Artículo 4 del AI Act: qué exige a las PYMES en formación de IA
El Artículo 4 del Reglamento (UE) 2024/1689 es la disposición que obliga a proveedores y responsables del despliegue de sistemas de IA a garantizar un nivel suficiente de alfabetización en IA de su personal, en función del contexto y los destinatarios afectados.
Qué entiende el Reglamento por alfabetización en IA
El concepto se define en el Artículo 3.56 del Reglamento (UE) 2024/1689 como el conjunto de competencias, conocimientos y comprensión que permiten a proveedores, responsables del despliegue y personas afectadas hacer un uso informado de los sistemas de IA, ser conscientes de las oportunidades y los riesgos, y comprender los posibles daños que pueden causar.
No basta con un curso teórico genérico ni con un vídeo corporativo de bienvenida. La formación debe ser proporcional al rol de cada persona, al tipo de sistema que utiliza y al impacto potencial sobre derechos y libertades de terceros. Un comercial que usa un asistente generativo para redactar correos no necesita la misma profundidad que un responsable de RRHH que evalúa candidatos con scoring automatizado.
La Comisión Europea ha publicado preguntas frecuentes que aclaran que la obligación no exige un certificado oficial concreto, pero sí evidencia razonable de que la organización ha adoptado medidas activas para alcanzar ese nivel suficiente. La carga de la prueba recae en la empresa.
Quién está obligado
El Artículo 4 obliga tanto a proveedores (quien desarrolla o pone en el mercado un sistema de IA) como a responsables del despliegue (deployer, en la terminología del Reglamento), que es cualquier persona física o jurídica que utiliza un sistema de IA bajo su autoridad en el marco de una actividad profesional.
Esto incluye a la práctica totalidad de PYMES españolas: si la empresa utiliza ChatGPT Enterprise, Microsoft 365 Copilot, Google Gemini for Workspace, Notion AI, herramientas de scoring de candidatos, asistentes de soporte como Intercom Fin o cualquier integración de modelos en su software interno, es responsable del despliegue y por tanto sujeto obligado.
Qué debe documentar una PYME
La documentación mínima razonable que un inspector de la AESIA puede esperar incluye: un plan de formación con objetivos, contenidos, duración y destinatarios segmentados por rol; registros de asistencia y de finalización; evaluaciones de conocimiento o de aplicación práctica; certificados individuales con fecha; y una política interna de uso de IA aprobada por la dirección que se entregue a cada nueva incorporación.
Adicionalmente, conviene mantener un inventario actualizado de sistemas de IA en uso (con proveedor, finalidad y categoría de riesgo) y vincular cada acción formativa al sistema o categoría correspondiente. Esa trazabilidad es lo que demuestra que la formación es proporcional al contexto, tal y como exige el Artículo 4.
Cómo diseñar una formación que sí cumpla
Una formación que cumpla el Artículo 4 suele estructurarse en tres niveles: (1) alfabetización básica para toda la plantilla, con fundamentos del Reglamento, riesgos comunes y normas internas de uso; (2) formación intermedia para mandos y áreas que despliegan IA (marketing, RRHH, atención al cliente, operaciones); (3) formación avanzada para responsables de sistemas de alto riesgo, DPO y dirección, con foco en evaluación de impacto, supervisión humana y gestión de incidentes.
La duración orientativa va de 2 a 4 horas en el nivel básico, 6 a 10 horas en el intermedio y 12 a 20 horas en el avanzado. Es perfectamente compatible con bonificación FUNDAE si la acción se planifica como formación programada por la empresa y cumple los requisitos formales (mínimo de 1 hora lectiva, control de asistencia y evaluación).
Errores frecuentes que invalidan la formación
Distribuir un PDF genérico sobre IA y pedir un acuse de lectura no cumple. Tampoco basta una charla única sin material soporte ni evaluación. Y un curso 100% en inglés para una plantilla mayoritariamente hispanohablante difícilmente acredita un nivel suficiente para los destinatarios.
El otro error habitual es formar solo a IT o a innovación olvidando a las áreas de negocio que realmente usan la herramienta. La obligación recae sobre cualquier persona que opere con el sistema, no sobre quien lo contrata.