17 сентября 2026 года Европейская комиссия приняла своё предложение по EU KIDS Act. Если коротко: любой цифровой сервис, которым может пользоваться несовершеннолетний в ЕС, — социальная сеть, видеоплатформа, игра, магазин приложений или ИИ-чат-бот — должен доказать, что он безопасен уже на уровне проектирования, а не ждать жалобы. До 13 лет — никакого самостоятельного аккаунта вообще. С 13 до 14 лет — контролируемый мини-аккаунт под родительским контролем. Самостоятельные аккаунты — с 15 лет. ИИ-чат-боты и ИИ-компаньоны по умолчанию отключены для несовершеннолетних. За несоблюдение грозят штрафы до 6% от общего годового мирового оборота.

Предложение ещё не стало законом — его ещё предстоит согласовать с Европейским парламентом и государствами-членами. Но направление регулирования уже достаточно ясно, чтобы повлиять на технические решения, которые вы принимаете в своём продукте сегодня.

Что на самом деле изменилось в правиле

Прежние правила задавали один вопрос: удалили ли вы вредный контент после жалобы? KIDS Act переворачивает это и спрашивает иначе: спроектировали ли вы сервис так, чтобы тот, кто слишком молод для него, вообще не мог войти? Сама Комиссия формулирует это так: предложение переворачивает бремя доказывания и возлагает его на поставщика услуги.

Сфера действия шире, чем думает большинство. Речь не только о крупных социальных платформах. Сюда входят игры, магазины приложений и сервисы обмена видео с доказанно рискованными функциями, а также прямо названы ИИ-чат-боты и ИИ-компаньоны. Иначе говоря: если в вашем продукте есть ассистент, который разговаривает с пользователем, вы попадаете в сферу действия, даже если вы не компания социальных сетей.

Положение, важное для всех, кто добавил ИИ-ассистента

Это самая важная часть для любого бизнеса, который за последние два года прикрутил чат-бота к своему магазину или приложению. Предложение требует, чтобы ИИ-компаньоны не имитировали человеческие отношения способами, которые могут вызвать эмоциональную зависимость. На практике это означает другое поведение по умолчанию: разговоры по умолчанию не переносят память между сессиями, а доступ для детей до 13 лет возможен только через родительский контроль.

Добавляется и обязанность, не связанная с интерфейсом: чат-боты должны проходить тестирование на риски для безопасности детей до запуска и находиться под мониторингом после него. Тот, кто запускает ИИ-ассистента без журнала переписки, доступного для проверки, и без способа измерить его поведение, обнаружит, что ничего не может доказать, когда его об этом спросят.

Подтверждение возраста — это не сбор фото документов

Самое распространённое заблуждение — что проверка возраста означает сбор документов, удостоверяющих личность, у пользователей, а это худшее, что вы можете сделать со своей собственной базой данных. Текст Комиссии идёт в обратном направлении: проверка проходит через сертифицированные решения, независимые от платформ, включая бесплатное приложение ЕС для проверки возраста и Европейский кошелёк цифровой идентичности, и использует технологию доказательства с нулевым разглашением, так что платформа получает ответ «да» или «нет» относительно возрастного порога, не узнавая, кто пользователь и где он находится.

Этот подход стоит перенять и далеко за пределами Европы. Общий принцип: берите нужный вам ответ, а не данные, из которых он получается. Если ваше решение — разрешить или запретить, вам нужно одно булево значение, а не запись с датой рождения и номером документа, которая навсегда становится вашей ответственностью за безопасность.

Есть операционная деталь, которую многие упустят: существующие аккаунты. Предложение обязывает поставщиков отключить существующие аккаунты несовершеннолетних в течение шести месяцев после вступления правил в силу. Значит, работа не ограничивается новым экраном регистрации — она затрагивает вашу текущую пользовательскую базу и то, что вы о ней действительно знаете.

Паттерны дизайна, которые считались находками для роста, а теперь стали нарушениями

Значительная часть предложения вообще не о контенте, а о механиках интерфейса, созданных для удлинения сессии. Для несовершеннолетних список запретов включает:

  • Бесконечное автовоспроизведение и бесконечную прокрутку без реальной паузы.
  • Уведомления, призванные вернуть пользователя и не связанные ни с чем, что он действительно сделал.
  • Вознаграждения за публикации для массовой аудитории.
  • Механики серий, которые наказывают пользователя за пропущенный день.
  • Ленты рекомендаций на основе отслеживания, сообщения от незнакомцев и профили, публичные по умолчанию.

Вывод для несоциальных продуктов: те же самые паттерны живут внутри множества приложений лояльности, магазинов и образовательных приложений. Если часть вашей модели роста опирается на ежедневную серию и вечерние уведомления, поймите, что эта модель находится под растущим регуляторным давлением — и не только в Европе.

Касается ли это вас как саудовского бизнеса

В трёх очевидных случаях. Во-первых, если у вас есть пользователи в ЕС: европейские правила следуют за пользователем, а не за штаб-квартирой компании, и саудовская игра или образовательное приложение, опубликованные глобально в обоих магазинах, подпадают под это. Во-вторых, если вы поставщик европейской организации — тогда обязанность доходит до вас через договор и требования аудита. В-третьих, и это чаще всего ощущается на практике: два магазина приложений превращают подобные правила в условия публикации. То, что начинается как европейское регулирование, обычно заканчивается пунктом в проверке App Store и Google Play, который действует для всех.

На местном уровне саудовский Закон о защите персональных данных (PDPL) уже регулирует данные лиц, не обладающих полной дееспособностью, требует в этих случаях согласия опекуна и обязывает вас к минимизации данных. Разница в том, что европейское предложение добавляет слой продуктового дизайна поверх слоя защиты данных. Хорошая новость: подготовка к одному — это почти подготовка к другому.

Что вашей технической команде стоит сделать в этом квартале

Большая программа комплаенса вам сейчас не нужна — достаточно четырёх шагов, которые укладываются в несколько недель:

  • Знайте возраст. Знает ли ваша система хотя бы, какие пользователи могут быть несовершеннолетними? Большинство продуктов не может на это ответить, и это первый пробел.
  • Разделите в коде настройки для несовершеннолетних и для взрослых. Сделайте это переключаемым флагом в слое разрешений, а не условием, разбросанным по интерфейсу.
  • Исправьте значения по умолчанию. ИИ-ассистент выключен, профиль закрыт, никаких сообщений от незнакомцев, никаких ночных уведомлений. Изменить значение по умолчанию гораздо дешевле, чем потом перестраивать функцию.
  • Документируйте тестирование. Если у вас работает чат-бот, ведите протокол тестирования безопасности для каждого релиза. Сам документ и есть ваше доказательство.

Правило, по которому мы строим в Origami, простое: дизайн, который не знает возраста своего пользователя, не может его защитить — и вас тоже. Всё перечисленное выше можно внедрить в любой правильно построенный продукт без переписывания.

Источники