Artículo 87 — Protección de denunciantes (Reglamento de IA de la UE)

Artículo 87 del Reglamento (UE) 2024/1689 — Protección de denunciantes. Texto oficial, interpretación práctica, obligaciones clave e implicaciones para el cumplimiento.

Resumen del texto oficial

El artículo 87 del Reglamento (UE) 2024/1689 (el Reglamento de IA de la UE) establece un marco de protección de denunciantes aplicable a las personas que comuniquen infracciones del Reglamento a las autoridades nacionales competentes o a las instituciones, órganos, oficinas o agencias pertinentes de la Unión. El artículo opera por referencia a la Directiva (UE) 2019/1937 sobre la protección de las personas que denuncian infracciones del Derecho de la Unión, extendiendo expresamente las salvaguardas de dicha Directiva al ámbito del Reglamento de IA.

En virtud del artículo 87, los Estados miembros deben garantizar que las personas denunciantes — definidas en sentido amplio para incluir a empleados, contratistas, becarios, voluntarios y extrabajadores que hayan obtenido información pertinente en un contexto relacionado con el trabajo — estén protegidas contra represalias, discriminación y trato perjudicial como consecuencia de haber realizado una denuncia de buena fe. Los proveedores, los responsables del despliegue y otros operadores sujetos al Reglamento de IA tienen por tanto prohibido tomar medidas de represalia contra las personas que planteen preocupaciones sobre posibles incumplimientos.

El artículo exige además que las autoridades competentes que reciban denuncias las traten de conformidad con las garantías procesales establecidas en la Directiva 2019/1937, incluidas las obligaciones de confidencialidad sobre la identidad del denunciante, acuse de recibo y seguimiento oportuno. Cuando las instituciones a nivel de la Unión reciban denuncias, se aplicarán protecciones análogas en virtud del Estatuto de los funcionarios de la Unión y del Derecho de la Unión aplicable. El artículo 87 integra así la ejecución del Reglamento de IA en la arquitectura más amplia del Derecho de denuncia de la Unión en lugar de crear un régimen paralelo específico del sector.

Lo que significa en la práctica

El artículo 87 tiene implicaciones operativas directas para cualquier organización dentro del ámbito de aplicación del Reglamento de IA de la UE — principalmente proveedores que comercializan sistemas de IA en el mercado de la Unión, responsables del despliegue que utilizan sistemas de IA de alto riesgo y operadores de modelos de IA de propósito general.

Para las organizaciones, la obligación práctica es garantizar que las políticas internas, los contratos de trabajo, los códigos de conducta y los acuerdos con proveedores no contengan cláusulas que puedan disuadir, penalizar o impedir contractualmente a las personas de comunicar infracciones del Reglamento de IA a las autoridades externas. Los acuerdos de no divulgación y las cláusulas de confidencialidad deben revisarse para confirmar que no pretenden restringir la actividad legítima de denuncia. Cuando una organización ya disponga de un canal de denuncia interna exigido por la Directiva 2019/1937, dicho canal debe confirmarse como apto para cubrir las preocupaciones relacionadas con el Reglamento de IA, y los responsables de cumplimiento designados deben recibir formación para gestionar dichas denuncias.

Para los equipos de recursos humanos y jurídicos, esto significa actualizar los procedimientos de reclamación, disciplinarios y de extinción de la relación laboral para documentar que cualquier medida adversa adoptada contra un empleado que haya presentado una denuncia relacionada con la IA sea completamente ajena a dicha denuncia — y ser capaces de demostrar esto en cualquier revisión regulatoria o judicial posterior.

Para las autoridades nacionales competentes, el artículo 87 impone un deber procesal de tramitar las denuncias relacionadas con la IA con las mismas salvaguardas de confidencialidad y plazos de acuse de recibo que las demás denuncias recibidas en virtud de la transposición nacional de la Directiva 2019/1937.

Ejemplo concreto: un empleado de una empresa que despliega un sistema de IA de alto riesgo en el proceso de selección de personal observa que los resultados del sistema parecen discriminar por razón de género, en violación de los requisitos del Reglamento. Dicho empleado comunica el problema a la autoridad nacional de vigilancia del mercado. El artículo 87 garantiza que no podrá ser despedido, degradado ni sometido a un entorno de trabajo hostil como consecuencia de esa denuncia.

Obligaciones clave

• Los Estados miembros deben extender las protecciones de los denunciantes en virtud de la Directiva (UE) 2019/1937 a las personas que comuniquen infracciones del Reglamento de IA de la UE, garantizando que no exista ninguna laguna entre el Derecho general de denuncia y la ejecución específica en materia de IA.
• Las organizaciones sujetas al Reglamento de IA no deben tomar represalias contra empleados, contratistas u otras personas con relación laboral que, de buena fe, comuniquen presuntas infracciones a las autoridades competentes o a los órganos de la Unión.
• Los canales de denuncia interna exigidos en virtud de la Directiva 2019/1937 (aplicable a organizaciones con 50 o más trabajadores) deben entenderse como cubriendo las infracciones del Reglamento de IA, y las personas responsables designadas deben estar capacitadas para evaluar dichas denuncias.
• Las autoridades competentes que reciben denuncias están obligadas a mantener la confidencialidad de la identidad de la persona denunciante durante todo el proceso de investigación, divulgándola únicamente cuando lo exija la ley y con notificación previa al denunciante cuando sea posible.
• Las cláusulas contractuales — incluidos los acuerdos de no divulgación, los acuerdos de resolución y los contratos de trabajo — que pretendan restringir o penalizar la denuncia externa de infracciones del Reglamento de IA son inaplicables en la medida en que entren en conflicto con las protecciones del artículo 87.
• Las personas denunciantes que actúen de buena fe conservan plena protección aunque la infracción denunciada no se confirme finalmente, siempre que la denuncia no se haya realizado con conocimiento de su falsedad.

Relación con otros artículos

El artículo 87 se encuadra en el Título IX (Supervisión poscomercialización, intercambio de información y vigilancia del mercado) y opera como un habilitador procesal para los mecanismos de ejecución establecidos a lo largo de ese título y en otros puntos del Reglamento.

Se vincula directamente con el artículo 74 (vigilancia del mercado y control), el artículo 75 (conformidad de los sistemas de IA) y los artículos 78–84 (obligaciones de los organismos notificados y de las autoridades nacionales competentes), dado que las denuncias de los denunciantes pueden desencadenar o complementar las investigaciones que autorizan dichas disposiciones. También respalda el artículo 87 (notificación de incidentes graves), creando un canal complementario a través del cual los trabajadores que observen incidentes o cuasi-accidentes puedan elevar sus preocupaciones sin temor a represalias.

De manera más amplia, el artículo 87 debe leerse en relación con el artículo 4 (alfabetización en IA) y el artículo 9 (sistemas de gestión de riesgos para los sistemas de IA de alto riesgo), ya que una organización que fomente una transparencia interna genuina y la competencia en IA está mejor posicionada tanto para detectar problemas susceptibles de denuncia como para demostrar que cualquier decisión de recursos humanos adversa es completamente independiente de una divulgación protegida. También interactúa con el Considerando 179 del Reglamento, que confirma el compromiso de la Unión de garantizar que la ejecución del Reglamento no se vea menoscabada por un efecto disuasorio sobre la denuncia legítima.

Calendario de cumplimiento

El Reglamento de IA de la UE entró en vigor el 1 de agosto de 2024, veinte días después de su publicación en el Diario Oficial. El artículo 87, como parte del cuerpo principal del Reglamento, se vuelve plenamente aplicable el 2 de agosto de 2026 — la fecha de aplicación general para la mayoría de las disposiciones, incluidas las que rigen los sistemas de IA de alto riesgo en virtud del Anexo III (artículo 113, apartado 2).

A diferencia de las prohibiciones de las prácticas de IA de riesgo inaceptable, que se hicieron aplicables el 2 de febrero de 2025, o de las obligaciones específicas para los modelos de IA de propósito general, que se aplicaron desde el 2 de agosto de 2025, el artículo 87 no pertenece a una categoría de aplicación acelerada. Su aplicación se alinea con el período de implementación general de dos años.

No obstante, las organizaciones que ya están sujetas a la Directiva (UE) 2019/1937 — que los Estados miembros debían transponer antes del 17 de diciembre de 2021 — ya deberían disponer de canales de denuncia conformes. La tarea práctica de cumplimiento antes de agosto de 2026 consiste, por tanto, en auditar y ampliar los canales existentes para confirmar que cubren explícitamente las infracciones del Reglamento de IA, volver a formar a los responsables designados y revisar la documentación contractual en consecuencia. Las organizaciones que desplieguen sistemas de IA de alto riesgo cubiertos por las disposiciones transitorias de diciembre de 2026 o agosto de 2027 para determinados sistemas del Anexo I deben alinear su preparación en materia de denuncia con la fecha aplicable a la categoría específica de su sistema.