22-10-2026 | Bartolome & Briones, Opinión
Por Alnair Gallego, International Compliance Senior Manager en Invenergy, España
En el último Congreso de Compliance organizado por el Instituto de Compliance Officers en Madrid, el pasado mes de marzo, hubo una realidad que me llamó especialmente la atención. No por novedosa, sino porque, quizá por primera vez, fui plenamente consciente de lo que significaba: la transformación de nuestra profesión ya no es una cuestión de futuro, sino una realidad muy presente.
La inteligencia artificial fue, como era de esperar, una de las grandes protagonistas. Pero casi tan revelador como la tecnología fue ver quiénes hablaban de ella. En las mesas del Congreso se vio que los equipos de Compliance de grandes empresas españolas, muchas del Ibex35, ya no están formados solo por abogados, tradicionalmente vinculados al Derecho penal, sino también por ingenieros informáticos, especialistas en datos y analítica, y hasta matemáticos. La composición de nuestros equipos está cambiando porque también lo están haciendo los riesgos que gestionamos.
Durante años, especialmente en España, hablar de Compliance significaba hablar de prevención de riesgos penales. La introducción de la responsabilidad penal de las personas jurídicas en 2010 y, después, la reforma de 2015, que desarrolló los modelos de organización y gestión del artículo 31 bis, situaron el criminal compliance en el centro de la conversación jurídica y empresarial. El modelo debía identificar las actividades en cuyo ámbito pudieran cometerse delitos, establecer protocolos y controles, disponer de mecanismos de información y disciplina y someterse a una verificación periódica. En definitiva, se trataba de construir un sistema capaz de prevenir y detectar delitos en el seno de la organización.
Ese desarrollo fue necesario y continúa siéndolo. Pero Compliance ya no puede explicarse solo desde el Derecho penal, ni sus estructuras diseñarse exclusivamente con esa finalidad. Y no es solo una realidad española: en América Latina, donde Chile, Argentina, Brasil, Colombia, Perú o México han ido construyendo sus propios regímenes de responsabilidad penal corporativa, el reto es el mismo.
El penalista sigue siendo esencial. Su conocimiento de la rama más restrictiva del ordenamiento marca el listón de exigencia en conductas como la corrupción, y en un entorno internacional entender el alcance de las normas penales de cada jurisdicción es una competencia de especial valor “quien puede lo más, puede lo menos” o “quién se prepara para lo peor, se protege de lo menos dañino”. Pero el enfoque penal no es un paraguas: tipifica un catálogo cerrado de conductas, exige por regla general dolo y deja fuera infracciones regulatorias que no requieren intencionalidad, y que pueden acarrear sanciones muy relevantes. Prevenir lo penal ayuda a prevenir lo demás, sí, pero no lo garantiza.
Porque el problema ya no es solo si hemos identificado correctamente un riesgo. La cuestión es si somos capaces de saber, con información suficientemente actualizada, cuándo ese riesgo cambia, qué controles funcionan, dónde se producen excepciones y qué decisiones debemos adoptar como consecuencia de ello. Ese es uno de los grandes cambios de paradigma: Compliance ha dejado de ser únicamente una disciplina normativa para convertirse también en una disciplina de procesos, datos y gestión del riesgo con uso de indicadores automatizados a tiempo real.
El profesional de 2015 dedicaba buena parte de su trabajo a analizar tipos penales, diseñar mapas de riesgos, redactar políticas e impartir formación. El de 2026 debe entender además protección de datos, ciberseguridad, inteligencia artificial, riesgos de terceros, sanciones, esclavitud moderna, blanqueo de capitales, conflictos de interés, procesos financieros, controles internos y, cada vez más, tecnología. Por eso un programa puede estar jurídicamente impecable y ser, al mismo tiempo, operacionalmente débil: políticas excelentes con controles que no se ejecutan de forma consistente, o una matriz de riesgos perfectamente estructurada pero alimentada con información desactualizada.
Durante mucho tiempo, el principal producto de Compliance ha sido el documento: la política, el procedimiento, el código, la matriz, el informe, el material formativo. Todos siguen siendo necesarios, pero ya no bastan. Un buen sistema no se mide por el número de políticas aprobadas, sino por la capacidad de convertirlas en controles efectivos, medibles y adaptables. La ISO 37301 concibe el Compliance como un sistema que debe mantenerse y mejorarse de forma continua, no como un ejercicio estático de documentación. Hoy en día, es la aplicación de la tecnología.
Hace diez años, construir una matriz de riesgos en Excel era, en muchas organizaciones, un paso adelante en la sistematización de la función. Hoy, pretender gestionar riesgos complejos con documentos estáticos, actualizados a mano y desconectados de otras fuentes de información, empieza a resultar anacrónico. Lo que en 2015 modernizaba, en 2026 puede limitar a la propia función de Compliance.
Por eso también tienen que cambiar nuestras matrices de riesgos. Una matriz moderna debería integrar información de distintas fuentes y actualizarse con una frecuencia superior a la revisión anual, de modo que podamos responder a preguntas como qué riesgos han aumentado en los últimos seis meses, qué controles acumulan más excepciones, qué terceros generan más incidencias, qué planes de acción están vencidos o qué controles funcionan en teoría, pero no en la práctica. Dejaría de ser un repositorio para convertirse en una herramienta útil de gestión. Y hoy en día, eso se traduce en diseño y aplicación de IA.
En un promotor de energías renovables, por ejemplo, eso significa que la alerta salte automáticamente cuando un intermediario de permisos, un contratista EPC o un proveedor de la cadena de suministro aparece en una lista de sanciones o de personas políticamente expuestas, en lugar de descubrirlo semanas después en una revisión manual.
Lo mismo ocurre con los indicadores. Saber que se realizaron 500 revisiones de terceros es interesante; saber cuántas excepciones se detectaron, qué porcentaje fueron críticas, cuánto tardaron en resolverse y si la tendencia mejora o empeora permite decidir. Compliance debe pasar de los indicadores de actividad a los de riesgo y eficacia (los famosos KRIs o key risk indicators): no basta con medir cuánto hacemos, hay que medir qué conseguimos con lo que hacemos. Y un Consejo de Administración no necesita más información, sino mejor información: la que permite decidir dónde invertir recursos, qué control modificar, qué riesgo aceptar y dónde es imprescindible una intervención humana.
IA con criterio
Aquí aparece inevitablemente la inteligencia artificial, que ya forma parte del presente. Puede ayudarnos a analizar grandes volúmenes de información, detectar patrones e inconsistencias, clasificar documentación, priorizar revisiones, automatizar tareas repetitivas y facilitar el seguimiento de planes de acción. No significa delegar la responsabilidad en una máquina, sino que el profesional dedique menos tiempo a tareas mecánicas y más a aquellas en las que realmente aporta valor: analizar, cuestionar, contextualizar, decidir y justificar jurídicamente.
La IA puede ayudarnos a identificar una anomalía, pero no debería decidir sola qué significa para la organización. Puede resumir información, pero no debería sustituir el juicio profesional que la interpreta. Puede calcular un indicador, pero no debería fijar el nivel de riesgo que la organización está dispuesta a aceptar. La tecnología aumenta nuestra capacidad de análisis, pero la responsabilidad continúa siendo humana, y también en sentido jurídico: delegar en un algoritmo no traslada la responsabilidad del órgano de cumplimiento ni del órgano de administración.
Existe, además, una paradoja. Uno de los argumentos más habituales contra la IA en Compliance es que se pierde el componente humano, y puede suceder exactamente lo contrario. Un equipo que tarda dos días en consolidar manualmente la información de un indicador podría dedicar ese tiempo a revisar por qué ciertos terceros presentan un patrón de riesgo, investigar excepciones o diseñar una mejora de control. Ese debería ser el verdadero retorno de la tecnología: no hacer lo mismo con menos recursos, sino hacer menos trabajo mecánico para poder hacer más trabajo de valor.
Pero conviene decirlo: la IA es también una fuente de riesgo de compliance. Su uso en investigaciones internas plantea problemas de confidencialidad y de protección de datos; la analítica sobre el comportamiento de los empleados tiene límites laborales y de privacidad; el canal de denuncias, protegido en España por la Ley 2/2023, exige garantías de confidencialidad que una herramienta mal configurada puede comprometer; y un resultado que no sabemos explicar difícilmente podremos justificarlo ante un regulador o un juez.
El nuevo equipo de Compliance
El marco europeo apunta en la misma dirección. El Reglamento de IA mantiene, reformulada tras el Ómnibus digital de julio de 2026, la obligación de promover la alfabetización en IA del personal, y prevé para los sistemas de alto riesgo un sistema de gestión de riesgos continuo y documentado, exigible desde diciembre de 2027 para los del anexo III. La señal es clara: no basta con controlar la tecnología, hay que desarrollar capacidad para comprenderla y gobernarla. Un profesional de Compliance que no entiende mínimamente cómo funciona un modelo de IA tendrá cada vez más dificultades para evaluar los riesgos derivados de su uso. No necesitamos convertir a todos los profesionales de Compliance en ingenieros o matemáticos, pero sí necesitamos alfabetización tecnológica suficiente para formular las preguntas correctas.
El futuro de Compliance no pertenece solo al abogado, ni solo al experto tecnológico, ni solo al especialista en riesgos: pertenece a equipos capaces de combinar esas disciplinas. El abogado seguirá siendo fundamental para interpretar la norma, identificar obligaciones, evaluar responsabilidades y traducir el riesgo jurídico a decisiones empresariales. Pero trabajará cada vez más cerca del especialista en datos, del experto en privacidad, del profesional de ciberseguridad y del responsable de procesos, y todos necesitarán entender el lenguaje de los demás.
Durante años hemos defendido que Compliance debe estar cerca del negocio. Ahora toca dar un paso más: Compliance debe entender cómo funciona la tecnología que eficienta los procesos. No podemos diseñar controles eficaces para procesos que no comprendemos, ni evaluar un riesgo tecnológico sin entender mínimamente la tecnología, ni gobernar el uso de la IA sin utilizarla y conocer sus límites. Y no podemos pedir a la organización que gestione riesgos dinámicos si nuestros propios sistemas de gestión del riesgo permanecen estáticos.
No estamos sustituyendo el criminal compliance: estamos construyendo sobre él. El artículo 31 bis seguirá siendo una pieza relevante del sistema español de responsabilidad penal de las personas jurídicas, y los modelos de prevención de delitos conservarán una función esencial. Pero el universo de Compliance es hoy mucho más amplio, y la función ya no consiste solo en evitar que alguien cometa un delito, sino en ayudar a la organización a identificar sus obligaciones, entender sus riesgos, diseñar controles proporcionales, detectar desviaciones y decidir con información.
Volviendo a aquella sala de Madrid: lo que más me llamó la atención no fue ninguna herramienta, sino ver al penalista, al ingeniero y al matemático hablando de lo mismo. Esa imagen resume el reto mejor que cualquier tendencia. El artículo 31 bis nos enseñó a construir modelos que previenen delitos; el siguiente paso es construir sistemas que se vean funcionar, con datos, con indicadores y con controles que se puedan demostrar. La tecnología hará el trabajo mecánico, y lo hará bien. Lo que no podrá hacer es decidir qué riesgo estamos dispuestos a asumir ni responder por esa decisión. Eso seguirá siendo nuestro, humano. Por eso el mejor Compliance de 2026 no será el que más herramientas tenga, sino el que mejor criterio ponga a su servicio.
Renovarse, en nuestra profesión, no consiste en dejar de ser juristas. Consiste en dejar de ser “solo” juristas.
Alnair Gallego, International Compliance Senior Manager en Invenergy, España
Escríbenos a contacto@compliancelatam.legal para más información.
28-09-2026 | Bartolome & Briones, Noticias
La expansión internacional del retail y la transformación del comercio electrónico han ampliado significativamente la agenda del compliance. Las compañías deben responder hoy a riesgos interconectados que abarcan la cadena de suministro, los derechos humanos, la sostenibilidad y la ciberseguridad, entre otros. En este contexto, el desafío no consiste únicamente en diseñar políticas y controles, sino en lograr que los principios éticos se comprendan y se apliquen de manera coherente en mercados, culturas y realidades operativas muy diversas.
Carlos Madrona es Chief Compliance Officer de MANGO, compañía global de moda presente en más de 120 mercados. La firma cuenta con más de 2.960 puntos de venta, además de una sólida presencia en canales digitales. Desde su posición, lidera una función transversal que conecta compliance, riesgos y control interno con áreas como negocio, operaciones, tecnología, sostenibilidad, recursos humanos y cadena de suministro. Su trabajo también ha estado vinculado al desarrollo de estrategias de prevención del fraude en el comercio electrónico, utilizando análisis de datos, inteligencia artificial y modelos de aprendizaje automático para fortalecer la seguridad de las transacciones sin perjudicar la experiencia de los clientes.
Con experiencia en compliance, gestión de riesgos, prevención del fraude y control interno, Madrona entiende el cumplimiento como una función basada en la confianza y en la capacidad de acompañar al negocio desde el inicio de sus decisiones. En esta entrevista, aborda la evolución del rol del Chief Compliance Officer, la importancia de la cultura y el liderazgo, y los aprendizajes que Europa puede obtener de América Latina en materia de integridad.
Después de casi seis años liderando el área de Compliance, Riesgos y Control Interno en una compañía internacional de retail como MANGO, ¿qué es lo que más te sigue sorprendiendo del rol?
Lo que más me sorprende de ser Compliance Officer es comprobar hasta qué punto el compliance es, sobre todo, una función de personas.
A veces se percibe como un ámbito muy técnico, vinculado a normas, controles o procedimientos. Sin embargo, en el día a día, gran parte del trabajo consiste en escuchar, entender contextos complejos y generar confianza para que las personas planteen dudas o compartan preocupaciones antes de que se conviertan en un problema.
También sorprende la capacidad que tiene el compliance para conectar áreas muy distintas de una compañía: negocio, operaciones, sostenibilidad, tecnología, recursos humanos o cadena de suministro. Esa visión transversal permite entender mejor cómo se toman las decisiones y acompañar a la organización en momentos de cambio.
En el fondo, lo más enriquecedor es ver que, cuando se trabaja bien, compliance deja de ser una función de control y pasa a contribuir a una cultura más consciente, responsable y sólida.
En MANGO, las personas están en el centro y son la verdadera fuerza detrás de nuestro éxito. A través de nuestro pilar Empower, empoderamos y desarrollamos a nuestros equipos fomentando el orgullo de pertenencia.
Nuestra cultura se construye sobre la cercanía, la colaboración y el cuidado genuino por los equipos, reflejado en nuestro valor Caring. Esta sensibilidad humana es la que consigue que las normas dejen de ser teoría y se conviertan en comportamientos cotidianos.
Muchas veces se habla del compliance desde las normas. ¿Qué aspecto humano consideras indispensable para que un programa de cumplimiento normativo realmente funcione?
La confianza. En MANGO promovemos relaciones siendo humildes y cercanos. Ningún programa funciona de verdad si las personas no se sienten cómodas planteando dudas, compartiendo preocupaciones o reconociendo errores.
Las normas son necesarias, pero la cultura es lo que las convierte en comportamientos cotidianos. Por eso, la escucha, la cercanía y el ejemplo de los líderes son tan relevantes como cualquier política o procedimiento. El reto está en conseguir que cada persona entienda que compliance no es “algo de otro departamento”, sino una responsabilidad compartida.
¿Cómo ha cambiado el perfil del Chief Compliance Officer durante los últimos cinco años? ¿Qué se espera hoy de este cargo que antes no era parte de la conversación?
El perfil ha evolucionado desde una función principalmente preventiva y de control hacia un rol mucho más transversal, conectado con la estrategia, la sostenibilidad, la tecnología y la reputación corporativa.
Hoy se espera que un Chief Compliance Officer comprenda profundamente el negocio, anticipe tendencias regulatorias y ayude a transformar riesgos complejos en decisiones más informadas. Ya no se trata solo de conocer las normas, sino de acompañar a la organización para que crezca de forma responsable. Al fomentar una cultura de integridad, compliance es clave para atraer y potenciar el mejor talento, que es nuestro mayor activo y el motor de MANGO.
Muchas compañías ya no ven el compliance únicamente como una función de control. ¿En qué momento crees que un Chief Compliance Officer pasa a convertirse en un verdadero socio estratégico del negocio?
Cuando participa antes de que las decisiones estén cerradas. Si compliance interviene solo al final, su capacidad de aportar valor es limitada. En cambio, cuando forma parte del diseño de nuevos proyectos, mercados, productos o relaciones comerciales, puede ayudar a identificar alternativas viables y sostenibles.
Ser socio estratégico no significa renunciar al rigor; significa aplicar ese rigor con visión de negocio, facilitando decisiones que protejan a la compañía y, al mismo tiempo, permitan avanzar.
¿Cuál ha sido la decisión más difícil que has tenido que tomar como Chief Compliance Officer y qué aprendiste de ella?
Las decisiones más complejas suelen ser aquellas en las que hay que equilibrar la velocidad del negocio con la necesidad de actuar con coherencia y responsabilidad. En esos momentos, no siempre existe una respuesta perfecta, pero sí la obligación de hacer las preguntas adecuadas, escuchar perspectivas distintas y mantener una visión de largo plazo.
En un entorno cada vez más exigente, en MANGO afrontamos los retos con un liderazgo ágil, flexible y resiliente. El principal aprendizaje es que el compliance no debe aparecer únicamente cuando surge un problema: debe formar parte de la conversación desde el inicio. A veces, tomar la decisión correcta exige detenerse, revisar y construir un camino más sólido.
¿Qué consejo le darías a un CEO que todavía ve el compliance como una obligación más que como una herramienta de gestión?
Más que dar un consejo genérico, prefiero basarme en realidades que funcionan. Afortunadamente, bajo el liderazgo de nuestro presidente y consejero delegado, Toni Ruiz, y de todo nuestro equipo directivo, el compliance se percibe como un verdadero socio del negocio.
Cuando la alta dirección integra estas conversaciones estratégicas desde el principio, el cumplimiento normativo deja de verse como un freno o una mera obligación. Se convierte en una herramienta fundamental para tomar decisiones firmes que garantizan un crecimiento con propósito y visión a largo plazo. En definitiva, nos permite construir un modelo de negocio sólido, manteniendo siempre nuestra sensibilidad humana y situando a las personas en el centro de cada decisión.
Cadena de suministro, riesgos globales y tecnología
En un contexto de creciente regulación sobre debida diligencia y sostenibilidad, ¿cómo está cambiando el papel del compliance en la gestión de la cadena de suministro?
La cadena de suministro se ha convertido en un espacio clave para traducir los compromisos corporativos en acciones reales. En nuestro caso, la sostenibilidad se integra de forma transversal en nuestro Plan Estratégico 4E a través del marco Crafting Responsible Fashion. Bajo el pilar de Personas, desde Compliance y junto a otros equipos, trabajamos para garantizar el respeto de los derechos humanos en cada etapa de la cadena de valor.
Contamos con herramientas fundamentales como nuestro Código de conducta para proveedores y fabricantes, que es de obligado cumplimiento. El desafío es promover una mejora continua que nos permita construir relaciones más transparentes y alineadas con el propósito de MANGO.
Las empresas multinacionales deben adaptarse a distintas culturas, regulaciones y formas de hacer negocios. En el caso de MANGO, ¿cuál ha sido el mayor desafío para mantener unos mismos estándares éticos a nivel global?
MANGO es una compañía global nacida en Barcelona, con el diseño y la creatividad en el centro de su modelo. Al estar presentes en más de 120 mercados a través de una red de más de 2.900 puntos de venta, el gran desafío es conseguir que nuestros principios éticos se entiendan, se apliquen y se vivan de manera coherente en contextos culturales muy diversos.
Esta diversidad exige una gran sensibilidad local y capacidad de adaptación. La clave está en combinar una orientación clara y común con el diálogo, la formación y un acompañamiento cercano.
Nos apoyamos en herramientas robustas y transversales, como nuestro Código ético y de conductas responsables y la Política de compliance. En definitiva, mantener estándares éticos globales no consiste en imponer una única forma de hacer las cosas, sino en asegurar que, independientemente del país, todos compartimos una misma brújula que protege a nuestros colaboradores y clientes.
¿Qué riesgos preocupan más en una compañía global de retail hoy en día y cuáles hace algunos años ni siquiera estaban en el radar?
El entorno actual exige prestar atención a riesgos cada vez más interconectados: cadenas de suministro, ciberseguridad, protección de datos, sostenibilidad, reputación, fraude digital y expectativas sociales crecientes. En MANGO trabajamos con asesores externos especializados para evaluar riesgos, entender el impacto potencial y preparar escenarios.
Hace algunos años, muchos de estos asuntos se gestionaban de forma más aislada. Hoy entendemos que una incidencia local puede tener impacto global en cuestión de horas. Por eso, el reto no es solo identificar riesgos, sino desarrollar la capacidad de anticiparlos, priorizarlos y responder de forma coordinada.
Vivimos una época marcada por la inteligencia artificial, la transformación digital y la automatización. ¿Qué oportunidades ofrece la IA para fortalecer los programas de compliance? ¿Qué tareas crees que nunca deberían delegarse completamente en la tecnología?
En MANGO entendemos la tecnología como una herramienta al servicio de las personas, no como un fin en sí mismo. Bien utilizadas, la tecnología y la IA se posicionan como un copiloto capaz de amplificar el talento, facilitar el análisis de grandes volúmenes de datos, detectar patrones y mejorar la eficiencia de nuestros equipos.
Sin embargo, hay aspectos que deben conservar siempre una supervisión humana. La interpretación del contexto, la valoración ética, la proporcionalidad de una decisión y la escucha activa de las personas son responsabilidades que la tecnología no puede asumir. Como en todos los ámbitos de nuestra compañía, la tecnología nos ayuda a liberar tiempo para que las personas puedan centrarse en aquello donde aportan más valor: el criterio, la colaboración y la sensibilidad humana.
Compliance en perspectiva regional
América Latina ha avanzado significativamente en materia de compliance durante la última década. Desde tu perspectiva europea, ¿qué fortalezas observas en la región y qué desafíos siguen pendientes?
América Latina ha demostrado una evolución muy relevante, impulsada por profesionales con una gran capacidad de adaptación, colaboración y comprensión del contexto. Existe una creciente conciencia sobre la importancia de construir culturas de integridad, incluso en entornos especialmente dinámicos y complejos.
El desafío pasa por seguir consolidando estas prácticas de forma homogénea, reforzar la prevención y convertir el compliance en un elemento cada vez más integrado en la estrategia y en las decisiones de negocio. La oportunidad es seguir construyendo desde la experiencia local, con una mirada global.
¿Qué puede aprender Europa de Latinoamérica en materia de compliance?
Europa puede aprender mucho de la capacidad latinoamericana para abordar el compliance desde una perspectiva práctica, cercana y muy conectada con la realidad operativa. En contextos cambiantes, la flexibilidad, el diálogo y la capacidad de encontrar soluciones sostenibles son competencias especialmente valiosas.
También hay una lección relevante sobre la importancia de generar compromiso, no solo cumplimiento formal. Las mejores culturas de integridad no nacen únicamente de marcos regulatorios sólidos, sino de conversaciones honestas y de la implicación de las personas.
06-07-2026 | Bartolome & Briones, Opinión
Por Javier Rodríguez-Losada, Asociado en Bartolome & Briones, España
Para muchos empresarios y directivos, la verdadera dimensión del riesgo jurídico no se aprecia hasta que se traduce en situaciones concretas. La inteligencia artificial (IA) ya no es una tecnología del futuro, sino una herramienta integrada en procesos de atención al cliente, marketing, gestión documental, selección de personal e incluso, de toma de decisiones empresariales.
El debate ya no es si utilizarla, sino cómo hacerlo sin exponerse a conflictos legales inesperados, teniendo en cuenta la existencia de normativa que regula obligaciones y sanciones al respecto. A continuación, mostramos algunos ejemplos sobre cómo herramientas diseñadas para ganar eficiencia pueden derivar en reclamaciones laborales, mercantiles o de responsabilidad civil cuando fallan los mecanismos de control.
Comercio electrónico: una plataforma de comercio electrónico incorpora sistemas de IA destinados a analizar patrones de navegación, tiempos de permanencia u otras variables conductuales con el objetivo legítimo de personalizar la experiencia del usuario y optimizar sus ventas. Sin embargo, un uso insuficientemente acotado del sistema podría llevar a identificar situaciones de especial vulnerabilidad emocional del consumidor, como estados de ansiedad, estrés o fatiga. A partir de ahí, la herramienta podría adaptar precios, ofertas o mensajes comerciales aprovechando esa circunstancia para influir en decisiones económicas que el consumidor probablemente no habría adoptado en condiciones normales.
Este tipo de prácticas podría constituir una infracción, pues la IA en este caso explota vulnerabilidades psicológicas para inducir decisiones económicas que el consumidor no habría adoptado en condiciones normales, vulnerando así el Reglamento (UE) 2024/1689, de obligado cumplimiento.
Diagnósticos médicos: una empresa instala un sistema de IA de diagnóstico automático en una clínica privada que emite informes a partir de pruebas que se realizan al paciente, así como de sus antecedentes médicos. Por un fallo en el entrenamiento del modelo, un paciente recibe un tratamiento inadecuado y como consecuencia de ello, sufre daños.
El paciente tendría una acción de responsabilidad contractual o extracontractual contra la clínica para reclamarle los daños y perjuicios ocasionados.
Asimismo, la clínica podría tener una acción de repetición contra el proveedor tecnológico por haberle provisto de un producto defectuoso. Podría ser reclamable aquí, no sólo la cuantía en que haya debido indemnizar al cliente, sino los daños reputacionales derivados de la difusión pública del incidente.
Precisamente por el impacto potencial sobre la salud, este tipo de sistemas son considerados de alto riesgo por el Reglamento europeo de IA, que exige mecanismos reforzados de control y supervisión humana.
Sector industrial: una fábrica o instalación industrial tiene implantado un sistema de IA destinado a optimizar los ritmos de producción. Como consecuencia de un defecto de configuración, entrenamiento o supervisión del sistema, la IA altera parámetros operativos y neutraliza alertas de seguridad destinadas a evitar paradas automáticas de maquinaria sin que nadie lo detecte. Como resultado, se produce un accidente laboral.
Las consecuencias jurídicas pueden ser especialmente relevantes. Además de las posibles sanciones administrativas derivadas del incumplimiento normativo, la empresa podría enfrentarse a reclamaciones en materia de seguridad y salud laboral, responsabilidades por daños y perjuicios e incluso, en los supuestos más graves, derivar en responsabilidad penal por delitos contra la seguridad de los trabajadores.
Desde la perspectiva del Reglamento (UE) 2024/1689, este supuesto podría evidenciar un incumplimiento de las obligaciones de supervisión humana exigidas para determinados sistemas de IA de alto riesgo, así como de las obligaciones de gestión de riesgos.
Recursos Humanos: en el ámbito laboral una gran empresa podría implantar un sistema algorítmico diseñado para evaluar rendimientos, optimizar la productividad y proponer reducciones de plantilla. Como consecuencia de una supervisión humana insuficiente y de un modelo entrenado con datos sesgados, el sistema podría penalizar, por ejemplo, a trabajadores que disfrutan de reducciones de jornada por cuidado de hijos, a colectivos de determinada edad, género o nacionalidad.
En la práctica, un escenario de este tipo podría desembocar en una demanda por despido nulo por discriminación indirecta, así como en reclamaciones por vulneración de derechos fundamentales si la empresa no puede explicar razonablemente los criterios utilizados por el sistema o acreditar que existía un control humano real sobre las decisiones adoptadas.
El verdadero problema surge cuando la empresa no puede explicar cómo se ha llegado a la decisión ni acreditar que existía una supervisión humana efectiva. Este tipo de herramientas puede ser considerado por el Reglamento (UE) 2024/1689 como un sistema de IA de alto riesgo. Eso implica que la empresa no puede limitarse a aceptar automáticamente las recomendaciones del algoritmo: debe evaluar los riesgos, utilizar datos adecuados, documentar su funcionamiento y garantizar una supervisión humana efectiva, exigiéndose, además, que el sistema sea lo suficientemente transparente como para que quienes lo utilizan comprendan cómo debe ser controlado.
Como muestran estos ejemplos, detrás de herramientas concebidas para ahorrar costes, agilizar procesos o mejorar resultados pueden esconderse responsabilidades que no siempre son evidentes. Implantar estas tecnologías con criterios de control y supervisión adecuados permite aprovechar todo su potencial sin convertir una ventaja competitiva en un conflicto jurídico inesperado.
De esta forma se anticipan los riesgos cuando aún son evitables y se puede reaccionar con rapidez cuando el conflicto ya se ha producido, lo que puede marcar una diferencia decisiva.
Javier Rodríguez-Losada, Asociado en Bartolome & Briones, España
Escríbenos a contacto@compliancelatam.legal si necesitas información.
22-05-2026 | Bartolome & Briones, Opinión
Por Antoni Faixó, Socio de Bartolome & Briones, España.
El expediente sancionador es un procedimiento administrativo en el que una Administración analiza si se ha cometido una infracción legal por una persona o empresa por unos determinados hechos, y en caso de existir la infracción cuál es la sanción a la que se le debe condenar.
En dicho procedimiento, el afectado debe ser notificado del inicio del expediente, y tiene derecho a presentar alegaciones, a presentar y solicitar la práctica de pruebas, y a recurrir la resolución sancionadora que pueda dictarse.
Aparte de dicha norma general, hay varias leyes sectoriales y leyes autonómicas que regulan las concretas infracciones y las sanciones que cabe imponer por cometer una infracción.
A nivel general, los expedientes sancionadores más notorios son en materia de derecho laboral y de derecho fiscal, porque son materias que afectan a todas las empresas, sea cual sea su sector de negocio.
No obstante, existen actividades que tienen sus propias sanciones y expedientes sancionadores, entre las que podemos destacar:
Consumo: sanciones por incumplir la normativa protectora de consumidores, como por ejemplo, la garantía de los productos, deficiencias en su instalación, falta de recambios o incumplimientos en la aplicación de ofertas.
Energía: incumplimiento de obligaciones de facturación o información al consumidor, infracciones en autoconsumo o energías renovables, instalaciones sin autorización o sin cumplir requisitos técnicos.
Transporte: exceso de tiempos de conducción, sobrecarga de vehículos, deficiencias técnicas, transporte sin autorización administrativa o con licencia caducada o incumplimiento de normativa de transporte de mercancías peligrosas.
Hostelería y restauración: incumplimientos en materia de higiene y seguridad alimentaria, falta de licencias o incumplimiento de condiciones de la actividad, irregularidades en terrazas (ocupación de vía pública), exceso de aforo o incumplimiento de horarios.
Urbanismo: ejecución de obras sin licencia o contraviniendo la concedida, uso indebido del suelo (por ejemplo, uso residencial en suelo no autorizado), incumplimiento de órdenes de paralización o demolición.
Comercio: publicidad engañosa o desleal, venta sin información adecuada al consumidor.
Prácticamente todos los sectores tienen normas propias sobre el derecho sancionador y, además, es habitual que existan normas estatales y normas autonómicas sobre un determinado sector, en ocasiones con diferencias importantes en las obligaciones, en las infracciones y en las sanciones.
Respecto a todos los expedientes sancionadores, hay que indicar que el afectado siempre tiene la posibilidad de acabar recurriendo la sanción en vía judicial, a fin de que sea un juez quien revise lo actuado por la Administración y decida si la decisión sancionadora era correcta o no.
Ello es importante porque es habitual que el órgano administrativo que tramita y resuelve un expediente sancionador no actúe con la suficiente fundamentación jurídica, y por lo tanto las sanciones pueden judicialmente ser revocadas o reducidas en su importe, lo cual es beneficioso para el afectado porque el importe de las sanciones puede ser elevado.
Ante el inicio de un expediente sancionador —o una vez dictada una resolución—, resulta clave adoptar un enfoque estratégico desde el primer momento.
Conocer el funcionamiento del procedimiento permite aprovechar adecuadamente las herramientas disponibles (prueba, recursos, plazos de caducidad, prescripción o posibles defectos formales), mientras que un buen entendimiento de la normativa sectorial facilita construir alegaciones sólidas sobre el fondo del asunto. Todo ello puede marcar una diferencia significativa en el resultado final del expediente.
En este contexto, una gestión proactiva del expediente puede suponer un ahorro económico relevante y, en muchos casos, evitar que la sanción llegue a consolidarse. No se trata únicamente de reaccionar ante una posible infracción, sino de identificar oportunidades dentro del propio procedimiento para defender los intereses del afectado con eficacia y rigor. Además, conviene tener en cuenta que, más allá del impacto económico, determinadas sanciones pueden hacerse públicas y generar un efecto reputacional negativo.
Asimismo, la experiencia demuestra que una actuación bien planteada desde las primeras fases del expediente no solo incrementa las probabilidades de éxito, sino que también aporta tranquilidad y control en un escenario que, por su naturaleza, suele generar incertidumbre. Anticiparse, analizar cada detalle y actuar con criterio permite transformar una situación potencialmente perjudicial en una resolución mucho más favorable.
Antoni Faixó, Socio de Bartolome & Briones, España.
Si necesitas información, escríbenos a contacto@compliancelatam.legal.
29-10-2025 | Bartolome & Briones, Noticias
Vivimos en una era donde la regulación crece de forma exponencial. Cada año surgen nuevas normas, controles y requisitos que, lejos de aportar claridad, convierten el día a día del Compliance Officer en una carrera de obstáculos burocráticos.
En 2024 se publicaron en España un total de 1.298.086 páginas de normas en los boletines oficiales, unas 894 normas (Reales decretos, leyes, ordenes ministeriales o normas autonómicas u otras disposiciones de menor rango).
Esto significa que:
- Para estar al día, una persona debería leer unas 3.557 páginas diarias.
- El volumen total de páginas publicadas equivaldría a imprimir 811 Biblias o apilar hojas hasta la altura de un edificio de 40 plantas.
- El peso estimado de toda esa normativa sería similar al de 13 vacas.
Esta cuestión refleja una preocupación creciente en el sector: ¿Nos van a dejar crear valor para la sociedad o vamos a simplemente marcar casillas para evitar sanciones?
El compliance nació para crear valor: anticipar riesgos, fomentar la ética y ayudar a la empresa a ser mejor. Sin embargo, la sobreabundancia normativa ha transformado esta función en un ejercicio de supervivencia administrativa. El foco ya no está en prevenir ni en mejorar procesos, sino en demostrar, a toda costa, que se cumple la ley.
Esta dinámica genera varios problemas:
- Desgaste profesional: El Compliance Officer dedica más tiempo a justificar procedimientos que a analizar riesgos reales. Las horas invertidas en rellenar formularios, archivar evidencias y preparar informes para auditorías superan con creces el tiempo dedicado a la reflexión estratégica o a la formación de equipos.
- Pérdida de propósito: La función deja de ser estratégica y se convierte en un mero trámite. El cumplimiento se convierte en un fin en sí mismo, y no en un medio para construir una cultura.
- Desmotivación: Los equipos sienten que su trabajo no aporta valor tangible, sino que solo sirve para “cubrirse las espaldas”. La creatividad y la iniciativa se ven penalizadas por el temor a incumplir alguna norma menor, lo que genera frustración y apatía.
El resultado es una organización menos ágil, menos innovadora y más temerosa de equivocarse. El miedo a la sanción sustituye a la cultura de integridad. Y lo peor: se pierde la oportunidad de que el compliance sea un aliado del negocio, capaz de anticipar tendencias y aportar soluciones creativas. En lugar de ser vistos como socios estratégicos, los responsables de cumplimiento pasan a ser percibidos como “guardianes del no”, cuya principal función es poner trabas y advertir de riesgos, en vez de facilitar el crecimiento responsable.
Además, el exceso de regulación genera un efecto perverso: la proliferación de controles y procedimientos puede llevar a una falsa sensación de seguridad. Cumplir con todos los requisitos formales no garantiza que la organización actúe de manera ética ni que esté realmente protegida frente a los riesgos más relevantes. De hecho, la saturación normativa puede desviar la atención de los verdaderos problemas y fomentar una cultura de “cumplimiento mínimo”, donde lo importante es no ser sancionado, no hacer lo correcto.
Propuesta de cambio
Es imprescindible recuperar el sentido común. Para ello, propongo dos líneas de acción:
- Simplificación normativa: Abogar por marcos regulatorios más claros, coherentes y que defiendan la libertad empresarial, evitando la acumulación de normas redundantes o contradictorias.
- Enfoque en riesgos reales: Priorizar los recursos y esfuerzos en los riesgos que realmente pueden afectar a la sociedad.
Es hora de repensar nuestro modelo de organización social. Cumplir la ley es irrenunciable, pero no puede ser el único objetivo. Necesitamos menos normas y más criterio; menos papeles y más cultura; menos miedo y más valor. Si no cambiamos el enfoque, el compliance dejará de ser motor de confianza para convertirse en un simple notario de la burocracia.
Necesitamos Compliance Officers cuya función sea la de crear valor, y no la de cumplir con los infinitos caprichos del aparato regulador.
Alberto Benito, Global Head of Compliance en Grenergy Renovables
17-10-2025 | Bartolome & Briones, Noticias
1.¿Cómo comenzó tu carrera en el área de compliance? ¿Hay algún hito que te gustaría destacar?
Empecé mi carrera profesional en el área de forensic de una BIG4, principalmente llevando a cabo investigaciones internas corporativas para clientes nacionales y multinacionales, y asistiendo a clientes y despachos en distintos tipos de procedimientos mediante la elaboración de informes periciales. Los cambios regulatorios que se produjeron en España a principios de la década pasada, similares a los que hoy están ocurriendo en varios países de Latinoamérica, impulsaron de forma natural el asesoramiento a nuestros clientes en el diseño, desarrollo, e implementación de modelos de cumplimiento normativo, especialmente, en materia penal.
Un hito clave fue la primera imputación penal de una empresa cotizada en España, que marcó un antes y un después. Ese momento aceleró la profesionalización de la función y consolidó la cultura de cumplimiento como un pilar estratégico en las organizaciones. El compliance dejó de ser un “nice to have” para convertirse en un “must have”.
2.¿Qué retos enfrentaste al asumir el rol de Chief Compliance Officer en una empresa como Zelestra y cómo los abordaste?
Uno de los principales retos fue integrar la función de compliance en una organización en fuerte crecimiento, con presencia en múltiples geografías y culturas. Ha sido clave entender bien el negocio, construir relaciones de confianza con las distintas áreas y posicionar compliance como un facilitador, no como un obstáculo.
El tone at the top ha resultado fundamental para legitimar la función y consolidar su impacto en la organización.
3.En tu opinión, ¿Qué elementos consideras fundamentales para construir una cultura de cumplimiento efectiva dentro de una organización?
Desde mi punto de vista el liderazgo visible y coherente es el punto de partida. La cultura de cumplimiento se construye desde el ejemplo y ese ejemplo debe de venir de la dirección: se debe actuar con transparencia en todo el proceso de la toma de decisiones, con coherencia entre lo que se dice y lo que se hace, y con un compromiso real desde la alta dirección.
Asimismo, es clave la involucración y colaboración de todas las áreas. Para que el cumplimiento sea parte del día a día de los empleados, estos deben entender los beneficios del compliance y el “por qué” detrás de las normas. Por eso, la formación adaptada a cada realidad y contexto es esencial para generar ese compromiso.
4.¿Qué desafíos específicos presenta el cumplimiento normativo en el sector de las energías renovables?
Considero que el sector de las energías renovables presenta desafíos únicos en materia de cumplimiento, especialmente en entornos con marcos regulatorios en evolución.
Un reciente estudio agrupa los riesgos de este sector en tres grandes categorías: la inseguridad jurídica (falta de normas y marcos legales claros, lagunas en los procesos de permisos y licencias, procesos de licitaciones y adjudicaciones no completamente transparentes); una participación comunitaria deficiente (por ejemplo, en los procesos de consulta y de adquisición de tierras), y ciertos riesgos en el desarrollo y ejecución de proyectos (tales como posible corrupción, conflictos de interés, o tratos preferenciales).
Además, a medida que la inversión se desplaza hacia países con menor madurez regulatoria, estos riesgos se amplifican, lo que exige una función de compliance proactiva, con enfoque en la prevención, la transparencia y el diálogo con todos los grupos de interés.
5. ¿Cuál es el rol del Compliance Officer en asegurar que las prácticas relacionadas con la sostenibilidad sean reales y no solo una estrategia de marketing o greenwashing?
La creciente complejidad del entorno empresarial y social ha convertido la integración de las prácticas de sostenibilidad y cumplimiento en un elemento clave para el éxito de las organizaciones.
El rol del Compliance Officer en este contexto depende del grado de madurez y estructura de la organización. Idealmente el Compliance Officer debe actuar como integrador entre las áreas de sostenibilidad, operaciones, legal y reputación corporativa, y como catalizador de una cultura empresarial basada en la transparencia y la rendición de cuentas.
Esto implica, entre otras cosas, asegurarse de que los compromisos ESG estén respaldados por: políticas claras y alineadas con la normativa vigente; controles internos que aseguren la trazabilidad de las acciones; indicadores medibles y datos verificables; y procesos de reporte que reflejen fielmente la realidad operativa.
En sectores como el energético, donde los riesgos de greenwashing pueden ser especialmente sensibles, se debe intervenir desde etapas tempranas del proyecto, asegurando que los compromisos asumidos se cumplan y que la comunicación externa esté alineada con la ejecución real.
6.¿Qué riesgos regulatorios consideras más relevantes hoy en día para las empresas que operan en el sector de energías renovables?
Destacaría los siguientes riesgos regulatorios: en primer lugar, la inestabilidad normativa, que incluye tanto los cambios frecuentes en marcos legales como la complejidad de los procesos de permisos y licencias. Muy relacionado con este riesgo está la falta de armonización internacional, que dificulta la expansión global de las empresas del sector, obligándolas a adaptarse a entornos normativos diversos, lo que incrementa la carga de cumplimiento y los riesgos legales.
También es relevante el riesgo asociado a la infraestructura eléctrica, que puede generar cuellos de botella operativos y regulatorios, afectando a la integración efectiva de energías renovables.
A estos riesgos se suman otros emergentes, como la irrupción de nuevas tecnologías, que plantean desafíos regulatorios; y los riesgos derivados de la debida diligencia ambiental y social, cada vez más exigidos por normativas internacionales y expectativas de los stakeholders.
7.¿Cuál es el mayor reto en cuanto a compliance al trabajar con proyectos de hidrógeno verde, considerando que es una materia relativamente nueva y con regulación todavía en desarrollo?
Creo, que, en este caso, está claro que el principal reto desde un punto de vista de compliance es la incertidumbre regulatoria. Al tratarse de una tecnología emergente, muchas jurisdicciones aún no han definido marcos normativos claros. Esto obliga a las empresas a operar en un entorno de alta ambigüedad legal.
En este contexto, el área de compliance debe anticiparse a futuras exigencias, adoptando estándares voluntarios y buenas prácticas internacionales como referencia. Desde compliance, debemos trabajar estrechamente con las áreas técnicas, y legales, para identificar riesgos, establecer controles preventivos, y asegurar que los proyectos se desarrollen con criterios de integridad.
8.El sector energético suele involucrar múltiples socios y subcontratistas, ¿Cómo garantiza Zelestra que toda su cadena de valor cumpla con los estándares éticos y legales establecidos?
En Zelestra seguimos en proceso de mejora, si bien es cierto que en los últimos años hemos avanzado significativamente en la gestión de nuestra cadena de valor.
Tras identificar nuestros principales riesgos – estratégicos, operativos, financieros, medioambientales, de cumplimiento y de derechos humanos-, integramos la debida diligencia de terceros en nuestros sistemas de gestión y políticas corporativas.
A partir de ahí, procedimos a identificar, analizar y evaluar a nuestros terceros en función del riesgo. Para ello: (i) segmentamos las categorías de terceros con los que nos relacionamos (clientes, agentes, colaboradores, proveedores, subcontratistas, etc.); (ii) analizamos la naturaleza de cada relación comercial, incluyendo tipo de servicio, ubicación geográfica, materialidad financiera y ámbito operativo; y (iii) clasificamos a los terceros según el nivel de riesgo que podrían representar.
En función de esta clasificación, aplicamos medidas de debida diligencia proporcionales a su criticidad, apoyándonos en plataformas especializadas. Estas medidas incluyen: (i) controles de identificación durante el proceso de onboarding; (ii) medidas básicas en la fase de negociación y contractual; y (iii) medidas reforzadas a lo largo de la relación comercial, como el seguimiento continuo y evaluaciones periódicas.
La transparencia y la colaboración son esenciales para extender la cultura de cumplimiento más allá de los límites de la empresa, fortaleciendo así la integridad de toda nuestra cadena de valor.
Almudena Ruiz-Ruescas, Chief Compliance Officer en Zelestra España
