Art. 4 alfabetización IA: qué exige a una pyme que usa ChatGPT

El Art. 4 del Reglamento (UE) 2024/1689 (EU AI Act) obliga a proveedores y deployers —incluidas las pymes que solo usan ChatGPT en su día a día— a garantizar un nivel suficiente de alfabetización en IA entre su personal. Esta obligación no es futura ni depende del calendario post-Ómnibus: está en vigor desde el 2 de febrero de 2025, junto con las prohibiciones del Art. 5.

¿Qué dice exactamente el Art. 4?

El artículo establece que los proveedores y responsables del despliegue de sistemas de IA "adoptarán medidas para garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en materia de IA de su personal y demás personas que se ocupen del funcionamiento y utilización de los sistemas de IA por su cuenta". La norma tiene en cuenta los conocimientos técnicos, la experiencia, la formación de esas personas y el contexto de uso previsto del sistema.

No es una obligación de resultado abstracto: es una obligación de medios razonables, proporcional al tamaño de la empresa y al riesgo del uso que se le da a la herramienta.

¿A quién afecta esta obligación?

Afecta a cualquier empresa que sea deployer de un sistema de IA, sin excepción de tamaño. Una pyme que usa ChatGPT para redactar correos, resumir documentos, generar código o apoyar atención al cliente es deployer en el sentido del Art. 3.4 del Reglamento, y por tanto está sujeta al Art. 4 igual que una gran corporación, aunque el nivel de medidas exigido sea proporcional.

Esto incluye también otras herramientas de uso extendido, como analizamos en nuestro artículo sobre Microsoft Copilot y el EU AI Act o en la guía de Google Gemini en la empresa: la obligación de alfabetización aplica igual con cualquier sistema de IA de propósito general que el personal utilice.

¿Qué debe hacer concretamente una pyme que solo usa ChatGPT?

Una pyme sin sistemas de alto riesgo ni obligaciones de proveedor puede cumplir el Art. 4 con medidas proporcionadas, sin necesidad de estructuras complejas:

• Formación básica sobre qué es ChatGPT, sus limitaciones (alucinaciones, sesgos, desactualización de datos) y sus riesgos de uso.
• Política interna de uso de IA que indique qué se puede y qué no se puede introducir en la herramienta —especialmente relevante ante el riesgo de fuga de datos, como explicamos en empleado sube datos a ChatGPT.
• Identificación de usos prohibidos conforme al Art. 5 (por ejemplo, categorización biométrica o manipulación subliminal).
• Sesión de formación diferenciada según el rol: no es lo mismo el uso que hace un empleado de marketing que el de recursos humanos.
• Control del uso no autorizado o "shadow AI", un riesgo que detallamos en nuestro artículo sobre shadow AI en las empresas.

¿Cómo se documenta el cumplimiento del Art. 4?

Aunque el Art. 4 no exige un formato concreto, ante una inspección o auditoría interna conviene poder demostrar con evidencia documental que se han tomado medidas razonables. Recomendamos conservar:

1. Registro de asistencia a sesiones de formación (fecha, contenido, participantes).
2. Material formativo usado (presentaciones, guías internas, políticas de uso).
3. Política de uso de IA generativa firmada o comunicada al personal.
4. Evaluación periódica de si la formación sigue siendo suficiente ante nuevos usos de la herramienta.
5. Registro de actualización de estas medidas conforme cambian las funcionalidades de ChatGPT (por ejemplo, la incorporación de agentes o nuevas integraciones).

¿Qué papel juega la autoevaluación en este proceso?

Muchas pymes no saben por dónde empezar a construir esta documentación de forma ordenada. Una autoevaluación estructurada ayuda a identificar qué sistemas de IA usa realmente la organización, qué rol desempeña respecto a cada uno (proveedor o deployer) y qué medidas de alfabetización son proporcionadas a ese uso. La metodología de 13 secciones de AICONTEXT permite mapear estos usos y generar la documentación de soporte necesaria, y el curso del LMS de AICONTEXT ofrece formación estructurada para el personal que cumple precisamente esta función de alfabetización exigida por el Art. 4.

El Art. 4 es, en la práctica, la obligación más transversal del EU AI Act: no depende del nivel de riesgo del sistema, no tiene fecha límite futura y ya es exigible. Ignorarla por ser "solo ChatGPT" es un error habitual que puede generar una brecha de responsabilidad fácilmente evitable con medidas simples y bien documentadas.