Il 17 settembre 2026 la Commissione europea ha adottato la sua proposta di EU KIDS Act. In breve: qualsiasi servizio digitale che un minore nell'UE potrebbe usare — un social network, una piattaforma video, un gioco, un app store o un chatbot di IA — deve dimostrare di essere sicuro fin dalla progettazione, invece di aspettare una segnalazione. Sotto i 13 anni, nessun account indipendente. Tra i 13 e i 14 anni, un mini account supervisionato con controllo parentale. Gli account indipendenti partono dai 15 anni. Chatbot e compagni di IA sono disattivati per impostazione predefinita per i minori. Il mancato rispetto comporta sanzioni fino al 6% del fatturato annuo mondiale totale.

La proposta non è ancora legge: deve ancora essere negoziata con il Parlamento europeo e gli Stati membri. Ma la direzione della regolamentazione è ormai abbastanza chiara da incidere sulle decisioni tecniche che stai prendendo oggi nel tuo prodotto.

Cosa è cambiato davvero nella regola

Le regole precedenti ponevano una sola domanda: hai rimosso il contenuto dannoso dopo che è stato segnalato? Il KIDS Act ribalta la prospettiva e chiede invece: hai progettato il servizio in modo che chi è troppo giovane per usarlo non entrasse mai? La stessa Commissione presenta la proposta come un'inversione dell'onere della prova, che viene posto sul fornitore del servizio.

L'ambito è più ampio di quanto la maggior parte delle persone immagini. Non riguarda solo le grandi piattaforme social. Copre giochi, app store e servizi di condivisione video con funzionalità di rischio comprovato, e copre esplicitamente chatbot e compagni di IA. In altre parole: se il tuo prodotto ha un assistente che parla con l'utente, rientri nell'ambito anche se non sei un'azienda di social media.

La clausola che conta per chi ha aggiunto un assistente di IA

Questa è la parte più importante per qualsiasi azienda che negli ultimi due anni abbia agganciato un chatbot al proprio negozio o alla propria app. La proposta richiede che i compagni di IA non simulino relazioni umane in modi che possano creare dipendenza emotiva. In pratica ciò si traduce in un comportamento predefinito diverso: per impostazione predefinita le conversazioni non conservano memoria da una sessione all'altra, e l'accesso per i minori di 13 anni passa solo attraverso il controllo parentale.

Aggiunge inoltre un obbligo che non ha nulla a che fare con l'interfaccia: i chatbot devono essere testati per i rischi per la sicurezza dei minori prima del lancio e monitorati dopo. Chi gestisce un assistente di IA senza un registro delle conversazioni verificabile e senza un modo per misurarne il comportamento scoprirà di non poter dimostrare nulla quando gli verrà chiesto.

Garantire l'età non significa raccogliere foto dei documenti

Il malinteso più comune è che verificare l'età significhi raccogliere documenti d'identità degli utenti, che è la cosa peggiore che tu possa fare al tuo database. Il testo della Commissione va nella direzione opposta: la verifica avviene tramite soluzioni certificate indipendenti dalle piattaforme, tra cui un'app UE gratuita per la verifica dell'età e il Portafoglio europeo di Identità Digitale, e utilizza la tecnologia delle prove a conoscenza zero, così la piattaforma riceve una risposta sì o no su una soglia di età senza sapere chi è l'utente né dove si trova.

Vale la pena copiare questo design ben oltre l'Europa. Il principio generale: prendi la risposta che ti serve, non i dati che la producono. Se la tua decisione è consentire o negare, ti serve un solo booleano, non un record con data di nascita e numero di documento che diventa per sempre una tua responsabilità in materia di sicurezza.

C'è un dettaglio operativo che molti trascureranno: gli account esistenti. La proposta impone ai fornitori di disattivare gli account esistenti dei minori entro sei mesi dall'entrata in vigore delle regole. Il lavoro quindi non si limita a una nuova schermata di registrazione; arriva fino alla tua base utenti attuale e a ciò che sai davvero di essa.

Pattern di design che un tempo erano trovate di crescita e ora sono violazioni

Gran parte della proposta non riguarda affatto i contenuti, ma le meccaniche dell'interfaccia costruite per allungare la sessione. Per i minori, l'elenco dei divieti comprende:

  • Riproduzione automatica senza fine e scorrimento infinito senza una vera pausa.
  • Notifiche pensate per far tornare l'utente che non hanno alcun legame con qualcosa che abbia effettivamente fatto.
  • Ricompense per pubblicare verso un pubblico di massa.
  • Meccaniche di serie consecutive che penalizzano l'utente se salta un giorno.
  • Feed di raccomandazione basati sul tracciamento, messaggi da sconosciuti e profili pubblici per impostazione predefinita.

La lezione per i prodotti non social: quegli stessi pattern vivono dentro molte app fedeltà, negozi e app educative. Se parte del tuo modello di crescita si basa su una serie giornaliera e su notifiche serali, sappi che questo modello è sotto una pressione normativa crescente, e non solo in Europa.

Ti riguarda come azienda saudita?

In tre casi chiari. Primo, se hai utenti all'interno dell'UE: le regole europee seguono l'utente, non la sede dell'azienda, e un gioco o un'app educativa saudita pubblicati a livello globale su entrambi gli store rientrano nel caso. Secondo, se sei fornitore di un ente europeo, nel qual caso l'obbligo ti raggiunge attraverso il contratto e i requisiti di audit. Terzo, e quello che più spesso morde nella pratica: i due app store traducono regole come queste in condizioni di pubblicazione. Ciò che nasce come regolamentazione europea di solito finisce come una clausola nella revisione di App Store e Google Play valida per tutti.

A livello locale, la Legge sulla protezione dei dati personali (PDPL) dell'Arabia Saudita disciplina già i dati delle persone prive di piena capacità giuridica, richiede in questi casi il consenso del tutore e ti vincola alla minimizzazione dei dati. La differenza è che la proposta europea aggiunge un livello di design del prodotto sopra il livello di protezione dei dati. La buona notizia è che prepararsi all'uno equivale quasi a prepararsi all'altro.

Cosa dovrebbe fare il tuo team tecnico in questo trimestre

Non ti serve subito un grande programma di conformità: bastano quattro passi che stanno in poche settimane:

  • Conosci le età. Il tuo sistema sa almeno quali utenti potrebbero essere minori? La maggior parte dei prodotti non sa rispondere, ed è la prima lacuna.
  • Separa nel codice le impostazioni per minori da quelle per adulti. Rendile un flag attivabile nel livello dei permessi, non una condizione sparsa nell'interfaccia.
  • Correggi le impostazioni predefinite. Assistente di IA spento, profilo privato, nessun messaggio da sconosciuti, nessuna notifica notturna. Cambiare un'impostazione predefinita costa molto meno che ricostruire una funzionalità in seguito.
  • Documenta i test. Se gestisci un chatbot, conserva un registro dei test di sicurezza per ogni rilascio. Il documento stesso è la tua prova.

La regola con cui costruiamo in Origami è semplice: un design che non conosce l'età del proprio utente non può proteggerlo, e non può proteggere nemmeno te. Tutto quanto sopra è implementabile in qualsiasi prodotto costruito correttamente senza riscriverlo.

Fonti