Artículo 4 del AI Act: alfabetización en IA para organizaciones

Qué dice exactamente el artículo 4

El artículo 4 fue modificado por el Reglamento (UE) 2026/1744, conocido como Ómnibus digital sobre IA, publicado en el Diario Oficial de la Unión Europea el 24 de julio de 2026. Con la redacción vigente, obliga a proveedores y responsables del despliegue de sistemas de IA a "adoptar medidas para apoyar la promoción de la alfabetización en materia de IA" de su personal y de las personas que se encarguen en su nombre del funcionamiento y la utilización de estos sistemas, teniendo en cuenta sus conocimientos técnicos, su experiencia, su educación y su formación, el contexto de uso y las personas a las que afectan.

La nueva redacción aclara además que la obligación no exige garantizar "un nivel específico de alfabetización en materia de IA de ninguna persona en particular". La versión anterior hablaba de asegurar un "nivel suficiente"; la actual pide medidas proporcionadas. Es más flexible, pero sigue siendo una obligación.

Tres matices importan más de lo que parece:

Por qué afecta especialmente a los departamentos de seguridad

Un departamento de seguridad medio ya opera IA aunque nadie la llame así: videoanalítica que detecta comportamientos anómalos, sistemas de control de accesos con reconocimiento, plataformas que priorizan alertas, herramientas de análisis predictivo de incidentes.

Quien vigila esas pantallas suele haber recibido formación sobre el *manejo* de la herramienta — dónde pulsar, cómo exportar un vídeo — pero no sobre qué está haciendo el algoritmo, con qué margen de error, ni en qué casos su criterio debe prevalecer sobre la sugerencia del sistema. Esa distancia es exactamente lo que el artículo 4 pretende cerrar.

Y tiene una consecuencia práctica que va más allá del cumplimiento: un operador que no entiende por qué el sistema marca una alerta acaba haciendo una de dos cosas, y ambas son malas. O la acepta siempre, y entonces la supervisión humana es ficticia. O la ignora sistemáticamente, y entonces la inversión en tecnología no sirve de nada.

Qué formación conviene dar

El reglamento no publica un temario ni fija un nivel que deba garantizarse; la Comisión publicará ejemplos prácticos de cómo cumplir. Pero de su redacción y de las guías que han ido apareciendo se desprende que la formación debería cubrir, adaptada a cada perfil:

La profundidad debe ser proporcional: no necesita lo mismo un operador de sala que un director que decide qué sistemas se compran.

Cómo se demuestra que se ha cumplido

Aquí está el punto que más se descuida. La norma pide adoptar medidas, y la forma práctica de demostrar que se han adoptado es documentarlas. En una inspección, ante una reclamación o en una due diligence de un cliente, lo que se pide es evidencia documental.

En la práctica eso significa mantener un registro de qué personas han recibido qué formación, cuándo, con qué contenidos y con qué resultado de aprovechamiento. Los programas con certificado nominativo resuelven esto de forma natural, porque generan el rastro documental como subproducto.

Conviene además tratarlo como algo vivo: cuando se despliega un sistema nuevo o cambia sustancialmente uno existente, la formación previa deja de ser suficiente.

Por dónde empezar

Un enfoque sensato para una organización que parte de cero:

La mayoría de las organizaciones descubren en el primer paso que usan más IA de la que su comité de dirección tenía identificada formalmente.

Preguntas frecuentes sobre el artículo 4 del AI Act

¿Es obligatoria la formación en IA según el AI Act?

Sí, en el sentido de que el artículo 4 obliga a adoptar medidas de alfabetización en IA. No impone un curso concreto ni un número de horas: cada organización decide las medidas, proporcionadas a los sistemas que usa y a los perfiles de quienes los manejan.

¿A quién obliga el artículo 4?

A los proveedores y a los responsables del despliegue de sistemas de IA, es decir, a quien los desarrolla y a quien los usa en su actividad. La obligación cubre a su personal y a las personas que operan esos sistemas en su nombre, como contratas y servicios externalizados.

¿Solo afecta a los sistemas de alto riesgo?

No. A diferencia de buena parte del reglamento, el artículo 4 se aplica a cualquier sistema de IA que la organización desarrolle o utilice.

¿Cómo se demuestra que se ha cumplido?

Con documentación: un registro de quién se ha formado, cuándo, con qué contenidos y con qué resultado. Un certificado nominativo por persona deja ese rastro de forma natural.

¿Qué formación elegir para un equipo de seguridad?

Depende del perfil. Para directores de seguridad, IA Práctica para Directores de Seguridad (10 horas) o, para la estrategia del departamento, Dirección Estratégica de Seguridad con IA (125 horas). Para policías y mandos, IA Policial Práctica (10 horas). Todos los programas, con su duración y precio, están en la tabla de Formación SYRA360.

En SYRA360 formamos precisamente a esos perfiles. Los programas de Formación SYRA360 están diseñados para directivos y mandos que ya conviven con sistemas de IA y necesitan entenderlos, no para perfiles técnicos que van a construirlos. Puede comprobar en dos minutos qué marcos le afectan con nuestro verificador de cumplimiento.

¿Podría demostrar hoy qué medidas ha adoptado su organización para cumplir el artículo 4? Si la respuesta no es un sí claro, ese es el punto de partida.