Il 17 settembre 2026 la Commissione europea ha adottato la proposta di EU KIDS Act, destinata a incidere profondamente sul rapporto tra minori e servizi digitali. La notizia è stata rapidamente riassunta come il “divieto dei social agli under 13”, ma, dal punto di vista giuridico, la questione è più articolata.
La proposta introduce certamente una soglia europea: sotto i 13 anni niente account personali sui servizi social e di video sharing interessati dalla disciplina; tra 13 e 14 anni un accesso attraverso account limitati e supervisionati dai genitori; dai 15 anni la possibilità di avere un account autonomo.
Ma il provvedimento non si ferma all’età. La parte forse più significativa riguarda infatti il modo in cui i servizi dovranno essere progettati: meno meccanismi capaci di favorire un uso compulsivo, maggiori protezioni contro contatti indesiderati, sistemi di raccomandazione più sicuri e impostazioni orientate alla tutela del minore.
Indice degli argomenti
EU Kids Act: dalla proposta europea alle regole per età
C’è poi una precisazione preliminare. Quello del 17 settembre non è un regolamento già entrato in vigore, ma una proposta di regolamento. La Commissione ha esercitato la propria iniziativa legislativa; ora il testo dovrà essere esaminato da Parlamento europeo e Consiglio e potrà essere modificato nel corso del procedimento. Non siamo quindi ancora davanti a un obbligo immediatamente applicabile alle piattaforme, ma all’avvio di un intervento legislativo europeo che, se approvato, punta a introdurre un quadro comune destinato a sostituire l’attuale frammentazione nazionale.
Accesso ai social: le regole per fascia d’età
La proposta immagina l’accesso ai social come un percorso progressivo, non come un semplice interruttore acceso o spento. Per i minori di 13 anni la regola è l’assenza di un account personale sui servizi social e video-sharing coperti dal regolamento. Esiste però una possibilità molto circoscritta per le piattaforme video specificamente progettate per bambini piccoli: l’accesso può avvenire attraverso l’account del genitore, senza creare un profilo autonomo del minore e con ricerca e personalizzazione del feed disattivate. Il genitore mantiene inoltre il controllo sul tempo di utilizzo.
Dai 13 ai 15 anni: account limitati e autonomia
Tra i 13 e i 14 anni la situazione cambia, ma non si arriva ancora alla piena autonomia. Il genitore può creare un account limitato, con gli strumenti di controllo parentale sempre attivi, un limite giornaliero massimo di un’ora e l’approvazione dei contatti. Dai 15 anni, invece, il minore può aprire autonomamente il proprio account senza un previo consenso del genitore. La protezione, però, non viene meno: fino ai 18 anni il servizio deve continuare a funzionare in un ambiente progettato secondo principi di sicurezza.
È un’impostazione interessante perché separa due concetti che nel dibattito pubblico vengono spesso confusi: l’autonomia nell’uso del servizio e la protezione dal rischio. Il quindicenne avrebbe maggiore autonomia rispetto al tredicenne, ma non per questo la piattaforma potrebbe trattarlo come un adulto. L’aumento dell’età riduce progressivamente il controllo genitoriale; non elimina l’obbligo di progettare il servizio in modo sicuro.
La sicurezza by design nell’EU Kids Act
È probabilmente questo il cuore dell’EU KIDS Act. La proposta non si limita a stabilire chi possa iscriversi, ma interviene sulle caratteristiche del prodotto digitale. La Commissione indica espressamente tra le pratiche da contrastare i meccanismi capaci di favorire un uso compulsivo o eccessivo, come lo scrolling infinito, l’autoplay privo di vere pause, determinate notifiche finalizzate a riportare il minore sulla piattaforma, le ricompense collegate alla pubblicazione o allo streaming verso grandi audience e le cosiddette “streak”, che premiano la continuità quotidiana dell’utilizzo. Sono previsti inoltre strumenti per imporre limiti di utilizzo e pause, con particolare attenzione al sonno e al tempo scolastico.
Il significato giuridico di questa impostazione è rilevante. Il rischio non viene più considerato soltanto come qualcosa che deriva da un contenuto illecito o da un comportamento individuale. Può essere prodotto dalla stessa architettura del servizio. Se un’applicazione è costruita per rendere molto difficile smettere di utilizzarla, il problema può esistere anche prima che compaia un singolo contenuto illegale.
Algoritmi e raccomandazioni per gli utenti minorenni
È la stessa logica che si ritrova nella disciplina dei sistemi di raccomandazione. Per gli utenti minorenni, la proposta prevede algoritmi orientati alla sicurezza, alla qualità e al benessere, invece che alla massimizzazione dell’engagement. La personalizzazione fondata sul tracking dovrebbe essere disattivata di default; il minore dovrebbe poter controllare maggiormente ciò che gli viene raccomandato e disporre di almeno un’opzione priva di profilazione. L’obiettivo dichiarato è anche ridurre il rischio dei cosiddetti “rabbit holes”, cioè sequenze di raccomandazioni che possono trascinare l’utente verso contenuti sempre più estremi.
In questo senso il KIDS Act rappresenta un ulteriore passo rispetto al Digital Services Act. Quest’ultimo già impone, all’articolo 28, alle piattaforme accessibili ai minori di adottare misure appropriate e proporzionate per assicurare un elevato livello di privacy, sicurezza e protezione. Il nuovo regolamento mira a rendere molto più dettagliate e concrete alcune di quelle esigenze. Non si tratta quindi di una normativa nata nel vuoto, ma dell’evoluzione di un percorso regolatorio europeo già avviato.
Verifica dell’età e privacy dei minori nell’EU Kids Act
La seconda grande questione è la verifica dell’età. Una soglia anagrafica, infatti, ha poco significato se la piattaforma continua semplicemente a chiedere all’utente di inserire la propria data di nascita.
La proposta prevede che l’autodichiarazione non sia sufficiente e che le piattaforme dispongano di sistemi affidabili di age assurance. Il controllo riguarderà sia chi apre un nuovo account sia, una volta applicate le nuove regole, gli account esistenti. Il modello illustrato dalla Commissione cerca però di evitare che la verifica dell’età si trasformi in una generalizzata identificazione dell’utente: la verifica dovrebbe avvenire tramite soluzioni indipendenti dalla piattaforma, compresa una specifica soluzione europea, in modo che il servizio riceva essenzialmente l’informazione necessaria a stabilire se l’utente si trova sopra o sotto la soglia richiesta. La Commissione richiama espressamente anche tecniche di “zero knowledge proof”.
Il rapporto con GDPR e Codice privacy
Qui il rapporto con il GDPR diventa inevitabile. L’articolo 8 del regolamento europeo stabilisce una disciplina specifica per il consenso del minore al trattamento dei dati personali quando si tratta dell’offerta diretta di servizi della società dell’informazione e la base giuridica è il consenso. La soglia generale è di 16 anni, ma gli Stati membri possono abbassarla sino a 13. In Italia il legislatore ha fissato il limite a 14 anni attraverso l’articolo 2-quinquies del Codice privacy.
Le due soglie, però, non devono essere confuse. L’articolo 8 GDPR non stabilisce una generale “età minima per i social”, ma disciplina una specifica questione relativa alla possibilità del minore di prestare autonomamente il consenso a determinati trattamenti. L’EU KIDS Act interviene invece sull’accesso autonomo a determinati servizi digitali. Potrebbero quindi convivere, senza contraddizione, un limite di 14 anni per il consenso autonomo nei casi coperti dall’articolo 8 e una soglia di 15 anni per la creazione autonoma di determinati account.
EU Kids Act tra social, videogiochi e intelligenza artificiale
Un’altra caratteristica importante della proposta è il suo campo di applicazione. Il KIDS Act non guarda soltanto ai social network. La Commissione lo presenta come un intervento rivolto anche ai servizi di video sharing, ai videogiochi online, agli app store, ai sistemi operativi e agli AI chatbot o “AI companion”, mentre alcuni servizi destinati principalmente all’accesso all’informazione, come enciclopedie, piattaforme educative e informazione digitale, sono indicati tra quelli che dovrebbero essere esclusi.
AI companion e rischi per gli utenti minorenni
La parte sull’intelligenza artificiale è particolarmente nuova. I chatbot e gli AI companion accessibili ai minori non dovrebbero essere progettati in modo da simulare relazioni umane tali da favorire una dipendenza emotiva. La Commissione prevede inoltre test specifici dei rischi per i minori prima del lancio, monitoraggio successivo e, per gli under 13, accesso attraverso strumenti di controllo parentale. Se un chatbot è integrato in un gioco o in una piattaforma, non dovrebbe attivarsi automaticamente, essere spinto verso il minore o risultare difficile da disattivare.
La prospettiva si coordina con quella già contenuta nell’AI Act. L’articolo 5 del regolamento europeo vieta, nelle condizioni previste dalla norma, pratiche di IA manipolative o sistemi che sfruttano vulnerabilità legate anche all’età quando ciò determina o può determinare un danno significativo. Il KIDS Act si colloca su un terreno più specifico: non disciplina tutta l’IA, ma considera il rapporto tra particolari sistemi digitali e gli utenti minorenni.
Le piattaforme e gli obblighi di tutela dei minori
Sul piano dell’enforcement, la proposta contiene un altro elemento destinato a incidere concretamente sull’organizzazione delle piattaforme più grandi. Per le Very Large Online Platforms, cioè quelle con almeno 45 milioni di utenti attivi mensili nell’Unione, la logica della conformità viene rovesciata: prima che nuove funzionalità entrino in contatto con i minori nel nuovo regime, sarà il provider a dover dimostrare di rispettare gli obblighi. La Commissione prevede un compliance plan e una verifica da parte di auditor indipendenti a carico della piattaforma. La valutazione dovrebbe avvenire entro 30 giorni e le nuove funzionalità potrebbero essere introdotte soltanto dopo un esito positivo.
Sanzioni e controllo europeo sulle piattaforme
Anche il sistema sanzionatorio è costruito facendo leva sulle strutture già esistenti del DSA e dell’AI Act. Le multe previste possono arrivare al 6% del fatturato annuo mondiale complessivo e la proposta prevede procedure accelerate, con l’obiettivo di concludere le indagini sotto la supervisione europea entro 90 giorni. Per gli altri servizi intervengono le autorità nazionali competenti individuate dagli Stati membri.
La conseguenza pratica è chiara: la protezione dei minori smette di essere un tema confinato al legal department. Diventa una questione di prodotto. Un’azienda dovrà poter dimostrare non soltanto di avere una policy adeguata, ma anche di aver progettato concretamente il servizio in modo coerente con quella policy.
Il futuro dell’EU Kids Act nel confronto tra Commissione e Parlamento
C’è infine una ragione per cui sarebbe prematuro considerare già definito il nuovo regime: il testo della Commissione dovrà ancora affrontare il confronto istituzionale. E il tema dell’età sarà certamente uno dei più delicati. Nel novembre 2025 il Parlamento europeo aveva infatti adottato una risoluzione non legislativa chiedendo una soglia europea di 16 anni per l’accesso ai social, alle piattaforme di video sharing e agli AI companion, lasciando ai minori tra 13 e 16 anni la possibilità di accedervi con autorizzazione dei genitori. La proposta della Commissione oggi sul tavolo sceglie invece la soglia dei 15 anni per l’account autonomo.
Dal limite di età al design dei servizi digitali
Il confronto tra queste due impostazioni mostra perché il 17 settembre 2026 non debba essere letto come il giorno in cui l’Europa ha semplicemente “vietato i social ai minori di 13 anni”. È il giorno in cui la Commissione ha messo formalmente sul tavolo un modello europeo nel quale l’età diventa una variabile giuridica dell’accesso e, soprattutto, la sicurezza del minore entra direttamente nella progettazione del servizio.
Ed è probabilmente questo l’aspetto destinato a lasciare l’impronta maggiore. Fino a oggi siamo stati abituati a pensare alla tutela del minore soprattutto come una combinazione di responsabilità del genitore, regole di utilizzo e rimozione dei contenuti problematici. Il KIDS Act prova a spostare il punto di partenza: non soltanto chiedersi che cosa faccia il minore una volta dentro la piattaforma, ma anche che cosa la piattaforma sia stata progettata per fargli fare.
È un cambiamento di paradigma ancora in divenire, perché il testo dovrà essere discusso e potrà cambiare. Ma la direzione indicata dalla Commissione è già abbastanza chiara: nel futuro diritto digitale europeo, proteggere i minori non significherà soltanto stabilire chi può entrare. Significherà anche stabilire come deve essere costruito il luogo digitale nel quale entra.
Partecipa alla community