La UE prohíbe a menores de 13 años usar chatbots de IA: lo que cambia con el EU Kids Act

La Comisión Europea tiene previsto presentar mañana, jueves 17 de septiembre, el EU Kids Act: una ley que prohíbe a menores de 13 años utilizar redes sociales, juegos online y chatbots de IA. Para los adolescentes de 13 a 15 años, el texto propone un modelo de cuentas mini tuteladas por un adulto responsable, una suerte de "carnet de menor chaperoneado" con el que un padre o madre debe validar cada acción del usuario.

El anuncio llega en un momento en el que la presión regulatoria sobre los proveedores de modelos generativos no deja de crecer. Sólo en lo que va de mes hemos visto cómo Anthropic, OpenAI, Google DeepMind y SpaceXAI se comprometían públicamente a "pacear la frontera" del desarrollo; cómo la NSA estadounidense reorganizaba su estructura para colocar la IA al nivel de la ciberseguridad como dirección de misión; y cómo Meta se desmarcaba de ese consenso por boca de Mark Zuckerberg. La UE, mientras tanto, decide mover ficha en el frente civil y de protección al menor, un terreno donde la regulación comunitaria lleva años marcando el paso global.

El texto de la presidenta Ursula von der Leyen no esquiva el vínculo entre IA y abuso: "No tenemos por qué aceptar que se utilicen fotos de niñas para generar imágenes sexualizadas mediante IA", dijo, junto a otras críticas a las funciones adictivas de las plataformas y a la radicalización algorítmica que arrastra a los menores hacia contenido extremo. Es la primera vez que un texto legislativo europeo nombra de forma explícita la generación de abuso sexual infantil mediante modelos generativos como una de las justificaciones centrales de la norma.

Qué cambia en la práctica. Para los chatbots de IA, el impacto es directo: cualquier proveedor que ofrezca acceso a sus modelos conversacionales en la UE tendrá que verificar la edad del usuario con un mecanismo de aseguramiento razonable. Hasta ahora, la mayoría de servicios asumía que el usuario era adulto si declaraba tener más de cierta edad. La nueva norma invierte la carga de la prueba: o el operador demuestra que el menor no entra, o está incumpliendo. Esto afecta a OpenAI (ChatGPT), Anthropic (Claude), Google (Gemini), xAI (Grok), Mistral, Meta y a todos los proveedores que ofrezcan interfaz conversacional en territorio europeo, incluidos los productos empaquetados por terceros.

El modelo de las cuentas mini es la pieza más original del paquete. Entre los 13 y los 15 años, el adolescente podría usar redes sociales, juegos y chatbots, pero bajo el paraguas de una cuenta asociada a un adulto: el padre debe aprobar el alta, puede revisar la configuración de privacidad, fijar límites de tiempo y revocar el consentimiento cuando lo considere. Es, en esencia, una portabilidad del control parental desde el dispositivo hacia el proveedor del servicio. La idea no es nueva en el derecho comunitario, pero es la primera vez que se plantea como obligación legal para proveedores de chatbots de IA.

El ángulo de ciberseguridad es donde el texto se vuelve más interesante para quienes nos dedicamos a esto. Verificar la edad de un usuario en internet es un problema técnicamente duro. Las soluciones actuales van desde el selfie con análisis facial hasta el cruce con documentos de identidad electrónicos, pero todas tienen problemas: los selfies pueden falsearse, los documentos pueden sustraerse, y los sistemas de KYC tienen sesgos raciales y de género bien documentados. La norma obligará a los proveedores a invertir en investigación de métodos de age assurance que sean a la vez fiables y respetuosos con la privacidad del menor, un equilibrio que hoy por hoy no está resuelto.

Otro punto crítico es el de la trazabilidad. Si una cuenta mini queda asociada a un adulto responsable, ese adulto podrá ver, al menos en teoría, qué ha hecho el menor dentro del chatbot: qué conversaciones ha tenido, qué imágenes ha solicitado, con qué identidad. Para un adolescente acostumbrado a mantener conversaciones privadas con un LLM sobre sexualidad, salud mental o conflictos familiares, esa visibilidad rompe el modelo de uso actual. Los proveedores tendrán que diseñar interfaces de control parental que no conviertan la IA en una herramienta de vigilancia familiar, y eso no es trivial: la historia de los controles parentales en sistemas operativos y navegadores no es precisamente un ejemplo de equilibrio.

La norma no llega sola. Se suma al EU AI Act (en aplicación gradual desde 2024), a la Digital Services Act y a la propuesta de AI Liability Directive. En conjunto, Europa está construyendo un marco regulatorio en el que un proveedor de IA tiene que demostrar, antes de desplegar su modelo: que ha evaluado los riesgos, que ha entrenado con datos lícitos, que tiene un sistema de age assurance operativo, que permite auditorías externas, y que responde si su sistema causa un daño. Es una carga regulatoria enorme, pero también una ventaja competitiva para los proveedores europeos que ya cumplen, porque la barrera de entrada para nuevos competidores desde fuera del bloque sube de forma significativa.

La pregunta práctica es cuándo empieza a aplicarse. La Comisión Europea presenta el texto mañana, pero su tramitación pasa por el Parlamento Europeo y el Consejo, un proceso que puede durar entre doce y veinticuatro meses. Después hay un periodo de transposición, típicamente de dos años. Es decir, en el mejor de los casos, los menores de 13 años no podrán abrir una cuenta de ChatGPT hasta 2028 o 2029. Es tarde, pero no es un brindis al sol: la propia existencia de la norma cambia los incentivos de inversión de los proveedores desde el día siguiente a su aprobación.

Mientras tanto, la pelota está en el tejado de la industria. Anthropic y OpenAI ya han movido ficha en su favor del age assurance: ambos prometen que sus próximos modelos permitirán a los padres configurar límites, y OpenAI ha anunciado controles parentales ampliados tras el incidente de un menor que logró eludir filtros. Pero el cumplimiento normativo es una cosa y el diseño seguro es otra. La UE, esta vez, ha puesto el listón donde debe estar: en la protección de los menores frente a sistemas que, por su propia naturaleza, pueden ser manipulados para causar daño. La industria puede verlo como una carga o como el empujón que necesitaban para tomarse la seguridad infantil en serio.