El 17 de septiembre de 2026, la Comisión Europea adoptó su propuesta de EU KIDS Act. En resumen: cualquier servicio digital que pueda usar un menor en la UE —una red social, una plataforma de vídeo, un juego, una tienda de aplicaciones o un chatbot de IA— tiene que demostrar que es seguro desde el diseño, en lugar de esperar a una denuncia. Por debajo de 13 años, ninguna cuenta independiente. Entre 13 y 14 años, una minicuenta supervisada bajo control parental. Las cuentas independientes empiezan a los 15. Los chatbots y compañeros de IA están desactivados por defecto para los menores. El incumplimiento conlleva multas de hasta el 6 % del volumen de negocio anual mundial total.

La propuesta aún no es ley: todavía debe negociarse con el Parlamento Europeo y los Estados miembros. Pero la dirección de la regulación ya es lo bastante clara como para afectar a las decisiones técnicas que estás tomando hoy en tu producto.

Qué cambió realmente en la norma

Las normas anteriores hacían una sola pregunta: ¿retiraste el contenido dañino después de que se denunciara? La KIDS Act le da la vuelta y pregunta en cambio: ¿diseñaste el servicio para que alguien demasiado joven para usarlo nunca entrara? La propia Comisión plantea que la propuesta invierte la carga de la prueba y la pone sobre el proveedor del servicio.

El alcance es más amplio de lo que la mayoría supone. No se trata solo de las grandes plataformas sociales. Abarca juegos, tiendas de aplicaciones y servicios para compartir vídeos con funciones de riesgo demostrado, y abarca expresamente los chatbots y compañeros de IA. Dicho de otro modo: si tu producto tiene un asistente que habla con el usuario, estás dentro del alcance aunque no seas una empresa de redes sociales.

La cláusula que importa a quien haya añadido un asistente de IA

Esta es la parte más importante para cualquier negocio que haya acoplado un chatbot a su tienda o app en los últimos dos años. La propuesta exige que los compañeros de IA no simulen relaciones humanas de formas que puedan crear dependencia emocional. En la práctica, eso se traduce en un comportamiento por defecto distinto: las conversaciones no conservan memoria entre sesiones por defecto, y el acceso para menores de 13 años solo funciona a través del control parental.

También añade una obligación que no tiene nada que ver con la interfaz: los chatbots deben someterse a pruebas de riesgos para la seguridad infantil antes del lanzamiento y supervisarse después. Quien opere un asistente de IA sin un registro de conversaciones revisable y sin una forma de medir cómo se comporta descubrirá que no puede demostrar nada cuando se lo pidan.

Garantizar la edad no significa recopilar fotos de documentos

El malentendido más común es que verificar la edad significa recopilar documentos de identidad de los usuarios, que es lo peor que puedes hacerle a tu propia base de datos. El texto de la Comisión va en sentido contrario: la verificación se realiza mediante soluciones certificadas independientes de las plataformas, incluida una app gratuita de verificación de edad de la UE y la Cartera Europea de Identidad Digital, y utiliza tecnología de prueba de conocimiento cero para que la plataforma reciba una respuesta de sí o no sobre un umbral de edad sin saber quién es el usuario ni dónde está.

Ese diseño merece copiarse mucho más allá de Europa. El principio general: toma la respuesta que necesitas, no los datos que la producen. Si tu decisión es permitir o denegar, necesitas un solo booleano, no un registro con una fecha de nacimiento y un número de documento que se convierta para siempre en tu responsabilidad de seguridad.

Hay un detalle operativo que muchos pasarán por alto: las cuentas existentes. La propuesta exige a los proveedores desactivar las cuentas existentes de menores en un plazo de seis meses desde que las normas entren en vigor. Así que el trabajo no se limita a una nueva pantalla de registro; llega a tu base de usuarios actual y a lo que realmente sabes de ella.

Patrones de diseño que antes contaban como astucia de crecimiento y ahora son infracciones

Gran parte de la propuesta no trata del contenido en absoluto, sino de mecánicas de interfaz creadas para alargar la sesión. Para los menores, la lista de prohibiciones incluye:

  • Reproducción automática sin fin y desplazamiento infinito sin una pausa real.
  • Notificaciones diseñadas para hacer volver al usuario que no guardan relación con nada que haya hecho realmente.
  • Recompensas por publicar para audiencias masivas.
  • Mecánicas de rachas que penalizan al usuario por saltarse un día.
  • Feeds de recomendación basados en el seguimiento, mensajes de desconocidos y perfiles públicos por defecto.

La lección para los productos que no son sociales: esos mismos patrones viven dentro de muchas apps de fidelización, tiendas y apps educativas. Si parte de tu modelo de crecimiento se apoya en una racha diaria y en notificaciones nocturnas, debes entender que ese modelo está bajo una presión regulatoria creciente, y no solo en Europa.

¿Te afecta esto como empresa saudí?

En tres casos claros. Primero, si tienes usuarios dentro de la UE: las normas europeas siguen al usuario, no a la sede de la empresa, y un juego o una app educativa saudí publicados globalmente en ambas tiendas cumplen ese criterio. Segundo, si eres proveedor de una entidad europea, en cuyo caso la obligación te llega a través del contrato y de los requisitos de auditoría. Tercero, y el que más se nota en la práctica: las dos tiendas de aplicaciones traducen normas como estas en condiciones de publicación. Lo que empieza como regulación europea suele acabar como una cláusula en la revisión de la App Store y Google Play que se aplica a todos.

A nivel local, la Ley de Protección de Datos Personales (PDPL) de Arabia Saudí ya trata los datos de las personas que carecen de plena capacidad jurídica, exige el consentimiento del tutor en esos casos y te obliga a la minimización de datos. La diferencia es que la propuesta europea añade una capa de diseño de producto encima de la capa de protección de datos. La buena noticia es que prepararse para una es casi prepararse para la otra.

Qué debería hacer tu equipo técnico este trimestre

No necesitas ahora un gran programa de cumplimiento; bastan cuatro pasos que caben en unas semanas:

  • Conoce las edades. ¿Sabe siquiera tu sistema qué usuarios podrían ser menores? La mayoría de los productos no pueden responder a eso, y es la primera carencia.
  • Separa en el código la configuración de menores de la de adultos. Conviértela en una marca conmutable en la capa de permisos, no en una condición dispersa por la interfaz.
  • Corrige los valores por defecto. Asistente de IA desactivado, perfil privado, sin mensajes de desconocidos, sin notificaciones nocturnas. Cambiar un valor por defecto es mucho más barato que reconstruir una función más adelante.
  • Documenta las pruebas. Si tienes un chatbot, conserva un registro de pruebas de seguridad de cada versión. El propio documento es tu evidencia.

La regla con la que construimos en Origami es sencilla: un diseño que no conoce la edad de su usuario no puede protegerlo, y tampoco puede protegerte a ti. Todo lo anterior se puede implementar en cualquier producto bien construido sin reescribirlo.

Fuentes