Inicia sus actividades la autoridad independiente de protección del informante

Durante el pasado mes de agosto de 2025, se ha producido una novedad de interés para las empresas, que afecta a sus obligaciones de cumplimiento de la normativa sobre protección de las personas informantes a través de sus sistemas internos de información.

En concreto, el BOE de 12 de agosto publicó la reciente Orden PJC/908/2025, de 8 de agosto, que establece que el 1 de septiembre de 2025 inicia su funcionamiento la Autoridad Independiente de Protección del Informante, A.A.I. (en adelante, “AIPI”). Esta fecha marca un nuevo hito en la implementación de la Ley 2/2023, de 20 de febrero, reguladora de la protección de las personas que informen sobre infracciones normativas y de lucha contra la corrupción.

¿Qué es la autoridad independiente de protección del informante, A.A.I.? 

La AIPI es una Autoridad Administrativa Independiente que constituye el pilar básico del sistema institucional en materia de protección del informante. Su creación responde a la exigencia de la Directiva (UE) 2019/1937, posteriormente incorporada a la Ley 2/2023, de 20 de febrero, que impone a los Estados miembros la obligación de designar "autoridades competentes" para asumir diversas responsabilidades en esta materia.

La AIPI nace con una especial autonomía y un manifiesto sentido técnico y gran especialización en la materia. El Real Decreto 1101/2024, de 29 de octubre, aprobó su Estatuto, y el Real Decreto 328/2025, de 15 de abril, ha nombrado a Manuel Villoria Mendieta como su primer Presidente.

Funciones de la AIPI relevantes para el sector privado

La Ley 2/2023 atribuye a la AIPI competencias en los tres ámbitos principales que aborda la Directiva:

Canal externo de denuncias

La Directiva 2019/1937 obliga a los Estados miembros a establecer canales externos para recibir y tramitar denuncias, cuyo funcionamiento deberá ser independiente y autónomo, ágil y diligente y que deberá garantizar la exhaustividad, integridad y confidencialidad de la información. En el ámbito estatal, la AIPI actuará como canal externo para recibir informaciones (denuncias) sobre irregularidades que afecten a las entidades del sector privado, cuando la infracción o el incumplimiento sobre el que se informe afecte o produzca sus efectos en el ámbito territorial de más de una comunidad autónoma. Por su parte, las autoridades autonómicas designadas recibirán y tramitarán informaciones de irregularidades que afecten a entidades del sector privado cuando el incumplimiento comunicado se circunscriba al ámbito territorial de la correspondiente comunidad autónoma.

Medidas de apoyo y protección al informante

La AIPI asume también funciones en materia de apoyo y protección a las personas que comuniquen irregularidades a través de los canales previstos en la ley (internos, externos o revelación pública). Estas medidas incluyen:

• Información y asesoramiento completos e independientes, que sean fácilmente accesibles para el público y gratuitos, sobre los procedimientos y recursos disponibles, protección frente a represalias y derechos de la persona afectada.
• Asistencia efectiva ante cualquier autoridad pertinente implicada en su protección frente a represalias, incluida la certificación de que pueden acogerse a protección al amparo de la ley.
• Apoyo financiero y psicológico, de forma excepcional.
• La AIPI podrá, en el marco de los procedimientos sancionadores que instruya, adoptar medidas provisionales tales como instar la realización de cambios de puesto de trabajo o la concesión de permisos retribuidos.

Potestad sancionadora

Según prevé el art. 61 Ley 2/2023, la AIPI tiene la potestad para sancionar las infracciones previstas en el artículo 63 de la Ley 2/2023 cometidas en el ámbito del sector privado en todo el territorio, siempre que la normativa autonómica correspondiente no haya atribuido esta competencia a los organismos competentes de las respectivas comunidades autónomas.

Otras funciones de la AIPI

Además de las competencias anteriores, la AIPI desempeñará otras funciones relevantes, como la asunción de la condición de órgano consultivo y de asesoramiento del Gobierno en materia de protección del informante, la elaboración de modelos de prevención de delito en el ámbito público, el fomento y la promoción de la cultura de la información, o la cooperación con las autoridades autonómicas de protección del informante para contribuir a la aplicación coherente de la normativa en materia de protección del informante.

Implicaciones y recomendaciones para las empresas

El inicio del funcionamiento de la AIPI a partir del 1 de septiembre de 2025 activa determinadas obligaciones de las empresas y refuerza la necesidad de que estén plenamente adaptadas a las exigencias de la Ley 2/2023.

De un lado el artículo 8.3 de la Ley 2/2023, establece que las empresas deberán notificar la designación del Responsable del Sistema Interno de Información (y el cese, llegado el momento), así como de las personas integrantes del órgano colegiado, a la AIPI, o, en su caso, a la autoridad u órgano competente de su comunidad autónoma, en el ámbito de sus respectivas competencias. Al respecto, conviene realizar los apuntes siguientes:

• Aunque el citado precepto fija el plazo de los 10 días hábiles siguientes para dicha notificación, con posterioridad, la Disposición transitoria única del Real Decreto 110/2024, de 29 de octubre, que aprueba el Estatuto de la AIPI, ha establecido un nuevo plazo de dos meses para que las empresas comuniquen el nombramiento del responsable del sistema interno de información. Por tanto, las empresas disponen hasta el 31 de octubre de 2025 para comunicar a la AIPI el nombramiento del Responsable del Sistema Interno de Información. En cuanto a los posteriores ceses (cuyas razones deberán especificarse) y los nuevos nombramientos, optaríamos por comunicarlos en el plazo de diez días hábiles inicialmente establecido en la Ley 2/2023.
• Por otra parte, aunque ya es posible realizar dicha notificación (a través del correo electrónico habilitado, según Nota informativa publicada) nuestra recomendación es esperar unas semanas, para dar tiempo a que la AIPI pueda emitir alguna guía sobre posible coordinación con autoridades autonómicas, habilitar la sede electrónica, etc.

Por otra parte, es recomendable que las empresas:

• Revisen y refuercen sus canales internos de información (canales de denuncias) de acuerdo con los requisitos de la Ley 2/2023.
• Sean conscientes de la existencia del canal externo de la AIPI y de los canales externos autonómicos, y de cuándo una denuncia en el sector privado podría ser tramitada por una u otra autoridad.
• Tengan presente la protección que la AIPI (o las autoridades autonómicas) brindará a los informantes y la obligación de la empresa de prevenir y no llevar a cabo represalias.
• Extremen las cautelas en relación con las infracciones del Título IX de la Ley 2/2023, dado que la AIPI tendrá la potestad sancionadora para el sector privado a nivel nacional, salvo reserva expresa autonómica. Para ello, es fundamental verificar si la Comunidad Autónoma correspondiente ha regulado explícitamente su propia potestad sancionadora en esta materia. En la actualidad, entre otras autoridades autonómicas, existen la Oficina Antifraude de Cataluña, OAC (Ley 14/2008); la Agencia de Prevención y Lucha contra el Fraude y la Corrupción de la Comunidad Valenciana, AVAF (Ley 11/2016); la Autoridad Gallega de Protección de la Persona Informante, AGPI; la Oficina Andaluza contra el Fraude y la Corrupción, también llamada Oficina Andaluza Antifraude (Ley 2/2021); la Oficina de Buenas Prácticas y Anticorrupción de la Comunidad Foral de Navarra; el Consejo Regional de Transparencia y Buen Gobierno de Castilla-La Mancha (Ley 4/2016); o la Autoridad Independiente en materia de corrupción de Castilla y León.

Para más información, no dudes en contactar con nuestros especialistas a través del Área de Conocimiento e Innovación.