Las obligaciones del EU AI Act para una empresa española dependen de su papel y del uso concreto de la IA. Tras el Ómnibus de 2026, el artículo 4 exige adoptar medidas para apoyar la alfabetización en IA del personal según su experiencia y contexto de uso. No impone un curso único obligatorio para todas las empresas, ni un certificado acredita por sí solo el cumplimiento de la norma. Esta guía explica los riesgos, las obligaciones y el calendario vigente.
Esta página es la referencia completa: qué dice la norma, cómo clasifica y qué entra en vigor cuándo. Si buscas otra cosa, al final está el mapa de qué página responde cada pregunta.
Actualizado tras el Ómnibus Digital. El Reglamento (UE) 2026/1744, en vigor desde el 27 de julio de 2026, reescribió el artículo 4 y aplazó el paquete de alto riesgo. Las dos cosas están recogidas abajo con la redacción y las fechas vigentes.
Qué es el EU AI Act
El Reglamento Europeo de Inteligencia Artificial (EU AI Act) es la primera legislación integral del mundo sobre inteligencia artificial. Fue aprobado por el Parlamento Europeo en marzo de 2024 y establece un marco legal para el desarrollo, despliegue y uso de sistemas de IA en toda la Unión Europea.
Su objetivo no es prohibir la IA, sino regularla según el nivel de riesgo que suponga para los ciudadanos.
El sistema de clasificación por riesgo
El AI Act clasifica los sistemas de IA en cuatro categorías:
Riesgo inaceptable (prohibidos)
Sistemas que manipulan el comportamiento humano, explotan vulnerabilidades de grupos específicos, implementan scoring social o utilizan identificación biométrica remota en tiempo real en espacios públicos. Estos están directamente prohibidos.
Riesgo alto
Sistemas usados en áreas críticas: selección de personal, evaluación crediticia, diagnóstico médico, infraestructura crítica o educación. Requieren evaluaciones de conformidad, documentación técnica, supervisión humana y registro en una base de datos europea.
Riesgo limitado
Sistemas que interactúan directamente con personas (chatbots, deepfakes, sistemas de generación de contenido). Obligación principal: transparencia. El usuario debe saber que está interactuando con una IA.
Riesgo mínimo
La mayoría de aplicaciones empresariales: asistentes de redacción, herramientas de análisis, automatizaciones. No requieren obligaciones específicas más allá del Artículo 4.
Aquí es donde conviene parar un momento, porque es donde cae casi todo el software que usa una empresa normal y donde más humo se vende. El marcado CE, el registro en la base de datos europea y la evaluación de conformidad que aparecen en el cuadro de riesgo alto no son obligaciones tuyas: son de quien fabrica el sistema. El reparto completo, artículo por artículo, está en qué obligaciones del AI Act son tuyas y cuáles de tu proveedor.
Artículo 4: la obligación de alfabetización en IA
Aquí es donde la norma afecta a todas las empresas que usan IA, independientemente del nivel de riesgo.
El artículo 4 cambió el 27 de julio de 2026. El Reglamento (UE) 2026/1744 —el Ómnibus Digital— lo reescribió. La redacción vigente obliga a proveedores y responsables del despliegue a adoptar medidas para apoyar la alfabetización en IA de su personal y de quienes manejen esos sistemas en su nombre, teniendo en cuenta sus conocimientos, su experiencia y el contexto de uso. Y añade una frase que antes no estaba: la obligación no exige garantizar un nivel específico de alfabetización de ninguna persona en particular.
La redacción anterior decía «adoptarán medidas para garantizar … un nivel suficiente». Está derogada, y buena parte de los sitios de referencia la siguen sirviendo sin avisar.
Traducido: si tu equipo usa herramientas de IA en su trabajo diario, tienes que hacer algo al respecto y poder demostrarlo. Lo que la norma ya no te pide es un resultado medible sobre cada empleado; lo que sí te pide es una medida proporcional al rol de cada persona y al riesgo de la herramienta que maneja. Lo que sigue sin valer es darles acceso a ChatGPT y esperar que aprendan solos.
Esta obligación se aplica desde el 2 de febrero de 2025. No es un plazo futuro: es una obligación vigente, y el Ómnibus la ha suavizado, no eliminado.
Calendario de aplicación del Reglamento Europeo de IA
El Reglamento (UE) 2024/1689 entró en vigor el 1 de agosto de 2024 y se aplica de forma escalonada, según su artículo 113:
- 2 de febrero de 2025: se aplican los Capítulos I y II. Ahí están la prohibición de los sistemas de riesgo inaceptable y, en el Capítulo I, el Artículo 4 de alfabetización en IA
- 2 de agosto de 2025: obligaciones de los modelos de IA de propósito general (GPAI), gobernanza y el régimen sancionador del artículo 99
- 2 de agosto de 2026: fecha general de aplicación del grueso del Reglamento, incluidas las obligaciones de transparencia del artículo 50. Es también cuando la supervisión y el régimen sancionador empiezan a desplegarse de verdad en España
- Sistemas de alto riesgo: el paquete Ómnibus Digital ha desplazado su calendario a diciembre de 2027 (anexo III) y agosto de 2028 (alto riesgo integrado en productos ya regulados). Conviene confirmar la fecha vigente antes de planificar sobre ella
El error más repetido, y circula en mucho material comercial, es dar por hecho que el Artículo 4 empieza en agosto de 2026. La alfabetización en IA es exigible desde el 2 de febrero de 2025. Lo que llega el 2 de agosto de 2026 es la aplicación general del Reglamento.
Qué NO exige el Artículo 4
Tan importante como saber qué pide la norma es saber qué no pide, porque ahí es donde el mercado vende humo:
- No existe una certificación oficial de "cumplimiento del Artículo 4". El Reglamento no crea ningún esquema de certificación para la alfabetización en IA ni acredita a proveedores de formación. Quien te venda un sello oficial te está vendiendo algo que no existe
- No fija un número mínimo de horas ni un temario cerrado. Pide medidas proporcionales al riesgo y adaptadas al contexto de uso, a los conocimientos y a la experiencia de cada persona
- No exige garantizar ningún nivel concreto. Lo dice el artículo con todas las letras desde julio de 2026, y es la diferencia entre una obligación de medios y una de resultado. Eso no elimina las obligaciones específicas que puedan corresponder a quienes supervisan sistemas de alto riesgo
- No obliga a contratar formación externa. Puedes cubrirlo con recursos internos si eres capaz de documentarlo y sostenerlo en el tiempo
- No se agota con una sesión única. Es una obligación continuada: la medida tiene que seguir siendo razonable cuando cambien las herramientas o entre gente nueva
La Comisión indica que puede conservarse un registro interno de formación u otras iniciativas y que no se exige un certificado específico. Documentar las medidas ayuda a explicar el trabajo realizado, sin garantizar por sí solo el cumplimiento. Consulta las preguntas y respuestas actualizadas de la Comisión (se abre en una pestaña nueva) y el texto adoptado del Ómnibus (se abre en una pestaña nueva).
Por dónde seguir, según lo que necesites
Esta página es la referencia: qué dice la norma, cómo clasifica y cuándo se aplica cada cosa. A partir de aquí cada pregunta tiene su propia página, porque cada una se responde distinto.
| Tu pregunta | Dónde está contestada |
|---|---|
| ¿Cuáles de estas obligaciones son mías y cuáles de mi proveedor? | Obligaciones del AI Act para pymes |
| ¿Qué pasa si no cumplo? ¿Me puede multar la AESIA? | La AESIA todavía no te multa, la AEPD ya lo hace |
| ¿Qué hago esta semana, con plazos? | Cómo preparar a tu equipo para el EU AI Act |
| ¿Qué IA está usando ya mi equipo? | Checklist para auditar el uso de IA |
| ¿Cómo se monta el expediente del Artículo 4? | Formación del Artículo 4 |
| ¿La formación la hago dentro o la contrato fuera? | Formación interna vs. externa, y por qué fracasan los cursos de IA en empresas |
Si tu caso pide diagnóstico antes que temario, el punto de entrada es una auditoría de IA. Y si prefieres hablarlo directamente — hablemos.