Regulator fines AI: l'EU KIDS Act fissa i 15 anni

Il 17 settembre 2026: la Commissione adotta la proposta

Chi digita oggi «regulator fines AI» cerca la coda del ciclo regolatorio. L'inizio è arrivato il 17 settembre 2026, quando la Commissione europea ha adottato la proposta di EU KIDS Act, acronimo di «EU Keeping Internet Digital Spaces Accountable and Trustworthy».

Il testo ha un obiettivo dichiarato: proteggere i minori dai servizi digitali rischiosi e dai sistemi di AI. La giurisdizione è l'Unione europea. Lo stato è quello di proposta legislativa, ora all'esame del Parlamento europeo e del Consiglio.

La proposta, pubblicata il 17 settembre 2026 sul portale della Commissione europea^[1], arriva accompagnata da una Comunicazione sull'approccio europeo alla sicurezza dei bambini online e da uno Staff Working Document con l'analisi degli impatti. Tre documenti, un solo disegno.

Quindici anni: l'età unica europea

Il cuore della proposta è un numero: quindici anni.

Sotto quella soglia, la creazione autonoma di un account resta limitata sui servizi di social networking e sulle piattaforme di video sharing indicate dal testo. La misura riguarda quei servizi specifici e i sistemi collegati. La formula scelta parla di limite alla creazione autonoma, quindi apre un ruolo a chi esercita la responsabilità genitoriale.

Prima di questo atto la soglia cambiava da Stato a Stato. L'articolo 8 del Regolamento 2016/679 lascia agli Stati membri una forchetta tra 13 e 16 anni per il consenso digitale del minore, e gli Stati l'hanno usata in modi diversi. Il risultato è una mappa frammentata che ogni piattaforma paneuropea gestisce Paese per Paese.

L'armonizzazione è l'argomento centrale del testo: una sola età per tutta l'Unione rimuove ostacoli all'attuazione del mercato unico digitale. Il beneficio dichiarato è duplice: certezza giuridica per le imprese, tutela omogenea per i bambini europei.

Servizi digitali e sistemi di AI nello stesso perimetro

Il delta normativo sta nel perimetro. Fino a oggi la tutela dei minori online viveva in testi separati.

Il Digital Services Act, Regolamento 2022/2065, governa gli obblighi delle piattaforme online e si applica in modo pieno dal 17 febbraio 2024. L'EU AI Act, Regolamento 2024/1689, governa i sistemi di AI con un calendario di applicazione a fasi. L'età del consenso digitale resta materia nazionale, per il rinvio dell'articolo 8 del GDPR.

La proposta del 17 settembre 2026 riunisce servizi digitali e sistemi di AI in un unico testo dedicato ai minori. Per un gruppo che offre entrambi, cade la comoda separazione tra il team piattaforma e il team modelli.

Una postura di compliance tarata sul perimetro del DSA risulta oggi male calibrata per un assistente conversazionale aperto al pubblico generale. L'audit resta richiesto; cambia il suo campo di applicazione.

Il segnale di governance

Il segnale di governance: l'accesso dei minori diventa una funzione di prodotto, verificabile, documentabile e attribuibile a un ruolo preciso.

Chi disegna il flusso di registrazione decide la conformità del servizio. L'età dichiarata dall'utente diventa un dato da accertare con metodi proporzionati. Ogni metodo implica un trattamento di dati personali da giustificare.

La domanda che il General Counsel gira al prodotto è diretta. Quale ruolo, indicato per nome e per iscritto prima del rilascio, risponde della tutela dei minori su questo servizio?

Un framework che evita quel nome produce documentazione, e la documentazione pesa poco davanti a un'autorità. L'accountability anonima resta teatro della conformità.

L'obiezione: verificare l'età raccoglie dati

L'obiezione più solida al testo arriva dal fronte privacy. Verificare l'età di tutti serve a proteggere alcuni, e quel controllo genera dati su ogni utente.

Le autorità di protezione dei dati seguono il tema da anni. Il principio di minimizzazione dell'articolo 5 del GDPR impone che la verifica usi il dato meno invasivo possibile. Le prove a conoscenza zero e i portafogli europei di identità digitale entrano qui nel discorso tecnico.

Il Board Audit & Risk Committee eredita questa tensione in forma di disclosure. Una tutela dei minori costruita su un archivio di documenti d'identità crea un rischio nuovo, e quel rischio va dichiarato agli azionisti.

Il contrasto con gli Stati Uniti

Il confronto con il quadro americano è istruttivo.

Là la tutela dei minori online passa da leggi statali che si sovrappongono e cambiano in fretta. Ogni Stato legifera secondo la propria posizione politica, e le corti federali intervengono a valle. Il risultato è un mosaico che le imprese ricompongono giurisdizione per giurisdizione.

La frammentazione statale è il pattern americano, ben oltre il singolo caso. Una legge federale coerente resta lontana nel tempo.

L'Unione europea sceglie la strada opposta: un numero unico, una procedura unica, una struttura di enforcement coerente. Per un gruppo attivo su entrambe le sponde, il modello europeo diventa la base comune più semplice da implementare.

Le sanzioni arrivano dopo, e arrivano

Le misure sanzionatorie seguono il testo di legge, e colpiscono. La CNIL francese ha sanzionato la società Extia con 300.000 euro per la mancata tutela dei diritti delle persone, come riporta l'EDPB^[2].

L'importo pesa meno del principio. Un difetto procedurale nella gestione dei diritti degli interessati basta a far scattare la misura.

Il fronte giudiziario corre in parallelo. Negli Stati Uniti la controversia Doe v. GitHub, Inc.^[3] mostra le corti al lavoro sulle responsabilità legate ai sistemi di AI. Due meccanismi distinti, una direzione comune: l'autorità amministrativa sanziona, il giudice civile attribuisce responsabilità.

Un programma di conformità costruito prima dell'entrata in vigore assorbe entrambi i fronti.

Tre decisioni per il board

Il testo resta una proposta, e questo è il momento più economico per muoversi. Le tre decisioni che seguono riguardano i mesi che precedono l'approvazione.

1. Inventario: quali prodotti del gruppo restano accessibili a utenti sotto i 15 anni, e con quale meccanismo di accertamento dell'età (General Counsel e Chief Compliance Officer).
2. Framework di rischio: quale voce del registro dei rischi copre l'accesso dei minori ai sistemi di AI conversazionali (Chief Risk Officer).
3. Disclosure: quale informativa il Board Audit & Risk Committee porta in bilancio sulle misure di tutela adottate e sui dati raccolti per applicarle.

Il CEO eredita la quarta decisione, di natura strategica. Un servizio la cui base utenti include una quota rilevante di adolescenti europei affronta una scelta di prodotto vincolata dalla norma. Il vincolo entra nei piani di crescita e nelle proiezioni di acquisizione utenti.

Le organizzazioni che mappano adesso prodotti e flussi di registrazione arrivano al voto finale con l'inventario pronto. Quelle che attendono il testo definitivo comprano lo stesso lavoro a un prezzo più alto.

Regulatory horizon

Stato attuale: proposta adottata dalla Commissione europea il 17 settembre 2026. Giurisdizione: Unione europea, con effetto su ogni servizio rivolto a utenti residenti nell'Unione.

Passaggi successivi: esame del Parlamento europeo e del Consiglio, negoziato interistituzionale, testo finale. La soglia dei quindici anni resta il punto su cui si concentrerà il confronto politico. Gli emendamenti sono parte fisiologica del percorso.

Sul binario parallelo, il Regolamento 2024/1689 prosegue la propria applicazione per fasi, con gli obblighi sui sistemi ad alto rischio collocati più avanti nel calendario. Chi governa un prodotto digitale europeo lavora oggi su due calendari destinati a incrociarsi.

La domanda sull'età di accesso ha ricevuto una risposta europea. Una seconda domanda, sulla verifica di quell'età, si è appena aperta.