"Hasta un millón de euros" es correcto para una persona jurídica, pero incompleto. La Ley 2/2023 distingue infracciones leves, graves y muy graves y obliga a individualizar la sanción según el art. 66. Además, la primera Memoria de la AIPI confirma que en 2025 todavía no inició ningún procedimiento sancionador formal.
Para una correduría hay otra cuestión previa: si es persona jurídica, la obligación de Sistema interno puede existir aunque tenga menos de 50 trabajadores.
¿Cuáles son exactamente las multas?
El art. 63 tipifica las infracciones. El art. 65 fija las cuantías.
Para personas físicas:
- leves: 1.001-10.000 €;
- graves: 10.001-30.000 €;
- muy graves: 30.001-300.000 €.
Para personas jurídicas:
- leves: hasta 100.000 €;
- graves: 100.001-600.000 €;
- muy graves: 600.001-1.000.000 €.
Esta tabla merece estar literalmente comprobada contra BOE. Nuestro primer borrador, como otras tablas que todavía circulan, contenía un rango incorrecto para las infracciones leves (que se dividía erróneamente en 100.001-300.000 €).
¿No tener Sistema Interno de Información es infracción muy grave?
Sí. La Ley tipifica como infracción muy grave el incumplimiento de la obligación de disponer de un Sistema interno de información en los términos exigidos por la Ley (art. 63.1.g), dentro del régimen de acciones u omisiones dolosas del apartado 1.
Otra cosa distinta es la cuantía de la sanción. Que la infracción se clasifique como muy grave no significa que la multa vaya a ser automáticamente de 1.000.000 €. El art. 65 establece el rango y el art. 66 obliga a graduar la sanción atendiendo a las circunstancias concretas: reincidencia, daño, intencionalidad, resultado económico del infractor, subsanación voluntaria, reparación y cooperación con la autoridad.
Son dos preguntas distintas que conviene no mezclar:
- "¿Incumplir la obligación de disponer del Sistema interno de información puede constituir infracción muy grave?" → sí, en los términos del art. 63.1.g.
- "¿Me imponen automáticamente un millón?" → no; hay tipificación (art. 63) y graduación (art. 66) intermedias.
Mi criterio comercial sería no utilizar nunca "te pueden caer un millón" sin explicar esta segunda parte. Genera urgencia durante diez segundos y desconfianza durante bastante más ante cualquier interlocutor con conocimiento mínimo de derecho sancionador.
¿Puede sancionarse a una correduría pequeña?
Que tenga ocho trabajadores no la excluye si es una correduría persona jurídica comprendida en el art. 10.1.b.
La cuestión sancionadora posterior dependerá de la conducta concreta y de su graduación conforme al art. 66, que valora expresamente el resultado económico del ejercicio anterior como criterio de graduación.
Lo desarrollamos en esta guía sobre corredurías <50.
¿Qué consecuencias adicionales existen?
Para determinadas infracciones muy graves pueden existir consecuencias adicionales: amonestación pública, prohibición de obtener subvenciones u otros beneficios fiscales durante hasta 4 años y prohibición de contratar con el sector público durante hasta 3 años.
Las sanciones muy graves de al menos 600.001 € impuestas a personas jurídicas pueden publicarse en el BOE después de adquirir firmeza administrativa.
No existe en el art. 65 una "inhabilitación automática del administrador" como llegó a aparecer en algunos resúmenes.
¿La AIPI ya está sancionando?
¿Hay ya sanciones AIPI publicadas?
La fotografía oficial de 2025 es clara: no.
La Memoria anual 2025 lo dice literalmente en su §6.1:
"La atención preferente a la habilitación del canal externo... ha motivado que durante este primer ejercicio no se haya iniciado ningún procedimiento sancionador formal. La actividad estrictamente procedimental en esta área se limitó a la apertura de las primeras actuaciones previas a finales del mes de diciembre."
Eso no significa que el régimen sancionador esté suspendido.
Significa exactamente lo que dice: la autoridad estatal estaba todavía en una fase inicial de funcionamiento.
A 25 de agosto de 2026, no hemos localizado en las fuentes oficiales consultadas resoluciones sancionadoras firmes de la AIPI publicadas que permitan elaborar un catálogo contrastable de sanciones impuestas bajo la Ley 2/2023. La ausencia de resoluciones publicadas no equivale a impunidad: los expedientes sancionadores maduran con procedimiento y plazo, y el art. 65.3 solo obliga a publicar en BOE las sanciones muy graves de al menos 600.001 € impuestas a personas jurídicas, una vez firmes.
¿Qué está preparando la AIPI para 2026?
La propia Memoria 2025, en su §6.3, describe el trabajo del Departamento de Seguimiento y Régimen Sancionador durante el último trimestre de 2025 para "sentar las bases jurídicas, operativas y procedimentales para dotar de seguridad jurídica y agilidad la actuación en el ejercicio 2026".
Un fragmento especialmente relevante para lo que la AIPI va a exigir a los sujetos obligados:
"El objetivo es definir qué evidencias técnicas o documentales (por ejemplo, trazas informáticas de confidencialidad, auditorías del canal, o actas del responsable del sistema) constituirán una prueba de descarga válida para que las entidades obligadas acrediten el cumplimiento real de la norma, evitando que se amparen en la mera existencia de políticas o protocolos puramente formales ('compliance de papel')."
La dirección que marca ese trabajo es clara: la mera existencia del contrato y de la política aprobados puede no bastar por sí sola; cobra importancia poder acreditar también cómo funciona realmente el Sistema, su trazabilidad y la actuación del RSII.
Cumplecanal está diseñado para que esa evidencia exista y pueda revisarse: audit log inmutable con cadena SHA-256, purga automática conforme al art. 32.4, trazas de acceso y descarga, y documentación del RSII generada al alta. No prometemos que tener Cumplecanal reduzca una multa — sería ir más allá de lo que las fuentes permiten afirmar. Sí decimos que produce el tipo de evidencia que la AIPI está señalando como relevante.
¿Qué sabemos de la actividad real de la AIPI?
Durante sus cuatro primeros meses, la AIPI recibió 174 comunicaciones. Aproximadamente un tercio fueron anónimas. Recibió 26 solicitudes de protección y concedió 17. En cinco asuntos inició actuaciones relacionadas con posibles represalias, incumplimientos de confidencialidad u otros requisitos legales.
Hasta el 20 de mayo de 2026 había recibido otras 414 comunicaciones y 43 solicitudes de protección, con 15 concedidas hasta esa fecha.
A mí estos números me parecen más interesantes que el millón. Indican que el sistema ya se está utilizando y que la autoridad está recibiendo asuntos a un ritmo creciente.
¿Subsanar evita la multa?
Sí ayuda, pero no es un salvoconducto.
El art. 66 permite tener en consideración determinadas circunstancias relacionadas con la subsanación por iniciativa propia, la reparación del daño y la colaboración con la AIPI u otras autoridades.
De ahí no puede derivarse la regla:
"Instalo el canal antes de que acabe la inspección y no me sancionan".
Sin resolución pública que podamos citar por número, fecha y fundamento, no utilizaría ese argumento como certeza. Sí como buena práctica de mitigación.
¿Qué revisaría el lunes?
Cuatro pruebas bastante simples:
- ¿puedo acreditar que el Sistema fue aprobado?
- ¿puedo acreditar quién es RSII y dónde se notificó?
- ¿el acceso al canal es visible y correcto?
- ¿puedo demostrar qué ocurre desde que entra una comunicación hasta que se cierra?
Después presentaría una denuncia ficticia.
Es probablemente el test de compliance más barato que puede hacer una correduría.
Cuando un canal falla, normalmente no lo hace porque alguien haya interpretado mal una nota a pie de página. Falla porque el aviso llega al correo equivocado, una persona conserva permisos que ya no debería tener, el procedimiento no se encuentra o nadie sabe cuándo empieza el plazo.
Cumplecanal intenta resolver esa parte tecnológica y documental desde 149 €/año.
Pero el argumento para implantarlo no necesita exageración: si la correduría sociedad está obligada, el Sistema debe existir y además tiene que funcionar.