Las pymes con más de 50 trabajadores entran en la recta final para cumplir con la Ley 2/2023: antes del 1 de noviembre, deberán comunicar formalmente quién es el responsable de su canal interno de denuncias, según lo exige la nueva normativa sobre protección de informantes. El incumplimiento podría costarles hasta un millón de euros en sanciones.
La AAI ya está operativa: se acabó el margen de espera
Desde el 1 de septiembre de 2025, la Autoridad Independiente de Protección al Informante (AAI) está plenamente operativa. Este organismo, presidido por Manuel Villoria, será el encargado de vigilar, registrar y sancionar a las empresas que no cumplan con sus obligaciones en materia de sistemas internos de información.
Aunque la ley ya estaba en vigor desde diciembre de 2023, muchas pymes pospusieron su cumplimiento por falta de un órgano sancionador. Esa excusa ya no es válida. Con la AAI en funcionamiento, se activa una obligación legal en firme que exige que todas las empresas con entre 50 y 249 empleados —y aquellas más pequeñas que tengan canal de denuncias— deben notificar electrónicamente a su responsable designado.
¿Dónde se comunica el responsable?
La comunicación debe realizarse telemáticamente a través del portal oficial de la AAI, utilizando certificado digital, Cl@ve PIN o Cl@ve permanente. Además, aquellas empresas situadas en comunidades autónomas con autoridades regionales en esta materia (como Cataluña, Madrid, Navarra o Valencia) deben hacer doble notificación: una a nivel estatal y otra autonómica.
¿Y si la empresa tiene menos de 50 empleados?
También están obligadas si ya disponen de un canal interno de denuncias. Es decir, si una microempresa o pequeña empresa ha implementado este sistema —por decisión propia, exigencia contractual o vínculo con la Administración pública— le aplica la ley en su totalidad.
¿Quién puede ser el responsable del canal?
El responsable debe ser un directivo con formación específica, independencia funcional y autonomía de criterio. Debe tener acceso directo al órgano de administración y garantizar que las denuncias se gestionen con confidencialidad y sin represalias.
En las microempresas, el administrador único puede asumir esta responsabilidad, aunque debe ser plenamente consciente de que su nombre figurará oficialmente ante la AAI y que no podrá eludir la responsabilidad.
“Se puede delegar la gestión, pero no la responsabilidad”, advierte el abogado penalista Felipe García, socio-director de Círculo Legal.
Sanciones millonarias para quienes no cumplan
La Ley 2/2023 contempla sanciones severas:
- Hasta 100 000 euros para infracciones leves.
- Entre 100 000 y 600 000 euros para infracciones graves.
- De 600 000 a 1 000 000 euros para infracciones muy graves.
Las represalias contra el informante, como despido, degradación profesional o perjuicio a su entorno, están especialmente castigadas. Además, si se demuestra falta de diligencia, también puede activarse la responsabilidad directa de los administradores.
Aunque la AAI aún no dispone de un equipo completo para instruir expedientes, el plazo de gracia se ha terminado. El simple hecho de no comunicar el responsable antes del 1 de noviembre ya puede considerarse una infracción formal.
La protección del informante, el eje del nuevo sistema
El espíritu de la ley no es recaudatorio, sino preventivo: proteger a quienes denuncian corrupción, fraudes o infracciones tanto en el sector privado como en la Administración pública.
“La ley pretende blindar a los alertadores, que no deben temer represalias ni quedar desprotegidos”, recalca García.
Toda empresa con contratos públicos debe estar especialmente atenta: si detecta irregularidades, tiene la obligación de informar. Así, la ley refuerza un mecanismo nacional anticorrupción desde la raíz.
