El deber de alfabetización tras el Ómnibus
El artículo 4, aplicable desde el 2 de febrero de 2025, obligaba en su redacción original a proveedores y responsables del despliegue a garantizar, en la mayor medida posible, un nivel suficiente de alfabetización en IA de su personal y de quienes manejan los sistemas en su nombre.
El Reglamento (UE) 2026/1744 lo reescribe: ahora deben adoptar medidas para apoyar la promoción de esa alfabetización, teniendo en cuenta conocimientos, experiencia, contexto de uso y personas afectadas, y se aclara que no tienen que garantizar un nivel concreto en ninguna persona. La Comisión publicará ejemplos prácticos y los Estados miembros apoyarán a las pymes (art. 4.2).
El deber sigue existiendo, aunque más flexible. La forma razonable de acreditarlo es un plan de formación por perfiles —quien supervisa un sistema de alto riesgo no necesita lo mismo que quien usa un asistente de redacción— con registro de quién lo ha recibido.
Gobernanza interna mínima
El Reglamento no exige un comité de IA, pero varias obligaciones lo presuponen: saber qué sistemas hay, quién los supervisa, qué datos reciben y a quién se avisa si fallan. Un inventario vivo, una política de uso aceptable y un responsable por sistema cubren la mayor parte.
La gobernanza enlaza con la protección de datos. El nuevo artículo 4 bis permite tratar excepcionalmente categorías especiales de datos para detectar y corregir sesgos, con garantías estrictas —seudonimización, acceso controlado, supresión al terminar— y dejando constancia del motivo en el registro de actividades de tratamiento.
Dónde encaja ISO/IEC 42001
ISO/IEC 42001:2023 es una norma internacional de requisitos para un sistema de gestión de la inteligencia artificial, con la estructura común de las normas de sistemas de gestión. Su certificación es voluntaria.
Ayuda a ordenar el inventario, la evaluación de riesgos, los roles, el control de proveedores y la mejora continua, y puede servir de esqueleto del sistema de gestión de la calidad que el artículo 17 exige a los proveedores de alto riesgo. Pero no sustituye a la evaluación de la conformidad del artículo 43: la presunción de conformidad la dan las normas armonizadas cuyas referencias se publican en el Diario Oficial de la UE (art. 40.1).
Lo que suele pedir el auditor
- Plan de formación en IA por perfiles, con registro de asistencia
- Política de uso aceptable de herramientas de IA aprobada y comunicada
- Responsable designado para cada sistema del inventario
- Tratamientos de datos para corregir sesgos justificados en el registro de actividades
- Decisión tomada sobre si adoptar ISO/IEC 42001 como marco de gestión
Cómo abordarlo en la práctica
- 1Define dos o tres perfiles de formación según el uso real de la IA y registra quién completa cada uno.
- 2Integra el inventario de sistemas de IA en el análisis de riesgos que ya mantengas para seguridad de la información o protección de datos.
- 3Si ya tienes un sistema certificado en ISO/IEC 27001 o ISO 9001, valora ampliarlo con los requisitos de ISO/IEC 42001 en lugar de crear uno aparte.
La ciberseguridad que el artículo 15 exige a los sistemas de alto riesgo se apoya en los mismos controles que ISO/IEC 27001.
De dónde sale cada dato
Referencias al texto oficial vigente. Si una norma se revisa, esta página se actualiza y la fecha de revisión lo refleja.
- Reglamento (UE) 2024/1689 de Inteligencia Artificial EUR-Lex · DO L 2024/1689 · 12 de julio de 2024
- Reglamento (UE) 2026/1744 (Ómnibus digital sobre IA), que modifica el Reglamento (UE) 2024/1689 EUR-Lex · DO L 2026/1744 · 24 de julio de 2026
- Reglamento (UE) 2024/1689, texto consolidado EUR-Lex · CELEX 02024R1689-20260727 · Versión de 27 de julio de 2026
- ISO/IEC 42001:2023 — Tecnologías de la información. Inteligencia artificial. Sistema de gestión ISO · Ed. 2023