Illinois HB5511: Linux y open source obligados a verificar edad para 2028

Illinois aprueba ley que obliga a Linux y sistemas operativos a verificar edad de usuarios

El 31 de julio de 2026, el gobernador de Illinois JB Pritzker firmó la ley HB5511, conocida como Children's Social Media Safety Act (Ley de Seguridad de Redes Sociales para Niños). Lo que comenzó como una iniciativa para regular plataformas como TikTok e Instagram terminó incluyendo una definición amplia de "proveedor de sistema operativo" que abarca a cualquier desarrollador de sistemas operativos conectados a internet, incluidos proyectos de código abierto como Linux. La ley establece que para el 1 de enero de 2028, todos los sistemas operativos deberán implementar un paso de declaración de edad durante la configuración del dispositivo y proporcionar una señal de rango de edad a cualquier aplicación que la solicite.

Según la ley, las sanciones civiles pueden llegar hasta $7,500 por niño afectado por violaciones intencionales, aunque el comunicado del gobernador menciona multas de hasta $50,000 por infracción. La ley fue aprobada por unanimidad en ambas cámaras: 57-0 en el Senado y 113-0 en la Cámara de Representantes.

¿Qué exige exactamente la ley HB5511?

La legislación crea una nueva categoría legal llamada "proveedor de sistema operativo" y agrupa a fabricantes de dispositivos, proveedores de sistemas operativos y tiendas de aplicaciones bajo el término "fabricante cubierto". Para enero de 2028, estos fabricantes deben construir:

👥 ¿Quieres ir más allá de la noticia?

En nuestra comunidad discutimos las tendencias, compartimos oportunidades y nos ayudamos entre emprendedores. Sin humo, solo acción.

👥 Unirme a la comunidad

Una pantalla de configuración accesible que solicite al titular de la cuenta indicar una fecha de nacimiento, una edad o ambos
Un mecanismo para que cualquier aplicación o plataforma que lo solicite reciba una señal de esa edad, entregada a través de una API consistente y encriptada
Un límite estricto sobre lo que se comparte: solo la información mínima necesaria para responder la pregunta

La señal en sí no es una fecha de nacimiento completa, sino un rango: menor de 13 años, 13 a 15, 16 a 17, o 18 años o más. Las aplicaciones tienen hasta el 1 de julio de 2028 para comenzar a solicitar esta señal. Una vez que una aplicación recibe un rango "menor", la ley la trata como si tuviera conocimiento real de que el usuario es menor de edad, lo que activa todas las protecciones predeterminadas en la mitad de la ley dedicada a redes sociales.

La diferencia crucial: Illinois no incluye exención para código abierto

Este modelo de verificación de edad a nivel de sistema operativo ya había aparecido en Colorado y California, pero ambos estados corrigieron sus leyes para excluir proyectos de código abierto. Según Linux Stans, Colorado arregló el problema cuando el fundador de System76, Carl Richell, trabajó directamente con el coautor del proyecto de ley, el senador estatal Matt Ball. La versión final de Colorado exime a sistemas operativos, aplicaciones, repositorios de código como GitHub y GitLab, y plataformas de contenedores como Docker y Podman, siempre que se distribuyan bajo una licencia abierta.

California está intentando llegar al mismo lugar. Su ley original, AB-1043, tenía la misma brecha. La asambleísta Buffy Wicks, quien escribió ese proyecto, presentó un seguimiento, AB-1856, específicamente para redefinir "proveedor de sistema operativo" para excluir a cualquiera que distribuya software bajo esos mismos términos abiertos.

Illinois omitió completamente este paso. Las definiciones de HB5511 para "fabricante cubierto" y "tienda de aplicaciones" siguen siendo tan amplias como lo eran los proyectos de ley de Colorado y California antes de que alguien los corrigiera. Esto significa que distribuciones de Linux como Ubuntu, Fedora, Debian y proyectos comunitarios sin fines de lucro teóricamente estarían sujetos a los mismos requisitos que Google, Microsoft y Apple.

¿Quién se opone a esta ley?

Antes de que Pritzker firmara la ley, la Electronic Frontier Foundation (EFF) le envió una carta pidiendo un veto, calificando el proyecto como "una pesadilla masiva de privacidad y libertad de expresión" y nombrando específicamente al ecosistema de código abierto como una de las cosas que ponía en riesgo.

Por razones muy diferentes, NetChoice, el grupo comercial que cuenta con empresas como Google y Meta entre sus miembros, presentó testimonio oponiéndose al mismo proyecto de ley. Su objeción se basaba en la ley de la Primera Enmienda y el riesgo de exponer datos sensibles de usuarios, no específicamente en el código abierto. Es una pareja extraña: una organización sin fines de lucro de derechos digitales y el brazo de lobby de las plataformas que el proyecto de ley supuestamente debe regular, argumentando en contra del mismo proyecto de ley por razones opuestas.

¿Qué significa esto para tu startup?

Esta ley representa un punto de inflexión regulatorio que afectará a cualquier startup que desarrolle software, especialmente si opera en Estados Unidos o tiene usuarios en Illinois. Aquí hay tres acciones concretas que debes considerar:

1. Evalúa tu exposición regulatoria Si tu startup desarrolla sistemas operativos, distribuciones Linux, firmware para dispositivos IoT o cualquier software que funcione como sistema operativo, necesitas entender si caes bajo la definición de "proveedor de sistema operativo" o "fabricante cubierto". La ley se aplica a cualquier sistema operativo conectado a internet, comercial o sin fines de lucro. Incluso si no tienes presencia comercial en Illinois, si tus usuarios están allí, técnicamente estás sujeto.

2. Prepara tu infraestructura para la verificación de edad La ley requiere que para 2028, los sistemas operativos tengan una API estandarizada y encriptada para compartir rangos de edad con las aplicaciones. Si tu startup desarrolla software que podría considerarse un sistema operativo o plataforma, comienza a planificar cómo implementarás:

Un flujo de configuración que solicite edad/fecha de nacimiento
Una API segura para compartir solo el rango de edad (no la fecha exacta)
Mecanismos de privacidad que limiten el intercambio de datos

3. Sigue el precedente de Colorado y California La comunidad de código abierto logró exenciones en Colorado y está trabajando en ellas en California. Si tu startup está basada en código abierto, considera unirte a esfuerzos de lobby similares en Illinois. El fundador de System76, Carl Richell, demostró que la participación directa con legisladores puede cambiar resultados. La fecha límite es enero de 2028, pero el proceso de enmienda puede comenzar antes.

El panorama regulatorio se está endureciendo

Illinois es el tercer estado en implementar este tipo de legislación después de Colorado y California, según The WinePress. A nivel federal, el Congreso también ha introducido un proyecto de ley que exigiría la verificación de edad de los sistemas operativos a nivel nacional. Este patrón sugiere una tendencia regulatoria que se extenderá a más estados y posiblemente se convierta en ley federal.

Para las startups, esto significa que la verificación de edad ya no es solo una función opcional de las redes sociales, sino un requisito potencial a nivel de sistema operativo. Las empresas que anticipen estos cambios y diseñen sus productos con la privacidad y el cumplimiento desde el principio tendrán una ventaja competitiva significativa.

¿Se puede hacer cumplir realmente esta ley contra proyectos de código abierto?

Según el análisis de Linux Stans, solo el Fiscal General de Illinois puede presentar un caso. No hay derecho de acción privada, por lo que un individuo no puede demandar personalmente. La multa civil escrita en el proyecto de ley es de hasta $2,500 por niño afectado por una violación negligente y hasta $7,500 por niño afectado por una intencional.

En la práctica, nada en el proyecto de ley tiene dientes contra alguien sin presencia comercial en Illinois, que es exactamente la laguna jurídica que muchos mantenedores de distribuciones Linux podrían usar. Los proveedores que no pueden ignorar esto son los que ya hacen negocios reales en el estado, es decir, Google, Microsoft, Apple y cualquier proveedor de Linux con ingresos reales en Illinois.

El futuro: ¿Illinois se convertirá en el modelo que otros estados copien?

La fecha límite de cumplimiento es aún más de un año, lo que deja espacio para que sucedan algunas cosas antes de que importe. NetChoice ya ha impugnado leyes comparables de redes sociales y verificación de edad en Mississippi, Colorado, California, Louisiana, Georgia y Ohio, con resultados mixtos: algunas disposiciones bloqueadas, otras confirmadas.

Dado ese historial, un desafío a HB5511 específicamente no sería una sorpresa. También hay espacio para una enmienda que agregue la misma exención de código abierto que Colorado y California lograron. O hay espacio para que nada cambie, en cuyo caso Illinois se convierte en la versión que otros estados copian en lugar de la excepción.

Lo que suceda probablemente dependerá de si la comunidad de código abierto se presenta en Springfield de la misma manera que Carl Richell se presentó en Denver. Esta vez nadie lo hizo. Todavía hay tiempo para cambiar eso antes de que el 1 de enero de 2028 se convierta en una fecha límite que realmente afecte.