La Autoridad Independiente de Protección del Informante es el organismo que aplica la Ley 2/2023. Se la conoce por sus siglas, AIPI o A.A.I., depende del Ministerio de la Presidencia, Justicia y Relaciones con las Cortes y tiene potestad sancionadora sobre las entidades obligadas a disponer de un canal interno de denuncias. Desde febrero de 2026 su sede electrónica está operativa, y eso cambia la forma práctica en que tu empresa se relaciona con ella: ya no se trata de escribir a un correo provisional, sino de presentar la notificación de tu Responsable del Sistema por el formulario oficial.
Lo esencial
- La AIPI es la autoridad estatal que supervisa el cumplimiento de la Ley 2/2023, de 20 de febrero, y gestiona el canal externo de información.
- Su sede electrónica cambió de dirección el 22 de septiembre de 2026: la referencia oficial pasa a ser https://proteccioninformante.sede.gob.es.
- El plazo extraordinario para comunicar responsables ya designados terminó el 10 de abril de 2026. Desde entonces rige el plazo ordinario del artículo 8.3: diez días hábiles desde el nombramiento o el cese.
- Si tu entidad no notificó en el plazo extraordinario, la obligación sigue viva y conviene regularizarla, no dejarla correr.
- La AIPI no sustituye a tu canal interno. Lo supervisa y ofrece una vía externa alternativa.
¿Qué es la Autoridad Independiente de Protección del Informante?
Es una autoridad administrativa independiente, adscrita al Ministerio de la Presidencia, Justicia y Relaciones con las Cortes, creada por la Ley 2/2023 para proteger a quien informa sobre infracciones normativas y actos de corrupción. Su estatuto se aprobó por el Real Decreto 1101/2024, de 29 de octubre. Actúa con independencia funcional, gestiona el canal externo de información y ejerce la potestad sancionadora del Título IX de la ley.
Para una empresa, la AIPI importa por tres motivos concretos: recibe la notificación de tu Responsable del Sistema Interno de Información, puede recibir denuncias sobre tu organización por la vía externa sin que el informante agote antes tu canal interno, y puede abrir expediente sancionador si detecta que tu sistema no existe o no funciona en los términos que exige la ley.
¿Qué cambió en la sede electrónica de la AIPI el 22 de septiembre de 2026?
La dirección electrónica de referencia de la sede pasa a ser https://proteccioninformante.sede.gob.es. Lo aprobó la Resolución de 9 de septiembre de 2026 de la Presidencia de la AIPI, publicada en el BOE número 233 de 21 de septiembre de 2026 con la referencia BOE-A-2026-19523, y produce efectos desde el día siguiente al de su publicación.
La propia resolución aclara dos cosas que conviene tener presentes. La primera, que el motivo del cambio es homogeneizar la denominación de las direcciones electrónicas asociadas a la Autoridad, no una modificación de procedimiento. La segunda, que la dirección anterior, https://sede.proteccioninformante.gob.es, permanecerá accesible durante el tiempo necesario para garantizar la continuidad del servicio. Dicho de otro modo: si tienes la antigua guardada en favoritos o escrita en tu procedimiento interno, todavía funciona, pero ya no es la de referencia y conviene actualizarla.
Si tu manual de compliance, tu procedimiento del canal o tu política de integridad citan la URL de la sede, este es el momento de revisarlos. Es un cambio de dos minutos que evita que un documento de cumplimiento apunte a una dirección en transición.
¿Qué tiene que notificar tu empresa a la AIPI y en qué plazo?
La obligación central es notificar quién es tu Responsable del Sistema Interno de Información, y también cuándo deja de serlo. El artículo 8.1 de la Ley 2/2023 atribuye la designación al órgano de administración o de gobierno de la entidad. El artículo 8.3 fija el plazo de notificación y exige que, en el caso del cese, se especifiquen las razones que lo han justificado.
Estos son los hitos con fecha comprobable:
| Hito | Fecha | Norma o fuente |
|---|---|---|
| Publicación de la Ley 2/2023 en el BOE | 21 de febrero de 2023 | BOE número 44, de 21 de febrero de 2023 |
| Aprobación del Estatuto de la AIPI | 29 de octubre de 2024 | Real Decreto 1101/2024 (BOE-A-2024-22298) |
| Puesta en funcionamiento de la AIPI | 1 de septiembre de 2025 | Orden PJC/908/2025, de 8 de agosto (BOE-A-2025-16764) |
| Creación de la sede electrónica | 5 de noviembre de 2025 | Resolución de la Presidencia de la AIPI (BOE-A-2025-22526) |
| Puesta en servicio de la sede y publicación del formulario | 10 de febrero de 2026 | Disposición transitoria única.4 del Estatuto de la AIPI |
| Fin del plazo extraordinario de dos meses | 10 de abril de 2026 | Disposición transitoria única.4 del Estatuto de la AIPI |
| Cambio de dirección de la sede electrónica | 22 de septiembre de 2026 | BOE-A-2026-19523 |
| Plazo ordinario de notificación vigente | Diez días hábiles desde el nombramiento o el cese | Artículo 8.3 de la Ley 2/2023 |
El plazo extraordinario merece una explicación, porque es la fuente habitual de confusión. La disposición transitoria única.4 del Estatuto concedió dos meses para regularizar los nombramientos hechos desde la entrada en vigor de la ley, y ese cómputo no arrancaba con la creación de la Autoridad sino con la publicación del formulario específico en su portal. Como el formulario se publicó el 10 de febrero de 2026, el plazo venció el 10 de abril de 2026. A partir de ahí no hay régimen transitorio: cada nombramiento y cada cese se notifica en diez días hábiles.
¿Quién está obligado a tener Sistema Interno de Información?
Los artículos 10 y 13 de la Ley 2/2023 delimitan el perímetro, y es más amplio de lo que muchas organizaciones asumen. En el sector privado están obligadas las personas físicas o jurídicas con cincuenta o más personas trabajadoras en España, las entidades sujetas a normativa sectorial europea con independencia de su plantilla (servicios financieros, prevención de blanqueo, transporte o medio ambiente, entre otras) y los partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones cuando reciban o gestionen fondos públicos.
En el sector público el alcance es prácticamente universal: Administración General del Estado, comunidades autónomas, entidades locales, organismos y entidades públicas vinculadas o dependientes, autoridades administrativas independientes, Banco de España, entidades gestoras de la Seguridad Social, universidades públicas, corporaciones de Derecho público, fundaciones y sociedades mercantiles del sector público.
El punto que más se escapa es el de la normativa sectorial. Una gestora con ocho empleados sujeta a la normativa de prevención de blanqueo está obligada igual que una industrial de doscientos. El umbral de cincuenta personas trabajadoras es una de las puertas de entrada, no la única. Si tienes dudas sobre tu caso, nuestra guía de implantación del canal de denuncias de la Ley 2/2023 desarrolla el análisis de sujeción paso a paso.
¿Qué pasa si tu empresa no notificó al Responsable antes del 10 de abril de 2026?
La obligación no desaparece por haber vencido el plazo extraordinario. Sigue viva y lo razonable es regularizarla cuanto antes, presentando la notificación por la sede electrónica con los datos del responsable designado. El Título IX de la Ley 2/2023 tipifica como infracción muy grave el incumplimiento de la obligación de disponer de un Sistema interno de información en los términos exigidos por la ley, y el artículo 65 fija las sanciones correspondientes, que para entidades pueden llegar al millón de euros en los supuestos más graves.
Conviene separar dos incumplimientos distintos, porque no pesan igual. Uno es no tener sistema interno, que es el supuesto nuclear del régimen sancionador. Otro es tenerlo y haberse retrasado en la notificación del responsable. El segundo es subsanable y lo sensato es subsanarlo por iniciativa propia, dejando constancia documental de la fecha en que se presentó. En materia sancionadora, un expediente que acredita regularización voluntaria no se parece a uno que acredita inactividad.
Además de la multa, la ley contempla medidas accesorias para los casos muy graves, como la amonestación pública o la prohibición temporal de obtener subvenciones o de contratar con el sector público. Para muchas compañías ese segundo bloque duele más que la sanción económica.
¿Cómo se reparte el trabajo entre la AIPI estatal y las autoridades autonómicas?
La Ley 2/2023 permite que las comunidades autónomas creen sus propias autoridades de protección del informante para los asuntos de su competencia, y varias ya lo han hecho. Cataluña atribuye esas funciones a la Oficina Antifraude, la Comunidad de Madrid dispone de su propia oficina del informante para el ámbito autonómico y local, y Andalucía cuenta con una oficina equivalente.
La regla práctica para una entidad con actividad en varias comunidades es sencilla: la notificación del responsable se remite a la AIPI estatal, sin perjuicio de que también deba enviarse a la autoridad autonómica correspondiente cuando proceda. Presentar solo ante la autonómica y dar por cumplido el trámite estatal es un error frecuente en grupos con sociedades repartidas por el territorio. Si tu organización pertenece al sector público, revisa además las particularidades del canal de denuncias en la administración pública.
¿Para qué sirve el canal externo de la AIPI?
El canal externo es una vía de comunicación directa con la Autoridad, alternativa al canal interno de la organización. Cualquier persona puede dirigirse a él sin agotar antes el canal interno de la empresa, y eso es deliberado: la ley no quiere que el temor a represalias, la implicación de la propia dirección o la falta de respuesta interna dejen al informante sin salida.
Recibida la información, la Autoridad comprueba si los hechos entran en el ámbito de aplicación del artículo 2 de la ley y decide en un plazo que no puede superar los diez días hábiles desde la entrada en el registro. Puede inadmitir la comunicación en los supuestos tasados, tramitarla o derivarla al órgano competente.
La lectura de negocio es directa. Un canal interno que funciona, responde en plazo y genera confianza reduce la probabilidad de que un asunto llegue primero a la Autoridad y no a tu organización. Esa es la diferencia entre enterarte de un problema cuando todavía puedes gestionarlo y enterarte cuando ya hay un expediente abierto.
¿Qué exige la Recomendación 1/2026 de la AIPI al diseñar tu sistema?
La Recomendación 1/2026 de la AIPI, sobre diseño e implementación del Sistema Interno de Información, describe el sistema como una infraestructura de integridad y sitúa al Responsable del Sistema como la pieza clave para una gestión independiente, confidencial y eficaz. No es una norma sancionadora, pero fija el estándar técnico con el que la Autoridad va a mirar tu sistema.
De ella se desprenden cuatro exigencias prácticas: que el responsable actúe con plena independencia y autonomía respecto del resto de órganos de la entidad, que cuente con medios personales y materiales suficientes, que se garantice la confidencialidad de la identidad del informante y de las personas afectadas, y que se respeten los plazos de tramitación, con acuse de recibo en siete días y respuesta en un máximo de tres meses.
El tercer y el cuarto punto son los que más dependen de la herramienta que uses. La confidencialidad real y la trazabilidad de plazos se sostienen mal en un buzón de correo y una hoja de cálculo. Si estás revisando cómo gestionas hoy las comunicaciones, compara tu situación con lo que describimos en el servicio integral de canal de denuncias conforme a la Ley 2/2023.
Cómo dejar esto cerrado en tu organización
Hay una secuencia corta que resuelve el trámite y deja rastro documental. Primero, confirma que existe acuerdo formal del órgano de gobierno aprobando el Sistema Interno de Información, previa consulta a la representación de las personas trabajadoras. Segundo, designa o ratifica al Responsable del Sistema, sea persona física u órgano colegiado, y documenta su independencia. Tercero, presenta la notificación en la sede electrónica y guarda el justificante con su fecha. Cuarto, actualiza tus procedimientos internos con la nueva dirección de la sede.
Y una quinta tarea que casi nadie apunta: fija un recordatorio para los diez días hábiles. El plazo ordinario se incumple casi siempre por despiste, no por voluntad, y suele saltar cuando el responsable cambia de puesto o sale de la compañía. Si quieres una visión de conjunto de todas tus obligaciones de cumplimiento, nuestra guía sobre qué es el compliance y qué obligaciones tienen las empresas en España ordena el mapa completo.
Preguntas frecuentes sobre la AIPI
¿La AIPI sustituye al canal interno de mi empresa?
No. El canal interno sigue siendo obligatorio para las entidades sujetas a la Ley 2/2023. La AIPI gestiona una vía externa y complementaria, y además supervisa que tu sistema interno exista y funcione. Tener canal externo disponible no exime a nadie de tener el suyo.
¿Cuál es la dirección correcta de la sede electrónica de la AIPI?
Desde el 22 de septiembre de 2026 la dirección de referencia es https://proteccioninformante.sede.gob.es, según la Resolución de 9 de septiembre de 2026 publicada en el BOE. La anterior, https://sede.proteccioninformante.gob.es, sigue accesible durante el periodo de transición para garantizar la continuidad del servicio.
¿En qué plazo hay que notificar el nombramiento del Responsable del Sistema?
En diez días hábiles desde el nombramiento, según el artículo 8.3 de la Ley 2/2023. El mismo plazo se aplica al cese, y en ese caso hay que especificar las razones que lo justifican. El plazo extraordinario de dos meses del Estatuto terminó el 10 de abril de 2026.
¿Puede la AIPI sancionar a mi empresa por no tener canal de denuncias?
Sí. El Título IX de la Ley 2/2023 tipifica el incumplimiento de la obligación de disponer de un Sistema interno de información y el artículo 65 fija las sanciones, que para personas jurídicas alcanzan el millón de euros en los supuestos más graves, con posibles medidas accesorias como la prohibición de contratar con el sector público.
¿Qué pasa si mi grupo tiene sociedades en varias comunidades autónomas?
La notificación se remite a la AIPI estatal, sin perjuicio de que haya que remitirla también a las autoridades autonómicas competentes en su ámbito. Presentarla únicamente ante la autonómica no cubre la obligación estatal, así que en grupos con presencia territorial amplia lo prudente es cubrir ambas vías.
¿Quién es el Responsable del Sistema Interno de Información?
Es la persona física u órgano colegiado designado por el órgano de administración o de gobierno para gestionar el sistema y tramitar los expedientes de investigación. Si es un órgano colegiado, debe delegar esas facultades en uno de sus miembros. Desarrollamos el detalle del nombramiento en nuestra guía sobre cómo dar de alta al Responsable del Sistema Interno de Información ante la AIPI.
Convierte el trámite en un sistema que funcione
Notificar al responsable es el requisito de entrada, no la meta. Lo que la Autoridad va a valorar si algún día mira tu organización es si el sistema recibe comunicaciones con garantías, si responde dentro de plazo y si deja rastro auditable de cada paso. Eso se sostiene con tecnología, no con voluntad.
En Laworatory trabajamos precisamente ahí: canal multicanal con anonimato y comunicación bidireccional segura, control de plazos con avisos automáticos, trazabilidad completa para auditoría e informes consolidados. Si quieres verlo aplicado a tu caso, echa un vistazo a nuestro software para cumplimiento normativo o a cómo abordamos la ética y el cumplimiento en las organizaciones.
