Cursos · Canal de denuncias: cómo cumplir la Ley 2/2023 (2026)
Lección 1 de 4
Canal de denuncias obligatorio en 2026: ¿le aplica a tu empresa? (Ley 2/2023)
Tiempo de lectura: 9 minutos
Resumen rápido: La Ley 2/2023 obliga a tener un canal interno de denuncias (el "Sistema interno de información") a las empresas privadas con 50 o más trabajadores, a todo el sector público y, sea cual sea su tamaño, a las personas jurídicas de sectores regulados por la UE: servicios financieros, prevención del blanqueo, seguridad del transporte y medio ambiente. Los plazos para implantarlo vencieron el 13 de junio de 2023 (con carácter general) y el 1 de diciembre de 2023 (empresas de hasta 249 trabajadores). La Autoridad Independiente de Protección del Informante (AIPI) funciona desde el 1 de septiembre de 2025 y ya puede sancionar. Del 10 de febrero al 10 de abril de 2026 estuvo abierto el plazo inicial para comunicarle quién es el Responsable del Sistema; los nombramientos y ceses posteriores se comunican en 10 días hábiles. Las multas llegan a 1.000.000 € y, en infracciones muy graves, puede añadirse la prohibición de obtener subvenciones (hasta 4 años) y de contratar con el sector público (hasta 3 años). Un email genérico, un buzón de sugerencias o "que me lo digan directamente" no bastan.
La Ley 2/2023 en una frase
La Ley 2/2023, de 20 de febrero, regula la protección de las personas que informan sobre infracciones normativas y de lucha contra la corrupción.
Transpone la Directiva (UE) 2019/1937 (la "Directiva Whistleblowing"). Su finalidad: proteger a quien detecta infracciones penales o administrativas graves o muy graves (y ciertas infracciones del Derecho de la UE) en su entorno profesional, para que pueda comunicarlas sin sufrir represalias.
La autoridad supervisora: la AIPI
La ley creó la Autoridad Independiente de Protección del Informante, A.A.I. (AIPI), una autoridad administrativa independiente.
- Operativa desde el 1 de septiembre de 2025 (Orden PJC/908/2025). Su estatuto es el Real Decreto 1101/2024.
- Gestiona el canal externo estatal, alternativo al canal interno de cada empresa.
- Sanciona los incumplimientos de la ley y cuenta con personal inspector.
- Emite circulares y recomendaciones. En 2026 ha publicado, entre otras, la Recomendación 1/2026 sobre el diseño del Sistema interno de información.
Algunas comunidades autónomas tienen su propia autoridad, competente en su territorio. Lo vemos más abajo, al hablar del registro del Responsable.
¿Quién está obligado a tener canal interno?
Por tamaño: 50 o más trabajadores
Empresas privadas (personas físicas o jurídicas) con 50 o más trabajadores (art. 10.1.a).
- Cuentan los trabajadores con contrato laboral, de cualquier modalidad: indefinidos, temporales, formativos.
- No cuentan los autónomos que colaboran contigo ni los becarios sin relación laboral.
- Cómputo: la ley no fija la regla. La AIPI, en su Recomendación 1/2026, cuenta toda la plantilla en España, sin importar el centro de trabajo ni el tipo de contrato, y toma como referencia orientativa los criterios del RD 901/2020 de planes de igualdad.
Por sector, sin mínimo de tamaño
Con independencia del número de trabajadores, también están obligadas las personas jurídicas del sector privado incluidas en los actos de la UE a los que remite el art. 10.1.b:
- Servicios, productos y mercados financieros: bancos, aseguradoras, gestoras de fondos, empresas de servicios de inversión.
- Prevención del blanqueo de capitales (Ley 10/2010): según la interpretación más extendida, sus sujetos obligados que sean personas jurídicas (sociedades inmobiliarias, joyerías, despachos de abogados, asesorías…).
- Seguridad del transporte (por ejemplo, aviación civil y transporte marítimo).
- Protección del medio ambiente (en la práctica, operaciones de hidrocarburos mar adentro).
Estas entidades se rigen por su normativa específica y, en lo que no regule, por la Ley 2/2023.
Sector público, completo
Todo el sector público, sin mínimo de tamaño:
- Administración General del Estado, autonómica y local.
- Organismos y entidades públicas dependientes.
- Universidades públicas.
- Empresas y fundaciones públicas.
Además, aunque no son sector público, están obligados los partidos políticos, sindicatos, organizaciones empresariales y sus fundaciones si reciben o gestionan fondos públicos (art. 10.1.c).
Los plazos: vencidos y el registro de 2026
Plazos de implantación (ya vencidos)
| Tamaño de la empresa | Plazo límite |
|---|---|
| 250 o más trabajadores | 13 de junio de 2023 |
| De 50 a 249 trabajadores | 1 de diciembre de 2023 |
Si en octubre de 2026 todavía no tienes canal: llevas unos 3 años incumpliendo. Y la AIPI ya puede sancionar.
El registro del Responsable ante la AIPI (plazo inicial ya cerrado)
Del 10 de febrero al 10 de abril de 2026, la AIPI abrió el plazo para que las entidades obligadas de su competencia le comunicaran quién es su Responsable del Sistema interno de información (RSI) ya nombrado. Si no lo hiciste, regularízalo cuanto antes.
- Comunícalo a la AIPI por su sede electrónica y, si tu comunidad tiene autoridad propia, comprueba si también te lo exige.
- Nombramientos y ceses posteriores: se comunican en 10 días hábiles. En el cese hay que indicar los motivos.
Qué puede sancionar la AIPI
A octubre de 2026, la AIPI no publica en su web sanciones concretas impuestas, pero su potestad sancionadora ya está activa. Entre los incumplimientos sancionables:
- No disponer de Sistema interno de información en los términos de la ley.
- No respetar el procedimiento y sus plazos (acuse en 7 días, respuesta en 3 meses).
- Vulnerar la confidencialidad del denunciante.
Sanciones: hasta 1.000.000 €
Las multas, por gravedad (art. 65)
| Gravedad | Personas jurídicas | Personas físicas |
|---|---|---|
| Leves | hasta 100.000 € | 1.001 - 10.000 € |
| Graves | 100.001 - 600.000 € | 10.001 - 30.000 € |
| Muy graves | 600.001 - 1.000.000 € | 30.001 - 300.000 € |
Ejemplos por nivel (art. 63)
Leves: cualquier incumplimiento de la ley que no sea grave o muy grave (por ejemplo, defectos formales en el procedimiento) y no colaborar con la investigación.
Graves: vulnerar la confidencialidad o el deber de secreto cuando no sea muy grave, o no adoptar medidas para garantizar la confidencialidad.
Muy graves: no disponer de Sistema interno de información estando obligado, tomar represalias contra el denunciante u obstaculizar la presentación o el seguimiento de las comunicaciones.
Revelar la identidad del denunciante: vulnerar la confidencialidad puede ser infracción grave o muy grave; intentar descubrir a quien denunció de forma anónima es muy grave (hasta 1.000.000 €).
Sanciones accesorias
En las infracciones muy graves, además de la multa, puede acordarse:
- La prohibición de obtener subvenciones u otros beneficios fiscales, hasta 4 años.
- La prohibición de contratar con el sector público, hasta 3 años.
- La amonestación pública. Además, la sanción firme puede publicarse en el BOE en los casos previstos.
Para una pyme que dependa de subvenciones, ayudas o contratos públicos, estas sanciones accesorias pueden hacer más daño que la propia multa.
Lo que NO cuenta como canal de denuncias
Errores frecuentes
- ❌ "Tengo un email genérico (denuncias@empresa.com)" → No basta por sí solo. Un buzón de correo sin Responsable, procedimiento, garantías de confidencialidad y registro no es un Sistema interno de información.
- ❌ "Lo tengo en el buzón de sugerencias" → No cumple. No es un sistema específico.
- ❌ "Que me lo digan al jefe directamente" → No cumple. Falta independencia y protección.
- ❌ "Lo gestiono yo personalmente" → Problema de imparcialidad e independencia.
- ❌ "Solo lo abro a empleados" → Tiene que estar abierto también a ex empleados, candidatos, proveedores, voluntarios y demás personas que protege la ley.
- ❌ "Soy del sector financiero, pero solo tengo 3 personas" → Las personas jurídicas de los sectores del art. 10.1.b están obligadas sin importar el tamaño.
Lo que sí exige la ley
- Un canal que admita comunicaciones anónimas y garantice la confidencialidad (art. 7.3).
- Trazabilidad de cada denuncia y un libro-registro de las informaciones recibidas (art. 26).
- Reunión presencial si el denunciante la pide (en un máximo de 7 días).
- Un Responsable del Sistema independiente, designado formalmente.
Lo vemos a fondo en la lección 2.
Zonas grises y casos especiales
Grupos de empresas
Si varias sociedades de un grupo suman 50 o más trabajadores, pero cada una por separado tiene menos, ¿están obligadas?
Criterio de la AIPI (Recomendación 1/2026): la obligación es individual de cada sociedad; cada una debe comprobar si alcanza el umbral del art. 10. El grupo puede compartir un sistema común (art. 11), pero eso no convierte al grupo en un único sujeto obligado.
Empresas estacionales
La ley no fija una regla de cómputo para plantillas que suben y bajan. La AIPI toma como referencia los criterios del RD 901/2020, que también tienen en cuenta los contratos temporales. Si en temporada alta te acercas a 50, consulta tu caso concreto.
Trabajadores a tiempo parcial
Con el criterio del RD 901/2020 que usa la AIPI, cada persona cuenta como una, sea cual sea su jornada: no se computa en proporción a las horas. Una empresa con 45 personas a jornada completa y 10 a tiempo parcial tiene 55 trabajadores y estaría obligada.
Falsos autónomos
Si tienes 48 trabajadores y "5 autónomos colaboradores" que en realidad son falsos autónomos, la Inspección de Trabajo puede recalificarlos como trabajadores y, entonces, contarían para el umbral.
Resumen
- La Ley 2/2023 transpone la Directiva (UE) 2019/1937 y protege al denunciante.
- La AIPI funciona desde el 1 de septiembre de 2025 y ya puede sancionar.
- Obligados: empresas con 50 o más trabajadores, personas jurídicas de sectores regulados (financiero, blanqueo, transporte, medio ambiente) sin mínimo de tamaño y todo el sector público.
- Los plazos de implantación vencieron en 2023. El plazo inicial para comunicar el RSI a la AIPI cerró el 10 de abril de 2026; los nombramientos y ceses posteriores, en 10 días hábiles.
- Sanciones de hasta 1.000.000 € y, en las muy graves, hasta 4 años sin subvenciones y hasta 3 sin contratar con el sector público.
- Un email genérico no basta: hace falta un sistema con Responsable, procedimiento, confidencialidad y registro.
¿Tu empresa tiene que tener canal de denuncias?
Compruébalo en un minuto con nuestro test gratuito de canal de denuncias:
✅ Hacer el test de canal de denuncias
Si quieres que te lo resolvamos
En AsesoraYa.es, la asesoría 100% online de Grupo TREBIA:
- Plan Sociedades Plus, desde 119,95 €/mes + IVA: contabilidad, Impuesto sobre Sociedades, cuentas anuales, libros oficiales y gestión fiscal, y además Renta, RGPD, consulta jurídica y el canal de denuncias incluido.
- ¿No encaja en tu caso? Te preparamos un presupuesto a medida.
Más información en asesoraya.es/servicios, en el formulario de contacto, en el 91 000 47 83 o en info@asesoraya.es.
En la lección 2 vemos los 5 elementos que debe tener tu canal para cumplir la ley.
Última actualización: octubre de 2026. Normativa: Ley 2/2023, de 20 de febrero (arts. 3, 7, 8, 10, 11, 26, 63 y 65 y disposición transitoria segunda), Directiva (UE) 2019/1937, Real Decreto 1101/2024, Orden PJC/908/2025 y Recomendación 1/2026 de la AIPI. Información divulgativa: no sustituye al asesoramiento personalizado.