Sí, con matices. El artículo 4 del Reglamento (UE) 2024/1689 (la ley europea de IA) se aplica desde el 2 de febrero de 2025 a cualquier empresa que use sistemas de IA, sea del tamaño que sea. Tras el Digital Omnibus de julio de 2026, la obligación consiste en «tomar medidas para apoyar» la alfabetización en IA de tu personal, no en superar un curso homologado. Lo que se espera de tu empresa es proporcional al uso que hagas de la IA y tiene que poder demostrarse.
En esta guía
- Qué exige exactamente el artículo 4
- No hay certificado ni curso homologado
- Qué es proporcional para una pyme de 5, 20 u 80 personas
- Qué evidencia guardar
- Qué pasa si no formas a nadie
- Cómo encajarlo con la formación en protección de datos y el plan de formación
- Ejemplo de programa de dos horas por puesto
- Checklist
Qué exige exactamente el artículo 4
El artículo 4 obliga a proveedores y responsables del despliegue (quien desarrolla IA y quien la usa en su actividad) a ocuparse de que el personal que maneja sistemas de IA tenga conocimientos suficientes, según su formación previa, el contexto de uso y las personas afectadas. Está en vigor desde el 2 de febrero de 2025, junto a las prácticas prohibidas del artículo 5.
El Reglamento (UE) 2026/1744, el Digital Omnibus de IA, en vigor desde el 27 de julio de 2026, suavizó la redacción: donde antes decía «garantizar un nivel suficiente», ahora dice «tomar medidas para apoyar» esa alfabetización. La obligación no ha desaparecido; ha pasado de ser de resultado a ser de medios. Tienes que hacer algo razonable y poder enseñarlo. El detalle está en la guía sobre alfabetización en IA del artículo 4.
No hay certificado ni curso homologado
Conviene decirlo claro, porque hay quien lo vende como si existiera: no hay certificado oficial de alfabetización en IA, ni temario aprobado, ni horas mínimas. Las preguntas y respuestas de la Comisión Europea sobre el artículo 4 lo confirman: no hace falta certificación y basta un registro interno de las formaciones y otras iniciativas realizadas.
Puedes hacerlo con recursos propios: una sesión interna, la política de uso explicada en equipo o un curso externo si te encaja. Lo que cuenta es que sea adecuado a cómo usas la IA y que quede documentado.
Qué es proporcional para una pyme de 5, 20 u 80 personas
El tamaño importa menos que el uso. Una empresa de cinco personas que usa ChatGPT para redactar correos y una de ochenta que filtra currículums con IA no tienen la misma exposición ni necesitan la misma formación. La clave es qué sistemas usa cada puesto y qué puede salir mal.
| Situación | Qué sería proporcional |
|---|---|
| 5 personas, solo IA generativa para redactar, resumir o traducir | Una sesión de una o dos horas para todo el equipo: qué datos no se meten (clientes, contratos), cómo revisar lo que devuelve y a quién preguntar. Política de uso de una página firmada. |
| 20 personas, IA generativa más alguna herramienta con IA en atención al cliente o marketing | Lo anterior, más una sesión para quienes publican contenido o atienden clientes con IA: avisos del artículo 50 y revisión humana. Un responsable interno de referencia. |
| 80 personas, IA en RRHH (selección, evaluación, turnos) o en decisiones sobre clientes | Formación general para toda la plantilla y reforzada para RRHH, dirección y quien supervise esos sistemas: sesgos, supervisión humana, derechos de los afectados, RGPD. Registro por puesto y repaso anual. |
En el tercer caso, además, el artículo 26 exigirá desde el 2 de diciembre de 2027 que la supervisión humana de los sistemas de alto riesgo la hagan personas competentes.
Qué evidencia guardar
Como la obligación es de medios, la prueba es lo que te protege. Guarda un registro de formaciones con la fecha, el contenido (basta un guion o las diapositivas), quién la impartió y la lista de asistentes, con firma o confirmación por correo. Añade la política de uso de IA entregada a cada persona y la lista de herramientas autorizadas.
Con eso cubres lo que la Comisión llama registro interno; no hace falta más burocracia. Si aún no tienes política de uso, en la plantilla de política de uso de IA hay un modelo que puedes adaptar en una tarde.
Qué pasa si no formas a nadie
El artículo 4 no está en la lista de multas del artículo 99 del Reglamento, así que no tiene sanción europea directa. Pero desde el 3 de agosto de 2026 la supervisión corresponde a las autoridades nacionales, que pueden actuar de forma proporcional. En España, el proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA, que a 15 de septiembre de 2026 sigue en el Congreso y no está en el BOE, lo encaja como infracción leve: hasta 500.000 euros o el 0,5 % de la facturación, aplicando a las pymes el importe menor. Mientras esa ley no se apruebe, AESIA no tiene régimen sancionador tipificado y no consta que haya sancionado.
El riesgo real hoy está en otro sitio. Un empleado sin formación que pega datos de clientes en un chatbot gratuito puede provocar una brecha de datos, y la AEPD sí sanciona hoy. La formación es la medida más barata contra ese escenario. Sobre quién vigila, lee la guía sobre AESIA y las sanciones.
Cómo encajarlo con la formación en protección de datos y el plan de formación
Si ya haces formación en protección de datos, no montes un programa aparte. Casi todo lo que hay que explicar sobre IA generativa (qué datos no se comparten, quién es el proveedor, qué pasa con lo que se sube) es una extensión natural del RGPD. Una sesión conjunta anual con un bloque de IA cumple las dos finalidades y genera un único registro.
Si tu empresa tiene plan de formación y bonifica cursos a través de FUNDAE, consulta con tu gestoría o entidad organizadora si estas sesiones pueden incluirse; esa vía tiene sus propias reglas y no depende del Reglamento de IA. Para el artículo 4 lo importante es que la formación exista y esté documentada, con o sin bonificación.
Ejemplo de programa de dos horas por puesto
Un formato que funciona en pymes es una sesión común de una hora y un segundo bloque de una hora por perfil. En la parte común: qué herramientas están autorizadas, qué datos no se introducen nunca, cómo se revisa un resultado antes de usarlo y a quién se avisa si algo sale mal. Termina con la lectura y firma de la política de uso.
En la segunda hora, para administración y comercial: redactar y resumir con IA sin exponer datos de clientes. Para marketing y comunicación: el etiquetado de imágenes, audio y vídeo del artículo 50 y la revisión editorial. Para RRHH y dirección: qué prohíbe el artículo 5, qué es una decisión automatizada según el artículo 22 del RGPD, cómo se ejerce la supervisión humana y qué hay que informar a la plantilla y a sus representantes. Con dos o tres perfiles es suficiente.
Checklist
- Haz la lista de herramientas de IA que usa cada puesto, aunque sean gratuitas.
- Redacta o adapta una política de uso de IA de una o dos páginas.
- Programa una sesión común y un bloque por perfil; decide quién la imparte.
- Guarda el guion o las diapositivas como contenido de la formación.
- Registra fecha, contenido, ponente y asistentes con firma o confirmación.
- Incluye la sesión en la acogida de nuevas incorporaciones.
- Repite cuando cambies de herramienta o de uso, y al menos una vez al año.
Si no tienes claro qué usos de IA hay en tu empresa, el diagnóstico gratuito de Gobernaia te lo ordena en unos minutos.
Fuentes
- Reglamento (UE) 2026/1744 (Digital Omnibus de IA), que modifica el Reglamento (UE) 2024/1689
- Comisión Europea: AI literacy, questions and answers (artículo 4)
- Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA (BOCG 12-06-2026)
- AESIA: recursos y guías
Última revisión: 15 de septiembre de 2026. Esta guía es informativa y no sustituye el asesoramiento jurídico.