Regulator fines AI: der EU KIDS Act setzt die Altersgrenze auf 15 Jahre

Der 17. September 2026: Die Kommission nimmt den Vorschlag an

Wer heute «regulator fines AI» eingibt, sucht das Ende des Regulierungszyklus. Der Anfang kam am 17. September 2026, als die Europäische Kommission den Vorschlag für den EU KIDS Act annahm, kurz für «EU Keeping Internet Digital Spaces Accountable and Trustworthy».

Der Text hat ein erklärtes Ziel: Minderjährige vor riskanten digitalen Diensten und vor KI-Systemen zu schützen. Der Geltungsbereich ist die Europäische Union. Der Status ist der eines Gesetzgebungsvorschlags, der nun dem Europäischen Parlament und dem Rat zur Prüfung vorliegt.

Der Vorschlag, veröffentlicht am 17. September 2026 auf dem Portal der Europäischen Kommission^[1], kommt begleitet von einer Mitteilung über den europäischen Ansatz zur Sicherheit von Kindern im Netz und von einem Staff Working Document mit der Folgenabschätzung. Drei Dokumente, ein einziger Entwurf.

Fünfzehn Jahre: das einheitliche europäische Alter

Das Herz des Vorschlags ist eine Zahl: fünfzehn Jahre.

Unterhalb dieser Schwelle bleibt die eigenständige Erstellung eines Kontos bei den im Text genannten Social-Networking-Diensten und Video-Sharing-Plattformen eingeschränkt. Die Maßnahme betrifft diese spezifischen Dienste und die daran angebundenen Systeme. Die gewählte Formulierung spricht von einer Beschränkung der eigenständigen Erstellung und öffnet damit eine Rolle für die Träger der elterlichen Verantwortung.

Vor diesem Rechtsakt änderte sich die Schwelle von Staat zu Staat. Artikel 8 der Verordnung 2016/679 lässt den Mitgliedstaaten eine Spanne zwischen 13 und 16 Jahren für die digitale Einwilligung Minderjähriger, und die Mitgliedstaaten haben sie unterschiedlich genutzt. Das Ergebnis ist eine zersplitterte Landkarte, die jede paneuropäische Plattform Land für Land verwaltet.

Die Harmonisierung ist das zentrale Argument des Textes: Ein einziges Alter für die gesamte Union beseitigt Hindernisse für die Verwirklichung des digitalen Binnenmarkts. Der erklärte Nutzen ist doppelt: Rechtssicherheit für die Unternehmen, einheitlicher Schutz für die Kinder in Europa.

Digitale Dienste und KI-Systeme im selben Perimeter

Das regulatorische Delta liegt im Perimeter. Bislang lebte der Schutz Minderjähriger im Netz in getrennten Texten.

Der Digital Services Act, Verordnung 2022/2065, regelt die Pflichten der Online-Plattformen und gilt vollumfänglich seit dem 17. Februar 2024. Der EU AI Act, Verordnung 2024/1689, regelt KI-Systeme mit einem gestuften Anwendungskalender. Das Alter der digitalen Einwilligung bleibt nationale Materie, wegen der Verweisung in Artikel 8 DSGVO.

Der Vorschlag vom 17. September 2026 führt digitale Dienste und KI-Systeme in einem einzigen, Minderjährigen gewidmeten Text zusammen. Für eine Gruppe, die beides anbietet, fällt die bequeme Trennung zwischen Plattform-Team und Modell-Team weg.

Eine Compliance-Haltung, die am Perimeter des DSA ausgerichtet ist, erweist sich heute als schlecht kalibriert für einen konversationellen Assistenten, der der breiten Öffentlichkeit offensteht. Das Audit bleibt gefordert; was sich ändert, ist sein Anwendungsbereich.

Das Governance-Signal

Das Governance-Signal: Der Zugang Minderjähriger wird zu einer Produktfunktion – überprüfbar, dokumentierbar und einer klar benannten Rolle zurechenbar.

Wer den Registrierungsfluss entwirft, entscheidet über die Konformität des Dienstes. Das von den Nutzenden angegebene Alter wird zu einem Datum, das mit verhältnismäßigen Methoden festzustellen ist. Jede Methode bedeutet eine Verarbeitung personenbezogener Daten, die zu rechtfertigen ist.

Die Frage, die der General Counsel an das Produkt richtet, ist direkt. Welche Rolle – namentlich und schriftlich benannt, bevor das Release erfolgt – verantwortet den Schutz Minderjähriger bei diesem Dienst?

Ein Framework, das diesen Namen vermeidet, produziert Dokumentation, und Dokumentation wiegt vor einer Behörde wenig. Anonyme Accountability bleibt Compliance-Theater.

Der Einwand: Altersprüfung sammelt Daten

Der stärkste Einwand gegen den Text kommt von der Datenschutzseite. Das Alter aller zu prüfen dient dem Schutz einiger, und diese Kontrolle erzeugt Daten über jede Nutzerin und jeden Nutzer.

Die Datenschutzbehörden verfolgen das Thema seit Jahren. Der Grundsatz der Datenminimierung aus Artikel 5 DSGVO verlangt, dass die Prüfung das am wenigsten invasive Datum verwendet. Zero-Knowledge-Beweise und die europäischen digitalen Identitäts-Wallets treten hier in die technische Debatte ein.

Das Board Audit & Risk Committee erbt diese Spannung in Form von Disclosure. Ein Schutz Minderjähriger, der auf einem Archiv von Ausweisdokumenten aufbaut, schafft ein neues Risiko, und dieses Risiko muss den Aktionären offengelegt werden.

Der Kontrast zu den Vereinigten Staaten

Der Vergleich mit dem amerikanischen Rahmen ist instruktiv.

Dort läuft der Schutz Minderjähriger im Netz über Landesgesetze, die sich überlagern und schnell wechseln. Jeder Bundesstaat legiferiert nach seiner eigenen politischen Position, und die Bundesgerichte greifen im Nachhinein ein. Das Ergebnis ist ein Mosaik, das Unternehmen Rechtsordnung für Rechtsordnung zusammensetzen.

Die Zersplitterung auf Bundesstaatenebene ist das amerikanische Muster, weit über den Einzelfall hinaus. Ein kohärentes Bundesgesetz bleibt zeitlich fern.

Die Europäische Union wählt den umgekehrten Weg: eine einzige Zahl, ein einziges Verfahren, eine kohärente Enforcement-Struktur. Für eine Gruppe, die auf beiden Seiten des Atlantiks tätig ist, wird das europäische Modell zur am einfachsten umzusetzenden gemeinsamen Grundlage.

Die Sanktionen kommen später – und sie kommen

Die Sanktionsmaßnahmen folgen dem Gesetzestext, und sie treffen. Die französische CNIL hat das Unternehmen Extia mit 300.000 Euro sanktioniert, weil es die Rechte der Betroffenen nicht gewahrt hat, wie der EDSA^[2] berichtet.

Der Betrag wiegt weniger als das Prinzip. Ein Verfahrensfehler beim Umgang mit den Rechten der Betroffenen genügt, um die Maßnahme auszulösen.

Die gerichtliche Front läuft parallel. In den Vereinigten Staaten zeigt der Rechtsstreit Doe v. GitHub, Inc.^[3] die Gerichte bei der Arbeit an den Haftungsfragen rund um KI-Systeme. Zwei verschiedene Mechanismen, eine gemeinsame Richtung: Die Verwaltungsbehörde sanktioniert, das Zivilgericht weist Verantwortung zu.

Ein Compliance-Programm, das vor dem Inkrafttreten aufgebaut wird, absorbiert beide Fronten.

Drei Entscheidungen für das Board

Der Text bleibt ein Vorschlag, und dies ist der günstigste Moment, um zu handeln. Die drei folgenden Entscheidungen betreffen die Monate vor der Verabschiedung.

1. Inventar: Welche Produkte der Gruppe bleiben für Nutzende unter 15 Jahren zugänglich, und mit welchem Mechanismus zur Altersfeststellung (General Counsel und Chief Compliance Officer).
2. Risiko-Framework: Welcher Eintrag im Risikoregister deckt den Zugang Minderjähriger zu konversationellen KI-Systemen ab (Chief Risk Officer).
3. Disclosure: Welche Angaben das Board Audit & Risk Committee zu den ergriffenen Schutzmaßnahmen und zu den dafür erhobenen Daten in den Jahresabschluss einbringt.

Der CEO erbt die vierte Entscheidung, die strategischer Natur ist. Ein Dienst, dessen Nutzerbasis einen relevanten Anteil europäischer Jugendlicher umfasst, steht vor einer Produktentscheidung, die durch die Norm gebunden ist. Die Restriktion geht in die Wachstumspläne und in die Prognosen zur Nutzergewinnung ein.

Organisationen, die jetzt Produkte und Registrierungsflüsse kartieren, kommen mit fertigem Inventar zur Schlussabstimmung. Wer auf den endgültigen Text wartet, kauft dieselbe Arbeit zu einem höheren Preis.

Regulatory horizon

Aktueller Stand: Vorschlag, am 17. September 2026 von der Europäischen Kommission angenommen. Geltungsbereich: Europäische Union, mit Wirkung für jeden Dienst, der sich an in der Union wohnhafte Nutzende richtet.

Nächste Schritte: Prüfung durch das Europäische Parlament und den Rat, interinstitutionelle Verhandlungen, endgültiger Text. Die Schwelle von fünfzehn Jahren bleibt der Punkt, auf den sich die politische Auseinandersetzung konzentrieren wird. Änderungsanträge sind ein normaler Teil des Verfahrens.

Auf dem Parallelgleis setzt die Verordnung 2024/1689 ihre gestufte Anwendung fort, wobei die Pflichten für Hochrisikosysteme später im Kalender liegen. Wer ein europäisches digitales Produkt steuert, arbeitet heute an zwei Kalendern, die sich kreuzen werden.

Die Frage nach dem Zugangsalter hat eine europäische Antwort erhalten. Eine zweite Frage, nach der Prüfung dieses Alters, hat sich gerade erst geöffnet.