Em 17 de setembro de 2026, a Comissão Europeia adotou sua proposta do EU KIDS Act. Resumindo: qualquer serviço digital que um menor na UE possa usar — uma rede social, uma plataforma de vídeo, um jogo, uma loja de apps ou um chatbot de IA — precisa demonstrar que é seguro desde a concepção, em vez de esperar por uma denúncia. Abaixo de 13 anos, nenhuma conta independente. Entre 13 e 14 anos, uma miniconta supervisionada com controle parental. As contas independentes começam aos 15. Chatbots e companheiros de IA ficam desativados por padrão para menores. O descumprimento pode gerar multas de até 6% do faturamento anual mundial total.

A proposta ainda não é lei — ainda precisa ser negociada com o Parlamento Europeu e os Estados-membros. Mas a direção da regulação já está clara o suficiente para afetar decisões técnicas que você está tomando no seu produto hoje.

O que realmente mudou na regra

As regras anteriores faziam uma única pergunta: você removeu o conteúdo nocivo depois que ele foi denunciado? O KIDS Act inverte isso e pergunta: você projetou o serviço para que alguém jovem demais para usá-lo nunca entrasse? A própria Comissão descreve a proposta como uma inversão do ônus da prova, que passa a recair sobre o prestador do serviço.

O alcance é maior do que a maioria imagina. Não se trata apenas das grandes plataformas sociais. Abrange jogos, lojas de apps e serviços de compartilhamento de vídeo com recursos de risco comprovado, e abrange expressamente chatbots e companheiros de IA. Em outras palavras: se o seu produto tem um assistente que conversa com o usuário, você está dentro do escopo mesmo não sendo uma empresa de mídia social.

A cláusula que importa para quem adicionou um assistente de IA

Esta é a parte mais importante para qualquer empresa que acoplou um chatbot à sua loja ou app nos últimos dois anos. A proposta exige que companheiros de IA não simulem relações humanas de formas que possam criar dependência emocional. Na prática, isso se traduz em um comportamento padrão diferente: as conversas não levam memória de uma sessão para outra por padrão, e o acesso de menores de 13 anos só acontece por meio do controle parental.

Ela também acrescenta uma obrigação que não tem nada a ver com a interface: os chatbots precisam ser testados quanto a riscos à segurança infantil antes do lançamento e monitorados depois. Quem opera um assistente de IA sem um registro de conversas revisável e sem uma forma de medir como ele se comporta vai descobrir que não consegue provar nada quando for questionado.

Garantia de idade não significa coletar fotos de documentos

O equívoco mais comum é achar que verificar a idade significa coletar documentos de identidade dos usuários — que é a pior coisa que você pode fazer com o seu próprio banco de dados. O texto da Comissão vai no sentido contrário: a verificação é feita por soluções certificadas independentes das plataformas, incluindo um app gratuito de verificação de idade da UE e a Carteira Europeia de Identidade Digital, e usa tecnologia de prova de conhecimento zero para que a plataforma receba uma resposta de sim ou não sobre um limite de idade sem saber quem é o usuário nem onde ele está.

Esse design vale a pena ser copiado bem além da Europa. O princípio geral: pegue a resposta de que você precisa, não os dados que a produzem. Se a sua decisão é permitir ou negar, você precisa de um único booleano — não de um registro com data de nascimento e número de documento que se torna sua responsabilidade de segurança para sempre.

Há um detalhe operacional que muitos vão deixar passar: as contas existentes. A proposta exige que os prestadores desativem as contas existentes de menores em até seis meses após as regras entrarem em vigor. Ou seja, o trabalho não se limita a uma nova tela de cadastro; ele alcança sua base de usuários atual e o que você realmente sabe sobre ela.

Padrões de design que antes eram vistos como sacadas de crescimento e agora são infrações

Grande parte da proposta não trata de conteúdo, mas de mecânicas de interface criadas para prolongar a sessão. Para menores, a lista de proibições inclui:

  • Reprodução automática sem fim e rolagem infinita sem uma pausa real.
  • Notificações feitas para trazer o usuário de volta sem relação com nada que ele realmente tenha feito.
  • Recompensas por publicar para grandes audiências.
  • Mecânicas de sequência que penalizam o usuário por perder um dia.
  • Feeds de recomendação baseados em rastreamento, mensagens de desconhecidos e perfis públicos por padrão.

A lição para produtos que não são sociais: esses mesmos padrões vivem dentro de muitos apps de fidelidade, lojas e apps educacionais. Se parte do seu modelo de crescimento depende de uma sequência diária e de notificações à noite, entenda que esse modelo está sob pressão regulatória crescente — e não só na Europa.

Isso chega até você como empresa saudita?

Em três casos claros. Primeiro, se você tem usuários dentro da UE: as regras europeias seguem o usuário, não a sede da empresa, e um jogo ou app educacional saudita publicado globalmente nas duas lojas se enquadra. Segundo, se você é fornecedor de uma entidade europeia, caso em que a obrigação chega até você pelo contrato e pelos requisitos de auditoria. Terceiro, e o que mais pesa na prática: as duas lojas de apps transformam regras como essas em condições de publicação. O que começa como regulação europeia geralmente termina como uma cláusula na revisão da App Store e do Google Play que vale para todos.

No âmbito local, a Lei de Proteção de Dados Pessoais (PDPL) da Arábia Saudita já trata dos dados de pessoas sem plena capacidade civil, exige o consentimento do responsável nesses casos e obriga você à minimização de dados. A diferença é que a proposta europeia acrescenta uma camada de design de produto sobre a camada de proteção de dados. A boa notícia é que se preparar para uma é quase se preparar para a outra.

O que sua equipe técnica deve fazer neste trimestre

Você não precisa de um grande programa de conformidade agora — quatro passos que cabem em algumas semanas bastam:

  • Conheça as idades. O seu sistema sequer sabe quais usuários podem ser menores? A maioria dos produtos não consegue responder isso, e essa é a primeira lacuna.
  • Separe no código as configurações de menores das de adultos. Faça disso um sinalizador alternável na camada de permissões, não uma condição espalhada pela interface.
  • Corrija os padrões. Assistente de IA desligado, perfil privado, sem mensagens de desconhecidos, sem notificações noturnas. Mudar um padrão é muito mais barato do que reconstruir um recurso depois.
  • Documente os testes. Se você opera um chatbot, mantenha um registro de testes de segurança para cada versão. O próprio documento é a sua evidência.

A regra com que construímos na Origami é simples: um design que não sabe a idade do seu usuário não consegue protegê-lo, e também não consegue proteger você. Tudo o que foi dito acima pode ser implementado em qualquer produto bem construído sem reescrevê-lo.

Fontes