar exige contenido específico, relevante para la función y que aborde los sistemas reales con los que trabaja la persona.
Como señaló Travers Smith, el reconocido despacho jurídico, en su análisis del Artículo 4: “La falta de formación del personal en IA probablemente será vista por los reguladores como un factor agravante en una aplicación regulatoria más amplia por otras infracciones del Reglamento de IA de la UE — esto probablemente será más probable que una aplicación independiente del requisito de alfabetización en IA.” En otras palabras, una formación inadecuada aumenta su exposición en toda su posición de cumplimiento del Reglamento de IA de la UE.
Esta sección merece atención específica porque muchas organizaciones españolas ya han realizado algún tipo de formación de concienciación sobre IA y creen que esto satisface el Artículo 4. Para la mayoría, no lo hace — al menos no para la mayoría de su personal.
Una sesión genérica de concienciación sobre IA cubre: qué es la IA, cómo funcionan los grandes modelos de lenguaje en términos generales, algunos ejemplos de IA en la industria, quizá una breve mención al Reglamento de IA de la UE.
Lo que exige el Artículo 4 que una sesión genérica no proporciona:
Considere el contraste. Un responsable de cumplimiento en una compañía de seguros española ha asistido a un taller de dos horas sobre “IA y el futuro del trabajo”. Ahora sabe qué son las redes neuronales y que la IA plantea cuestiones éticas. Pero no sabe:
Esta persona ha recibido formación de concienciación sobre IA. No ha recibido alfabetización en IA conforme al Artículo 4 para su función.
El enfoque más práctico para el cumplimiento del Artículo 4 es una arquitectura de formación por niveles, basada en funciones, que proporcione alfabetización adecuada a diferentes grupos sin sobreformar a usuarios de bajo riesgo ni infraformar a operadores de alto riesgo.
Quién: Todo empleado, contratista o proveedor de servicios que utilice cualquier herramienta impulsada por IA en su trabajo — incluidas herramientas de productividad, chatbots, búsqueda asistida por IA o cualquier software con funciones de IA.
Qué necesitan saber:
Formato: 2–4 horas de formación estructurada, impartida online o presencialmente. Debe incluir una comprobación de conocimientos — no solo asistencia. Completada por todas las personas relevantes dentro de un plazo definido, con registros de finalización conservados.
Para organizaciones españolas: este nivel es su obligación más amplia y urgente. Toda persona dentro del alcance debe completarlo — y si no ha empezado, ya lleva más de un año de incumplimiento del Artículo 4.
Quién: Personal que utiliza sistemas de IA que informan decisiones significativas, gestiona configuraciones de sistemas de IA, trabaja con resultados de IA en contextos de cara al cliente o tiene responsabilidad de adquisición de herramientas de IA.
Qué necesitan saber:
Formato: 4–8 horas, específico por función. Impartido por separado a diferentes grupos funcionales (RR. HH., finanzas, legal, operaciones) con contenido adaptado a sus herramientas y contextos específicos de IA. Debe incluir ejercicios prácticos y una comprobación de conocimientos.
Quién: Personas designadas como responsables de la supervisión humana de sistemas de IA de alto riesgo (Artículo 14), responsables de cumplimiento de IA, DPOs con responsabilidades de gobernanza de IA, altos directivos con responsabilidad de gobernanza de IA y cualquier profesional que proporcione asesoramiento o servicios de cumplimiento de IA.
Qué necesitan saber:
Formato: formación profesional estructurada — normalmente 10–20 horas — con evaluación formal y una credencial verificada. Este es el nivel donde la certificación de Cumplimiento del Reglamento de IA de la UE y Ética en IA del Spanish Compliance Institute se aplica directamente. Las 15 horas de contenido dirigido por expertos de la certificación en 7 módulos, combinadas con su evaluación formal y certificado digital verificado, proporcionan la evidencia documentada y evaluada de competencia que exigen los Artículos 14 y 26 para el personal de supervisión.
En todos los niveles, su programa de alfabetización en IA debe abordar cinco áreas que los reguladores — incluida AESIA — evaluarán:
1. Capacidades y limitaciones de los sistemas de IA El personal debe entender qué pueden y no pueden hacer los sistemas de IA específicos con los que interactúa. No la IA en general — las herramientas específicas en su flujo de trabajo. Un analista de crédito que utiliza un modelo de scoring con IA debe entender que el modelo está entrenado con datos históricos, que puede perpetuar sesgos históricos y que sus puntuaciones de confianza no son certezas.
2. Riesgos específicos del contexto de despliegue La concienciación genérica sobre riesgos de IA no es suficiente. El panorama de riesgo para un sistema de IA utilizado en decisiones de empleo es materialmente diferente del panorama de riesgo para uno utilizado en previsión de inventario. La formación debe abordar los riesgos específicos del despliegue específico, incluidas las poblaciones afectadas y los derechos fundamentales en juego.
3. Cómo evaluar críticamente los resultados de IA La Oficina de IA de la UE ha destacado específicamente el “sesgo de automatización” — la tendencia a depender excesivamente de los resultados de IA sin una revisión crítica adecuada — como un problema clave de alfabetización. La formación debe desarrollar activamente la capacidad de cuestionar, verificar y, cuando sea necesario, ignorar recomendaciones de IA. Esto está directamente vinculado al requisito de supervisión humana del Artículo 14.
4. Contexto regulatorio y obligaciones organizativas El personal necesita entender, en un nivel adecuado a su función, qué exige el Reglamento de IA de la UE a su organización y a ellos específicamente. Esto incluye saber cuándo están operando un sistema de alto riesgo, cuáles son sus responsabilidades de supervisión y qué exigen sus procedimientos internos de gobernanza.
5. Escalado, notificación de incidentes y ética Toda persona con responsabilidades de IA debe saber cómo señalar una preocupación, qué constituye un incidente grave bajo el Artículo 73, cómo funciona el proceso de escalado de su organización y qué principios éticos (equidad, no discriminación, transparencia) son relevantes para su contexto de uso de IA.
Antes de poder diseñar formación, necesita saber qué sistemas de IA utiliza su organización y quién los utiliza. Esto significa:
Este inventario también es la base de su programa más amplio de cumplimiento del Reglamento de IA de la UE, por lo que el esfuerzo se multiplica en varias líneas de trabajo de cumplimiento.
Para cada grupo de personal identificado en el inventario, evalúe su nivel actual de alfabetización en IA. La Comisión ha confirmado que las organizaciones deben tener en cuenta los conocimientos técnicos, experiencia, educación y formación que los empleados ya tienen. No está obligado a proporcionar formación que enseñe a las personas lo que ya saben.
En la práctica, esto significa una breve evaluación de referencia para cada grupo de nivel, identificando brechas entre el conocimiento actual y lo que exige el Artículo 4 para su función. Documente la metodología y los hallazgos — esta es la primera pieza de documentación que AESIA puede solicitar.
Basándose en la evaluación de necesidades, diseñe contenido de formación para cada nivel que aborde las brechas identificadas. El contenido debe ser:
Para el Nivel 3 (personal de supervisión de IA), considere programas de formación profesional estructurada o certificación en lugar de contenido interno solamente. La profundidad, rigor y verificabilidad de un programa externo acreditado proporciona evidencia más sólida de la “competencia, formación y autoridad necesarias” que exigen los Artículos 14 y 26.
Imparta el programa de acuerdo con su calendario de formación, manteniendo los siguientes registros para cada participante:
Estos registros son los artefactos de auditoría que AESIA solicitará al examinar el cumplimiento del Artículo 4. Consérvelos en su sistema de documentación de cumplimiento junto con su inventario de sistemas de IA y registros de gestión de riesgos.
El Artículo 4 es una obligación continua — no un evento de formación único. Su programa debe actualizarse cuando:
Establezca un ciclo de revisión documentado — como mínimo anual — y un proceso de actualización basado en detonantes para cambios significativos del sistema. Documente todas las revisiones y actualizaciones en su registro de cumplimiento.
Cuando AESIA supervise el cumplimiento del Artículo 4 desde el 2 de agosto de 2026, evaluará si su organización ha tomado medidas genuinas y proporcionadas para garantizar una alfabetización en IA suficiente. Basándose en la orientación publicada de AESIA y las preguntas frecuentes de alfabetización en IA de la Comisión Europea, los investigadores normalmente buscarán:
|
Elemento de evidencia |
Qué demuestra |
|
Política escrita de alfabetización en IA |
Titularidad de gobernanza y compromiso organizativo |
|
Inventario de sistemas de IA y personas |
El alcance del programa es completo y preciso |
|
Documentación de evaluación de necesidades |
La formación fue adaptada a las funciones, no genérica |
|
Currículos de formación o descripciones del programa |
El contenido es específico, proporcional y relevante |
|
Registros de finalización |
La formación fue efectivamente impartida a las personas identificadas |
|
Resultados de evaluación |
Los participantes demostraron comprensión, no solo asistencia |
|
Registro de actualización y revisión |
El programa se mantiene como un mecanismo vivo de gobernanza |
|
Cobertura de contratistas y proveedores de servicios |
El alcance se extiende más allá de empleados directos según lo requerido |
La Comisión ha confirmado que no se requiere un certificado formal — las organizaciones pueden mantener registros internos. Sin embargo, para personal de Nivel 3 (personal de supervisión de IA de alto riesgo), una credencial verificada externamente de un programa de formación estructurada proporciona evidencia significativamente más sólida que los registros internos por sí solos, particularmente cuando AESIA evalúa si esas personas tienen la “competencia y formación necesarias” exigidas por el Artículo 14.
Para una guía completa sobre qué examina AESIA cuando investiga el cumplimiento de una organización, consulte: Qué esperar de una auditoría del Reglamento de IA de la UE.
El Artículo 4 no está aislado. Es la obligación fundacional que permite cumplir en la práctica todas las demás exigencias del Reglamento de IA de la UE.
El Artículo 14 (Supervisión humana) exige que las personas asignadas a supervisar sistemas de IA de alto riesgo tengan la competencia y formación necesarias. Esto es imposible sin una base genuina de alfabetización en IA. Una persona que no puede evaluar críticamente resultados de IA, reconocer resultados poco fiables o entender las limitaciones del sistema no puede ejercer eficazmente la supervisión humana. El Artículo 4 es la línea base; el Artículo 14 es el estándar superior requerido para el personal de supervisión.
El Artículo 26 (Obligaciones de los responsables del despliegue) exige que los responsables del despliegue garanticen que las personas asignadas a la supervisión humana de sistemas de alto riesgo estén adecuadamente formadas. El Artículo 26 y el Artículo 14 juntos crean el requisito de cualificación para el personal de supervisión. El Artículo 4 crea el requisito de alfabetización básica para todos los demás.
El Artículo 50 (Transparencia) exige que los usuarios sean informados cuando interactúan con un sistema de IA. El personal que carece de alfabetización en IA no puede implementar de forma fiable esta obligación de transparencia — puede no reconocer cuándo está utilizando un sistema de IA o entender qué divulgación se requiere.
El Artículo 27 (FRIA) exige que los responsables del despliegue de sistemas de alto riesgo evalúen impactos sobre derechos fundamentales. Una FRIA significativa exige que el equipo de cumplimiento tenga alfabetización genuina sobre cómo funciona el sistema de IA, qué riesgos conlleva y qué derechos afecta. Consulte nuestra guía dedicada sobre FRIA.
La conclusión estratégica: las organizaciones que tratan el Artículo 4 como una casilla de cumplimiento que se completa y se olvida lo hacen dos veces — una cuando marcan la casilla, y otra cuando descubren que no pueden cumplir los requisitos sustantivos de los Artículos 14, 26 y 27 porque su personal carece de la base de alfabetización que esas obligaciones requieren.
La fuerza laboral que completa su programa del Artículo 4 es la misma fuerza laboral que operará sistemas de IA de alto riesgo bajo el Artículo 26, ejercerá supervisión humana bajo el Artículo 14 e implementará obligaciones de transparencia bajo el Artículo 50. La inversión en alfabetización real en IA ahora se multiplica en toda su posición de cumplimiento del Reglamento de IA de la UE.
El 7 de mayo de 2026, el Consejo de la UE y el Parlamento Europeo alcanzaron un acuerdo provisional sobre el Digital Omnibus, que entre otras cosas propuso trasladar la obligación principal del Artículo 4 desde las organizaciones individuales a los Estados miembros y la Comisión Europea — convirtiendo la promoción de la alfabetización en IA en una responsabilidad estatal en lugar de un requisito legal organizativo directo.
¿Debería esperar a ver si esto se aprueba antes de invertir en su programa de alfabetización en IA?
No. Tres razones claras:
Primero, el Digital Omnibus es un acuerdo político provisional. No ha sido adoptado formalmente como ley. Hasta que lo sea, la obligación actual del Artículo 4 se aplica íntegramente — y lo ha hecho desde febrero de 2025.
Segundo, incluso si la versión Omnibus del Artículo 4 se promulga exactamente como se propone, los requisitos de mayor nivel de los Artículos 14 y 26 — que exigen que las personas responsables de la supervisión de IA de alto riesgo tengan la competencia y formación necesarias — permanecen totalmente sin cambios. Su obligación de formación de Nivel 3 sobrevive a cualquier modificación del Artículo 4.
Tercero, la alfabetización en IA documentada sigue siendo un factor agravante o mitigante en investigaciones de AESIA independientemente de la formulación precisa del Artículo 4. Una organización que puede demostrar una inversión genuina y sistemática en formación de IA será tratada de forma diferente a una que no puede — y esa diferencia importa para cada obligación del Reglamento de IA de la UE, no solo para el Artículo 4.
Construya su programa ahora. Monitorice el Digital Omnibus por cualquier cambio que afecte su enfoque. Ajuste si es necesario. Pero no utilice una modificación propuesta como defensa para la inacción actual.
Para contexto sobre el Digital Omnibus y sus implicaciones para su calendario más amplio de cumplimiento del Reglamento de IA de la UE, consulte nuestra guía completa de cumplimiento.
El Artículo 4 está en vigor desde febrero de 2025. AESIA comienza la aplicación formal en agosto de 2026. Cada mes sin un programa de alfabetización en IA documentado y específico por función es otro mes de déficit de cumplimiento — uno que será visible para AESIA cuando examine su gobernanza más amplia del Reglamento de IA de la UE.
La certificación de Cumplimiento del Reglamento de IA de la UE y Ética en IA del Spanish Compliance Institute está estructurada para cumplir los requisitos del Artículo 4 para sus equipos de cumplimiento, legal, RR. HH. y dirección — las personas que necesitan alfabetización de Nivel 3 y cuyas credenciales AESIA examinará primero:
Aprende la clasificación de riesgos de IA, la supervisión del Artículo 14, los requisitos de la FRIA, la ISO 42001 y estrategias prácticas de cumplimiento para organizaciones españolas.
