Lo esencial
- La alfabetización en IA es una obligación vinculante conforme al artículo 4 del Reglamento de IA. Alcanza a todo proveedor y a todo responsable del despliegue, con independencia del nivel de riesgo, y se aplica desde el 2 de febrero de 2025.
- El ómnibus digital reescribió el artículo 4 con efectos desde el 27 de julio de 2026. Ahora se deben adoptar medidas que apoyen el desarrollo de la alfabetización en IA, no garantizar un nivel determinado en una persona concreta.
- Las autoridades nacionales de vigilancia del mercado supervisan el artículo 4 desde el 2 de agosto de 2026. La Oficina de IA no ejerce esa competencia.
- La Comisión no exige certificados ni evaluaciones del conocimiento de la plantilla. Sí espera un registro interno de las medidas adoptadas.
- La exposición real no procede de una plantilla sin formar, sino de una plantilla formada cuya formación no puede acreditarse.
Qué entiende el Reglamento de IA por alfabetización en IA
La mayor parte de lo que se publica al respecto describe una capacidad personal: saber qué es un modelo, redactar mejores instrucciones, detectar una alucinación. El Reglamento europeo adopta un sentido más estricto y de mayor alcance.
El artículo 3, punto 56, del Reglamento (UE) 2024/1689 define la alfabetización en materia de IA como las «capacidades, conocimientos y comprensión que permiten a los proveedores, responsables del despliegue y personas afectadas, teniendo en cuenta sus respectivos derechos y obligaciones, llevar a cabo un despliegue informado de los sistemas de IA, así como tomar conciencia de las oportunidades y los riesgos que plantea la IA y de los perjuicios que puede causar».
De ahí se derivan tres consecuencias. El criterio es el despliegue informado, no la destreza con la herramienta: alguien puede manejar con soltura un asistente conversacional y seguir careciendo de alfabetización en IA en el sentido de la norma, si no sabe explicar qué produce el sistema sobre las personas a las que se aplica. La definición se formula expresamente respecto de los «derechos y obligaciones respectivos», de modo que el nivel exigible a una dirección de compras difiere del exigible a un perfil técnico de datos. Por último, comprende a las personas afectadas y no solo a quienes operan el sistema.
Por eso la alfabetización en IA pertenece al programa de cumplimiento antes que al plan de formación. Figura entre las obligaciones basales que expone nuestra guía operativa del Reglamento de IA, y se vincula a la organización y no a un sistema concreto.
El artículo 4 cambió en julio de 2026
La versión aplicable desde el 2 de febrero de 2025 obligaba a proveedores y responsables del despliegue a «garantizar, en la medida de lo posible, un nivel suficiente de alfabetización en materia de IA» de su personal. Esa redacción alimentó dos años de discusión sobre el alcance de «suficiente» y sobre cómo acreditarlo.
El ómnibus digital zanjó el debate suprimiendo el término. El Reglamento (UE) 2026/1744 se publicó en el Diario Oficial el 24 de julio de 2026 y entró en vigor el 27 de julio de 2026. El artículo 4 exige ahora «adoptar medidas para apoyar el desarrollo de la alfabetización en materia de IA» y precisa que la obligación «no exige a los proveedores o responsables del despliegue garantizar un nivel determinado de alfabetización en materia de IA de ninguna persona».
Se trata de un cambio de naturaleza jurídica, no de una derogación. El artículo 4 pasa de obligación de resultado a obligación de medios. Usted ya no responde del grado de competencia que alcance un empleado determinado, sino de las medidas que haya adoptado. El listón sustantivo baja y el documental sube, porque la diligencia solo resulta visible si deja rastro.
Lo que no ha cambiado
El ámbito de aplicación sigue igual. El artículo 4 vincula tanto a proveedores como a responsables del despliegue y permanece indiferente al nivel de riesgo: rige para un filtro antispam igual que para un sistema del anexo III. Nada en la reescritura estrecha el círculo de destinatarios ni exime a las organizaciones pequeñas. El artículo 4, apartado 2, sigue obligando a la Comisión y a los Estados miembros a prestar apoyo, con atención particular a las pymes, y el apartado 3 mantiene el encargo al Comité de formular recomendaciones apoyadas en los marcos europeos de competencias. Un programa de alfabetización en IA construido bajo el texto anterior no se pierde. Lo que cambia es qué defiende usted cuando le preguntan.
A quién alcanza, y quién cuenta como personal
El artículo 4 se refiere al «personal y demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA». La segunda parte de la fórmula hace el trabajo principal, y ahí es donde las organizaciones infravaloran su perímetro.
Las preguntas y respuestas de la Oficina de IA incluyen entre esas «demás personas» a contratistas, prestadores de servicios y clientes. Cualquiera que actúe en su nombre en el funcionamiento o la utilización de un sistema de IA queda dentro del perímetro, figure o no en su nómina.
El Centre for Information Policy Leadership, en su estudio de mayo de 2025 sobre el artículo 4, recomienda ampliar todavía más el enfoque: la plantilla de todas las áreas, incluidas las comerciales y de marketing, los contratistas, los proveedores externos, los clientes, los usuarios y las personas afectadas por el uso del sistema. El razonamiento es operativo más que jurídico. Quienes generan la exposición del artículo 4 rara vez son los constructores de modelos. Son el comercial que promete una capacidad de la que el sistema carece y el equipo operativo que utiliza en silencio una herramienta que nadie ha inventariado.
Ese segundo supuesto conviene nombrarlo, porque alfabetización en IA e IA en la sombra son el mismo problema visto desde dos lados. Nadie puede estar informado sobre sistemas cuyo uso la organización no ha reconocido.
La supervisión empezó el 2 de agosto de 2026
He aquí el dato ausente de casi toda la literatura sobre la materia: la obligación ya es exigible.
Las autoridades nacionales de vigilancia del mercado supervisan y hacen cumplir el artículo 4 desde el 2 de agosto de 2026. La Oficina de IA no desempeña esa función. La competencia corresponde a la autoridad designada en cada Estado miembro, lo que implica que la doctrina, la intensidad del control y el procedimiento varían de un país a otro. En España, la articulación con la AESIA como autoridad de referencia en materia de IA y con la AEPD en lo relativo a datos personales condicionará en buena medida cómo se integren estas verificaciones en los dispositivos ya existentes.
Las sanciones proceden del Derecho nacional. Conforme al artículo 99, los Estados miembros debían establecer antes del 2 de agosto de 2025 su propio régimen de sanciones y otras medidas de ejecución, dentro de topes escalonados: hasta 35 millones de euros o el 7 % del volumen de negocios anual mundial en las prácticas prohibidas, hasta 15 millones de euros o el 3 % del volumen de negocios anual mundial en la mayoría de las restantes obligaciones de los operadores, y hasta 7,5 millones de euros o el 1,5 % por información engañosa a las autoridades. El artículo 4 se sitúa en el tramo intermedio. Las sanciones deben ser proporcionadas, atendiendo a la naturaleza y gravedad de la infracción y a su carácter doloso o negligente.
Repare en la secuencia. El listón sustantivo bajó el 27 de julio de 2026 y las potestades de control se activaron seis días después. Una organización que se quedara con el titular del ómnibus concluiría que el artículo 4 se ha relajado: acertaría sobre el estándar y erraría sobre el riesgo. Antes del 2 de agosto de 2026, un programa de alfabetización en IA débil era un problema sobre el papel. Desde entonces es un asunto sobre el que una autoridad puede preguntar, y el juicio de proporcionalidad favorece a quien acredita una actuación deliberada frente a quien no muestra nada. Es la misma arquitectura que describe nuestro panorama regulatorio de la IA: primero llegan las obligaciones, después la maquinaria de supervisión, y el hueco entre ambas es la zona de exposición.
Qué pedirán realmente las autoridades
La Comisión ha sido inusualmente clara sobre lo que el artículo 4 no exige. De sus preguntas y respuestas se desprende que no se necesita certificado alguno y que el artículo 4 no comporta obligación de medir los conocimientos de IA de los empleados.
No hay, por tanto, temario impuesto, ni acreditación, ni examen, ni obligación de calificar a su personal. Lo que la Comisión recomienda es conservar un registro interno de las formaciones y demás iniciativas de acompañamiento. No se prescribe formato.
Esa aparente holgura debe leerse junto con las obligaciones documentales de los sistemas de alto riesgo. El CIPL lo formula con precisión: para la mayoría de los sistemas, el artículo 4 no impone un deber técnico expreso de documentar la competencia de la plantilla, pero los proveedores y responsables del despliegue de sistemas de alto riesgo deben documentar y demostrar el cumplimiento de determinadas obligaciones del Reglamento, y las prácticas de alfabetización en IA pueden considerarse comprendidas en ese ámbito. Si opera un sistema de alto riesgo, sus evidencias pueden incorporarse a la documentación técnica del artículo 11, apartado 1, y del anexo IV, materia que desarrolla nuestra guía sobre los requisitos de documentación del Reglamento de IA.
El expediente mínimo defendible
Una obligación de medios se defiende con documentos. Seis de ellos cubren lo esencial:
- Una matriz de puestos y competencias que indique qué funciones requieren qué comprensión, y por qué.
- Un registro de formaciones que recoja quién recibió qué, en qué fecha y en qué formato.
- Los acuses de recibo de las políticas internas, que vinculan al personal con las reglas de uso aceptable de la IA.
- Una taxonomía común de IA, para que «sistema de IA» signifique lo mismo en compras, en asesoría jurídica y en ingeniería.
- Un inventario de casos de uso evaluados, que hace operativa la taxonomía en lugar de decorativa.
- Una cadencia de revisión con responsable designado y firma, que acredite que el programa se mantiene y no se archiva.
Nada de ello requiere certificados. Todo ello resiste una pregunta.
Construir un programa que genere pruebas
El CIPL enuncia ocho buenas prácticas para el artículo 4. Reformuladas como controles y no como consejos, se condensan en un modelo operativo más breve.
Empiece por el respaldo directivo. Los programas de alfabetización en IA alojados solo en la función de formación se estancan; los que funcionan están visiblemente tutelados por encima de ella. Integre después en lugar de aislar: las organizaciones sujetas al artículo 4 lo están casi siempre a la vez a la protección de datos, a la ciberseguridad, a la defensa del consumidor y a normativa sectorial. Tratar la alfabetización en IA como módulo suelto duplica esfuerzos y dispersa las pruebas. Su sitio está dentro del marco de gobernanza de la IA ya implantado.
Por perfiles, no un módulo único
El módulo único para toda la empresa es el diseño más frecuente y el más débil. No atiende la necesidad real de nadie y produce un registro que trata por igual exposiciones muy distintas.
La alternativa consiste en una base común y, sobre ella, módulos dirigidos según el puesto, la experiencia previa y el contacto efectivo con el sistema. Cuando los recursos son limitados, el CIPL sugiere escalar primero hacia los actores de mayor impacto o de interacción más intensa con la tecnología. En la práctica suelen ser compras, las áreas comerciales y quienes gobiernan la automatización de cara al cliente, bastante antes que el equipo de ciencia de datos, que ya conoce los riesgos.
Más allá de la formación
La formación aislada caduca más deprisa de lo que cambia la tecnología. Los mecanismos que aguantan son estructurales: un comité de IA con representación de cada área, referentes de IA identificados capaces de juzgar cuándo un asunto debe escalarse, un árbol de decisión que indique a un equipo si lo que está construyendo encaja en la definición interna de sistema de IA y qué pasos siguen, un canal para señalar de forma anónima un uso arriesgado, y un ciclo de retorno con indicadores seguidos para que el programa se ajuste al ritmo de las normas y de las herramientas.
Cada uno de esos mecanismos deja rastro como subproducto de su funcionamiento. Ahí está la clave. Un control que genera pruebas mientras opera vale más que un control que hay que reconstruir la víspera de una inspección.
Correspondencia con ISO 42001 y NIST AI RMF
Quien ya trabaja hacia un sistema de gestión tiene hecha la mayor parte del trabajo del artículo 4.
La norma ISO/IEC 42001:2023 exige en su apartado 7.2 determinar la competencia necesaria de las personas cuyo trabajo influye en el desempeño del sistema de gestión de IA, asegurar dicha competencia y conservar información documentada como evidencia. El apartado 7.3 requiere que esas mismas personas conozcan la política de IA y su contribución a ella. Es la sustancia del artículo 4, expresada como requisito auditable con una obligación de conservación asociada.
El NIST AI Risk Management Framework cubre el mismo terreno en la función GOVERN, en particular GOVERN 4 sobre cultura de gestión del riesgo y GOVERN 5 sobre implicación de los actores relevantes.
La palanca consiste en no construir tres programas. Una única matriz de puestos y módulos, mantenida con un calendario de revisión documentado y firmado por el responsable de gobernanza, puede satisfacer el artículo 4 del Reglamento de IA, el apartado 7.2 de ISO 42001 y GOVERN 4 del NIST desde una sola pista de auditoría. Nuestra correspondencia entre NIST AI RMF, ISO 42001 y el Reglamento de IA detalla los demás solapamientos, y nuestro análisis de la pila normativa explica por qué la certificación por sí sola no cierra la brecha.
Preguntas frecuentes
¿Qué significa alfabetización en IA según el Reglamento?
El artículo 3, punto 56, la define como las capacidades, conocimientos y comprensión que permiten a proveedores, responsables del despliegue y personas afectadas llevar a cabo un despliegue informado de los sistemas de IA y tomar conciencia de las oportunidades, los riesgos y los posibles perjuicios. Se aprecia a la luz de los derechos y obligaciones de cada cual, de modo que el nivel esperado varía según el puesto. Es más estricta que la acepción habitual en el ámbito educativo, que suele describir una destreza personal con las herramientas.
¿Cuál es un ejemplo concreto?
Una persona de selección capaz de explicar con qué criterios una herramienta de precribado ordena las candidaturas, que sabe que esa herramienta no puede fundar por sí sola un rechazo, que detecta un resultado anómalo y conoce la vía de escalado. Repare en lo que falta: ninguna capacidad de construir el modelo y ningún vocabulario técnico. Decide de forma informada sobre un sistema que no opera técnicamente, que es justo lo que persigue la norma.
¿Qué hace falta para cumplir?
En el plano organizativo: una definición compartida de qué cuenta como sistema de IA, un inventario de dónde se usan, una base común de comprensión, profundidad dirigida a los puestos realmente expuestos y un registro de las medidas adoptadas. En el plano individual, la exigencia se ajusta al puesto, al conocimiento técnico, a la experiencia y al contexto de uso.
¿Es obligatoria la formación conforme al artículo 4?
La formación es el medio habitual, pero no está impuesta como tal. El artículo 4 exige medidas que apoyen el desarrollo de la alfabetización en IA. Cuentan los itinerarios formales y también las guías internas, las notas informativas, los árboles de decisión y el acompañamiento práctico. La Comisión ha confirmado que no se precisa certificado y que no existe obligación de medir los conocimientos del personal.
¿Qué ocurre si no cumplimos?
Desde el 2 de agosto de 2026, las autoridades nacionales de vigilancia del mercado pueden supervisar y hacer cumplir el artículo 4. Las sanciones las fija el Derecho nacional dentro de los topes del artículo 99; las obligaciones de esta clase se sitúan en el tramo limitado a 15 millones de euros o el 3 % del volumen de negocios anual mundial. Deben ser proporcionadas a la naturaleza y gravedad de la infracción y a su carácter doloso o negligente, y por eso una actuación documentada cuenta aunque el resultado sea imperfecto.
¿Afecta a empresas de fuera de la UE?
Sí, cuando el Reglamento les resulte aplicable. Alcanza a los proveedores que introducen sistemas en el mercado de la Unión y a los responsables del despliegue establecidos en ella, así como a determinados operadores de terceros países cuyos resultados de salida se utilizan en la Unión. Una empresa estadounidense o británica que despliegue IA con efectos sobre personas en la Unión soporta la misma obligación que una establecida en ella.
Conclusión
La alfabetización en IA se ha convertido, sin ruido, en una de las pocas obligaciones del Reglamento de IA que alcanza a toda organización, en cualquier nivel de riesgo, ya mismo. El ómnibus digital rebajó el estándar y, al llegar pocos días antes del inicio de la supervisión, lo hizo más difícil de ignorar.
Las organizaciones que lo pasarán mal en una inspección no serán las de plantilla sin formar. Serán aquellas cuya formación existió pero no dejó rastro: sin matriz, sin registro, sin responsable, sin fecha de revisión. Trate la alfabetización en IA como un control basal que produce pruebas mientras opera, vincúlela una sola vez a ISO 42001 y al NIST AI RMF, y la cuestión del artículo 4 se resolverá sola.
Si desea ver cómo encaja esta obligación con el resto de su programa en forma de control documentado, descubra cómo AI Sigil operativiza la gobernanza de la IA.