Guía · actualizada el 15 de octubre de 2026
Cómo demostrar el cumplimiento: registro de evidencias
Qué constancia pide en la práctica el artículo 4, por qué no hace falta un certificado y qué debería contener un registro interno de una pyme.
Respuesta directa
No hay un certificado oficial del artículo 4. La Comisión indica que las organizaciones pueden llevar un registro interno de las formaciones y de otras iniciativas de orientación, y que no se exige un responsable de IA al estilo del delegado de protección de datos. Un registro útil dice qué herramientas se usan, quién las usa, qué medida de alfabetización se ha dado y cuándo. El PDF con acuses de lectura es una pieza posterior de Aliteria; hoy puede empezar por la política y el inventario.
Lo que la Comisión ha dicho sobre la prueba
A la pregunta de cómo documentar las acciones del artículo 4, la Comisión responde que no hace falta un certificado y que cabe un registro interno de formaciones u otras iniciativas. A la pregunta de si hace falta un oficial de IA como en el RGPD, responde que no hay una estructura de gobernanza obligatoria.
Eso no significa que baste con afirmar «nosotros formamos». Si una autoridad pregunta, o si hay un incidente, la organización tendrá que explicar qué hizo, para quién y sobre qué sistema. La proporcionalidad juega a favor de la pyme en el diseño de la medida, no en la desaparición del rastro.
Un registro mínimo que sí se entiende
- Herramienta, proveedor y finalidad.
- Personas o roles que la usan, incluidos colaboradores externos.
- Qué datos pueden introducirse y cuáles no.
- Si el resultado puede afectar a clientes, candidatos, pacientes u otros.
- Qué medida de alfabetización se ha dado: sesión, guía, política firmada, material enviado.
- Fecha y persona interna de contacto.
La plantilla de inventario de Aliteria sigue esas columnas y se descarga en CSV, con punto y coma, para abrirla en Excel en español. No envía los datos a ningún servidor: se quedan en el navegador hasta que usted los exporta.
Qué no demuestra el registro
Un inventario completo no clasifica un sistema como de alto riesgo, no sustituye una evaluación de impacto de derechos fundamentales y no cubre el RGPD. Si el uso trata datos personales, la base jurídica, la información a las personas y los contratos con el proveedor del sistema viven en esa otra norma. El artículo 4 no los absorbe.
Copiar una práctica del repositorio de la Comisión tampoco crea presunción de cumplimiento. La propia Comisión lo advierte. El registro demuestra lo que su organización hizo, no que un tercero lo haya homologado.