La alfabetización en IA es la primera obligación del Reglamento europeo que tocó a todas las empresas, grandes y pequeñas. El artículo 4 del Reglamento (UE) 2024/1689 se aplica desde el 2 de febrero de 2025 a proveedores y responsables del despliegue de cualquier tamaño. Si tu personal usa ChatGPT, Copilot, un chatbot o un software con IA, te afecta. Esta guía explica qué pide exactamente, qué cambió con el Digital Omnibus, qué ha aclarado la Comisión y cómo montar un plan realista en una pyme de 10 a 50 personas.
Qué pide el artículo 4
Que la empresa tome medidas para que las personas que operan o usan sistemas de IA en su nombre tengan un nivel de conocimiento adecuado a su formación, su experiencia y el contexto en el que van a usar la IA, teniendo en cuenta a las personas sobre las que se va a usar. No es una obligación de resultado ni de horas. Es una obligación de medios, proporcional al riesgo de lo que hace cada puesto con la IA.
Afecta tanto al proveedor que desarrolla el sistema como al responsable del despliegue que lo usa. Y no distingue por tamaño: una empresa de ocho personas que usa un asistente de IA para redactar presupuestos está dentro. También cubre a quien actúa en tu nombre, por ejemplo, colaboradores externos que usan tus herramientas.
Qué cambió el Digital Omnibus
El texto original decía que la empresa debía «garantizar, en la mayor medida posible, un nivel suficiente» de alfabetización. El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, lo sustituyó por «tomar medidas para apoyar» la alfabetización en IA. Es un cambio de intensidad, no de existencia: la obligación sigue en pie desde el 2 de febrero de 2025 y sigue aplicándose a todos, pero lo que se te exige es demostrar que has hecho algo razonable, no que todo tu personal alcanza un nivel concreto.
Desde el 3 de agosto de 2026 la supervisión y ejecución del artículo 4 corresponde a las autoridades nacionales. En España esa autoridad será la que designe la Ley Orgánica española, todavía en el Congreso; puedes ver el calendario completo en la guía del calendario del AI Act.
Qué dice la Comisión: sin certificado, con registro
Las preguntas y respuestas de la Comisión sobre alfabetización en IA resuelven las dudas prácticas. No hace falta ningún certificado ni curso homologado. No hay un número mínimo de horas. Basta con un registro interno de las formaciones y otras iniciativas que la empresa ha puesto en marcha, adaptadas a los puestos. La formación puede ser interna, con materiales propios, y no tiene por qué ser presencial.
Lo que sí espera la Comisión es que las medidas tengan sentido para tu contexto: no es lo mismo enseñar a un equipo comercial a usar un asistente de redacción que preparar a quien maneja un software de filtrado de candidatos. Cuanto más impacto tenga el sistema sobre personas, más completa debe ser la formación.
El registro es la prueba. Si algún día una autoridad pregunta qué medidas tomaste, lo que enseñas es el registro. Una hoja de cálculo bien llevada vale más que un certificado bonito de un curso que nadie recuerda.
Qué debe contener el registro
Cinco columnas son suficientes. Quién: nombre de la persona o del grupo formado. Cuándo: fecha de la sesión o de la entrega del material. Qué: contenido, en una línea, y el material usado (una presentación, un vídeo, la política de uso). Rol: el puesto y qué herramientas de IA usa. Riesgo: si esas herramientas afectan a personas (clientes, candidatos, empleados) o solo a tareas internas. Añade una columna de acuse (firma, correo o registro de la plataforma) y ya tienes algo defendible.
El registro encaja con dos documentos que probablemente necesitas de todas formas: la política de uso de IA de la empresa, que es la base de la formación, y el inventario de sistemas de IA, que te dice qué herramientas usa cada rol y con qué riesgo.
Plan por puestos para una pyme de 10 a 50 personas
Empieza por el inventario: qué herramientas de IA se usan, quién las usa y para qué. Con eso agrupa a la plantilla en tres niveles y da a cada uno lo que necesita.
Nivel base, toda la plantilla. Una sesión de 45 a 60 minutos, o un vídeo con cuestionario, que explique qué es la IA generativa y qué no es, sus límites (invenciones, sesgos, datos desactualizados), qué datos no se pueden meter en una herramienta externa (datos personales de clientes, información confidencial), cómo revisar lo que produce y cuál es la política de uso de la empresa. Repetir en cada incorporación.
Nivel intermedio, quien usa IA con clientes o con datos personales. Atención al cliente con chatbot, marketing que publica contenido generado, administración que procesa facturas o correos con IA. Añade una hora sobre transparencia (cuándo avisar de que hay una IA, cómo etiquetar contenido), protección de datos aplicada a las herramientas concretas y cómo escalar una duda.
Nivel avanzado, quien toma o prepara decisiones sobre personas. RRHH con software de selección o evaluación, gerencia con herramientas de scoring o planificación de turnos. Aquí la formación debe cubrir supervisión humana, cómo funcionan las reglas del sistema, los derechos de los afectados y las prohibiciones del artículo 5. Son los mismos puestos que tendrán obligaciones de alto riesgo el 2 de diciembre de 2027, así que la inversión se amortiza.
En una empresa de 30 personas esto son dos o tres sesiones al año, un material que se revisa cuando cambia una herramienta y un registro actualizado. No hace falta contratar a nadie para hacerlo, aunque un proveedor externo puede ahorrarte tiempo.
Qué pasa si no lo haces
El artículo 4 no está en la lista tasada de multas del artículo 99 del Reglamento. La Comisión ha explicado que las autoridades nacionales pueden actuar de forma proporcional ante un incumplimiento, pero no hay una sanción directa por falta de alfabetización en el texto europeo. En el proyecto de Ley Orgánica española, que a 15 de septiembre de 2026 sigue en el Congreso, encaja como infracción leve, con tope de 500.000 euros o el 0,5 % del volumen de negocio, y para las pymes el importe menor. Mientras no esté en el BOE, no hay régimen sancionador aplicable en España.
El riesgo real hoy es indirecto. Si un empleado sin formación mete datos de clientes en una herramienta externa, o publica un texto inventado por una IA, el problema llega por la AEPD o por un cliente, no por el artículo 4. Y si alguna vez hay una inspección por otra obligación, haber cumplido el artículo 4 es lo primero que demuestra que la empresa se toma la IA en serio.
Checklist de alfabetización en IA
- Haz el inventario de herramientas de IA y de quién las usa.
- Redacta o actualiza la política de uso de IA de la empresa.
- Agrupa los puestos en tres niveles según el impacto sobre personas.
- Prepara un material base (presentación o vídeo) y uno específico por nivel.
- Imparte la formación y guarda el acuse de cada persona.
- Abre el registro con quién, cuándo, qué, rol y riesgo.
- Incluye la sesión base en la acogida de nuevas incorporaciones.
- Revisa el plan cuando incorpores una herramienta nueva o cambie una función.
Si no tienes claro por qué nivel empezar, el diagnóstico gratuito de Gobernaia te dice qué herramientas usas con más riesgo y qué formación conviene priorizar.
Preguntas relacionadas
Fuentes
- Reglamento (UE) 2024/1689, artículo 4
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA)
- Comisión Europea: AI literacy, questions and answers
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (BOCG 12-06-2026)
- AESIA: recursos y guías
- AI Act Service Desk de la Comisión Europea
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.