Ley KIDS de la UE: cómo la prohibición de las redes sociales en Bruselas remodela la arquitectura de internet

La propuesta llega a las plataformas de intercambio de vídeos, los videojuegos en línea, las tiendas de aplicaciones y los acompañantes de IA, y cuestiona un supuesto básico del internet de consumo: que las plataformas pueden atraer primero a los usuarios y gestionar después los riesgos que los rodean. Con el sistema propuesto, sería la plataforma la que tendría que cambiar.

De la supervisión parental a la responsabilidad de la plataforma

El elemento más decisivo de la legislación no es el umbral de edad en sí, sino dónde recae la responsabilidad.

Los menores de 13 años quedarían excluidos por completo de las redes sociales. Los de 13 a 15 años solo podrían usar plataformas sociales y de intercambio de vídeos a través de “mini-accounts” controladas por los padres, con un límite de una hora de uso al día. Las cuentas autónomas y autogestionadas estarían disponibles a partir de los 15 años. Todos los menores de 18 años seguirían sujetos a requisitos obligatorios de seguridad desde el diseño.

Esto supone un cambio sustancial respecto al modelo que ha regido buena parte de internet hasta ahora. Las restricciones de edad se han basado a menudo en la autodeclaración, la supervisión parental o en salvaguardas fijadas por cada plataforma. La Ley KIDS parte, en cambio, de que la arquitectura del servicio debe prevenir o limitar las conductas dañinas antes de que lleguen al usuario.

La distinción importa porque muchos de los mecanismos que Bruselas quiere atacar no son contenidos. Son mecanismos para mantener a la gente enganchada.

Para los menores de 18 años, las plataformas tendrían que eliminar el desplazamiento infinito, los flujos de recomendación basados en perfiles, las recompensas gamificadas, la publicidad personalizada y los sistemas de recomendación capaces de empujar a los usuarios hacia contenidos cada vez más extremos o compulsivos. Las notificaciones push quedarían prohibidas durante un periodo nocturno de ocho horas. Los perfiles serían privados por defecto, y la geolocalización, las cámaras y los micrófonos se desactivarían automáticamente.

Bloquear, denunciar y silenciar tendría que ser sencillo.

La política trata, por tanto, el diseño de un servicio digital como parte del problema regulatorio. La cuestión ya no es solo si una plataforma aloja material dañino. Es si la forma en que está construida puede, por sí misma, generar riesgos previsibles para la infancia.

Eso acerca a la UE a la regulación de seguridad de productos más que a la moderación tradicional de internet.

El problema de la IA es distinto

La inclusión de los acompañantes de IA puede resultar aún más significativa que las restricciones a las redes sociales.

La propuesta exigiría que los acompañantes de IA y los chatbots conversacionales usados por menores estuvieran desactivados por defecto. También se prohibiría a los sistemas simular relaciones interpersonales de formas que fomenten la dependencia emocional, el romance o la pseudomistad, o que exploten la soledad y el miedo.

Es un objetivo regulatorio distinto del contenido ofensivo o la desinformación. Atañe a la relación entre un usuario y una máquina.

Los servicios construidos en torno a la memoria persistente y la interacción personalizada pueden hacer que un sistema de IA parezca menos un programa informático y más una presencia social. La Ley KIDS trata esa posibilidad como un riesgo estructural cuando el usuario es un menor.

Por ejemplo, Character.AI ya ha eliminado los chats sin restricciones para menores de 18 años e introducido recordatorios de pausas, clasificadores de contenido y enlaces de crisis. Pero el marco europeo propuesto iría más allá de las salvaguardas individuales. Establecería un límite legal en torno al tipo de relación que un sistema de IA puede simular para un usuario joven.

Esa distinción podría cobrar cada vez más importancia a medida que la IA conversacional se incorpora a los productos de consumo masivo. Bruselas intenta, en la práctica, regular una categoría de comportamiento antes de que la intimidad sintética se arraigue en la cultura juvenil tanto como hoy lo hacen los flujos sociales.

La capa de identidad que sostiene las normas

Nada de esto funciona sin saber quién es menor de 13 años, quién tiene entre 13 y 15 y quién es adulto.

Ahí es donde la propuesta trasciende el contenido y el diseño de las plataformas para adentrarse en la infraestructura subyacente de la web.

Las plataformas tendrían que verificar la edad al crear la cuenta mediante sistemas independientes certificados. La aplicación europea de verificación de edad propuesta utilizaría principios de prueba de conocimiento cero, lo que permitiría a un servicio recibir la confirmación de que una persona ha superado un umbral de edad determinado sin recibir sus documentos de identidad ni su fecha de nacimiento exacta. La Cartera Europea de Identidad Digital podría ofrecer otra vía.

En principio, una plataforma recibiría una respuesta como “over 15: yes” en lugar de un pasaporte, un registro biométrico o un perfil de identidad completo.

Esa distinción es central para la viabilidad política y técnica del sistema. La garantía de edad puede convertirse en una capa de verificación de diseño limitado o evolucionar hacia una infraestructura mucho más amplia de identificación de los usuarios de internet.

Organizaciones de libertades civiles, como la Electronic Frontier Foundation, han advertido sobre la segunda posibilidad. Su preocupación es que los controles de edad obligatorios normalicen la verificación de identidad para todos, incluidos los adultos que no han hecho nada que justifique restricciones. Eso podría debilitar la navegación anónima y crear objetivos valiosos para los ciberdelincuentes.

La tecnología propuesta por Bruselas está diseñada para reducir ese riesgo mediante la minimización de datos. Que el ecosistema más amplio que la rodea pueda preservar ese mismo principio es otra cuestión.

La tensión es difícil de eliminar. Un sistema que distingue de forma fiable a un niño de 12 años de una persona de 30 necesita algún mecanismo de confianza para establecer la edad. Un sistema que lo hace en buena parte de internet crea además una nueva capa de infraestructura entre el individuo y el servicio que quiere utilizar.

La Ley KIDS no se limitaría, por tanto, a regular las plataformas. Contribuiría a determinar cómo se establece la propia identidad en línea.

Las grandes tecnológicas reciben otros incentivos

El modelo de aplicación está diseñado para que el cumplimiento sea una responsabilidad empresarial y no parental.

Las plataformas con más de 45 millones de usuarios activos mensuales en la UE tendrían que presentar planes de cumplimiento y someterse a auditorías independientes. También pagarían una tasa de supervisión específica. Las investigaciones por incumplimiento seguirían un procedimiento acelerado de 90 días, mientras que las multas podrían alcanzar el 6 % de la facturación anual global de una empresa.

Esa sanción replica el tramo de penalización más alto de la Ley de Servicios Digitales, lo que crea una arquitectura de aplicación conocida en lugar de un régimen aislado de protección de la infancia.

Para las empresas de redes sociales financiadas con publicidad, las implicaciones comerciales son directas. La publicidad personalizada, los flujos basados en perfiles y mecanismos de engagement como el desplazamiento infinito no son decisiones de diseño periféricas. Están estrechamente ligados a cómo las grandes plataformas monetizan la atención.

La propuesta exigiría desmantelar o modificar sustancialmente esos mecanismos para los menores.

La industria tecnológica ha cuestionado tanto la viabilidad como el alcance del enfoque. CCIA Europe, que representa a empresas como Google y Meta, ha advertido de que recopilar credenciales de identidad y datos de vinculación entre padres e hijos a gran escala podría crear objetivos atractivos para los ciberdelincuentes y generar solapamientos legales que debiliten las protecciones existentes.

El consejero delegado de Epic Games, Tim Sweeney, ha sostenido que las normas podrían ser lo bastante amplias como para afectar a entornos de juego como Fortnite.

Esas objeciones ponen de manifiesto la dificultad de trazar una línea clara en torno a “social media” en 2026. Un adolescente puede encontrarse recomendaciones algorítmicas, publicidad, desconocidos e IA conversacional dentro de un juego, una tienda de aplicaciones o un servicio de vídeo con la misma facilidad que en una red social convencional.

Bruselas responde regulando las funciones en lugar de confiar por completo en la etiqueta que lleva un producto.

Europa intenta evitar un mosaico normativo

El calendario también responde a una divergencia creciente entre los enfoques nacionales.

La legislación de Australia que prohíbe las redes sociales para menores de 16 años entró plenamente en vigor en diciembre de 2025, y dio a los responsables políticos europeos un ejemplo temprano de un modelo de responsabilidad de las plataformas. En Europa, Francia ha aprobado una restricción para menores de 15 años prevista para 2027, Grecia ha adoptado un marco vigente desde el 1 de enero de 2027, España ha anunciado planes de restricción para menores de 16 años basada en verificaciones de edad, y Noruega prepara una ley para prohibir el acceso a los menores de 16.

Otros Estados miembros, como Dinamarca, Austria, Italia, Eslovenia, Países Bajos, Polonia y Finlandia, debaten o consultan distintos enfoques.

El resultado es un problema europeo conocido: la experimentación nacional puede convertirse rápidamente en un problema para el mercado único.

Una plataforma que opera en 27 países podría enfrentarse a umbrales de edad, requisitos de consentimiento parental y sistemas de verificación distintos en cada mercado. La Ley KIDS ofrece una vía para sustituir ese mosaico por un único marco.

También prolonga una lógica regulatoria ya existente en Bruselas. La Ley de Servicios Digitales ya impone obligaciones de riesgo sistémico a las mayores plataformas. El RGPD regula el tratamiento de los datos de los menores, mientras que el Reglamento de IA aborda las prácticas manipuladoras y ciertas formas de daño psicológico. La Ley KIDS conectaría esos hilos en torno a una población concreta y añadiría normas sobre IA conversacional que los marcos anteriores de garantía de edad no cubrían del todo.

La batalla legislativa aún está por delante

La propuesta no es ley.

Ahora entra en el procedimiento legislativo ordinario, lo que significa que el Parlamento Europeo y el Consejo de la UE deben negociarlo, enmendarlo y aprobarlo antes de que el marco pueda ser vinculante en todo el bloque. Mientras continúan esas negociaciones, no existe actualmente ninguna prohibición en toda la UE del acceso de los menores de 13 años a las redes sociales.

Eso deja sin resolver el conflicto central.

La Comisión propone que la seguridad infantil en línea se trate como una propiedad arquitectónica de los servicios digitales: las plataformas tendrían que demostrar que sus sistemas son seguros para los menores, en lugar de esperar que niños y padres naveguen por sistemas diseñados principalmente en torno al engagement.

El desafío para la industria es que la verificación de edad, los controles parentales y las restricciones a los algoritmos pueden crear por sí mismos nuevos problemas de seguridad, privacidad y mercado. El desafío en materia de libertades civiles va más allá: una vez que la edad se convierte en condición de acceso, la frontera entre proteger a la infancia e identificar a todo el mundo resulta más difícil de mantener completamente separada.