El artículo 4 es la obligación del Reglamento de IA que casi todas las empresas de la Unión ya tienen, y aquella cuyo texto cambió este verano. Se aplica a los proveedores y responsables del despliegue de sistemas de IA, es decir, a cualquier empresa que use un sistema de IA en sus operaciones, desde el 2 de febrero de 2025, y el Reglamento (UE) 2026/1744, el ómnibus digital sobre IA, sustituyó su redacción con efectos desde el 27 de julio de 2026. Este artículo es el texto reescrito, qué pide y qué no pide, cómo se produce el registro, y un programa que cabe en una página, leídos en los dos Reglamentos en CELLAR el 12 de septiembre de 2026. No es asesoramiento jurídico.
El texto, antes y después
El artículo 4 original exigía a los proveedores y responsables del despliegue adoptar medidas para garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en IA de su personal y demás personas que se encargaran en su nombre del funcionamiento y la utilización de sistemas de IA. El artículo 4(1) reescrito les exige «adoptar medidas para apoyar la promoción de la alfabetización en materia de IA» de las mismas personas, «teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, así como el contexto previsto de uso de los sistemas de IA y las personas o los colectivos de personas en que se van a utilizar dichos sistemas», y añade después la frase que cambia la conversación: «Esta obligación no exige que los proveedores o los responsables del despliegue garanticen un nivel específico de alfabetización en materia de IA de ninguna persona en particular».
Siguen dos apartados nuevos. Artículo 4(2): la Comisión y los Estados miembros apoyan y facilitan los esfuerzos de proveedores y responsables del despliegue, «en particular de las pymes», y la Comisión publica «ejemplos prácticos de cómo cumplir dicha obligación» en la plataforma única de información del artículo 62(3). Artículo 4(3): el Consejo de IA adopta recomendaciones, teniendo en cuenta los marcos europeos de competencias, para apoyar la promoción de la alfabetización en IA, entre otras cosas fijando objetivos comunes.
La definición no se movió. Artículo 3(56): la alfabetización en IA son las capacidades, los conocimientos y la comprensión que permiten a proveedores, responsables del despliegue y personas afectadas llevar a cabo un despliegue informado de los sistemas de IA y tomar conciencia de las oportunidades y los riesgos de la IA y de los posibles perjuicios que puede causar.
Qué pide, y a quién
El deber recae en la organización, no en el individuo, y es un deber de medios: tomar medidas, proporcionadas a las personas y al contexto. Tres cosas se siguen del texto.
Primero, a quién cubre: al personal, y a las «demás personas que se encarguen en su nombre del funcionamiento y la utilización de sistemas de IA», lo que alcanza a contratistas y personal de agencias que operan un sistema para usted. No a los clientes ni al público, aunque las medidas deben considerar «las personas o los colectivos de personas en que se van a utilizar dichos sistemas».
Segundo, qué son las «medidas»: el artículo no dice formación, cursos ni certificados. Dice medidas que tienen en cuenta los conocimientos técnicos, la experiencia, la educación y la formación, y el contexto de uso. Un desarrollador que construye modelos, un reclutador que lee una clasificación producida por un sistema y un asistente que redacta con un modelo de uso general necesitan cosas distintas, y la medida para cada uno es la que encaja.
Tercero, qué no exige: un nivel garantizado de alfabetización de ningún individuo, un examen, un certificado ni un curso concreto. Una empresa puede cumplir el artículo con una sesión informativa interna, una guía escrita por sistema, una política de uso y un registro de quién recibió qué y cuándo, siempre que las medidas encajen con las personas y el contexto.
La ejecución
El artículo 4 está en el capítulo I, en aplicación desde el 2 de febrero de 2025. No figura entre las disposiciones a las que el artículo 99(4) vincula las multas de hasta 15 000 000 euros o el 3% del volumen de negocios; esas son los artículos 16, 22 a 26 y 50, los deberes de los operadores para el alto riesgo y la transparencia. Conforme al artículo 99(1) modificado, los Estados miembros establecen sanciones para cualquier infracción del Reglamento, que pueden incluir multas administrativas, advertencias y medidas no pecuniarias, proporcionadas y teniendo en cuenta los intereses de las pymes, las empresas emergentes y las pequeñas empresas de mediana capitalización. Así que la consecuencia práctica del artículo 4 está en otra parte: un responsable del despliegue de un sistema de alto riesgo tiene que asignar la vigilancia humana a personas con la competencia, la formación y la autoridad necesarias (artículo 26(2)), y las instrucciones de uso de un proveedor presuponen un lector que sepa usarlas; una empresa que no pueda mostrar lo que hizo en virtud del artículo 4 verá la pregunta planteada bajo esos artículos, y por sus clientes.
El registro, desde ISO 42001
Para una empresa que gestiona un sistema de gestión, el artículo 4 es ya un conjunto de registros que lleva. ISO/IEC 42001:2023 exige, en la cláusula 7.2, que la organización determine la competencia necesaria de las personas cuyo trabajo afecta a su desempeño en IA, se asegure de que la tienen, actúe donde no la tienen, y conserve evidencia; en la cláusula 7.3, que las personas sean conscientes de la política de IA y de su contribución al sistema de gestión; y en el anexo A, el control A.4.6 cubre las personas y las capacidades de las que depende un sistema de IA, y los controles A.9 cubren el uso de la IA por la propia organización: reglas de uso (A.9.2), los objetivos de uso responsable (A.9.3) y usar un sistema para lo que fue construido (A.9.4). El registro de competencia de 7.2 es el registro del artículo 4: quién opera qué sistema, qué necesitaba saber, qué medida recibió, cuándo, y la evidencia.
Las mismas cláusulas existen en ISO 27001, 7.2 y 7.3, y una empresa que tiene ese certificado puede incorporar las medidas de IA a los registros de competencia y concienciación que ya lleva en lugar de construir un archivo paralelo. Lo que pide ISO 42001, y dónde caen sobre ella las demás obligaciones del Reglamento de IA, está en la correspondencia; los 38 controles de la norma en lenguaje llano son la pieza complementaria.
Un programa que cabe en una página
Nuestro ejemplo, en nuestras propias palabras; las medidas que encajan con una empresa son las que encajan con sus sistemas y su gente, y el texto no las prescribe.
- Un inventario: los sistemas de IA que la empresa suministra o usa, cada uno con su finalidad prevista, quién lo opera y en quién se usa. Sin esto no hay nada sobre lo que tomar medidas.
- Tres niveles de personas: quienes construyen o configuran sistemas, quienes los operan y actúan según su salida, y todos los demás que usan una herramienta de uso general. Las medidas difieren por nivel.
- Para el primer nivel, la documentación técnica del sistema y las instrucciones de uso del proveedor, leídas y reconocidas, y la evaluación de riesgos a la que contribuyeron.
- Para el segundo nivel, una guía de una página por sistema: qué hace, qué no hace, sus limitaciones conocidas y su precisión, la advertencia sobre el sesgo de automatización del artículo 14(4)(b) en las propias palabras de la empresa, cuándo anularlo, y a quién preguntar.
- Para el tercer nivel, la política de uso: qué herramientas están aprobadas, qué no puede introducirse en ellas, cómo se comprueban las salidas, y los deberes de información del artículo 50 donde se apliquen.
- Una sesión informativa sobre los riesgos y las oportunidades de la IA, una al incorporarse y una al año, que es la mitad de «toma de conciencia» de la definición del artículo 3(56).
- Un registro por persona: nivel, sistemas, medidas recibidas, fechas. Es el registro de competencia de 7.2, y lo que hay que mostrar cuando se pregunte.
- Una revisión cuando se añade, cambia o retira un sistema, y cuando se publiquen los ejemplos prácticos de la Comisión o los objetivos comunes del Consejo.
Eso es el artículo 4. La letra pequeña es que es proporcionado: una consultora de ocho personas que usa dos herramientas de uso general lo cumple con los puntos 1, 5, 6 y 7; un proveedor de un sistema de selección de personal de alto riesgo, no.
Fuentes
- Reglamento (UE) 2024/1689 (el Reglamento de IA), artículo 3(56), artículo 4 tal como se adoptó originalmente, artículo 14(4), artículo 26(2), artículo 50, artículo 62(3), artículo 99(1) y (4), artículo 113.
- Reglamento (UE) 2026/1744 de 8 de julio de 2026 (el ómnibus digital sobre IA), artículo 1, puntos (5) y (38); Diario Oficial de 24 de julio de 2026, en vigor el 27 de julio de 2026. Ambos leídos en CELLAR el 12 de septiembre de 2026.
- ISO/IEC 42001:2023, cláusulas 7.2 y 7.3 y controles del anexo A A.4.6, A.9.2, A.9.3 y A.9.4, citados por número; el texto es de ISO y no se reproduce.
Esto no es asesoramiento jurídico. Las medidas que cumplen el artículo 4 para una empresa concreta dependen de sus sistemas y su gente; el texto es del Reglamento, y los ejemplos prácticos serán de la Comisión.