Artículo 4 del AI Act: qué formación en IA está obligada a dar tu empresa en 2026 (y qué no)

En una frase: el artículo 4 del AI Act sigue siendo una obligación para proveedores y responsables del despliegue de sistemas de IA, pero desde el 27 de julio de 2026 ya no exige alcanzar un "nivel suficiente" de alfabetización, no requiere ningún certificado y no aparece en ninguna de las listas de multa del artículo 99.

Traducido: si alguien le vende una "certificación obligatoria del artículo 4" con la amenaza de 35 millones de euros, le vende algo que no existe. Lo que sí existe, y conviene tener resuelto, es más modesto y bastante más barato.

¿El artículo 4 del AI Act obliga de verdad a formar a mi plantilla en IA?

Sí, pero con menos filo del que se le atribuye. El artículo 4 —la obligación de alfabetización en IA (AI literacy)— se aplica desde el 2 de febrero de 2025, junto con las prácticas prohibidas del artículo 5. Obliga a proveedores y a deployers (responsables del despliegue): no solo a quien desarrolla sistemas de IA, sino a cualquier organización que use IA en su operativa. Y no tiene umbral de tamaño: una asesoría de siete personas que usa un asistente para redactar borradores está dentro igual que un banco.

Lo que ha cambiado no es a quién aplica, sino qué se le exige. La redacción original hablaba de asegurar un "nivel suficiente". Ese listón desapareció con el Reglamento (UE) 2026/1744, el Digital Omnibus on AI, publicado en el DOUE el 24 de julio de 2026 y en vigor desde el 27 de julio de 2026.

Aviso de higiene informativa: buena parte del contenido español sobre el AI Act que sigue vivo en buscadores se escribió antes del 24 de julio de 2026 y arrastra la versión anterior del artículo 4, incluso en publicaciones de despachos serios. Si un análisis no menciona el Omnibus, es una foto caducada. Nuestra guía del AI Act para empresas españolas y el repaso del reglamento europeo de IA sitúan el marco general; aquí solo tratamos el artículo 4.

¿Qué cambió en el artículo 4 con el Digital Omnibus de julio de 2026?

Cambió la naturaleza de la obligación: pasa de ser una obligación de resultado ("consiga que su gente tenga un nivel suficiente") a una obligación de medios ("haga esfuerzos razonables y déjelos documentados").

La fuente es el Q&A oficial de la Comisión Europea sobre alfabetización en IA, actualizado el 27 de julio de 2026. El original está en inglés; la traducción es del Equipo Editorial Upliora y va acompañada del literal para que cualquiera pueda contrastarla. Sobre el apartado 1:

"Ensure AI literacy remains an obligation for providers and deployers of AI systems, but no specific – or 'sufficient' - level is mandated".

>

Traducción: se mantiene la alfabetización en IA como obligación para proveedores y responsables del despliegue, pero no se impone ningún nivel específico —ni "suficiente"—.

El apartado 2 desplaza la promoción activa a las instituciones: la Comisión y los Estados miembros "will continue supporting providers and deployers' in their efforts, including by publishing examples of compliance", incluida la publicación de ejemplos de cumplimiento. Y el porqué del cambio, sin rodeos:

"the Commission proposed to shift the obligation on the Member States and Commission to promote AI literacy and upskilling and reskilling in AI, rather than enforcing an unspecific obligation on organisations."

>

Traducción: la Comisión propuso trasladar a los Estados miembros y a sí misma la obligación de promover la alfabetización en IA y la recualificación, en lugar de imponer una obligación inespecífica a las organizaciones.

La expresión clave es "an unspecific obligation": el legislador reconoce que "nivel suficiente" era inaplicable —nadie sabía medirlo ni a partir de qué punto se incumplía— y, en lugar de definirlo, lo ha eliminado.

Lo que no desapareció es la formación para la supervisión humana en alto riesgo. Volveremos a ello.

¿Necesito un certificado oficial de alfabetización en IA?

No. Lo dice la Comisión Europea con una claridad poco habitual:

"There is no need for a certificate. Organisations can keep an internal record of trainings and/or other guiding initiatives."

>

Traducción: no hace falta ningún certificado. Las organizaciones pueden llevar un registro interno de las formaciones y/u otras iniciativas de orientación.

Un registro interno: un documento, una hoja de cálculo o una carpeta compartida donde conste qué se formó, a quién, cuándo y con qué material. Contrástelo con lo que circula en el mercado: no existe un sello europeo de "empresa alfabetizada en IA", no existe un examen homologado del artículo 4 y ninguna certificación comercial —por buena que sea su calidad docente— confiere presunción de cumplimiento.

Otra cosa es una certificación técnica por empleabilidad, donde el catálogo se ha roto en 2026: Microsoft retiró AI-900 y AI-102 el 30 de junio de 2026 (vigentes ahora AI-901 y AI-103) y AWS su Machine Learning Specialty el 31 de marzo de 2026. Quien hoy recomiende el AI-900 cita un examen muerto. Ninguno guarda relación con el artículo 4; si le interesa esa vía, vea nuestra selección de cursos de IA gratis con certificado.

¿Cuánto pueden multarme por no formar a mi equipo en IA?

Aquí conviene ser escrupuloso, porque es el punto que más se exagera en el material comercial.

El artículo 4 no figura en ninguna de las listas de sanción del artículo 99 del AI Act. El régimen sancionador es una enumeración cerrada de artículos, y el 4 no está en ninguno de sus tramos:

• Artículo 99(3) — 35 M€ o el 7% del volumen de negocio anual mundial: cubre exclusivamente el artículo 5, las prácticas prohibidas.
• Artículo 99(4) — 15 M€ o el 3%: artículos 16, 22, 23, 24, 26, 31, 33, 34 y 50.
• Artículo 99(5) — 7,5 M€ o el 1%: información incorrecta, incompleta o engañosa a autoridades u organismos notificados.
• Artículo 99(6): tope específico para pymes, aplicando "whichever thereof is lower" —el importe menor entre el porcentaje y la cifra fija—.

Es decir: la cifra de 35 M€ / 7% pertenece al artículo 5, no al artículo 4. Quien la use en un argumentario de venta de formación atribuye a la falta de formación la sanción prevista para desplegar un sistema de puntuación social. No es una simplificación: es un dato falso.

La Comisión sí sostiene que las autoridades nacionales "could impose penalties and other enforcement measures" por el artículo 4, de forma proporcionada. Existe una vía de exigencia; lo que no existe es una multa armonizada de 35 millones por no formar.

Como responsable de una empresa de 20 personas que usa ChatGPT a diario, ¿qué tengo que hacer exactamente?

Seis pasos, en orden, que se cierran en una tarde larga si la empresa es pequeña y su uso de IA es de oficina.

1. Inventarie qué sistemas de IA usa la empresa y quién los opera. Herramienta, para qué, quién y con qué datos. Incluya lo que entró por la puerta de atrás: asistentes contratados por un departamento, extensiones de navegador, funciones de IA embebidas en software que ya tenía. Sin esta lista, los cinco pasos siguientes son decorativos.

2. Escriba una política de uso de IA de una o dos páginas. Qué se puede meter en un asistente y qué no (datos personales de clientes, información sujeta a contrato, credenciales), qué salidas exigen revisión humana antes de salir de la empresa y a quién se pregunta en caso de duda.

3. Forme al personal que opera cada sistema, proporcionadamente al riesgo. Una sesión general para la plantilla más una específica para los perfiles que tocan datos delicados cubre el escenario habitual de una pyme.

4. Levante el registro interno de formaciones. Fecha, asistentes, duración, contenidos, material entregado. Es lo que la Comisión describe como acreditación válida.

5. Asigne un responsable nominal. No un cargo nuevo ni un comité: una persona con nombre y apellidos que mantenga inventario, política y registro. Sin dueño, los tres documentos envejecen en tres meses.

6. Fije una revisión anual, más una extraordinaria por cambio material —herramienta nueva, cambio de proveedor o cambio normativo—. El calendario sigue moviéndose: el marcado legible por máquina de contenido generado por IA en sistemas ya en mercado llega el 2 de diciembre de 2026, y el alto riesgo del Anexo III se aplazó al 2 de diciembre de 2027 (Anexo I, al 2 de agosto de 2028). El calendario completo, plazo a plazo, está en las obligaciones del AI Act tras el Digital Omnibus.

Si su empresa ni siquiera tiene el inventario del paso 1, la guía para empezar con IA en la empresa cubre el paso previo.

¿Qué formación sigue siendo obligatoria pase lo que pase?

La formación para la supervisión humana en sistemas de alto riesgo: la parte que el Omnibus no tocó y la única con dientes. La Comisión es explícita —"the obligation to ensure that their staff is trained to ensure human oversight remains in place"— y el artículo 26, que recoge las obligaciones de los responsables del despliegue de alto riesgo, sí figura en la lista del artículo 99(4), con el tramo de 15 M€ o el 3%.

Lectura práctica: la alfabetización general se ha relajado; la formación de quienes supervisan un sistema de alto riesgo, no. Esas personas necesitan interpretar la salida del sistema, detectar cuándo se equivoca y saber cómo intervenir o pararlo.

¿Cuándo entra usted ahí? El Anexo III incluye cribado de currículums, scoring crediticio, educación y acceso a servicios esenciales. Una empresa de 20 personas que usa un asistente para redactar correos no está en ese supuesto; una que filtra candidaturas con un sistema automatizado, sí —con aplicación diferida al 2 de diciembre de 2027: margen para prepararlo, no para olvidarlo—. Si opera en un sector con capas normativas propias, cruce esto con el análisis de IA en sectores regulados.

¿Quién vigila el cumplimiento del artículo 4 en España y desde cuándo?

No lo vigila la Oficina Europea de IA. La Comisión lo aclara expresamente:

"The supervision and enforcement of Article 4 of the AI Act is not with the AI Office, but it is under the remit of national market surveillance authorities."

>

Traducción: la supervisión y aplicación del artículo 4 no corresponde a la Oficina de IA, sino a las autoridades nacionales de vigilancia de mercado.

Y con fecha de arranque: "The national market surveillance authorities will start supervising and enforcing the rules as of 2 August 2026."

En España esa autoridad es la AESIA, creada por el Real Decreto 729/2023 (BOE de 2 de septiembre de 2023), con sede en A Coruña y operativa desde 2025. A día de hoy no ha publicado ninguna guía específica sobre el artículo 4: su material se ha centrado en la transparencia del artículo 50.

Hay además una anomalía que conviene conocer antes de que alguien la use como palanca de miedo: la vigilancia arrancó el 2 de agosto de 2026, pero España aún no tiene aprobada la norma que concreta su régimen sancionador. El Proyecto de Ley Orgánica para el buen uso y la gobernanza de la IA se aprobó en Consejo de Ministros el 26 de mayo de 2026, se publicó en el BOCG el 12 de junio de 2026 y sigue en tramitación —requiere mayoría absoluta—. No está en vigor. Cuando lo esté, obligará a inventariar los sistemas de IA, clasificarlos por riesgo, documentar con trazabilidad, garantizar supervisión humana y mantener "un nivel adecuado de alfabetización en IA del personal con responsabilidades sobre estos sistemas".

Quien afirme hoy que AESIA ya multa por el artículo 4 no lo sostiene con el BOE en la mano. Lo prudente es tener hechos los seis pasos anteriores antes de que esa ley se apruebe: su borrador ya anticipa exactamente esa documentación.

¿Qué recursos gratuitos sirven para cumplir sin contratar a nadie?

Tres, todos oficiales y todos sin coste:

• Living repository to foster learning and exchange on AI literacy (Comisión Europea, actualizado el 31 de julio de 2026, más de 40 prácticas reales): el catálogo de ejemplos que la Comisión prometió publicar. Lleva un aviso que conviene leer entero: "Replicating the practices collected in this living repository does not automatically grant presumption of compliance with Article 4." Replicar una práctica no otorga presunción de cumplimiento: es prueba de esfuerzo, no salvoconducto.
• AI Act Service Desk y su Compliance Checker (Comisión Europea): sitúa sus sistemas en el marco del reglamento y resuelve dudas de encaje.
• Los EDIH (European Digital Innovation Hubs): 10 hubs españoles con financiación directa de la Comisión para 2026-2028, con servicios gratuitos disponibles ahora, sin esperar convocatoria. Es la vía más infrautilizada del ecosistema español.

Sobre catálogos de terceros: la "Database of AI Literacy programs" de artificialintelligenceact.eu lleva el aviso "as of April 2025" y está congelada. No la use como panorámica de 2026.

Cuándo NO necesitas contratar formación externa

Sección de honestidad, porque un artículo que termina diciendo "contrate a un experto" en todos los escenarios no es un artículo, es un folleto.

No le compensa contratar formación externa si: su uso de IA es ofimático (redacción, resúmenes, hojas de cálculo, borradores), no toca datos sensibles ni decisiones automatizadas sobre personas, tiene menos de 25 empleados y ya dispone de política de uso escrita. Ahí, el registro interno más una sesión hecha en casa con el material del living repository cubre lo exigible. Gastarse 5.900 € —el precio de Cegos para un grupo cerrado de 10 personas y 12 horas, el único precio de grupo cerrado publicado en España— para cumplir un requisito que la Comisión resuelve con una hoja de cálculo es sobrepagar. Tampoco compensa si busca el certificado: no existe.

Sí empieza a compensar con alguno de estos tres factores: opera un sistema que caerá en Anexo III y necesita formación de supervisión humana defendible; tiene varios departamentos con usos heterogéneos y nadie dentro con criterio para fijar la política; o quiere aprovechar el crédito de FUNDAE, que exige gestión formal. Sobre ese crédito, un dato que retrata el desperdicio: según el informe Formación en el trabajo 2025 de Fundae, solo 348.443 empresas —el 20,5% de las que tenían derecho— lo usaron, y quedaron 627,3 M€ sin gastar de 1.301,6 M€. El tramo que peor lo aprovecha: 10-49 trabajadores, 38,8%.

Ese segundo escenario choca con un problema de opacidad: no existe ningún estudio independiente de precios de formación in-company en IA en España, y las páginas mejor posicionadas son marketing de proveedor. "El artículo 4 no te pide un diploma, te pide criterio y que quede registrado: la empresa que escribe su política de uso y anota quién se ha formado está mejor cubierta que la que compra un certificado", sostiene Javier Santos Criado, consultor de IA en Javadex e ingeniero por la Universidad de Valladolid. Es además la única referencia individual con precio público del mercado español: publica una banda de 3.500 € a 15.000 € según alcance —de un workshop de una jornada para un equipo pequeño a un programa multi-departamento con handover— y atiende consultas de encaje en su formulario de contacto. Para comparar alternativas, mantenemos un análisis de formaciones y cursos de IA para empresas y una guía de quién imparte formación in-company en España.

Y un aviso de presupuesto: los módulos económicos máximos de la formación bonificada de empresa en 2026 son 9 €/hora y participante en presencial básico, 13 €/h en nivel superior y 7,5 €/h en teleformación. Los 15,4 €/hora que circulan son de la oferta subvencionada, no de la bonificada: usarlos desvía el cálculo un 71% al alza.

Preguntas frecuentes

¿El artículo 4 del AI Act sigue vigente en 2026?

Sí, desde el 2 de febrero de 2025, y sigue obligando a proveedores y deployers. Lo que cambió el 27 de julio de 2026 con el Reglamento (UE) 2026/1744 es que ya no se exige alcanzar un nivel específico ni "suficiente".

¿Existe un certificado obligatorio de alfabetización en IA?

No. La Comisión Europea lo dice literalmente: "There is no need for a certificate". Basta un registro interno de formaciones e iniciativas de orientación.

¿Me pueden multar con 35 millones de euros por no formar a mi plantilla?

No por el artículo 4. Esa cuantía es la del artículo 99(3), que sanciona solo las prácticas prohibidas del artículo 5. El artículo 4 no aparece en ninguna lista del artículo 99, aunque las autoridades nacionales pueden adoptar medidas proporcionadas.

¿A qué empresas aplica la obligación de alfabetización en IA?

A proveedores y deployers: cualquier organización que use IA en su operativa, no solo quien la desarrolla. Sin umbral de tamaño.

¿Qué formación en IA sigue siendo obligatoria en 2026 pase lo que pase?

La de supervisión humana en sistemas de alto riesgo. La Comisión confirma que permanece, y el artículo 26 sí figura en el tramo de 15 M€ o el 3% del artículo 99(4).

¿Quién supervisa el cumplimiento del artículo 4 en España?

Las autoridades nacionales de vigilancia de mercado, no la Oficina Europea de IA. En España, AESIA (RD 729/2023, sede en A Coruña), desde el 2 de agosto de 2026. No ha publicado guía propia sobre el artículo 4. Qué puede exigir hoy y qué no, en quién puede sancionarte y quién no; y si decides formar, cuánto debería costar una formación in-company.

¿Los cursos de IA se pueden bonificar con el crédito de FUNDAE?

Sí: el crédito es genérico, sin catálogo cerrado de materias. Requisito operativo, comunicación previa con al menos un día hábil. Equivale a la base de cotización por formación profesional del año anterior por el 0,7%.

¿Sirve copiar una práctica del repositorio oficial de la Comisión para cumplir el artículo 4?

No automáticamente. El living repository advierte que replicarlas "does not automatically grant presumption of compliance with Article 4". Es evidencia de esfuerzo, no certificación.

---

Finalidad informativa; no es asesoramiento jurídico. Fuentes: Q&A oficial de la Comisión Europea sobre alfabetización en IA (27 de julio de 2026), artículo 99 del AI Act y documentación pública de Fundae y AESIA. Datos verificados a 9 de agosto de 2026.