Los niños ya usan chatbots de IA, y los reguladores europeos esperan ahora que esos productos los protejan en la práctica, no solo en la política de privacidad. Si su empresa ofrece un chatbot, un asistente de IA o cualquier función de IA a la que puedan acceder jóvenes, esto le afecta, aunque los niños no sean su público objetivo.

Tres novedades de 2026 marcan el tono. En julio, la autoridad italiana de protección de datos sancionó a la empresa detrás de Character.AI por controles de edad débiles y perfiles de menores públicos por defecto, entre otros fallos. En septiembre, un tribunal alemán falló contra la forma en que el chatbot de IA de Snapchat usaba los datos de las conversaciones para publicidad. Y el 17 de septiembre la Comisión Europea propuso la EU KIDS Act, que sometería por primera vez a los compañeros de IA y a los chatbots generales a normas de protección infantil. El hilo común: si los menores pueden acceder a su chatbot, la privacidad desde el diseño tiene que funcionar en la práctica. Este artículo es solo información general y no constituye asesoramiento jurídico.

Lo que han hecho reguladores y tribunales

Italia ha sancionado ya a dos chatbots de compañía, un tribunal alemán se ha pronunciado y Bruselas quiere normas específicas.

Cuatro lecciones para quien gestione un chatbot

1. Un campo de fecha de nacimiento no es verificación de edad

Character.AI argumentó que el RGPD no exige ninguna tecnología concreta de verificación de edad. El Garante lo aceptó, pero dijo que los artículos 24 y 25 siguen exigiendo medidas adecuadas y eficaces en función de los riesgos, incluida la vulnerabilidad de los menores.

La puerta de entrada de Character.AI dependía de que los usuarios escribieran su propia fecha de nacimiento. Una prueba técnica del 8 de abril de 2025 mostró que un usuario que declaraba tener 15 años podía registrarse igualmente, y que las cuentas de menores autodeclarados eran públicas por defecto. El Garante ordenó a la empresa que hiciera funcionar sus controles de edad, que hiciera efectivo el periodo de bloqueo para los menores rechazados y que configurara los perfiles de menores como privados por defecto. La empresa tiene 120 días para informar.

Más tarde, el Garante consideró adecuado el nuevo sistema de la empresa. Combina verificación de edad con experiencias restringidas para menores y se introdujo a partir de noviembre de 2025.

2. La EIPD va antes del lanzamiento

La primera evaluación de impacto relativa a la protección de datos (EIPD) de Character.AI está fechada el 14 de noviembre de 2024. El servicio se lanzó en septiembre de 2022. El Garante dijo que debió hacerse antes del lanzamiento y citó tres factores que por sí solos bastaban para exigirla: la IA generativa, el tratamiento a gran escala y la participación de menores. Añadió que las revisiones internas de riesgos informales y sin documentar no pueden sustituir a una EIPD formal conforme al artículo 35.

Conclusión práctica: si su chatbot usa IA generativa y los niños podrían usarlo razonablemente, dé por hecho que se exige una EIPD y termínela antes del lanzamiento. Vea nuestra guía de la EIPD para chatbots de IA.

3. Diga con claridad qué ocurre con los chats y los datos de entrenamiento

Estos hallazgos se aplican a cualquier producto de IA, no solo a los dirigidos a jóvenes.

4. Los datos de chat no son combustible gratuito para la publicidad

El caso de Snapchat apunta en la misma dirección. Según las crónicas de la sentencia, el tribunal de Colonia consideró que las condiciones de Snap para su chatbot de IA no cumplían los requisitos básicos de un tratamiento lícito. Se pedía a los usuarios que consintieran mediante casillas premarcadas, también para publicidad dirigida, y Snap dijo que usa todos los datos de los chats para generar anuncios relevantes. El tribunal dijo que el tratamiento seguiría siendo ilícito incluso con un aviso sobre los datos antes del primer uso y que el interés legítimo no podía justificarlo. Los comentaristas añaden que consideró real la posibilidad de datos sensibles, ya que en un chatbot se puede escribir casi cualquier cosa, y que censuró la publicidad de alcohol y juegos de azar dirigida a menores.

Las casillas premarcadas llevan años sin ser un consentimiento válido en el Derecho de la UE. Lo nuevo es ver el principio aplicado a un chatbot, donde los usuarios pueden compartir mucho más que en un buscador.

Lo que la ley ya exige y lo que añadiría la KIDS Act

Ninguna de estas decisiones se apoya en normas nuevas: el RGPD cubre los datos de los niños desde el principio.

Las verificaciones de edad conllevan su propio riesgo para la privacidad. La Declaración 1/2025 del CEPD sobre verificación de edad (febrero de 2025) fija diez principios: el método debe basarse en el riesgo, ser proporcionado y lo menos intrusivo que siga siendo eficaz, y evitar la recogida innecesaria de datos, la elaboración de perfiles y el seguimiento. El CEPD señala que la verificación de edad suele suponer por sí misma un riesgo alto, por lo que primero debería hacerse una EIPD.

La KIDS Act propuesta

La KIDS Act es una propuesta, por lo que puede cambiar antes de convertirse en ley. Según las preguntas frecuentes de la Comisión, los compañeros de IA y chatbots accesibles a menores deberían:

La evaluación de impacto de la Comisión dice que las obligaciones de prueba y vigilancia no se aplicarían a los sistemas ofrecidos por microempresas y pequeñas empresas. La propuesta en su conjunto establece que la edad autodeclarada no bastaría: la edad se comprobaría con herramientas certificadas, como una aplicación europea de verificación de edad, que solo indican al servicio si el usuario está por encima o por debajo de una edad determinada. La aplicación para compañeros de IA y chatbots se apoyaría en las estructuras del Reglamento de IA, con multas de hasta el 6 % del volumen de negocios anual mundial.

Qué significa para una pequeña empresa

Las multas hasta ahora han recaído en aplicaciones de compañía, pero el razonamiento se aplica a cualquier empresa que ponga un chatbot ante el público. Un bot de atención al cliente, un asistente de reservas o una función de IA dentro de su aplicación pueden ser alcanzados por adolescentes.

Lista de comprobación para equipos que gestionan chatbots

En resumen

Muchos chatbots se construyeron partiendo de que los usuarios son adultos capaces de leer una política de privacidad y cuidar de sí mismos. Reguladores y tribunales ponen a prueba esa suposición y la encuentran insuficiente. Los pasos están claros: evaluar los riesgos antes del lanzamiento, comprobar la edad de un modo que funcione sin recoger de más, mantener privados por defecto los datos de los menores, dejar los chats fuera de la publicidad y ser honestos sobre el entrenamiento. Los equipos que lo hagan ahora estarán listos para la KIDS Act y ganarán la confianza de los padres que deciden qué aplicaciones se quedan en el móvil de sus hijos. ¿No sabe en qué punto están sus herramientas de IA? La herramienta de auditoría de IA de GDPRGard es un buen punto de partida. Para el deber de informar de que se trata de IA, vea nuestra guía del artículo 50 del Reglamento de IA.

Fuentes

Las posturas anteriores se resumen a partir de las fuentes enumeradas; las crónicas de las sentencias y de la propuesta de la KIDS Act son secundarias y deben contrastarse con la sentencia y la propuesta mismas. El análisis de cómo encajan es nuestro.

Compartir este artículo

Lee también:

⚠️ Este artículo tiene fines meramente informativos y no constituye asesoramiento jurídico. Para situaciones de cumplimiento complejas, consulte a un profesional cualificado en protección de datos. Los requisitos del RGPD y del Reglamento europeo de IA están sujetos a orientaciones normativas en constante evolución — verifique sus obligaciones actuales con su asesor jurídico.