Desde febrero de 2025, formar a tu equipo en IA es obligación legal.
El artículo 4 del Reglamento UE 2024/1689 (EU AI Act) obliga a cualquier empresa cuyo personal use sistemas de IA en su trabajo profesional a garantizar un nivel suficiente de alfabetización en IA. Aplica a tu pyme aunque solo uséis ChatGPT, Claude, Gemini o Microsoft Copilot. La AESIA es la autoridad que supervisa en España.
Qué dice exactamente el artículo 4.
El Reglamento UE 2024/1689, conocido como EU AI Act, fue aprobado en 2024, entró en vigor en agosto de 2024 y se aplica de forma escalonada hasta 2027. El bloque de obligaciones sobre prácticas prohibidas y alfabetización en IA es exigible desde el 2 de febrero de 2025 (artículos 1 a 5).
Los proveedores y los responsables del despliegue de sistemas de IA adoptarán medidas para garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en materia de IA entre su personal y demás personas que se encarguen, en su nombre, del funcionamiento y la utilización de los sistemas de IA.
— Artículo 4, Reglamento UE 2024/1689 (lectura operativa)
La obligación es universal dentro de las empresas que usan IA con criterio profesional. No depende del nivel de riesgo del sistema. Si tu equipo introduce datos en una IA generativa para producir borradores, resúmenes, comunicaciones o cualquier otro entregable profesional, estás dentro del perímetro del artículo 4.
Calendario público del Reglamento
- Agosto 2024 — entrada en vigor del Reglamento.
- 2 febrero 2025 — aplicación de prácticas prohibidas y artículo 4 (alfabetización).
- Agosto 2025 — aplicación de gobernanza, modelos de uso general y régimen sancionador general.
- Agosto 2026 — aplicación general (incluido alto riesgo).
- Agosto 2027 — última fase: sistemas de alto riesgo encuadrados en productos regulados.
Régimen sancionador, en cifras
El Reglamento prevé multas de hasta 35 millones de euros o el 7 % de la facturación anual mundial por uso de IA prohibida; 15 millones o el 3 % por incumplimiento de obligaciones distintas; y 7,5 millones o el 1 % por información incorrecta a las autoridades. En PYMEs, sin embargo, el riesgo realista a corto plazo es triple: reputacional (cliente que pregunta si tu equipo está formado), laboral (incidente con datos del cliente subidos a IA pública) y competitivo (perder concursos donde piden acreditar diligencia debida en IA).
Cuatro niveles de riesgo. Una obligación universal.
El Reglamento clasifica los usos de la IA por nivel de riesgo y, según ese nivel, asigna obligaciones distintas. La mayoría de PYMEs españolas no operan sistemas de alto riesgo. Pero el artículo 4 aplica con independencia del nivel: si tu equipo usa IA, cae dentro.
El artículo 4 cruza los cuatro niveles. Cualquier empresa cuyo personal opere IA en su trabajo profesional debe poder demostrar formación adecuada, con independencia de la categoría del sistema usado.
Qué te obliga si tienes una pyme profesional.
En la práctica el artículo 4 se traduce en algo muy concreto: que cada persona del equipo sepa qué puede y qué no puede hacer con las herramientas que usa, qué datos puede o no introducir en una IA pública, cómo detectar errores y cómo se cruza todo eso con el RGPD. La ley no prescribe método, ni horas, ni certificaciones: pide que puedas demostrar, si te lo preguntan, que has hecho algo serio.
Asesorías y gestorías
El equipo trabaja con datos fiscales y nóminas. Cualquier IA que toque esa información necesita protocolo: qué se sube, qué se anonimiza, qué nunca sale.
Despachos de abogados
Búsqueda de jurisprudencia, redacción, expedientes. El secreto profesional convierte la elección de herramienta en un asunto deontológico, no sólo regulatorio.
Clínicas dentales y sanitarias
Historiales, partes, comunicación con pacientes. La sensibilidad del dato hace que la formación por puesto sea, además, una garantía frente al RGPD.
Administradores de fincas
Comunicaciones, actas, incidencias. La IA acelera mucho el día a día, pero la decisión sobre qué herramienta y con qué datos no puede improvisarse.
Corredurías de seguros
Lectura de pólizas y respuesta al asegurado. La IA agiliza el comparativo, pero el rigor sigue siendo del corredor: la formación es lo que sostiene esa frontera.
Centros de fisioterapia
Agenda, recordatorios, evolución del paciente. La parte administrativa se automatiza; la clínica, intacta — y formada para distinguir lo uno de lo otro.
Lo que la ley no te exige
No tienes que contratar un Delegado de Protección de Datos específico para IA si no lo exigía ya el RGPD. No tienes que registrar tus sistemas en un registro europeo, salvo que uses IA de alto riesgo (la mayoría de PYMEs no lo hacen). No tienes que dejar de usar IA. Y, hoy por hoy, no existen certificaciones oficiales obligatorias para tu equipo.
Cinco pasos accionables para cumplir el artículo 4.
No es burocracia, es diligencia debida. Estos cinco pasos cubren lo razonable que un inspector de la AESIA o un cliente que pregunte por tu cumplimiento esperaría ver documentado.
-
1
Inventario de IA en tu empresa Lista qué herramientas con IA usa cada puesto: ChatGPT, Claude, Gemini, Copilot, asistentes integrados en tu software vertical (a3, Sage, Klinikare, Inmatic, GenIA-L, etc.). Sin inventario no hay cumplimiento.
-
2
Protocolo de datos sensibles Documenta qué información jamás entra en una IA pública: historiales médicos, expedientes contenciosos, nóminas, datos especiales del RGPD. Una página, escrita en lenguaje claro, firmada por la dirección.
-
3
Formación por puesto, no genérica Que cada persona aprenda IA sobre su trabajo real. Un curso online genérico difícilmente acredita que la auxiliar de tu clínica sabe qué subir y qué no a Klinikare. La formación con criterio de puesto sí.
-
4
Registro documental de la formación Fechas, contenido, asistentes, herramientas tratadas. Es la prueba que sostiene la diligencia debida. Sin registro, la formación no existe a efectos del artículo 4.
-
5
Revisión cada vez que cambia el stack Cuando incorporas una herramienta nueva (Copilot en la suite Microsoft, IA dentro de tu software vertical, un agente nuevo), refresca el protocolo y la formación. No es un trámite anual: es una rutina ligada a cada cambio operativo.
Un despacho de Barcelona ya tiene su artículo 4 cubierto.
Elena Crespo Lorenzo dirige un despacho consolidado de derecho de familia en Barcelona. Cuando contrató SprintIA no lo hizo por la ley, lo hizo porque quería recuperar sus tardes. El cumplimiento del artículo 4 vino de regalo: un Sprint presencial 1-a-1 entrega, además del aprendizaje, el registro documental que sostiene la diligencia debida.
Caso: el despacho de Elena Crespo Lorenzo
Lectura completa del caso, citas verbatim de la letrada y proceso del Sprint paso a paso.
Lo que más nos preguntan sobre el artículo 4.
Las dudas reales que llegan cada semana del fundador o socio directivo de una pyme profesional. Si tu pregunta no está aquí, escríbenos a hola@sprintia.es.
¿Qué es exactamente el artículo 4 del EU AI Act?
¿Desde cuándo tengo que cumplirlo?
Solo usamos ChatGPT y Copilot. ¿Aplica igual?
¿Qué multa puedo recibir?
¿Quién supervisa el cumplimiento en España?
¿Qué se considera "nivel suficiente de alfabetización"?
¿Necesito un Delegado de Protección de Datos para IA?
¿Sirve un curso online genérico para cumplir?
Para profundizar.
Aviso editorial. Este documento tiene carácter informativo y divulgativo. No constituye asesoramiento jurídico. Si tu caso particular requiere una valoración legal, consulta con un abogado especialista en derecho digital o protección de datos.
- Reglamento UE 2024/1689, DOUE, julio de 2024.
- Agencia Española de Supervisión de Inteligencia Artificial (AESIA), Gobierno de España.