Am 17. September 2026 hat die Europäische Kommission ihren Vorschlag für den EU KIDS Act angenommen. Kurz gesagt: Jeder digitale Dienst, den ein Minderjähriger in der EU nutzen könnte – ein soziales Netzwerk, eine Videoplattform, ein Spiel, ein App Store oder ein KI-Chatbot –, muss nachweisen, dass er von vornherein sicher gestaltet ist, statt auf eine Beschwerde zu warten. Unter 13 gibt es überhaupt kein eigenständiges Konto. Zwischen 13 und 14 gibt es ein beaufsichtigtes Mini-Konto unter elterlicher Kontrolle. Eigenständige Konten beginnen ab 15. KI-Chatbots und KI-Begleiter sind für Minderjährige standardmäßig ausgeschaltet. Verstöße können mit Bußgeldern von bis zu 6 % des gesamten weltweiten Jahresumsatzes geahndet werden.

Der Vorschlag ist noch kein Gesetz – er muss noch mit dem Europäischen Parlament und den Mitgliedstaaten verhandelt werden. Doch die Richtung der Regulierung ist inzwischen klar genug, um technische Entscheidungen zu beeinflussen, die Sie heute in Ihrem Produkt treffen.

Was sich an der Regel tatsächlich geändert hat

Frühere Regeln stellten eine einzige Frage: Haben Sie den schädlichen Inhalt nach der Meldung entfernt? Der KIDS Act dreht das um und fragt stattdessen: Haben Sie den Dienst so gestaltet, dass jemand, der zu jung für die Nutzung ist, gar nicht erst hineinkommt? Die Kommission formuliert es selbst so, dass der Vorschlag die Beweislast umkehrt und sie dem Diensteanbieter auferlegt.

Der Anwendungsbereich ist breiter, als die meisten annehmen. Es geht nicht nur um die großen sozialen Plattformen. Erfasst sind Spiele, App Stores und Video-Sharing-Dienste mit nachweislich riskanten Funktionen, und ausdrücklich auch KI-Chatbots und KI-Begleiter. Anders gesagt: Wenn Ihr Produkt einen Assistenten hat, der mit dem Nutzer spricht, fallen Sie in den Anwendungsbereich, auch wenn Sie kein Social-Media-Unternehmen sind.

Die Klausel, die für jeden zählt, der einen KI-Assistenten eingebaut hat

Das ist der wichtigste Teil für jedes Unternehmen, das in den letzten zwei Jahren einen Chatbot an seinen Shop oder seine App angeflanscht hat. Der Vorschlag verlangt, dass KI-Begleiter keine menschlichen Beziehungen auf eine Weise simulieren dürfen, die wahrscheinlich emotionale Abhängigkeit erzeugt. In der Praxis bedeutet das ein anderes Standardverhalten: Gespräche übernehmen standardmäßig kein Gedächtnis von einer Sitzung in die nächste, und der Zugang für unter 13-Jährige läuft ausschließlich über die elterliche Kontrolle.

Hinzu kommt eine Pflicht, die mit der Oberfläche nichts zu tun hat: Chatbots müssen vor dem Start auf Risiken für die Sicherheit von Kindern getestet und danach überwacht werden. Wer einen KI-Assistenten ohne überprüfbares Gesprächsprotokoll und ohne Möglichkeit betreibt, sein Verhalten zu messen, wird feststellen, dass er auf Nachfrage nichts beweisen kann.

Altersnachweis heißt nicht, Ausweisfotos zu sammeln

Das häufigste Missverständnis lautet, dass Altersverifikation das Sammeln von Ausweisdokumenten der Nutzer bedeutet – das Schlimmste, was Sie Ihrer eigenen Datenbank antun können. Der Text der Kommission geht in die andere Richtung: Die Verifikation läuft über zertifizierte, plattformunabhängige Lösungen, darunter eine kostenlose EU-App zur Altersverifikation und die Europäische Brieftasche für die Digitale Identität, und nutzt Zero-Knowledge-Proof-Technologie, sodass die Plattform eine Ja-oder-Nein-Antwort zu einer Altersschwelle erhält, ohne zu erfahren, wer der Nutzer ist oder wo er sich befindet.

Dieses Design lohnt sich auch weit außerhalb Europas zu übernehmen. Das allgemeine Prinzip: Nehmen Sie die Antwort, die Sie brauchen, nicht die Daten, die sie erzeugen. Wenn Ihre Entscheidung „erlauben oder ablehnen“ lautet, brauchen Sie einen einzigen Boolean – keinen Datensatz mit Geburtsdatum und Ausweisnummer, der für immer zu Ihrer Sicherheitshaftung wird.

Es gibt ein operatives Detail, das viele übersehen werden: bestehende Konten. Der Vorschlag verpflichtet Anbieter, bestehende Konten Minderjähriger innerhalb von sechs Monaten nach Inkrafttreten der Regeln zu deaktivieren. Die Arbeit beschränkt sich also nicht auf einen neuen Registrierungsbildschirm; sie reicht in Ihre aktuelle Nutzerbasis hinein und in das, was Sie tatsächlich über sie wissen.

Designmuster, die früher als cleveres Wachstum galten und jetzt Verstöße sind

Ein großer Teil des Vorschlags handelt gar nicht von Inhalten, sondern von Oberflächenmechaniken, die darauf ausgelegt sind, die Sitzung zu verlängern. Für Minderjährige umfasst die Verbotsliste:

  • Endloses Autoplay und unendliches Scrollen ohne echte Pause.
  • Benachrichtigungen, die den Nutzer zurückholen sollen und mit nichts zusammenhängen, was er tatsächlich getan hat.
  • Belohnungen für Beiträge an ein Massenpublikum.
  • Streak-Mechaniken, die einen Nutzer dafür bestrafen, einen Tag auszulassen.
  • Auf Tracking basierende Empfehlungsfeeds, Nachrichten von Fremden und standardmäßig öffentliche Profile.

Die Lehre für nicht-soziale Produkte: Genau diese Muster stecken in vielen Treue-Apps, Shops und Bildungs-Apps. Wenn ein Teil Ihres Wachstumsmodells auf einer täglichen Streak und abendlichen Benachrichtigungen beruht, sollten Sie verstehen, dass dieses Modell unter wachsendem regulatorischem Druck steht – und nicht nur in Europa.

Betrifft Sie das als saudisches Unternehmen?

In drei klaren Fällen. Erstens, wenn Sie Nutzer in der EU haben: Europäische Regeln folgen dem Nutzer, nicht dem Firmensitz, und ein saudisches Spiel oder eine Bildungs-App, die weltweit in beiden Stores veröffentlicht ist, fällt darunter. Zweitens, wenn Sie Zulieferer einer europäischen Einrichtung sind; dann erreicht Sie die Pflicht über den Vertrag und die Audit-Anforderungen. Drittens, und das trifft in der Praxis am häufigsten: Die beiden App Stores übersetzen solche Regeln in Veröffentlichungsbedingungen. Was als europäische Regulierung beginnt, endet meist als Klausel in der Prüfung von App Store und Google Play, die für alle gilt.

Auf lokaler Ebene behandelt das saudische Gesetz zum Schutz personenbezogener Daten (PDPL) bereits die Daten von Personen ohne volle Geschäftsfähigkeit, verlangt in diesen Fällen die Zustimmung des Vormunds und verpflichtet Sie zur Datenminimierung. Der Unterschied ist, dass der europäische Vorschlag eine Produktdesign-Ebene über die Datenschutz-Ebene legt. Die gute Nachricht: Wer sich auf das eine vorbereitet, hat sich fast schon auf das andere vorbereitet.

Was Ihr Technikteam in diesem Quartal tun sollte

Sie brauchen jetzt kein großes Compliance-Programm – vier Schritte, die in wenige Wochen passen, genügen:

  • Kennen Sie das Alter Ihrer Nutzer. Weiß Ihr System überhaupt, welche Nutzer minderjährig sein könnten? Die meisten Produkte können das nicht beantworten, und das ist die erste Lücke.
  • Trennen Sie Einstellungen für Minderjährige und Erwachsene im Code. Machen Sie daraus ein umschaltbares Flag in der Berechtigungsschicht, keine über die Oberfläche verstreute Bedingung.
  • Korrigieren Sie die Standardeinstellungen. KI-Assistent aus, Profil privat, keine Nachrichten von Fremden, keine nächtlichen Benachrichtigungen. Eine Standardeinstellung zu ändern ist weit günstiger, als später eine Funktion neu zu bauen.
  • Dokumentieren Sie die Tests. Wenn Sie einen Chatbot betreiben, führen Sie für jedes Release einen Nachweis über Sicherheitstests. Das Dokument selbst ist Ihr Beleg.

Die Regel, nach der wir bei Origami bauen, ist einfach: Ein Design, das das Alter seines Nutzers nicht kennt, kann ihn nicht schützen – und Sie auch nicht. Alles oben Genannte lässt sich in jedem sauber gebauten Produkt ohne Neuentwicklung umsetzen.

Quellen