La entrada en funcionamiento de la Autoridad Independiente de Protección al Informante (AIPI) supone un cambio clave en el compliance empresarial en España. Si tu empresa tiene 50 o más empleados, o pertenece a sectores estratégicos, debes adaptarte urgentemente a la nueva Ley 2/2023 y cumplir con la AIPI para evitar sanciones de hasta 1 millón de euros.
El pasado 1 de septiembre de 2025 entró en funcionamiento la Autoridad Independiente de Protección del Informante (AIPI), un organismo que marca un antes y un después en las obligaciones de compliance para las empresas españolas. Si su organización tiene 50 o más empleados, u opera en ciertos sectores estratégicos, este desarrollo le afecta directamente y requiere acción inmediata.
Pese a lo anterior, se puede observar que muchas empresas aún no son plenamente conscientes del alcance de estas nuevas obligaciones o incluso ignoran que les afectan. A continuación vamos a repasar qué significa la entrada en funcionamiento de la AIPI y qué pasos deben tomarse para evitar problemas legales y sanciones que pueden alcanzar el millón de euros.
¿Qué es la Autoridad de Protección al Informante (AIPI)?
La AIPI es la autoridad administrativa independiente creada para supervisar el cumplimiento de la Ley 2/2023 de protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción. Esta ley, que traspone la Directiva Whistleblowing europea, obliga a determinadas empresas a establecer canales internos para que empleados y terceros puedan reportar irregularidades de forma segura.
Aunque la ley está vigente desde febrero de 2023, no ha sido hasta ahora que España cuenta con una autoridad específica para supervisar su cumplimiento y sancionar infracciones. El Estatuto que regula la AIPI se publicó en octubre de 2024, pero la autoridad no ha comenzado a ejercer sus funciones hasta ahora, tras el nombramiento de su presidente Manuel Villoria en mayo de 2025 y la determinación oficial de la fecha de inicio de operaciones. La diferencia es fundamental: lo que antes era una obligación teórica, ahora tiene supervisión y consecuencias reales.
¿Está tu empresa obligada a cumplir con la Ley 2/2023?
Empresas con 50 o más empleados
Cualquier empresa que alcance esta cifra de empleados debe tener implementado un sistema interno de información que incluya un canal de denuncias. Esta obligación está vigente desde diciembre de 2023, pero muchas organizaciones han pospuesto su implementación. Con la AIPI operativa, su correcta implementación debe de ser una prioridad.
Sectores estratégicos (independientemente del tamaño)
Las empresas con menos empleados también están obligadas si operan en sectores como:
- Servicios financieros y seguros
- Prevención del blanqueo de capitales
- Mercados de productos básicos y derivados
- Seguridad de productos y cumplimiento de normativa sectorial
- Transporte y medio ambiente
Pasos clave para cumplir con la AIPI antes del 1 de noviembre de 2025
Obligación urgente: Notificar el responsable del sistema
Lo primero, todas las empresas obligadas deberán comunicar a la AIPI quién es el responsable de su sistema interno de información antes del 1 de noviembre de 2025. Esta notificación requiere:
- Acta formal de nombramiento del responsable
- Documentación acreditativa de que quien lo nombra tiene competencia para hacerlo
- Formulario específico que la AIPI habilitará en las próximas semanas
Importante: Esta comunicación es obligatoria incluso si ya informó a una autoridad autonómica.
Consecuencias del incumplimiento.
El incumplimiento de esta obligación se considera una infracción leve que puede acarrear una sanción de hasta 100.000 euros. A partir del 1 de noviembre, cualquier cambio en la designación del responsable debe comunicarse en un plazo máximo de 10 días hábiles.
Sanciones por incumplimiento: multas y consecuencias reales
Régimen económico sancionador para empresas:
| Tipo de infracción | Sanción económica |
| Leve | Hasta 100.000 € |
| Grave | 100.001 € – 600.000 € |
| Muy grave | 600.001 € – 1.000.000 € |
Sanciones adicionales:
- Amonestación pública
- Prohibición de obtener subvenciones por hasta 4 años
- Prohibición de contratar con el sector público
No tener implementado el canal ético cuando sea obligatorio constituye una infracción muy grave, con todas las consecuencias que ello implica. Con independencia de las sanciones económicas la imposibilidad de obtener subvenciones o de contratar con el sector público puede determinar la inviabilidad de muchas empresas.
Otras funciones de la AIPI
La autoridad no se limitará a sancionar. Sus funciones también incluyen:
- Gestionar un canal externo nacional donde cualquier persona puede presentar denuncias
- Proteger a los informantes frente a represalias
- Elaborar guías y recomendaciones que definirán las mejores prácticas
- Promover la cultura de integridad en el sector privado
Esto significa que los estándares de compliance evolucionarán constantemente, y las empresas deberán adaptarse a nuevos criterios y expectativas.
Errores frecuentes en la implantación del canal de denuncias
1. Confundir «canal de denuncias» con cumplimiento total
La ley exige un sistema interno de información completo, no solo un buzón de denuncias. Incluye procedimientos de investigación, protección del denunciante, y seguimiento de las denuncias.
2. Designación inadecuada del responsable
El responsable debe tener formación, independencia y recursos suficientes. No basta con asignar la tarea a cualquier empleado.
3. Falta de formación y comunicación interna
Los empleados deben conocer la existencia del canal y sentirse seguros al utilizarlo.
4. Documentación insuficiente
Todo el sistema debe estar debidamente documentado y ser auditable.
Ventajas de una implementación profesional del canal ético
Establecer un sistema de información interno no es solo cumplir con un trámite burocrático. Un sistema bien diseñado puede:
- Detectar problemas antes de que se conviertan en crisis
- Proteger la reputación de la empresa
- Reducir riesgos legales y operacionales
- Mejorar la cultura corporativa y la confianza de stakeholders
Por el contrario, un sistema mal implementado puede generar falsas denuncias, crear conflictos internos, o incumplir inadvertidamente la normativa tanto en materia de whistleblowers como de protección de datos.
Checklist de cumplimiento para empresas
- Evaluación Inicial y Diagnóstico:
- Determine si su empresa está obligada a cumplir.
- Revise su sistema actual de cumplimiento (si existe).
- Identifique las deficiencias frente a los requisitos legales.
- Planificación y Documentación Preliminar:
- Establezca un calendario de cumplimiento con planes e hitos para el 1 de noviembre de 2025.
- Recopile y unifique toda la documentación existente sobre su sistema actual, procesos, procedimientos y responsabilidades.
- Implementación y Puesta en Marcha:
- Designe formalmente un responsable cualificado del sistema.
- Documente todos los procedimientos del sistema de cumplimiento.
- Verificar el impacto en el tratamiento de datos de carácter personal.
- Prepare la notificación para la AIPI (Autoridad Independiente de Protección del Informante).
- Forme a sus equipos sobre el funcionamiento del sistema implementado.
Próximos pasos.
La entrada en funcionamiento de la AIPI representa un momento decisivo para el compliance empresarial en España. Las organizaciones que actúen con diligencia para cumplir las nuevas obligaciones no solo evitarán riesgos sancionadores, sino que también mejorarán su cultura empresarial y su ética. Esto, a su vez, generará efectos positivos tanto frente a los clientes, al fortalecer la confianza y la transparencia, como para los propios trabajadores, al fomentar un ambiente laboral íntegro y seguro. Así, se posicionarán favorablemente en un entorno regulatorio que claramente prioriza la transparencia y la lucha contra la corrupción.
El mensaje es claro: la fase de adaptación ha concluido. Es el momento de la ejecución y el cumplimiento efectivo. La AIPI ya es una realidad, inaugurando una nueva era para el compliance en España.
