Reglamento de IA, artículo 4: ¿quién supervisa la obligación de alfabetización en IA en España?

Última actualización: 15 de agosto de 2026

El artículo 4 del Reglamento de IA es la única obligación que alcanza a casi cualquier organización que use IA en el trabajo, y también aquella que más se supone aplazada por error.

¿Quién supervisa el Reglamento de IA en España?

La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) es la autoridad designada. España fue uno de los primeros Estados miembros en crear un organismo dedicado exclusivamente a la supervisión de la IA, en lugar de repartir la función entre reguladores existentes.

Lo relevante en la práctica es que la AESIA ya ha publicado dieciséis guías prácticas de cumplimiento. Frente a mercados donde la autoridad aún no está formalmente designada, las organizaciones españolas disponen de criterios publicados sobre cómo la agencia entiende el Reglamento.

Las autoridades sectoriales conservan sus competencias en sus respectivos ámbitos, y la Agencia Española de Protección de Datos mantiene las suyas cuando el uso de IA implica tratamiento de datos personales. Para los modelos de IA de uso general la supervisión no es española: corresponde a la Oficina Europea de IA.

¿Qué exige exactamente el artículo 4?

Exige adoptar medidas que respalden un nivel suficiente de alfabetización en IA entre las personas que manejan sistemas de IA por cuenta de la organización. No exige un certificado, ni un curso concreto, ni una titulación determinada, ni un número mínimo de horas. El Reglamento no fija deliberadamente ningún estándar cerrado.

Tras el Digital Omnibus — refrendado por el Parlamento Europeo el 16 de junio de 2026 y aprobado por el Consejo el 29 de junio de 2026 — el estándar se suavizó: de la obligación de garantizar un nivel suficiente a la de respaldar su desarrollo. Deja de ser una obligación de resultado y pasa a ser de medios. La pregunta de un supervisor ya no es «¿garantizó usted la alfabetización?», sino «¿qué hizo y puede acreditarlo?».

La Comisión Europea fijó un mínimo operativo en sus preguntas frecuentes sobre alfabetización en IA de mayo de 2025. Las organizaciones deberían:

• Asegurar una comprensión general de la IA — el personal debe saber qué es, cómo funciona, qué sistemas se utilizan y qué oportunidades y riesgos conllevan.
• Definir los papeles dentro de la organización — ¿desarrolla usted sistemas de IA o solo usa los de terceros? Las obligaciones difieren.
• Identificar los riesgos — qué riesgos plantean los sistemas concretos en uso y qué medidas de mitigación se aplican.

¿A quién se aplica la obligación?

Se aplica a proveedores y responsables del despliegue de sistemas de IA. Un proveedor desarrolla un sistema de IA o lo manda desarrollar y lo introduce en el mercado con su propio nombre. Un responsable del despliegue utiliza un sistema de IA bajo su propia autoridad en el ejercicio de su actividad profesional. La mayoría de las organizaciones son responsables del despliegue.

La obligación cubre a su personal y, en palabras del Reglamento, a «otras personas que se encarguen del funcionamiento y la utilización de sistemas de IA en su nombre». Eso va más allá de la plantilla: alcanza a contratistas, personal de empresas de trabajo temporal y autónomos.

Un punto decisivo: el artículo 4 no se limita a la IA de alto riesgo. Si su organización usa un asistente general para redactar correspondencia, está dentro del ámbito. La clasificación de riesgo determina qué obligaciones se añaden, no si el artículo 4 se aplica.

¿De verdad usa mi organización sistemas de IA?

Casi con seguridad sí, y en más sitios de los que se supone. Las funciones de IA se han incorporado al software corporativo habitual en los últimos dos años, a menudo sin que se tomara ninguna decisión de «adoptar IA».

• Asistentes generativos en las suites ofimáticas — redacción, resúmenes, reescritura, notas de reuniones.
• CRM y herramientas comerciales que puntúan oportunidades o sugieren próximos pasos.
• Software contable que categoriza apuntes o señala anomalías automáticamente.
• Plataformas de selección que ordenan, criban o emparejan candidaturas.
• Herramientas de marketing que generan textos, imágenes o segmentos de audiencia.
• Chatbots de atención al cliente y enrutamiento automático de tickets.
• Servicios de traducción y transcripción.

A ello se suma el software que el propio personal introduce. Cuando los empleados usan herramientas de IA de consumo para trabajar sin aprobación formal, la organización sigue siendo en la práctica la responsable del despliegue.

¿Desde cuándo se aplica y qué cambió el 2 de agosto de 2026?

La obligación se aplica desde el 2 de febrero de 2025. El 2 de agosto de 2026 las autoridades nacionales de vigilancia del mercado adquirieron competencias formales de supervisión y ejecución.

¿Aplazó el Digital Omnibus las normas de alfabetización en IA?

No. Es la lectura equivocada más extendida sobre las reformas de 2026. El Digital Omnibus aplazó la aplicabilidad de las obligaciones de alto riesgo de los anexos III y I. No aplazó el artículo 4.

Lo que hizo fue suavizar el estándar — de garantizar un nivel suficiente a respaldar su desarrollo — dejando intactos la obligación, la fecha de aplicación y el inicio de la supervisión el 2 de agosto de 2026. Quien leyó los titulares sobre un «aplazamiento del Reglamento de IA» como una tregua general lleva año y medio dentro de una obligación vigente.

Para las organizaciones cuyos sistemas no son de alto riesgo, el artículo 4 es a corto plazo la única obligación exigible del Reglamento.

¿Qué sanciones existen por incumplir el artículo 4?

Al artículo 4 no se le asocia ninguna multa. Es el punto que con más frecuencia se expone mal.

El artículo 99 establece tres niveles: hasta 35 millones de euros o el 7 % del volumen de negocio mundial anual por infringir las prácticas prohibidas del artículo 5; hasta 15 millones o el 3 % por las obligaciones enumeradas en el artículo 99, apartado 4; y hasta 7,5 millones o el 1 % por facilitar información incorrecta o engañosa. Para pymes y empresas emergentes el tope se invierte: se aplica la cifra menor de las dos.

El artículo 99, apartado 4, contiene una lista tasada en la que el artículo 4 no figura. No cabe por tanto multar al amparo del Reglamento por un incumplimiento de alfabetización considerado aisladamente. Muchos resúmenes comerciales afirman lo contrario y citan la cifra de 15 millones; el texto no dice eso.

• La autoridad conserva potestades no pecuniarias — requerimientos de información, medidas correctoras y órdenes de restablecer la conformidad.
• Los Estados miembros pueden crear sus propias sanciones. El artículo 99, apartado 1, les obliga a establecer un régimen sancionador; que España vincule una sanción nacional al artículo 4 dependerá de su norma de desarrollo.
• La ausencia de formación agrava. El riesgo realista no es una multa autónoma, sino una posición más débil cuando la autoridad examina cualquier otro aspecto.

¿Por dónde debe empezar una organización?

1. Inventaríe los sistemas de IA. Incluya funciones de IA dentro de software ya licenciado, no solo herramientas compradas como «IA».
2. Determine su papel — proveedor o responsable del despliegue, sistema por sistema.
3. Identifique quién maneja cada sistema, incluidos contratistas.
4. Dé a esas personas una comprensión general — qué hacen los sistemas, dónde fallan y qué espera la organización.
5. Documente qué hizo y cuándo. En una obligación de medios, la prueba del esfuerzo es el cumplimiento.

La proporcionalidad recorre todo el planteamiento. Una empresa de doce personas con un asistente para correspondencia no se mide con el rasero de un banco que despliega modelos de scoring crediticio.

Preguntas frecuentes

¿Se aplica el artículo 4 a las pequeñas empresas?

Sí. El Reglamento de IA no establece ningún umbral de tamaño ni número mínimo de empleados para el artículo 4. Un autónomo que usa un asistente de IA para escribir a clientes es responsable del despliegue. Con el tamaño solo cambia la proporcionalidad de las medidas esperadas: una organización pequeña debe hacer menos, pero desde luego no nada.

¿Necesitamos un certificado para acreditarlo?

No. El Reglamento no menciona ninguna titulación, certificado ni curso acreditado, y no existe un sistema de acreditación específico para el artículo 4. Lo determinante es que se adoptaran medidas y puedan acreditarse: contenido, personas participantes, fecha y relación con los sistemas de IA que realmente se utilizan.

¿Qué son las guías de la AESIA y son obligatorias?

Son documentos prácticos publicados por la agencia sobre cómo entiende y aplicará el Reglamento. No sustituyen a la norma ni crean obligaciones nuevas, pero indican el criterio del supervisor, lo que en España resulta más útil que en mercados cuya autoridad aún no ha sido designada formalmente.

¿El artículo 4 solo afecta a sistemas de alto riesgo?

No. El artículo 4 se aplica con independencia de la clasificación de riesgo del sistema utilizado. Que un sistema sea de alto riesgo únicamente activa obligaciones adicionales, como la supervisión humana del artículo 26. La obligación de alfabetización alcanza a todo proveedor y responsable del despliegue de cualquier sistema de IA.

¿Cubre la obligación a contratistas y autónomos?

Sí. El artículo 4 abarca al personal y a otras personas que se encarguen del funcionamiento y la utilización de sistemas de IA en nombre de la organización. Contratistas, personal temporal y autónomos que manejen sus sistemas de IA quedan incluidos, y por eso es la obligación de alcance más amplio de todo el Reglamento.

¿Qué ocurre si no hacemos nada?

El artículo 4 no lleva aparejada multa propia, porque no figura en la lista tasada del artículo 99, apartado 4. La autoridad de vigilancia puede aun así exigir información y medidas correctoras, España puede establecer sanciones nacionales, y la falta de formación debilita su posición en cuanto un supervisor examine cualquier otro asunto.

¿Se ha aplazado el plazo de alfabetización en IA?

No. El Digital Omnibus aplazó las obligaciones de alto riesgo a diciembre de 2027 y agosto de 2028, y eso es lo que recogió la prensa. El artículo 4 quedó fuera de ese aplazamiento. Solo se suavizó el estándar, de garantizar a respaldar, pero ni la fecha de aplicación ni la del inicio de la supervisión se movieron.

Fuentes

• Reglamento (UE) 2024/1689 — texto completo en EUR-Lex
• Comisión Europea — gobernanza y aplicación del Reglamento de IA
• Panorama de los planes nacionales de aplicación

Este artículo explica el Reglamento en términos generales y no constituye asesoramiento jurídico. Las obligaciones concretas dependen de sus sistemas y de su jurisdicción.