Il 17 settembre 2026 la Commissione europea ha presentato la proposta di regolamento EU KIDS Act – “EU Keeping Internet Digital Spaces Accountable and Trustworthy” (COM(2026) 681 final), destinata a rafforzare e armonizzare nell’Unione la protezione dei minori nell’utilizzo dei servizi digitali. Si tratta, allo stato, di una proposta legislativa, che dovrà essere esaminata dal Parlamento europeo e dal Consiglio e il cui contenuto potrà quindi essere modificato nel corso dell’iter legislativo.
L’intervento va ben oltre il tema, maggiormente visibile, dell’età minima per accedere ai social network. La proposta introduce infatti un sistema progressivo di accesso: al di sotto dei 13 anni non sarebbe consentita la titolarità di account sui social media; tra 13 e 14 anni sarebbe possibile utilizzare account limitati e sottoposti al controllo di un genitore o tutore; dai 15 anni il minore potrebbe invece aprire e gestire autonomamente il proprio account. Per gli account dei 13-14enni sono previsti, tra l’altro, strumenti permanenti di controllo parentale e un limite giornaliero di utilizzo non superiore a un’ora. Entro sei mesi dall'applicazione delle nuove regole, le piattaforme interessate dovrebbero inoltre verificare gli account già esistenti e disabilitare quelli riferibili a utenti di età inferiore a 15 anni o per i quali l’età non possa essere accertata secondo le modalità previste.
Particolarmente significativo per gli operatori è il principio di “safety by design”. I fornitori non potranno limitarsi a introdurre strumenti di controllo successivi, ma dovranno progettare servizi e funzionalità tenendo preventivamente conto dei rischi per i minori. La disciplina proposta interessa, con obblighi differenziati, non soltanto social network e piattaforme di condivisione video, ma anche videogiochi online, app store, AI companions e chatbot conversazionali. Tra le misure indicate dalla Commissione rientrano il contrasto alle tecniche di progettazione suscettibili di favorire un uso compulsivo – quali infinite scrolling, autoplay continuo, determinate notifiche e meccanismi di “streak” – nonché impostazioni maggiormente protettive per default, limitazioni ai contatti da parte di sconosciuti e una diversa configurazione dei sistemi di raccomandazione destinati ai minori.
Un altro profilo centrale riguarda la verifica dell’età. La semplice autodichiarazione della data di nascita non sarebbe più sufficiente nei casi disciplinati dal regolamento. La proposta punta invece sull'utilizzo di sistemi certificati di age assurance, compresa la soluzione europea di verifica dell’età e, successivamente, lo European Digital Identity Wallet. L’architettura delineata dalla Commissione mira tuttavia a coniugare la verifica dell’età con il principio di minimizzazione dei dati: attraverso tecniche di “zero-knowledge proof”, il servizio dovrebbe poter conoscere soltanto se l’utente abbia o meno superato una determinata soglia di età, senza riceverne l’identità o ulteriori informazioni personali. Il nuovo quadro dovrà pertanto essere letto anche in coordinamento con il GDPR, oltre che con gli obblighi già derivanti dal Digital Services Act.
Specifiche disposizioni sono previste anche per i sistemi di intelligenza artificiale destinati o accessibili ai minori. AI companions e chatbot non dovrebbero utilizzare modalità di interazione idonee a creare forme di dipendenza emotiva attraverso la simulazione di relazioni umane; inoltre, determinate funzionalità dovranno essere disattivate per impostazione predefinita e i fornitori saranno chiamati a valutare i rischi per i minori prima della messa a disposizione del sistema e a monitorarli successivamente. Il KIDS Act costruisce, sotto questo profilo, un raccordo diretto con il sistema di governance e vigilanza previsto dall’AI Act.
Anche il sistema di enforcement è particolarmente incisivo. Per le piattaforme di maggiori dimensioni il modello delineato dalla Commissione comporta una sostanziale inversione dell’onere della conformità: prima di consentire l’interazione con minori, le VLOP dovrebbero predisporre un piano dettagliato di compliance e sottoporlo a verifica indipendente. Le sanzioni previste dalla proposta possono arrivare fino al 6% del fatturato annuo mondiale complessivo, facendo leva, per le piattaforme e per i sistemi di IA, sulle strutture di vigilanza già istituite rispettivamente dal DSA e dall’AI Act.
Sul piano operativo, la proposta merita quindi attenzione sin d’ora da parte delle imprese che progettano o forniscono servizi digitali potenzialmente utilizzabili da minori. In particolare, sarà opportuno verificare se i servizi offerti rientrino nel futuro ambito di applicazione, mappare le funzionalità che presuppongono la conoscenza o la stima dell’età dell’utente, riesaminare sistemi di raccomandazione, notifiche, meccanismi di engagement e acquisti in-app, nonché valutare l’integrazione futura di strumenti di age assurance e parental control. Per i fornitori di sistemi di IA, l’analisi dovrà inoltre essere coordinata con la classificazione e gli adempimenti già richiesti dall’AI Act; per tutti gli operatori, la progettazione dei meccanismi di verifica dell’età dovrà essere accompagnata da una specifica valutazione dei relativi impatti privacy.
Il testo non introduce dunque soltanto una “soglia di età europea” per i social media, ma anticipa un modello più ampio nel quale la protezione del minore diventa un requisito strutturale di progettazione del prodotto e del servizio digitale. Per le imprese interessate, l’evoluzione dell’iter legislativo dovrà quindi essere monitorata soprattutto sotto il profilo della progettazione dei servizi, della governance dei dati e dell’integrazione tra gli adempimenti derivanti da KIDS Act, DSA, GDPR e AI Act.
