Análisis jurídico de la propuesta COM (2026) 681 final

La Comisión Europea ha propuesto un Reglamento que impediría a los menores de 15 años abrir cuentas autónomas en determinadas redes sociales y plataformas de intercambio de vídeos, impondría reglas de seguridad por diseño a servicios digitales utilizados por menores y articularía un sistema europeo de acreditación de edad. La iniciativa alcanza también a videojuegos en línea, tiendas de aplicaciones, sistemas operativos, acompañantes de inteligencia artificial y chatbots conversacionales. Su ambición es clara, pero también lo son las dificultades jurídicas y técnicas de convertir la edad, la seguridad y el interés superior del menor en reglas verificables sin erosionar la privacidad, la libertad de información ni la autonomía progresiva de niños y adolescentes.

El 17 de septiembre de 2026, la Comisión Europea presentó la propuesta de Reglamento EU KIDS Act, acrónimo de EU Keeping Internet Digital Spaces Accountable and Trustworthy. El texto, identificado como COM (2026) 681 final y tramitado con la referencia 2026/0286 (COD), aspira a armonizar la protección de los menores en el entorno digital sobre la base del artículo 114 del Tratado de Funcionamiento de la Unión Europea.

Conviene despejar desde el principio una posible confusión. Estamos ante una propuesta legislativa, no ante una norma ya vigente. El Parlamento Europeo y el Consejo deberán negociarla mediante el procedimiento legislativo ordinario y su contenido puede cambiar de forma relevante. El proyecto prevé, además, que el futuro Reglamento se aplique con carácter general seis meses después de su entrada en vigor, con reglas temporales específicas para algunas obligaciones.

Por qué propone actuar ahora la Comisión

La Comisión apoya la iniciativa en un diagnóstico de exposición intensa y de percepción creciente del riesgo. Según los datos que acompañan a la propuesta, los adolescentes de 13 a 18 años pasan una media de 4,5 horas diarias frente a pantallas durante los días lectivos y 6,1 horas los fines de semana. Solo la mitad de los menores europeos de 9 a 16 años afirma sentirse segura en internet; el 38 % declara dificultades para conciliar el sueño asociadas al uso de redes sociales y el 33 % dice sentirse a menudo estresado o ansioso por esa causa. El ciberacoso continúa siendo el principal motivo de contacto con los Centros de Internet Segura.

Estas cifras describen riesgos y percepciones que justifican una respuesta preventiva, pero no permiten atribuir por sí solas todos los problemas de salud o bienestar al uso de redes sociales. La propuesta se apoya también en consultas con menores, familias, especialistas, autoridades y empresas, así como en la experiencia de aplicación del DSA. Su planteamiento combina una demora de acceso a determinados servicios con obligaciones estructurales para modificar el entorno digital en el que participan los menores.

Una nueva capa regulatoria sobre el DSA y el Reglamento de Inteligencia Artificial

La propuesta no sustituye al Reglamento de Servicios Digitales, conocido como DSA, ni al Reglamento de Inteligencia Artificial. Los especifica y complementa desde una perspectiva centrada en la infancia. En particular, transforma en obligaciones directamente exigibles varias medidas que la Comisión había recogido en sus directrices sobre el artículo 28 del DSA, relativo al alto nivel de privacidad, seguridad y protección de los menores en las plataformas en línea.

El proyecto también declara que se aplicará sin perjuicio de la normativa audiovisual, de consumo y seguridad de los productos, de protección de datos y privacidad electrónica, y de las reglas europeas sobre violencia contra las mujeres. El resultado es un entramado acumulativo: una misma funcionalidad podría quedar sometida simultáneamente al DSA, al Reglamento de Inteligencia Artificial, al RGPD, a la normativa audiovisual y de consumo y, si prospera la propuesta, al EU KIDS Act.

La base jurídica elegida, el artículo 114 TFUE, confirma que la propuesta no se presenta solo como una política social o de infancia. Su finalidad declarada es evitar la fragmentación del mercado interior ante la proliferación de iniciativas nacionales con edades, ámbitos y mecanismos de control diferentes. La protección del menor actúa como objetivo material y como razón para establecer un estándar común europeo.

A qué servicios se aplicaría

El artículo 2 adopta un ámbito amplio, aunque no universal. Se aplicaría a los proveedores de los siguientes servicios o sistemas accesibles a menores:

• redes sociales y plataformas de intercambio de vídeos
• tiendas de aplicaciones y sistemas operativos
• videojuegos y plataformas de videojuegos en línea
• acompañantes de inteligencia artificial, entendidos como sistemas que ofrecen una interacción personalizada y sostenida que simula o facilita una relación social, emocional o interpersonal
• chatbots conversacionales de propósito general capaces de prestar asistencia en múltiples ámbitos y tareas
•  

El alcance es extraterritorial. Para los servicios digitales, bastaría con que se ofrezcan a destinatarios establecidos o situados en la Unión, con independencia del lugar de establecimiento del proveedor. En el caso de los sistemas de IA, el criterio sería su introducción en el mercado o puesta en servicio en la Unión.

Quedarían fuera, en los términos exactos de la propuesta, las enciclopedias sin ánimo de lucro; los repositorios educativos y científicos sin ánimo de lucro; los servicios concebidos principalmente con fines educativos y operados por centros u organizaciones educativas o por cuenta de estos; determinadas plataformas de desarrollo y distribución de software de código abierto; los sistemas destinados exclusivamente a investigación y desarrollo científico; y los desarrollados y operados por autoridades públicas para su uso exclusivo. La Comisión podría modificar esta lista mediante actos delegados atendiendo al riesgo para los menores.

La exclusión educativa no debe interpretarse como una exención general de cualquier producto comercial que se presente como educativo. El texto exige una finalidad principalmente educativa y, además, que el servicio sea operado por una institución u organización educativa o por cuenta de ella. Por otra parte, los chatbots especializados en una tarea educativa, informativa o de atención al cliente quedan fuera de la definición de chatbot conversacional general, aunque podrían entrar en otra categoría regulada si sus características lo justifican.

La escala de edades y el acceso gradual

La medida más visible es la limitación de las cuentas en redes sociales y plataformas de intercambio de vídeos que presenten determinadas características de riesgo. El artículo 6 no establece una prohibición indiscriminada de acceso a internet ni afecta por igual a todos los servicios. Se dirige a aquellos que permiten, entre otras posibilidades, emisiones en directo, contacto con desconocidos, recomendaciones basadas en perfiles o patrones de consumo ininterrumpido y estímulos para retomar el uso.

Para las cuentas ya existentes, los proveedores tendrían que determinar, dentro de los seis meses siguientes al inicio de aplicación del Reglamento, si sus titulares son menores de 15 años. Las cuentas de quienes estén por debajo de esa edad, o cuya edad no pueda establecerse, deberían desactivarse, salvo que puedan reconducirse al régimen permitido.

La edad de acceso no es la edad de consentimiento del RGPD. En España, el artículo 7 LOPDGDD fija en 14 años la edad a partir de la cual un menor puede consentir por sí mismo el tratamiento de sus datos personales, con las excepciones previstas por el ordenamiento. El futuro umbral de 15 años del EU KIDS Act tendría otra naturaleza: sería una condición de acceso y creación de cuentas autónomas en determinados servicios de riesgo. El propio artículo 6.5 de la propuesta indica que sus límites operarían en paralelo con el artículo 8 RGPD cuando el tratamiento se base en el consentimiento.

Por tanto, no sería correcto afirmar que la propuesta eleva con carácter general a 15 años la edad digital de consentimiento en España. Un menor podría tener capacidad para consentir un tratamiento de datos conforme a la LOPDGDD y, sin embargo, no estar autorizado para abrir autónomamente una cuenta comprendida en el EU KIDS Act.

Seguridad por diseño para todos los menores

El núcleo de la propuesta se encuentra en el artículo 8. Los servicios incluidos deberán configurarse por defecto para garantizar un alto nivel de privacidad, seguridad y protección de los menores, incluso cuando puedan utilizarse sin cuenta. Solo podrán apartarse de ese diseño si han establecido, mediante un mecanismo de acreditación de edad conforme al Reglamento, que el usuario es adulto.

Diseños adictivos y gestión del tiempo. Las redes sociales y plataformas de vídeo no podrían diseñarse u operar de un modo destinado, o razonablemente previsible, a fomentar un uso compulsivo o excesivo por menores. El texto identifica como problemáticos la reproducción automática y el consumo ininterrumpido sin pausas efectivas; las notificaciones ajenas a la actividad del usuario que dificulten abandonar el servicio; los incentivos para publicar o emitir en directo; y los premios o penalizaciones vinculados a una frecuencia de uso. Los proveedores deberán introducir límites temporales e interrupciones que protejan el horario escolar y las horas centrales de sueño.

Sistemas de recomendación. Los algoritmos de recomendación no podrán explotar la vulnerabilidad ni la atención del menor. Deberán dar prioridad a sus preferencias expresas, desactivar por defecto las recomendaciones basadas en señales implícitas de comportamiento, abstenerse de utilizar datos captados fuera del servicio y evitar exposiciones repetidas a información que pueda comprometer su privacidad, seguridad o protección. El menor deberá poder modificar los parámetros, borrar sus preferencias y elegir al menos una opción no basada en elaboración de perfiles.

Configuraciones privadas y contactos seguros. La geolocalización, el seguimiento, el micrófono, la cámara, la sincronización de contactos, las recomendaciones de cuentas y las notificaciones push quedarían desactivados por defecto. El proyecto exige también impedir el contacto directo no aprobado previamente, excluir a los menores de las recomendaciones de contactos, requerir su aceptación para incorporarlos a grupos y permitirles bloquear usuarios sin revelar su identidad.

La información de la cuenta y los contenidos del menor no serían visibles por defecto para personas no aceptadas ni para usuarios sin cuenta. No podrían divulgarse sus datos de contacto. La propuesta llega a exigir medidas que impidan descargar o capturar pantallas con información de contacto, localización, cuenta o contenidos de menores. También prevé que estos no puedan realizar emisiones en directo por defecto. Algunas de estas obligaciones, especialmente la prevención técnica de capturas de pantalla, necesitarán una delimitación más realista durante la tramitación.

Compras y monetización. Antes de una transacción, el menor deberá comprender de forma clara y en tiempo real que está realizando un pago. Cuando se empleen monedas virtuales adquiridas con dinero, deberá mostrarse su equivalencia en la moneda oficial del Estado de residencia habitual. Se prohíben además los diseños capaces de inducir un gasto excesivo, impulsivo o no deseado, incluidos los sistemas de recompensa variable vinculados a compras.

Reglas específicas para IA, videojuegos y tiendas de aplicaciones

Acompañantes de IA y chatbots generales. Los proveedores deberán impedir que el diseño simule relaciones interpersonales capaces de generar dependencia emocional, aplicar límites de uso y configuraciones seguras y evitar, por defecto, que las interacciones previas del menor se utilicen en conversaciones posteriores, salvo cuando sea necesario para proteger su seguridad o aplicar sus ajustes. El acceso de menores de 13 años solo podría habilitarse mediante herramientas para tutores.

Antes de comercializar o poner en servicio el sistema, el proveedor tendría que realizar evaluaciones y pruebas conformes con el estado de la técnica sobre riesgos para la salud, la seguridad, los derechos fundamentales y el desarrollo físico, mental y emocional. También debería implantar vigilancia posterior a la comercialización y responder a incidentes graves, con una excepción para microempresas y pequeñas empresas en esta última obligación. Si el chatbot o acompañante está integrado en una red social, una plataforma de vídeo o un juego, no podrá activarse automáticamente ni destacarse de forma prominente, no deberá promoverse su uso entre menores y tendrá que ofrecer una salida sencilla.

Videojuegos y plataformas de videojuegos. Los juegos en línea quedarían sujetos a medidas contra el uso compulsivo, configuraciones privadas por defecto, límites a los contactos y controles parentales. Deberán evitar que el juego se utilice para atraer al menor hacia contactos en otros servicios que puedan ponerlo en riesgo. Las plataformas que permiten a sus usuarios crear y publicar juegos deberán proporcionar medios técnicos y organizativos para que esos contenidos puedan cumplir las obligaciones aplicables.

Tiendas de aplicaciones y clasificación por edades. Las tiendas de aplicaciones deberán establecer un sistema de clasificación por edad para cada aplicación, publicar su metodología e impedir que los menores accedan o compren aplicaciones inadecuadas. También deberán respetar edades superiores impuestas por otra norma europea o nacional compatible con el Derecho de la Unión y admitir la solución europea de verificación de edad. La propuesta impulsa códigos de conducta para armonizar etiquetas, criterios y mecanismos de recurso, con atención expresa al contenido violento, sexual, relacionado con el juego o las autolesiones, las compras integradas, los riesgos de contacto y el diseño adictivo.

Acreditación de edad con privacidad reforzada

La efectividad de todo el sistema depende de poder distinguir entre adultos y menores sin convertir la verificación en una infraestructura de identificación y seguimiento. Los artículos 27 a 32 exigen exactitud, fiabilidad, seguridad, solidez, no intrusión, protección de datos y ausencia de discriminación.

Las soluciones no deberán identificar al usuario ni permitir localizarlo, rastrearlo, dirigirle publicidad o elaborar perfiles. Solo podrán tratarse los datos estrictamente necesarios para comprobar el umbral de edad, sin reutilizarlos, compartirlos o combinarlos con información adicional. La propuesta exige que las medidas se basen en el estado de la técnica y utilicen pruebas de conocimiento cero, de modo que el sistema pueda acreditar que se supera una edad sin revelar la identidad ni otros atributos.

Para comprobar el límite de acceso de las cuentas del artículo 6, los proveedores deberán utilizar exclusivamente una solución europea certificada y una acreditación de edad expedida por un tercero. Para aplicar la seguridad por diseño o los sistemas de clasificación de las tiendas podrán emplearse otras soluciones, siempre que demuestren el cumplimiento de las garantías legales. El usuario tendrá derecho a impugnar gratuitamente un resultado incorrecto.

Los Estados miembros deberán ofrecer gratuitamente al menos una solución europea de verificación de edad y un medio electrónico respetuoso con la privacidad para acreditar la responsabilidad parental. Los sistemas operativos que ya dispongan de una señal de edad conforme podrán transmitirla, con consentimiento del usuario, a los proveedores que la necesiten. Este diseño busca reducir verificaciones repetidas y evitar que cada plataforma acumule documentos de identidad, aunque su gobernanza, certificación, ciberseguridad y accesibilidad serán decisivas.

Control parental sin vigilancia desproporcionada

La propuesta refuerza el papel de madres, padres y tutores, pero reconoce al mismo tiempo la autonomía progresiva y la privacidad del menor. Las herramientas parentales deberán adaptarse a la edad, ser fáciles de activar, resistentes a la elusión y no restringir desproporcionadamente sus derechos. El menor deberá saber que están siendo utilizadas.

Esas herramientas incluirán límites temporales, gestión de configuraciones y mecanismos para denunciar contenidos, cuentas, grupos o conductas perjudiciales. En las plataformas de muy gran tamaño deberán ser interoperables con soluciones de terceros cuando resulte aplicable el Reglamento de Mercados Digitales. El equilibrio será delicado: acompañar no equivale a legitimar una supervisión ilimitada de las comunicaciones del menor.

Denuncias, derechos y apoyo a los menores

Los mecanismos de denuncia deberán ser accesibles, comprensibles para los menores y capaces de tramitar sus comunicaciones con prioridad y sin demora indebida. Los proveedores tendrán que informar sobre el procedimiento y las vías de recurso, facilitar fuentes autorizadas de ayuda y mostrar advertencias cuando exista riesgo al publicar o visualizar determinados contenidos o interacciones.

Los menores y sus tutores podrán encargar la defensa de sus derechos a entidades sin ánimo de lucro debidamente constituidas y con fines estatutarios adecuados. También podrán reclamar ante la autoridad competente del Estado en el que se encuentren o, en determinados supuestos relacionados con sistemas de IA, ante la Oficina Europea de Inteligencia Artificial. El proyecto añade así una dimensión colectiva que puede ser importante frente a daños de carácter sistémico.

Supervisión y sanciones

La propuesta reutiliza la arquitectura institucional existente. Las obligaciones de redes sociales, plataformas de vídeo, plataformas de videojuegos y tiendas de aplicaciones se supervisarían con arreglo al DSA. Las aplicables a acompañantes de IA y chatbots generales se integrarían en el sistema del Reglamento de Inteligencia Artificial. Los videojuegos que no sean plataformas quedarían bajo una autoridad nacional dotada de poderes equivalentes a los previstos en el DSA. Las autoridades de protección de datos conservarían la competencia sobre los tratamientos necesarios para verificar la edad.

Las infracciones podrían dar lugar a sanciones de hasta el 6 % del volumen de negocios mundial anual conforme a los marcos del DSA o del Reglamento de Inteligencia Artificial, según la categoría del proveedor. Las vulneraciones de las obligaciones de protección de datos quedarían sujetas al régimen del artículo 83 RGPD. Para determinados operadores supervisados por la Comisión se prevé además una tasa anual que no superaría el 0,03 % de sus ingresos netos mundiales del ejercicio anterior.

Cuando la Comisión sea competente respecto de una plataforma de muy gran tamaño o de un sistema de IA sometido a su supervisión exclusiva, deberá procurar comunicar sus conclusiones preliminares en 30 días laborables y adoptar una decisión final en 90 días laborables desde la apertura del procedimiento. Se trata de objetivos de tramitación formulados con el verbo procurar, no de plazos de caducidad automáticos.

Qué significa realmente invertir la carga de la prueba. La Comisión presenta políticamente el EU KIDS Act como una inversión de la carga de la prueba: el proveedor debe demostrar que su servicio es seguro para los menores. El mecanismo jurídico concreto es más matizado. Las redes sociales y plataformas de vídeo designadas como plataformas de muy gran tamaño deberán notificar un plan de cumplimiento detallado y encargar, a su costa, una auditoría independiente con expertos en derechos de la infancia, pediatría y psiquiatría infantil, desarrollo, acreditación de edad, diseño de interfaces, sistemas de recomendación, protección de datos y seguridad.

Los proveedores ya designados deberían presentar el plan en los 30 días siguientes al inicio de aplicación del Reglamento. El auditor emitiría su informe final dentro de los dos meses siguientes a la recepción del plan. Si la Comisión apreciase deficiencias mediante decisión, el proveedor dispondría de 30 días para presentar medidas correctoras, que deberían ejecutarse en un máximo de 60 días. Después, el cumplimiento se integraría en las evaluaciones y auditorías anuales del DSA.

Sin embargo, el texto no convierte el informe de auditoría ni la inacción de la Comisión en una declaración de conformidad. Tampoco contiene, en su redacción actual, una autorización previa de cada nuevo servicio o funcionalidad ni exige un dictamen positivo de la Comisión antes de su lanzamiento. Esa afirmación aparece en una síntesis divulgativa publicada por la propia Comisión, pero no encuentra correspondencia en el artículo 5 de la propuesta. Para una interpretación jurídica debe prevalecer el articulado.

Los principales interrogantes jurídicos

La propuesta persigue un objetivo legítimo y de especial relevancia constitucional, vinculado al interés superior y al derecho a la protección del menor reconocido en el artículo 24 de la Carta de Derechos Fundamentales. Su eficacia dependerá, no obstante, de cómo resuelva varias tensiones durante la negociación legislativa.

• Proporcionalidad y libertad de información. La limitación de cuentas y la verificación de edad afectan también a los artículos 7, 8 y 11 de la Carta. Será necesario demostrar que las restricciones son idóneas, necesarias y proporcionadas, y que no producen exclusiones indebidas ni bloqueos por error.
• Privacidad de la verificación. El principio de conocimiento cero y la intervención de terceros certificados reducen riesgos, pero la infraestructura seguirá siendo crítica. Deberán delimitarse responsabilidades, conservación de señales, seguridad, revocación, interoperabilidad y recursos frente a falsos positivos o negativos.
• Autonomía progresiva. El control parental debe respetar la madurez del menor y no convertirse en vigilancia generalizada. El texto reconoce esta exigencia, aunque algunos mecanismos necesitarán criterios más concretos.
• Viabilidad técnica. Impedir capturas de pantalla, reconocer de forma fiable la edad de cuentas existentes o identificar diseños que razonablemente puedan fomentar un uso compulsivo plantea problemas de precisión, eficacia y neutralidad tecnológica.
• Coherencia normativa. La coordinación entre DSA, RGPD, Reglamento de Inteligencia Artificial, normativa audiovisual, consumo y futuras reglas de equidad digital requerirá criterios claros para evitar duplicidades, competencias solapadas y resultados contradictorios.
• Calidad legislativa. El texto inicial contiene remisiones internas, numeraciones y marcadores pendientes de depuración. Son defectos corregibles durante la tramitación, pero aconsejan prudencia ante lecturas excesivamente literales de algunos pasajes.

Qué deberían empezar a hacer las empresas

Aunque todavía no exista una obligación vigente, la propuesta ofrece una señal regulatoria suficientemente clara para revisar productos dirigidos a menores o previsiblemente utilizados por ellos. Las empresas afectadas deberían mapear servicios y funcionalidades, diferenciar usuarios por edades, documentar riesgos para la infancia y comprobar si sus configuraciones por defecto, recomendaciones, notificaciones, contactos, emisiones en directo, compras y asistentes de IA cumplen un estándar de protección reforzado.

También conviene revisar la gobernanza de producto. La seguridad infantil dejaría de ser una comprobación final del equipo jurídico para convertirse en un requisito de diseño, desarrollo, ensayo, despliegue y vigilancia posterior. Esto exigirá evidencias auditables y coordinación estable entre producto, datos, seguridad, privacidad, compliance, atención al usuario y especialistas en infancia.

Las plataformas de gran tamaño deberían anticipar, además, la preparación de planes de cumplimiento y auditorías independientes. Los proveedores de IA necesitarán integrar evaluaciones específicas sobre dependencia emocional, memoria conversacional, incidentes y desarrollo del menor. Las tiendas de aplicaciones y los operadores de videojuegos tendrán que revisar clasificaciones por edad, sistemas de monetización, interacciones y controles parentales.

Una propuesta ambiciosa que todavía debe madurar

El EU KIDS Act desplaza la responsabilidad desde la reacción frente al daño hacia el diseño previo del servicio. Su aportación más importante no es únicamente fijar los 15 años para determinadas cuentas autónomas, sino exigir que la tecnología utilizada por menores incorpore límites, configuraciones privadas, recomendaciones seguras, control sobre las interacciones y una acreditación de edad respetuosa con la privacidad.

El objetivo es jurídicamente defendible y responde a riesgos que el marco actual no ha logrado resolver por completo. Al mismo tiempo, la legitimidad del sistema dependerá de que la protección no se construya a costa de una identificación generalizada de los usuarios, de restricciones desproporcionadas a la información o de una vigilancia excesiva dentro de la familia. La tramitación deberá afinar el ámbito, corregir incoherencias, asegurar la viabilidad técnica y ordenar la relación con el resto del Derecho digital europeo.

Por ahora, la conclusión esencial es doble: no existe todavía una prohibición europea en vigor y el texto final puede cambiar; pero el modelo regulatorio propuesto anticipa un estándar que las empresas con usuarios menores deberían incorporar ya a sus decisiones de producto y cumplimiento.

Fuentes

• Comisión Europea, propuesta EU KIDS Act y documentos de acompañamiento
• Comisión Europea, presentación general del EU KIDS Act
• Reglamento de Servicios Digitales
• Reglamento de Inteligencia Artificial
• Reglamento General de Protección de Datos
• Ley Orgánica 3/2018 de Protección de Datos Personales y garantía de los derechos digitales 

Más información y contacto: com@adequa.eu.

 Nota de actualización: análisis basado en la propuesta COM (2026) 681 final presentada el 17 de septiembre de 2026. El texto puede cambiar durante la tramitación legislativa.