La denuncia de irregularidades y la Ley de AI de la UE

Esta página pretende ofrecer una visión general de la Directiva de la UE sobre denuncia de irregularidades (2019) y su relación con la Ley de AI de la UE, así como proporcionar recursos útiles para los posibles denunciantes.

Este recurso ha sido elaborado por Santeri KoivulaEU Fellow en el Future of Life Institute, y Karl Kochfundador de la AI Whistleblower Initiative.

Próximamente en este post:

• Introducción
• La conexión entre la Ley de AI de la UE y la Directiva sobre denuncia de irregularidades
• Funcionamiento de la Directiva de la UE sobre denuncia de irregularidades
  • Protección contra las represalias
  • ¿Quién está protegido? (ámbito personal)
  • ¿Qué puede notificarse? (ámbito material)
  • Canales y procedimientos de notificación
• Recomendaciones prácticas para los denunciantes
  • Documentación de pruebas
  • Comunicación segura
  • Antes de informar
• Infraestructura de apoyo
  • Internacional
  • Bélgica
  • Francia
  • Alemania
  • Irlanda

Introducción

La denuncia de irregularidades desempeña un papel importante en la identificación de infracciones de la ley en las empresas que, de otro modo, permanecerían ocultas. Esto es especialmente cierto en el caso de la inteligencia artificial, donde el rápido desarrollo de la tecnología hace que la regulación sea difícil de seguir. En consecuencia, los responsables políticos operan a menudo con información limitada. La denuncia de irregularidades puede ayudar a colmar esta laguna de información, ya que las personas con información privilegiada en las empresas están en una posición única para detectar problemas que no son fácilmente observables desde el exterior. En un estudio reciente, la protección de los denunciantes figuraba como una de las intervenciones más eficaces para mitigar los riesgos de la IA. La eficacia de la denuncia de irregularidades se ha documentado en otros sectores. En Estados Unidos, el Programa de Denunciantes de la Comisión de Bolsa y Valores ha permitido recuperar más de 6.300 millones de dólares en sanciones monetarias desde su lanzamiento en 2010.

Para proteger a los denunciantes de las consecuencias adversas relacionadas con su denuncia, la Unión Europea adoptó en 2019 la Directiva sobre denuncia de irregularidades, que obliga a los Estados miembros a aplicar leyes estrictas que prohíban las represalias contra los denunciantes. Obliga a las empresas a establecer canales de denuncia internos y a los Estados miembros a establecer canales de denuncia externos a través de las autoridades públicas designadas. La Directiva también permite a los denunciantes, en determinados casos, informar directamente a los medios de comunicación o al público. Esta opción, sin embargo, se ha transpuesto de forma diferente en cada Estado miembro, a menudo con restricciones que la convierten en una opción de último recurso.

Este artículo ofrece una visión general de la Directiva sobre denuncia de irregularidades y de cómo sus disposiciones se relacionan con la Ley de AI de la UE. También ofrece consejos prácticos a los posibles denunciantes, como los canales de denuncia adecuados.

La conexión entre la Ley de AI de la UE y la Directiva sobre denuncia de irregularidades

A partir del 2 de agosto de 2026, la Directiva de la UE sobre denuncia de irregularidades cubrirá explícitamente la denuncia de infracciones de la Ley de AI de la UE. Esto significa que si tiene una relación profesional con una empresa cubierta por la Ley de IA de la UE, y su relación se rige por la legislación de la UE, estará protegido a la hora de denunciar infracciones. Por ejemplo, un empleado de un proveedor de IA de propósito general (GPAI) podría informar con seguridad de que un modelo GPAI con riesgo sistémico tiene una protección de ciberseguridad inadecuada, violando el artículo 55 de la Ley. 

Sin embargo, dado que la Directiva sobre denuncia de irregularidades no cubre actualmente las infracciones específicas de la Ley de IA, sigue habiendo incertidumbre sobre el alcance exacto de las cuestiones denunciables relacionadas con la IA en la actualidad. Además, hay algunas cuestiones que seguirán sin estar claras después de que se cubran las infracciones de la Ley de IA. En concreto, no está claro si los riesgos derivados únicamente de la implantación interna podrían acogerse a la protección.

No obstante, incluso antes del 2 de agosto de 2026, los denunciantes ya pueden beneficiarse de protecciones si informan de problemas relacionados con la IA en otras categorías como la seguridad de los productos, la protección de los consumidores o la protección de datos, que ya entran en el ámbito de aplicación de la Directiva.

Funcionamiento de la Directiva de la UE sobre denuncia de irregularidades

La Directiva sobre denuncia de irregularidades de la UE se adoptó para establecer protecciones integrales de los denunciantes en todos los Estados miembros de la UE. Aprobada inicialmente en 2019, exige que todos los Estados miembros incorporen sus disposiciones a la legislación nacional antes de diciembre de 2021. En julio de 2025, todos los Estados miembros han adoptado la ley sobre el papel. Sin embargo, la Comisión Europea aún no ha revisado y confirmado que estas leyes nacionales cumplan plenamente las normas de la Directiva. Hasta que se produzca esta confirmación, persiste la inseguridad jurídica en cuanto a la medida en que las protecciones de la Directiva son aplicables en algunos Estados miembros.

De hecho, sigue habiendo problemas de aplicación. Un informe de 2024 de la Comisión Europea señala que la transposición en varios Estados miembros debe mejorarse en ámbitos como el ámbito material y las medidas de protección contra las represalias. Dada esta inseguridad jurídica, quienes se planteen presentar una denuncia pueden beneficiarse de buscar orientación, ya que las disposiciones de la Directiva no se cumplen en todos los Estados miembros. Varias organizaciones enumeradas al final de este post ofrecen apoyo y asesoramiento jurídico.

La Directiva sobre denuncia de irregularidades establece canales de denuncia claros y protecciones para denunciar conductas indebidas. Se aplica a una amplia gama de ámbitos, como la contratación pública, los servicios financieros, la protección del medio ambiente y, a partir de agosto de 2026, las infracciones relacionadas con la Ley de IA de la UE, aunque puede haber un desfase en su aplicación en los distintos Estados miembros. La Directiva protege a los denunciantes en diversos tipos de relaciones profesionales, incluidos los empleados, los trabajadores a tiempo parcial, los contratistas y los proveedores.

La Directiva se basa en un principio sencillo: se ofrece protección frente a represalias a las Personas Cubiertas que denuncien infracciones de la legislación de la UE a través de los canales adecuados. A continuación, ampliamos estas protecciones en detalle.

Protección contra las represalias

La Directiva prohíbe cualquier acción desencadenada por una denuncia que cause un perjuicio injustificado al denunciante. Esto incluye el despido, la suspensión, el descenso de categoría, la denegación de ascenso, el traslado de funciones, el cambio de lugar de trabajo, la reducción salarial, las medidas disciplinarias, la coacción, la intimidación, el acoso, la discriminación y el daño a la reputación.

Fundamentalmente, la carga de la prueba se traslada al empresario para demostrar que cualquier acción adversa no estaba relacionada con la denuncia. Si se constata la existencia de represalias, las indemnizaciones incluyen la readmisión y el pago íntegro de los salarios atrasados, y algunos países ofrecen indemnizaciones adicionales.

¿Quién está protegido? (ámbito personal)

La protección se aplica a cualquier persona que haya obtenido información en un contexto profesional. Esto incluye al menos lo siguiente

• Empleados de los sectores público y privado,
• Autónomos,
• Accionistas y personas pertenecientes a órganos de administración o dirección,
• Voluntarios y becarios,
• Solicitantes de empleo,
• Subcontratistas y proveedores, y;
• Personas que denuncian infracciones una vez finalizada su relación laboral.

La protección también se extiende a los facilitadores que ayudan al denunciante en el proceso de denuncia, y a terceras personas relacionadas con el denunciante, como colegas y familiares que puedan sufrir represalias. Sin embargo, sólo las personas físicas pueden considerarse facilitadores, lo que significa que las propias organizaciones de apoyo no están cubiertas.

La relación profesional debe regirse por la legislación de la UE. Esto significa que si está establecido en la UE pero tiene un contrato fuera de la UE, sigue estando cubierto a la hora de denunciar infracciones de la legislación de la UE. Del mismo modo, si reside fuera de la UE pero tiene un contrato de trabajo en la UE, también está cubierto. La ciudadanía no influye en el estatuto de protección.

¿Qué puede notificarse? (ámbito material)

A partir de agosto de 2026, cualquier sospecha de infracción de la Ley de AI de la UE quedará cubierta por la Directiva sobre denuncia de irregularidades. Actualmente, la Directiva abarca infracciones en ámbitos como la contratación pública, los servicios financieros, la prevención del blanqueo de capitales y la financiación del terrorismo, la seguridad de los productos, la seguridad del transporte, la protección del medio ambiente, la seguridad nuclear, la seguridad de los alimentos y los piensos, la salud pública, la protección de los consumidores, la privacidad y la protección de datos, y la seguridad de las redes y los sistemas de información. Por consiguiente, algunas actividades relacionadas con la IA pueden entrar ya en su ámbito de aplicación, en particular las relativas a la seguridad de los productos, la protección de los consumidores, la privacidad y los datos personales, y la seguridad de la información.

Es importante destacar que la protección de los denunciantes no depende de si la investigación resultante confirma una violación real de una ley. Más bien, los denunciantes están protegidos si tenían motivos razonables para creer que la información era cierta en el momento de la denuncia y constituía una infracción contemplada en la Directiva. El "espíritu de la ley" también está cubierto, lo que significa que los intentos de eludir la letra de la ley también son infracciones denunciables.

Se aplican ciertas excepciones a lo que puede notificarse en virtud de la Directiva. Quedan excluidos los asuntos de seguridad nacional, en particular las notificaciones de infracciones relacionadas con contratos públicos de defensa o seguridad contemplados en el artículo 346 del TFUE, que está sujeto a una interpretación estricta con arreglo a la jurisprudencia de la UE. Los secretos comerciales sólo pueden revelarse si es necesario para sacar a la luz una infracción y si hacerlo sirve al interés público. Además, la Directiva no anula las protecciones de confidencialidad, como las comunicaciones confidenciales entre un abogado y su cliente. 

Canales y procedimientos de notificación

En virtud de la Directiva sobre denuncia de irregularidades, las personas pueden elegir libremente entre los canales de denuncia internos de su organización, los canales de denuncia externos gestionados por las autoridades públicas, o ambos en paralelo. No es obligatorio esperar a que concluya un proceso interno para recurrir a la denuncia externa. En determinadas circunstancias, los denunciantes también pueden revelar directamente su información públicamente.

Los canales internos de denuncia los establecen directamente las empresas y son obligatorios para las organizaciones con 50 o más empleados. Estos canales deben designar personas o departamentos imparciales para tramitar las denuncias, acusar recibo de las mismas en un plazo de siete días, realizar un seguimiento diligente y dar respuesta al denunciante en un plazo de tres meses. Debe mantenerse la confidencialidad tanto del denunciante como del denunciado.

Las denuncias externas se dirigen a las autoridades competentes designadas por los Estados miembros. Estas autoridades deben hacer un seguimiento diligente de las denuncias y mantener la confidencialidad, aunque no todas permiten la denuncia anónima. Las autoridades deben responder en un plazo de tres meses, y en caso contrario el denunciante puede hacer pública la información. En algunos casos extraordinarios, el plazo puede ser de seis meses debido a la naturaleza y complejidad del tema de la denuncia.

La divulgación pública se refiere a compartir información fuera de los canales oficiales de información internos o externos, por ejemplo informando directamente a los medios de comunicación o poniendo la información a disposición del público. Los denunciantes que revelan información públicamente están protegidos por la Directiva sobre denuncia de irregularidades sólo en determinadas condiciones. La protección se aplica si el denunciante ya ha informado interna o externamente, pero la violación sigue sin abordarse, lo que significa que los canales internos o las autoridades no han respondido adecuadamente en el plazo de tres meses, han investigado inadecuadamente o no han tomado medidas suficientes. Los denunciantes también pueden revelar públicamente sin previa denuncia interna o externa si creen razonablemente que existe un peligro inminente para el interés público, como riesgo de daño irreversible o daño físico, o si hay motivos razonables para sospechar represalias al denunciar externamente, o colusión entre las autoridades y los responsables de la violación. En estas circunstancias, quienes decidan revelar información al público conservarán, en principio, todas las protecciones jurídicas que les confiere la Directiva. Sin embargo, hacer pública la información suele considerarse el último recurso, y esta opción se ha aplicado de forma diferente en cada Estado miembro.

En el caso concreto de las infracciones de la Ley de IA, las responsabilidades de aplicación se dividen entre los organismos de la UE y las autoridades nacionales. Dado que los Estados miembros aún no han integrado la Ley de AI de la UE en su aplicación de la Directiva sobre la denuncia de irregularidades, aún no sabemos con certeza cómo se estructurarán exactamente los canales de denuncia de presuntas infracciones de la Ley de AI. Aunque es probable que sea posible la denuncia directa a las autoridades de la UE, la mayor protección probablemente procederá de la denuncia a través de las autoridades nacionales, que podrán remitir los casos a los organismos europeos en caso necesario. En el futuro, este canal directo a las autoridades de la UE puede verse reforzado; una declaración de los Presidentes y Vicepresidentes del Código de Buenas Prácticas de la UE recomienda que se establezca un canal de denuncia específico para la Oficina de AI de la UE.

Recomendaciones prácticas para los denunciantes

Cuando considere la posibilidad de denunciar, una preparación adecuada puede ayudarle a protegerse a sí mismo y a la integridad de su revelación. A continuación resumimos varias consideraciones (para más información, puede consultar, por ejemplo, "A Tech Workers Guide To Whistleblowing, Ireland Edition" de The Signals Network):

Documentación de pruebas

Al reunir pruebas de posibles infracciones, tenga en cuenta su seguridad digital:

• Tu empresa puede controlar los correos electrónicos y los dispositivos del trabajo. Utiliza dispositivos y canales de comunicación personales cuando investigues tus opciones.
• Si necesitas conservar pruebas de los sistemas de trabajo, hacer fotos con un dispositivo personal (con la Wi-Fi apagada) suele ser más seguro que hacer capturas de pantalla en equipos de trabajo, que podrían ser detectados.
• Tenga cuidado de no eliminar o borrar archivos de forma inapropiada, ya que esto podría socavar su protección o exponerle a otros problemas legales.

Comunicación segura

• Utiliza herramientas de comunicación encriptadas como Signal o ProtonMail (con una dirección de correo electrónico y un número de teléfono que no sean de trabajo) cuando hables de tus preocupaciones con asesores jurídicos u organizaciones de apoyo.
• Prevea la posibilidad de que se interrumpa bruscamente su acceso a los sistemas de trabajo si su empresa se entera de que está informando.
• Utilizar formularios de admisión seguros si los facilitan organizaciones de apoyo a los denunciantes.

Antes de informar

• Elabore una cronología clara de los hechos y documente las fechas de las presuntas irregularidades y los intentos que haya hecho para resolver el problema internamente.
• Céntrese en los hechos y no en opiniones o interpretaciones. Especifique qué normas o reglamentos cree que se están infringiendo.
• Busque asesoramiento jurídico antes de revelar cualquier información. Así se asegurará de que sus acciones queden protegidas por las leyes de denuncia de irregularidades.
• Reconozca la carga personal que la denuncia puede suponer para usted y su familia. Muchas organizaciones de apoyo ofrecen servicios adicionales, como apoyo psicosocial y profesional.
• Considere cuidadosamente qué canal de información es el más apropiado para su situación específica.

Infraestructura de apoyo

Los denunciantes pueden beneficiarse enormemente de saber dónde comunicar sus preocupaciones y dónde buscar ayuda. A continuación destacamos instituciones y organizaciones clave de algunos Estados miembros de la UE, así como iniciativas internacionales.

Internacional

• La AI Whistleblower Initiative (AIWI) ayuda a poner en contacto a personas con información privilegiada sobre IA con organizaciones de apoyo especializadas y ofrece apoyo especializado a personas con información privilegiada en empresas punteras de IA, complementando las organizaciones existentes de apoyo a los denunciantes con experiencia en IA.
  También ofrecen "Third Opinion", un servicio de "predenuncia" que permite a las personas con información privilegiada enviar anónimamente preguntas sobre su preocupación, sin revelar información confidencial. A continuación, AIWI reúne paneles de expertos con la persona interesada para aclarar si puede haber motivo de preocupación a través de una sesión anónima de preguntas y respuestas. 
• Psst ofrece una "caja fuerte" digital segura en la que las personas pueden compartir en privado información no pública y buscar apoyo jurídico, mediático o de otro tipo. Los usuarios pueden depositar información cifrada, solicitar asesoramiento jurídico gratuito o decidir que sólo se les contacte si surgen preocupaciones similares de otras personas. Psst es una alternativa menos arriesgada a la denuncia formal. Involucra a las personas en una fase más temprana del proceso, antes de que cometan errores irreversibles, ayudándoles a evaluar la información y a orientar los pasos siguientes, al tiempo que les permite permanecer en el anonimato si así lo prefieren.
• Whistleblowing International Network conecta a múltiples organizaciones de la sociedad civil que protegen a los denunciantes. Ofrecen una serie de recursos sobre la legislación y la práctica de la denuncia de irregularidades, además de otros servicios.
• SUSA (Speak-Up Self-Assessment) es una herramienta que ayuda a los empleados a saber si la política de denuncia de irregularidades de su empresa cumple la Directiva de la UE sobre denuncia de irregularidades.

Bélgica

• El Defensor del Pueblo Federal actúa como autoridad receptora de las denuncias de los denunciantes. Garantiza una estricta confidencialidad y nunca revela la identidad del denunciante. Las denuncias pueden presentarse a través de su formulario de denuncia en línea, por correo electrónico o concertando una cita con su Centro para la Integridad. 
• Los denunciantes tienen derecho a un amplio apoyo del Instituto Federal de Derechos Humanos (FIRM/IFDH), una institución pública independiente que proporciona apoyo psicológico, social, técnico y mediático, asistencia jurídica en los procedimientos y ayuda financiera para las costas judiciales.

Francia

• El Défenseur des droits (Defensor de los derechos ) es una autoridad independiente que ofrece apoyo integral a los denunciantes. Sus servicios incluyen el estudio de denuncias, la mediación en conflictos y la realización de investigaciones, entre otros. Si una denuncia queda fuera de sus cinco ámbitos de misión, la redirigen a las autoridades competentes.
• La Maison des Lanceurs d'Alerte es una coalición de 30 organizaciones de la sociedad civil que se dedica específicamente a apoyar a los denunciantes. Proporcionan asistencia integral que incluye apoyo jurídico, psicológico, técnico, financiero, mediático y social adaptado a las necesidades individuales.

Alemania

• Whistleblower Netzwerk E.V (WBN) es la mayor organización de apoyo a los denunciantes de Alemania. Esta organización sin ánimo de lucro ofrece asesoramiento jurídico y apoyo psicológico a los denunciantes, con especial experiencia en casos de mala conducta empresarial. Colabora con otras organizaciones, como la Whistleblowing International Network (WIN), y puede ayudar a poner en contacto a los denunciantes con agentes internacionales en caso necesario.
• La Bundesamt für Justiz (Oficina Federal de Justicia ) alberga la Oficina Federal de Denuncias Externas para los denunciantes. Puede remitir información a las autoridades responsables. La oficina acepta denuncias en línea a través de su portal seguro y ofrece información detallada sobre el proceso de denuncia en su sitio web. Antes de presentar una denuncia, los denunciantes también pueden recibir asesoramiento sobre la protección contra represalias.

Irlanda

• La Oficina del Comisionado para las Denuncias Protegidas (OPDC) sirve de canal de denuncia externo para los denunciantes. Las denuncias pueden enviarse a la OPDC utilizando su formulario descargable, por correo electrónico o por teléfono. Antes de presentar una denuncia, los denunciantes pueden utilizar el procedimiento de precontratación del OPDC para saber si su revelación es susceptible de protección. Los denunciantes también tienen la opción de informar a "personas prescritas", es decir, organismos públicos y reguladores designados que pueden recibir denuncias directamente relacionadas con su ámbito de responsabilidad. Sin embargo, aún no se ha designado una persona prescrita para AI.
• Transparency International Irlanda es la única ONG irlandesa especializada en el apoyo a los denunciantes. Gestionan la línea de ayuda Speak Up, que proporciona información confidencial gratuita y asesoramiento a los denunciantes. Han creado el Transparency Legal Advice Centre (TLAC), el único centro jurídico independiente de Irlanda que ofrece asesoramiento jurídico gratuito a los denunciantes.