Europa abre un nuevo frente regulatorio para la IA: el EU Kids Act pone a los chatbots bajo nuevas reglas de protección de menores
La Unión Europea acaba de abrir un nuevo frente regulatorio para la inteligencia artificial que puede afectar directamente a OpenAI, Google, Meta, Anthropic, Character.AI y cualquier compañía que ofrezca chatbots o asistentes digitales accesibles para menores. La Comisión Europea ha presentado hoy, 17 de septiembre de 2026, su propuesta de EU KIDS Act, una iniciativa destinada a reforzar la protección de niños y adolescentes en Internet mediante restricciones de acceso por edad y nuevas obligaciones para las plataformas digitales. La propuesta no se limita a redes sociales como Instagram, TikTok o Facebook. Incluye también plataformas de vídeo, videojuegos online y, de manera especialmente relevante, chatbots de inteligencia artificial que interactúan con menores de 18 años. La Comisión propone prohibir el acceso a redes sociales para menores de 13 años y establecer un sistema de acceso limitado para adolescentes de entre 13 y 15 años, mientras amplía las obligaciones de seguridad para otros servicios digitales utilizados por menores, entre ellos los sistemas conversacionales de IA.
El cambio es importante porque introduce una segunda capa regulatoria sobre los chatbots diferente del AI Act. El AI Act regula los sistemas de inteligencia artificial fundamentalmente según sus riesgos, usos y características; el EU KIDS Act introduce otra pregunta: ¿quién está utilizando esa inteligencia artificial y qué edad tiene? Una misma aplicación podría, por tanto, tener que cumplir simultáneamente obligaciones derivadas del AI Act, RGPD, Digital Services Act y, si la propuesta termina aprobándose, las nuevas reglas específicamente diseñadas para proteger a menores. Para los proveedores de IA, esto significa que el compliance europeo empieza a evolucionar desde una clasificación centrada exclusivamente en el sistema hacia una arquitectura que también tiene en cuenta el contexto y las características del usuario.
Los chatbots dejan de ser tratados simplemente como herramientas
La inclusión expresa de los chatbots dentro de esta iniciativa refleja un cambio profundo en la forma en que los reguladores empiezan a interpretar estos sistemas. Un chatbot ya no se considera únicamente una herramienta que responde preguntas. Los modelos actuales pueden mantener conversaciones prolongadas, recordar información, adaptar su comportamiento, construir una relación contextual con el usuario y, cada vez más, actuar como asistentes personales o agentes. Cuando el usuario es un menor, esas capacidades plantean preguntas sobre dependencia emocional, manipulación, exposición a contenidos inadecuados, privacidad, persuasión y capacidad del sistema para interpretar situaciones especialmente sensibles.
La cuestión se vuelve todavía más compleja con los denominados AI companions, sistemas diseñados específicamente para mantener relaciones conversacionales persistentes. Un adolescente puede hablar durante meses con el mismo asistente, compartir información personal, preocupaciones, relaciones, problemas escolares o situaciones familiares. Desde el punto de vista regulatorio, esto convierte la interacción en algo completamente distinto a utilizar un buscador tradicional. El sistema puede disponer de un contexto extraordinariamente rico sobre el menor y utilizarlo para personalizar sus respuestas.
El principio que parece empezar a consolidarse en Europa es que cuanto mayor sea la capacidad de una IA para conocer, influir o acompañar persistentemente a un menor, mayores tendrán que ser sus obligaciones de protección.
Saber la edad del usuario se convierte en un problema tecnológico central
Una de las consecuencias empresariales más importantes del EU KIDS Act será probablemente la age assurance, es decir, disponer de mecanismos fiables para determinar si una persona pertenece a un determinado grupo de edad. Hasta ahora, muchas plataformas digitales han funcionado simplemente preguntando al usuario su fecha de nacimiento. El problema es evidente: cualquier menor puede introducir una edad distinta.
La propuesta europea apunta hacia mecanismos mucho más sólidos de comprobación. Las plataformas sociales y determinados servicios digitales tendrán que reforzar los procedimientos para verificar o estimar la edad de sus usuarios, aunque el diseño definitivo de estas obligaciones dependerá del proceso legislativo y de los textos técnicos posteriores.
Aquí aparece una tensión regulatoria particularmente interesante: ¿cómo demostrar que alguien tiene una edad determinada sin recopilar todavía más datos personales? Pedir documentos de identidad puede mejorar la verificación, pero también genera nuevos riesgos de privacidad y seguridad. Utilizar biometría para estimar edad introduce a su vez problemas regulatorios adicionales. Europa tendrá que encontrar mecanismos que permitan demostrar algo parecido a “este usuario tiene más de 15 años” sin necesidad de revelar innecesariamente su identidad completa.
Esto puede impulsar tecnologías de privacy-preserving age assurance, credenciales digitales y sistemas de identidad capaces de confirmar atributos sin transmitir todos los datos subyacentes.
La inteligencia artificial tendrá que empezar a saber cuándo está hablando con un menor
Para los desarrolladores de IA aparece otra cuestión especialmente interesante. Si un sistema sabe o puede determinar que está interactuando con un menor, probablemente tendrá que modificar su comportamiento.
Eso puede significar desarrollar age-aware AI.
Un mismo modelo podría tener diferentes políticas de interacción según la edad del usuario. Los filtros de contenido podrían cambiar; determinadas conversaciones necesitarían restricciones adicionales; algunas capacidades podrían quedar deshabilitadas; las recomendaciones comerciales podrían limitarse y las técnicas de personalización podrían funcionar de manera diferente.
La arquitectura tradicional de un chatbot ha sido relativamente sencilla:
Usuario → Prompt → Modelo → Respuesta.
La arquitectura regulada puede terminar pareciéndose más a:
Usuario → Age Assurance → Perfil regulatorio → Políticas de seguridad → Modelo → Respuesta supervisada.
Esto aumenta considerablemente la complejidad tecnológica y operativa de ofrecer servicios de IA al consumidor europeo.
OpenAI, Google, Meta y Anthropic pueden enfrentarse a una nueva capa de compliance
Las grandes compañías de inteligencia artificial ya están adaptándose al AI Act. Desde el 2 de agosto de 2026, las obligaciones europeas de transparencia exigen, entre otras cuestiones, informar a los usuarios cuando interactúan directamente con determinados sistemas de IA cuando no resulte evidente. También existen reglas específicas sobre contenido generado mediante inteligencia artificial, modelos GPAI y determinados usos de alto riesgo.
El EU KIDS Act añadiría una dimensión diferente. Ya no bastaría con informar de que el usuario está hablando con una IA. El proveedor tendría que preguntarse también si ese usuario puede utilizar ese servicio, qué protecciones deben activarse debido a su edad y qué funcionalidades pueden ofrecerse legítimamente.
Eso puede afectar al diseño de producto, onboarding, cuentas, autenticación, personalización, publicidad, memoria, retención de conversaciones, moderación, recomendaciones y sistemas de agentes.
Y el problema se extenderá mucho más allá de las grandes compañías. Miles de empresas europeas están incorporando chatbots de atención al cliente, asistentes educativos, tutores de IA, aplicaciones de bienestar, plataformas de entretenimiento y sistemas conversacionales. Si esos servicios pueden ser utilizados por menores, las nuevas reglas podrían convertirse en un requisito de diseño desde el principio.
Safety by Design sustituirá progresivamente al simple control parental
Otro concepto central es Safety by Design. Durante años la protección de menores en Internet se ha apoyado en buena medida en controles parentales: herramientas que los padres activaban para limitar determinados contenidos o aplicaciones. Europa está desplazando progresivamente la responsabilidad hacia las propias plataformas.
La lógica cambia de:
“Los padres deben proteger al menor de la plataforma”
a:
“La plataforma debe estar diseñada para ser segura para el menor”.
Eso implica configuraciones protectoras por defecto, minimización de riesgos, limitaciones de funcionalidades potencialmente dañinas y mecanismos específicos para detectar situaciones problemáticas.
En inteligencia artificial este principio puede tener consecuencias especialmente profundas porque el comportamiento del producto no está completamente preprogramado. Un modelo genera respuestas dinámicamente. Por eso la seguridad no puede depender únicamente de eliminar determinadas páginas o contenidos. Necesita sistemas de evaluación, filtros, políticas, monitorización y testing continuo.
AI Safety tendrá una categoría específica: Child AI Safety
Estamos asistiendo probablemente al nacimiento de una nueva disciplina dentro del gobierno de inteligencia artificial: Child AI Safety.
Hasta ahora hablamos de AI Safety, Responsible AI, AI Ethics, AI Governance y AI Compliance. Pero proteger a menores frente a sistemas conversacionales requiere mecanismos específicos.
Las empresas tendrán que analizar cuestiones como: qué datos puede proporcionar un menor; cuánto tiempo se conservan; si el sistema puede recordar conversaciones anteriores; cómo responde ante situaciones de vulnerabilidad; qué ocurre si el usuario desarrolla dependencia del chatbot; qué recomendaciones puede ofrecer; cuándo debe limitar una conversación; cuándo debería recomendar contactar con un adulto o servicio profesional; y qué mecanismos permiten detectar usos potencialmente peligrosos.
Esto exige combinar ingeniería, psicología, protección de datos, seguridad, diseño de producto y regulación.
El EU KIDS Act no es todavía una obligación vigente
Existe un punto jurídico fundamental: la propuesta presentada por la Comisión no equivale a una ley inmediatamente aplicable. Tendrá que recorrer el procedimiento legislativo europeo y negociarse con el Parlamento Europeo y los Estados miembros antes de convertirse en legislación definitiva. Su contenido puede cambiar durante ese proceso.
Por eso las empresas no deberían interpretar hoy los detalles concretos como obligaciones cerradas. Pero tampoco deberían ignorarlos.
Cuando Europa anuncia una regulación de esta magnitud, las compañías tecnológicas necesitan anticiparse porque modificar sistemas de identidad, onboarding, arquitectura de datos, modelos y políticas de seguridad puede necesitar meses o años.
La pregunta estratégica no debería ser únicamente:
“¿Cuándo entra en vigor?”
Debería ser:
“Si mañana tuviéramos que demostrar que nuestro sistema de IA es seguro para menores, ¿podríamos hacerlo?”
Europa empieza a construir un stack regulatorio completo alrededor de la IA
El EU KIDS Act también permite entender algo más amplio. Europa ya no está regulando la inteligencia artificial mediante una única ley.
Está construyendo progresivamente un AI Regulatory Stack.
El AI Act regula sistemas y modelos según riesgos y usos. El RGPD regula los datos personales. El Digital Services Act regula responsabilidades de plataformas. El Cyber Resilience Act introduce obligaciones de seguridad para productos digitales. NIS2 refuerza la ciberseguridad de organizaciones críticas. Y ahora el EU KIDS Act pretende introducir una capa específicamente orientada a menores.
Para una empresa que desarrolla o utiliza inteligencia artificial, compliance dejará de consistir en comprobar una única norma. Habrá que entender cómo interactúan simultáneamente todas ellas.
Eso exige pasar del AI Compliance documental hacia una auténtica AI Governance Architecture.
La pregunta ya no es solamente qué puede hacer una IA, sino para quién puede hacerlo
La inteligencia artificial está entrando rápidamente en una nueva fase regulatoria. Primero preguntamos si un sistema era seguro. Después si podía explicar sus decisiones. Más tarde si respetaba los datos personales. Ahora aparece una pregunta adicional:
¿Quién está al otro lado?
No es lo mismo diseñar una inteligencia artificial para un ingeniero de 45 años que para un adolescente de 14.
Los modelos pueden ser los mismos.
Los riesgos no.
Y las obligaciones tampoco deberían serlo.
El EU KIDS Act confirma que la próxima generación de regulación de inteligencia artificial no se limitará a controlar modelos. Empezará a controlar también contextos, usuarios, edades, relaciones y niveles de autonomía.
Para OpenAI, Google, Meta, Anthropic y miles de empresas que están incorporando sistemas conversacionales, esto puede implicar una transformación profunda de producto.
Porque el chatbot del futuro no tendrá únicamente que saber responder.
Tendrá que saber a quién está respondiendo y qué puede hacer con esa persona.
Descubre más desde THE INTELLIGENCE
Suscríbete y recibe las últimas entradas en tu correo electrónico.
