---
title: "AIPI: Obligaciones y Compliance para empresas"
description: Descubre las obligaciones de la AIPI para empresas y cómo adaptar tu canal de denuncias a la Ley 2/2023 y la Recomendación 1/2026. Evita sanciones
---

[icloudCompliance | Centro de Gobernanza, Riesgo y Cumplimiento](https://blog.icloudcompliance.com/blog)

# [AIPI: Obligaciones y Compliance para empresas](https://blog.icloudcompliance.com/blog/de-la-teoría-a-la-supervisión-activa-qué-cambia-para-tu-compliance-con-la-aipi-y-sus-recomendaciones)

 Escrito por [iCloudCompliance](https://blog.icloudcompliance.com/blog/author/icloudcompliance) | Mar 26, 2026 2:44:17 PM

La puesta en marcha ha cambiado el paradigma.

Para empresas del sector tecnológico y de servicios en España, el debate ya no es si “tienen o no” un canal de denuncias. La pregunta ahora es si funciona de forma proactiva y si es demostrable ante una inspección.

Si formas parte de un equipo de Legal o Compliance en una empresa con trabajo remoto o híbrido, estas consideraciones que vamos a desglosar a continuación te explican las obligaciones clave de la Ley 2/2023 y las expectativas prácticas de la [Recomendación 1/2026 de la AIPI.](https://www.proteccioninformante.gob.es/-/transparencia-internacional-se%C3%B1ala-que-el-plan-anticorrupci%C3%B3n-del-gobierno-es-mejorable-copiar-)

### Descubre con nosotros cómo centralizar con una

### plataforma especializada: [Demo gratuita (20 min)](https://ofertas.icloudcompliance.com/agenda-demo)

 

## **¿Qué es la AIPI y por qué afecta a tu empresa?**

[AIPI es la autoridad](https://www.proteccioninformante.gob.es/) administrativa independiente responsable de la protección del informante y la sanción de infracciones en el sector privado a nivel nacional.

Según la [Ley 2/2023,](https://www.boe.es/buscar/act.php?id=BOE-A-2023-4513) toda empresa privada con 50 o más trabajadores está obligada a contar con un Sistema Interno de Información (SII). En empresas con alta rotación o equipos distribuidos, calcular este umbral puede generar dudas.

La Recomendación 1/2026 aclara que el cómputo incluye a toda la plantilla, independientemente del centro de trabajo o modalidad contractual. Debes incluir:

- Trabajadores a tiempo parcial
- Teletrabajadores que operen desde el extranjero
- Empleados desplazados (expatriados)
- Personas con contratos temporales extinguidos en los últimos 6 meses

El recuento debe realizarse, como mínimo, el último día de junio y de diciembre de cada año.

## **¿Qué exige la Ley 2/2023 al SII?**

Un formulario web genérico o una dirección de correo sin control de acceso no es suficiente. La ley marca hitos procedimentales estrictos que tu infraestructura tecnológica debe soportar y registrar.

### **Los 4 mínimos operativos del canal**

**1. Acuse de recibo:** En un plazo máximo de 7 días naturales desde la recepción, salvo que esto ponga en riesgo la confidencialidad.

**2. Plazo de resolución:** Máximo 3 meses desde la recepción, ampliable a otros 3 meses en casos de especial complejidad.

**3. Anonimato total:** El canal debe permitir obligatoriamente la presentación y tramitación de denuncias anónimas.

**4. Libro-registro:** Es obligatorio mantener un registro confidencial de las informaciones recibidas y las investigaciones internas.

 

## **¿Qué añade la Recomendación 1/2026 de la AIPI?**

La Recomendación 1/2026 establece criterios interpretativos que funcionan como guía estructural para la implementación técnica y organizativa del SII. La AIPI espera que el sistema sea el corazón de tu estrategia de integridad, no una herramienta reactiva.

### **Plataforma segura y cifrada**

La confidencialidad debe integrarse en el diseño del sistema. La AIPI exige operar mediante una plataforma cifrada de extremo a extremo, que impida la identificación del informante y controle estrictamente la trazabilidad de accesos.

### **Ventana única y gestión centralizada**

Si tu empresa dispone de múltiples canales (buzones de acoso, RRHH, etc.), todos deben converger bajo la supervisión del Responsable del Sistema (RSII). ¡No pueden operar de forma independiente!

### **Omnicanalidad y documentación**

Debes habilitar comunicaciones por escrito (formulario seguro) y verbales (teléfono o mensajería de voz). Las comunicaciones verbales deben documentarse mediante grabación o transcripción exacta, ofreciendo al informante la oportunidad de revisarla y firmarla.

### **Independencia funcional del RSII**

El Responsable del Sistema Interno de Información (RSII) debe ser un directivo que ejerza sus funciones con independencia, sin recibir instrucciones del órgano de administración.

## **Checklist de auto-auditoría en 15 minutos**

Basado en la lista de verificación de la AIPI y ampliado con los requisitos operativos de la normativa vigente, te dejamos un Checklist sencillo que te permitirá revisar cada requisito y respectiva base legal. 

| [****¡Recibe tu guía de diagnóstico!****](https://ofertas.icloudcompliance.com/checklist-canaldedenuncia?utm_campaign=38600631-FY26Q1_Guia%20AIPI_Canal%20de%20denuncias&utm_source=hs_email&utm_medium=email&_hsenc=p2ANqtz-8mcdjqWpNpoNOAnALTTQhwUsU8TCADpPwI2Chnf0P25dyNwNBZfQKp2YJlcnAS6AwemdTc) |
| --- |

## **Cómo convertir tu canal en evidencia defendible**

Gestionar denuncias con bandejas de correo compartidas o archivos Excel es un riesgo operativo crítico. Si un empleado borra un email, si IT tiene acceso irrestricto al servidor, o si se incumple el plazo de los 3 meses por falta de alertas, tu empresa se expone a sanciones de hasta 1.000.000 de euros.

En una plataforma GRC, estos flujos se automatizan sin necesidad de desarrollar infraestructura interna. Las tres claves de un sistema defendible son:

- **Libro-registro exportable e inmutable:** Registra quién accede al expediente, cuándo y por qué, bloqueando accesos no autorizados.
- **Control de retención (Privacy by Design):** Los datos personales no pertinentes se eliminan de inmediato. Sin investigación en 3 meses, los datos se suprimen; el expediente anonimizado se mantiene hasta 10 años.
- **Trazabilidad tem poral (Timestamps):** Evidencia verificable de que el acuse de recibo se emitió el día 3 y la resolución el día 85.

## **Preguntas frecuentes sobre la AIPI**

### **¿Es obligatorio externalizar el canal de denuncias?**

No. La Ley 2/2023 permite externalizar la recepción a un tercero para garantizar independencia y confidencialidad, pero no es un requisito. Además, las empresas de entre 50 y 249 trabajadores pueden compartir recursos del sistema entre sí.

### **¿Cómo se computan los 50 empleados en entornos híbridos?**

La Recomendación 1/2026 establece que se suma toda la plantilla sin importar la modalidad contractual: personal a tiempo parcial, teletrabajadores, empleados desplazados y contratos temporales extinguidos en los últimos 6 meses.

### **¿Debemos unificar el canal de Compliance y el de acoso laboral?**

Sí. La AIPI insta a que el SII actúe como “ventana única” bajo la supervisión del RSII.[Todos los canales deben ofrecer las mismas medidas de protección y confidencialidad.](https://blog.icloudcompliance.com/blog/anonimato-canal-denuncias-evidencias-ley-2-2023)

### **¿Cuánto tiempo conservamos los datos de las denuncias?**

El libro-registro puede conservarse hasta 10 años. Sin embargo, si no se inicia investigación en 3 meses, los datos personales deben suprimirse y solo puede quedar constancia anonimizada del caso.

### **¿El RSII puede ser un comité o grupo de personas?**

Sí. La ley permite que el RSII sea un órgano colegiado. La AIPI recomienda que no tenga más de 5 miembros y que delegue obligatoriamente las funciones de gestión y tramitación en uno de ellos.

### **¿A qué sanciones nos enfrentamos por incumplimiento?**

La AIPI (o la autoridad autonómica competente) puede imponer multas de:

- Hasta 100.000 € por infracciones leves
- Hasta 600.000 € por infracciones graves
- Hasta 1.000.000 € por infracciones muy graves (quiebra de confidencialidad, represalias o ausencia de SII). 

Si quieres explorar las tendencias que están definiendo el futuro del Compliance, sostenibilidad, IT security y calidad, revisar recursos prácticos y cerrar con una recomendación pop asociada a estos temas, te invitamos a que seas parte de nuestro envíos de Brújula Compliance.

| [¡Súmate a nuestro newsletter!](https://share.hsforms.com/1wO1zJ9YOS2an0Jo6YK1Rzg4m68r) |
| --- |

*Este contenido es informativo y no constituye asesoramiento legal. © iCloudCompliance.*

[Ver post completo](https://blog.icloudcompliance.com/blog/de-la-teoría-a-la-supervisión-activa-qué-cambia-para-tu-compliance-con-la-aipi-y-sus-recomendaciones)

```json
{
  "@context" : "http://schema.org",
  "@type" : "BlogPosting",
  "author" : {
    "@type" : "Person",
    "name" : "iCloudCompliance"
  },
  "dateModified" : "2026-04-24T13:26:39.040Z",
  "datePublished" : "2026-03-26T14:44:17Z",
  "headline" : "AIPI: Obligaciones y Compliance para empresas",
  "image" : {
    "@type" : "ImageObject",
    "height" : 1024,
    "url" : "https://7752987.fs1.hubspotusercontent-na1.net/hubfs/7752987/AI-Generated%20Media/Images/Dark%20Minimalist%20Icons%20for%20Whistleblower%20Content.png",
    "width" : 1024
  },
  "mainEntityOfPage" : "https://blog.icloudcompliance.com/blog/de-la-teoría-a-la-supervisión-activa-qué-cambia-para-tu-compliance-con-la-aipi-y-sus-recomendaciones",
  "publisher" : {
    "@type" : "Organization",
    "logo" : {
      "@type" : "ImageObject",
      "height" : 60,
      "url" : "/hs/hsstatic/content_shared_assets/static-1.4092/img/default-amp-logo.png",
      "width" : 60
    },
    "name" : "Centro de Gobernanza, Riesgo y Cumplimiento"
  }
}
```