EU Kids Act: redes sociales a partir de 15 y verificación obligatoria

Lo que la Comisión Europea va a poner sobre la mesa el jueves

La Comisión Europea presenta el jueves 17 de septiembre de 2026 la propuesta de EU Kids Act, su nueva ley para limitar el impacto de redes sociales, videojuegos e IA conversacional sobre los menores. La presentación llega un día después del discurso sobre el estado de la Unión de Ursula von der Leyen en Estrasburgo, lo que sitúa a la infancia digital como tema central de la agenda política del otoño europeo. Junto a Von der Leyen comparecerá Henna Virkkunen, comisaria de Tecnología.

El borrador, adelantado por Euractiv y confirmado por Bloomberg, ya fija algunas piezas clave:

Edad mínima de 15 años para una «cuenta autónoma» en redes sociales y plataformas de vídeo.
De 13 a 14 años, solo se permitirán cuentas «introductorias» con número limitado de contactos, tiempo diario acotado y supervisión parental mediante una app de control.
De 3 a 13 años, solo acceso a cuentas plenamente controladas por los padres.
De 0 a 3 años, ningún acceso a redes sociales.
Videojuegos: recomendación de edad obligatoria en cada título, con verificación en la tienda de aplicaciones antes de la descarga.
Chatbots de IA generativa y servicios de IA «de riesgo para menores» entran en el mismo régimen.

El régimen sancionador se modela sobre el Digital Services Act (DSA) y el AI Act: multas proporcionales a la facturación global, más una tasa de supervisión que las plataformas pagarán a la Comisión.

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Por qué este enfoque es distinto a la ley española, a la francesa o a la australiana

La pieza conceptual no es la edad, es el safe by design («seguro por defecto»). En lugar de centrarse en qué contenido ven los menores, la Comisión ataca los mecanismos de diseño que incentivan el uso excesivo: sin scroll infinito, sin notificaciones adictivas, sin recomendaciones que creen «efectos madriguera», y con sistemas de reporte y control parental integrados en el propio producto.

Este giro se separa de lo que ya hacen los estados miembros:

Francia prohíbe redes sociales a menores de 15 sin consentimiento parental.
España persigue el umbral de 16.
Austria trabaja con 14, Dinamarca con 15, Noruega con 16.
Australia fue el primer país del mundo con prohibición nacional para menores de 16, en vigor desde el 10 de diciembre de 2025, con multas de hasta 54,6 millones de dólares australianos (unos 77 millones de USD) a las 10 grandes plataformas, que el gobierno duplicó a 99 millones AUD (unos 139 millones USD) en junio.

El borrador europeo apunta a algo que las leyes nacionales no pueden: cobertura uniforme en los 27 para servicios que cruzan fronteras, y un estándar técnico único para que una plataforma que cumple en España no tenga que rehacer su arquitectura para Alemania.

El elefante en la sala: el problema de verificar la edad sin romper la privacidad

Para hacer cumplir un límite de edad, hace falta saber la edad del usuario. Y eso choca de frente con el GDPR, el DSA y con la propia jurisprudencia del Tribunal Europeo de Derechos Humanos.

La Comisión presentó el 15 de abril su app de verificación de edad basada en pruebas de conocimiento cero (zero-knowledge proofs), presentada por Von der Leyen como «completamente anónima» y «open source». Pavel Durov, fundador de Telegram, y el consultor de seguridad Paul Moore fueron de los primeros en señalar que la verificación se rompía «en menos de dos minutos»: la imagen original del pasaporte o del selfie quedaba sin cifrar en el dispositivo y no podía borrarse. Moore lo resumió así: «la app confía en el dispositivo, y eso es game over instantáneo». Un portavoz de la Comisión confirmó a The Independent que la versión lanzada era una demo «que siempre puede mejorar».

The Next Web describió el problema de fondo: «Europa quiere proteger a los niños, pero cada herramienta que construye choca con la arquitectura de privacidad que ha pasado una década levantando». El ePrivacy derogation que permitía a Meta, Google y Microsoft escanear mensajes privados en busca de material de abuso sexual expiró el 3 de abril tras una votación parlamentaria de 311 a 228 en contra de extenderla. La regulación que debía reemplazarla, el llamado Chat Control (CSA Regulation), sigue bloqueada en trílogos desde 2022.

Qué dice la experiencia australiana, el caso de prueba que miran todos los reguladores

Australia lleva casi un año con la prohibición nacional para menores de 16. El regulador eSafety publicó en agosto su informe de los primeros tres meses: más del 80 % de los menores de 16 seguían usando redes sociales en marzo de 2026, con un uso diario prácticamente igual al de antes de la ley (58 % frente a 60 %). La mitad de los que conservaron su cuenta dijo que las plataformas «no les habían pedido la edad», y muchos figuraban registrados como mayores de 16 sin verificación real.

Como contrapartida, 4,7 millones de cuentas identificadas como de menores fueron revocadas por las plataformas en las primeras semanas tras la entrada en vigor. Reddit llevó el caso al Tribunal Supremo australiano, que aún no se ha pronunciado. El gobierno australiano defiende que «nunca esperó un 100 % de cumplimiento» y que la ley «ya cambió la conversación nacional». En paralelo, Meta acumula casi 1.000 millones de dólares en sanciones en 2026 en EEUU por casos relacionados con daños a usuarios jóvenes, según Smithsonian Magazine.

La lectura para Bruselas es incómoda: si la herramienta de verificación falla en Australia con un mercado único y digitalmente maduro, el reto técnico en 27 países con sistemas de identificación digital muy desiguales es aún mayor.

¿Qué significa esto para tu startup?

Si operas en la UE o vendes a menores europeos, este texto te toca directamente. Aunque la colegislación lleve entre uno y dos años, el diseño de producto se decide ahora.

Acciones concretas que podés tomar ya:

Audita tu arquitectura de onboarding. ¿Cómo verificás hoy la edad de un nuevo usuario? Si depende de autodeclaración, un formulario o una fecha de nacimiento tipeada, asume que no es suficiente. Empezá a diseñar un flujo compatible con la futura app europea o con verificación equivalente.
Revisá tus mecánicas de retención. Scroll infinito, push notifications, recomendaciones algorítmicas no modulables y streaks que premian volver cada día son los primeros puntos que un regulador va a pedirte justificar. Documentá qué métricas de negocio dependen de cada uno y qué pasa si los limitás para cuentas «de menor» o «introductorias».
Mapeá tu superficie regulada. Si vendes un juego, un chatbot o una red social con audiencia menor, vas a quedar dentro del Kids Act. Si dependés de una plataforma de distribución (app stores), pedí a tus partners cuál será su política de verificación y qué requisitos van a trasladarte a vos como publisher.
Prevé el peor escenario de enforcement. Las multas se calculan sobre facturación global, no regional. Una sanción del 6 % sobre ventas worldwide puede superar el cash que tenés en caja. Reservá provisiones y blindales contractualmente en acuerdos con publishers, redes de ads y marketplaces.

El jueves sabremos la edad. Pero el cambio de fondo —pasar de regular contenido a regular diseño— ya está en el texto y obliga a repensar el producto, no solo el cumplimiento.