EU KIDS Act: l'UE cambia social, chatbot AI e videogiochi per i minori

L’Unione europea vuole cambiare in modo radicale le regole con cui bambini e adolescenti accedono a social network, piattaforme video, videogiochi online e servizi basati sull’intelligenza artificiale. Il 17 settembre 2026 la Commissione europea ha adottato la proposta EU KIDS Act, acronimo di “EU Keeping Internet Digital Spaces Accountable and Trustworthy“: non è ancora legge, ma un progetto di regolamento che dovrà passare attraverso Parlamento europeo e Consiglio.

Il punto più immediato riguarda l’età: niente account social sotto i 13 anni, profili fortemente limitati e controllati dai genitori tra 13 e 14 anni, account autonomo dai 15 anni.

La parte più interessante, però, sta altrove. Bruxelles vuole intervenire sul modo in cui piattaforme, algoritmi di raccomandazione, chatbot AI e videogiochi vengono progettati quando tra gli utenti ci sono minorenni.

La proposta ufficiale conferma gran parte delle anticipazioni emerse pochi giorni prima della presentazione. Il 15 settembre avevamo già analizzato su IlSoftware.it il documento riservato sull’EU KIDS Act, soffermandoci proprio sulla soglia dei 15 anni, sulla verifica dell’età, sulle restrizioni agli algoritmi di raccomandazione, sul design delle piattaforme, sui videogiochi e sugli AI companion. Il testo pubblicato dalla Commissione il 17 settembre mantiene quasi integralmente quell’impostazione, ma chiarisce alcuni punti che nel documento trapelato risultavano ancora poco definiti.

Una differenza riguarda soprattutto i più piccoli. Le anticipazioni descrivevano una scansione più articolata tra bambini sotto i 3 anni e fascia 3-13; la proposta ufficiale adotta invece una regola più semplice: sotto i 13 anni non è possibile avere un account social. Rimane soltanto una possibilità molto circoscritta sulle piattaforme video progettate specificamente per bambini: il genitore può consentire l’accesso attraverso il proprio account, senza creare un profilo personale al figlio, con ricerca e feed personalizzato disattivati e un limite massimo di utilizzo pari a un’ora al giorno.

EU KIDS Act: cosa cambia davvero per l’accesso ai social

La proposta arriva dopo anni di interventi europei sulla sicurezza digitale. Il Digital Services Act (DSA) ha già introdotto obblighi specifici per le grandi piattaforme e vietato la pubblicità basata sulla profilazione dei minori; l’AI Act disciplina invece numerosi impieghi dell’intelligenza artificiale.

Con il KIDS Act la Commissione prova a occupare uno spazio ancora scoperto: non limitarsi a rimuovere contenuti illegali o valutare i rischi dopo che si sono manifestati, ma imporre caratteristiche tecniche precise ai servizi utilizzati dai ragazzi.

Per gli account dei tredicenni e quattordicenni la Commissione immagina vincoli molto concreti: strumenti parentali sempre attivi, approvazione dei contatti e, come anticipato nell’introduzione, un limite giornaliero massimo di un’ora. Il modello punta a creare categorie tecniche differenti di account e, di conseguenza, differenti capacità operative.

La semplice data di nascita non basta più

Oggi moltissimi servizi verificano l’età chiedendo semplicemente all’utente di inserire una data di nascita. Il KIDS Act considera insufficiente l’autodichiarazione dell’età e prevede sistemi di verifica certificati.

L’idea non consiste, almeno secondo il modello descritto dalla Commissione, nell’inviare il documento d’identità direttamente a Meta, TikTok, Google o a un altro fornitore. La verifica dovrebbe avvenire tramite un soggetto o uno strumento separato dalla piattaforma. Fra le soluzioni previste figura l’app europea per la verifica dell’età già sviluppata nell’ambito delle iniziative UE (inizialmente bucata in due minuti) e, successivamente, lo European Digital Identity Wallet.

Il servizio online dovrebbe ricevere soltanto l’informazione necessaria: ad esempio, sapere che la persona ha superato una determinata soglia anagrafica, senza conoscerne nome, data di nascita o altri dati identificativi.

La Commissione cita esplicitamente l’impiego di meccanismi basati su zero-knowledge proof, tecniche crittografiche che permettono di dimostrare il possesso di una proprietà senza rivelare l’informazione da cui quella proprietà deriva.

In pratica, una piattaforma potrebbe ricevere una prova crittografica del fatto che “l’utente ha almeno 15 anni” senza ricevere il numero della carta d’identità o la data completa di nascita. È una distinzione importante perché la verifica dell’età, se implementata male, rischia di trasformarsi in una raccolta su larga scala di documenti e informazioni personali.

Cosa succederebbe agli account già esistenti

Secondo le spiegazioni pubblicate dalla Commissione, entro 6 mesi dall’applicazione delle nuove regole le piattaforme dovrebbero verificare se i titolari degli account esistenti hanno meno di 15 anni. In caso affermativo, oppure quando non fosse possibile stabilirne adeguatamente l’età, gli account interessati dovrebbero essere disabilitati o ricondotti alle modalità consentite.

La Commissione precisa che, quando un fornitore dispone già di elementi sufficientemente affidabili per stabilire che un utente è adulto, non servirebbe una nuova verifica. Tra i segnali citati figurano anzianità dell’account e informazioni legate ai pagamenti.

È un terreno che richiederà definizioni molto precise: una “stima affidabile” dell’età non può trasformarsi, per evitare una raccolta di documenti, in una profilazione ancora più invasiva.

Fine dello scrolling infinito per i minori

La Commissione intende inoltre vietare, quando il servizio è utilizzato da minorenni, diverse tecniche progettate per aumentare il tempo trascorso davanti allo schermo.

Fra queste figurano infinite scrolling, riproduzione automatica continua dei contenuti, notifiche che cercano di richiamare l’utente senza dipendere da una sua azione, premi collegati alla pubblicazione verso grandi platee e meccanismi di “streak” che penalizzano simbolicamente chi interrompe una sequenza giornaliera.

Molti servizi digitali misurano il successo di una funzione attraverso metriche come session duration, retention e frequenza di ritorno. Eliminare o limitare determinate tecniche per gli account dei minorenni significa costringere le piattaforme a mantenere comportamenti differenti a livello di interfaccia, backend e logica di personalizzazione in funzione della fascia d’età.

Dovrebbero inoltre comparire limiti di utilizzo effettivi e pause pensate, nelle intenzioni del legislatore, per ridurre interferenze con sonno e attività scolastiche.

Il punto è che Bruxelles non vuole più affidare tutta la responsabilità all’autocontrollo del ragazzo o alla configurazione effettuata dalla famiglia: alcuni modelli di interazione diventerebbero direttamente incompatibili con un servizio destinato ai minori.

Il KIDS Act cambia feed, chatbot, profili e videogiochi

Il KIDS Act non si limita alla verifica dell’età, ma interviene direttamente sul funzionamento dei servizi digitali destinati ai minori.

I sistemi di raccomandazione dovrebbero privilegiare sicurezza e qualità rispetto alla massimizzazione dell’engagement, limitando la profilazione e l’uso di dati raccolti fuori dalla piattaforma.

I profili dei ragazzi dovrebbero essere più protetti, con messaggi, gruppi, contatti suggeriti e visibilità dei contenuti sottoposti a maggiori restrizioni. Regole specifiche riguardano anche chatbot e AI companion, che non dovrebbero costruire relazioni troppo personalizzate o mantenere automaticamente memoria delle conversazioni con i minori.

Il provvedimento coinvolge infine videogiochi e app store, introducendo classificazioni per età, controlli su download e acquisti e maggiore attenzione alle cosiddette “spending traps“, comprese meccaniche come acquisti in-app, valuta virtuale e loot box (pacchetti virtuali nei videogiochi che offrono oggetti casuali in cambio di denaro reale o valuta di gioco).

Le grandi piattaforme dovrebbero dimostrare preventivamente di essere sicure

Un altro elemento centrale è l’inversione dell’onere della prova. Per le piattaforme con almeno 45 milioni di utenti attivi mensili nell’UE, soglia già utilizzata dal DSA per individuare i servizi di dimensioni molto grandi, non basterebbe dichiarare di rispettare il regolamento.

Prima di entrare in contatto con i minori secondo il nuovo regime, gli operatori dovrebbero presentare un piano dettagliato che illustri come intendono rispettare ciascun obbligo. Un auditor indipendente, pagato dall’azienda, dovrebbe verificarlo: la Commissione manterrebbe la possibilità di contestare la scelta del revisore qualora emergessero dubbi sull’indipendenza.

Il principio è significativo: l’autorità non dovrebbe aspettare necessariamente che un ragazzo subisca un danno per intervenire. Toccherebbe al fornitore dimostrare preventivamente che design, algoritmi, controlli parentali e procedure di verifica soddisfano i requisiti.

Multe fino al 6% del fatturato mondiale

Per l’applicazione delle regole la Commissione intende riutilizzare parte dell’architettura già costruita con DSA e AI Act. Bruxelles avrebbe competenza diretta sulle piattaforme e sui sistemi AI più grandi, mentre i Digital Services Coordinator e le Autorità nazionali di vigilanza manterrebbero le rispettive competenze per altri servizi.

Le sanzioni potrebbero raggiungere il 6% del fatturato annuo mondiale. Per i servizi sottoposti alla supervisione diretta della Commissione, la documentazione parla inoltre di una procedura accelerata: rilievi preliminari entro 30 giorni e obiettivo di decisione finale entro 90 giorni.

Chatbot e AI companion interessati dalle nuove disposizioni, secondo la proposta, non potrebbero entrare sul mercato prima che il fornitore abbia dimostrato la conformità e predisposto un sistema per monitorare rischi emergenti e incidenti. Anche qui il KIDS Act prova a spostare l’attenzione dalla reazione al danno alla verifica preventiva.

A questo punto, il testo dell’EU KIDS Act seguirà la procedura legislativa ordinaria: Parlamento europeo e Consiglio dovranno esaminarlo, negoziarlo e potranno modificarlo prima dell’eventuale approvazione definitiva.

Dove finisce la tutela e dove comincia il ruolo dei genitori?

Resta però una domanda che il KIDS Act inevitabilmente porta con sé: fino a che punto deve essere il legislatore a stabilire come un minore può utilizzare uno smartphone, un social network o un videogioco?

Imporre strumenti di controllo parentale, limitare alcune funzioni o intervenire sui meccanismi progettati per prolungare la permanenza online può avere una logica di tutela; diverso è trasformare la legge in uno strumento che definisce indirettamente quante ore un ragazzo possa trascorrere davanti allo schermo.

Su questo terreno il confine tra protezione, responsabilità delle piattaforme e autonomia educativa delle famiglie diventa molto più delicato.

Anche la verifica dell’età pone problemi simili: per proteggere i minori non si dovrebbe costruire un sistema capace di identificare e tracciare sistematicamente tutti gli utenti.

Attestazioni indipendenti, minimizzazione dei dati e prove crittografiche possono ridurre il rischio, ma molto dipenderà da come le regole saranno tradotte tecnicamente. Il KIDS Act, quindi, non riguarda soltanto l’età minima per aprire un account: prova a definire quali responsabilità debbano assumersi le piattaforme quando dall’altra parte dello schermo c’è un minore, lasciando però aperto il confronto su quanto debba decidere la legge e quanto debba restare nelle mani dei genitori.

Il tema non è scegliere tra regolamentazione e assenza di regole. È capire fino a quale livello di dettaglio abbia senso spingersi e quali effetti collaterali produca l’accumulo di norme. Non a caso la stessa Commissione europea ha dovuto introdurre negli ultimi mesi interventi di semplificazione dell’AI Act, nel tentativo di rendere gli obblighi più chiari e meno gravosi per imprese e sviluppatori.