La Autoridad Independiente de Protección del Informante (A.A.I.) refuerza el marco de protección de quienes comunican determinadas infracciones en un contexto laboral o profesional. Su funcionamiento tiene implicaciones para las empresas obligadas a disponer de un sistema interno de información, especialmente en relación con la notificación de su responsable.
Para cumplir estas obligaciones, las organizaciones deben revisar tanto el funcionamiento del canal de denuncias como la designación de la persona u órgano encargado de gestionarlo y las comunicaciones que deben realizar ante la autoridad competente. Desde el servicio de asesoría jurídica de GSM&B, ayudamos a las empresas a analizar estas exigencias y a adaptar sus procedimientos al marco legal aplicable.
¿Qué es la Autoridad Independiente de Protección del Informante?
La A.A.I. es una autoridad administrativa independiente de ámbito estatal prevista en la Ley 2/2023. Entre sus funciones se encuentran la gestión del canal externo de información, la adopción de medidas de protección del informante y el ejercicio de la potestad sancionadora dentro de sus competencias.
Su Estatuto fue aprobado mediante el Real Decreto 1101/2024, de 29 de octubre. Posteriormente, la Orden PJC/908/2025 fijó el 1 de septiembre de 2025 como fecha de puesta en funcionamiento.
Por tanto, resulta más preciso hablar de su «puesta en funcionamiento» que de su «entrada en vigor», expresión que corresponde a las normas jurídicas. Orden PJC/908/2025, publicada en el BOE.
¿Cómo se relaciona la A.A.I. con la Ley 2/2023?
La Ley 2/2023 establece las garantías de protección del informante y las obligaciones de las entidades que deben disponer de un sistema interno de información. La A.A.I. forma parte de la estructura institucional prevista para aplicar ese marco legal.
La puesta en funcionamiento de la autoridad no marca el inicio de la obligación de contar con un canal de denuncias, que ya existía para las entidades afectadas conforme a los plazos establecidos en la ley. Con carácter general, esta obligación alcanza a las empresas con 50 o más trabajadores, aunque existen otros supuestos en los que resulta exigible con independencia de la plantilla.
Puedes ampliar esta información en nuestro artículo sobre la Ley 2/2023: Ley de protección a las personas que informen sobre infracciones normativas.
¿Quién debe designar al responsable del sistema interno de información?
El órgano de administración o de gobierno de la entidad debe designar al Responsable del Sistema Interno de Información, también denominado RSII.
Puede tratarse de una persona física o de un órgano colegiado. Si se opta por un órgano colegiado, este debe delegar en uno de sus miembros las facultades de gestión del sistema y de tramitación de los expedientes de investigación.
El responsable debe actuar con independencia y autonomía, disponer de los medios necesarios y desarrollar sus funciones evitando conflictos de interés. Su nombramiento y su cese deben notificarse en los términos establecidos legalmente. Artículo 8 de la Ley 2/2023.
¿Hay que comunicar el nombramiento a la A.A.I. o a una autoridad autonómica?
La notificación debe dirigirse a la autoridad competente en cada caso.
Según los criterios publicados por la A.A.I., las empresas obligadas comprendidas en los apartados 10.1.a) y 10.1.b) de la Ley 2/2023 deben comunicarle el nombramiento y el cese cuando:
- Dispongan de establecimientos en más de una comunidad autónoma.
- Tengan establecimiento en una única comunidad autónoma que no cuente con una autoridad autonómica con competencias sancionadoras en esta materia para el sector privado.
Antes de presentar la comunicación, conviene comprobar la distribución de competencias aplicable a la entidad. Criterios oficiales sobre la notificación del RSII.
¿Cuál es el plazo para notificar el nombramiento o el cese?
El plazo ordinario es de diez días hábiles desde el nombramiento o el cese. Cuando se comunica un cese, deben indicarse las razones que lo justifican. Esta obligación comprende también a los integrantes del órgano colegiado cuando se haya elegido esta modalidad. Artículo 8.3 de la Ley 2/2023.
Respecto a la comunicación inicial ante la autoridad estatal, la A.A.I. indicó que el plazo se extendió del 10 de febrero al 10 de abril de 2026. Este periodo ya ha finalizado.
Las entidades deben comprobar que han realizado la comunicación correspondiente y mantener actualizados los datos cuando se produzcan cambios en la persona u órgano responsable. Preguntas frecuentes de la A.A.I., apartado 22.
¿Cómo se realiza la notificación del responsable?
La A.A.I. dispone de un formulario oficial en su sede electrónica para comunicar el nombramiento o cese del responsable del sistema.
Para preparar el trámite, conviene reunir:
- Los datos identificativos de la entidad y de su responsable.
- El documento que acredita el nombramiento o el cese.
- La identificación de los integrantes, si se trata de un órgano colegiado, y la delegación de funciones.
- La justificación del cese, cuando proceda.
- La acreditación de la representación, cuando resulte necesaria.
Una vez presentada la comunicación, es recomendable conservar el justificante y mantener la documentación organizada para futuras modificaciones. La autoridad ofrece instrucciones y recursos para realizar el trámite en su apartado de material de apoyo sobre el RSII.
Asesoría jurídica para cumplir las obligaciones de protección del informante
La puesta en funcionamiento de la A.A.I. hace necesario revisar que las obligaciones derivadas de la Ley 2/2023 estén correctamente atendidas: disponer de un sistema adecuado, designar a su responsable y comunicar los nombramientos y ceses ante la autoridad competente.
El cumplimiento exige, además, que el canal funcione con garantías de confidencialidad, protección frente a represalias y respeto a los derechos de las personas afectadas.
Desde el servicio de asesoría jurídica para empresas de GSM&B, te ayudamos a analizar las obligaciones de tu organización y a abordar su cumplimiento con seguridad jurídica.
