IA y menores: lo que dice la ley en Europa
La Unión Europea cuenta con un marco regulatorio integral para proteger a los menores frente a la IA: el EU AI Act, el GDPR y la DSA. Estas leyes exigen consentimiento parental, transparencia algorítmica y protección de datos específica para menores, y conviene comprobar cómo las aplica cada chatbot.
Un marco regulatorio que ya existe (pero que pocos conocen)
La Unión Europea ha construido el marco legal más avanzado del mundo para la protección de menores en el entorno digital. El EU AI Act, el GDPR y la DSA crean un sistema de obligaciones concretas para las empresas de IA, pero muchos padres ni siquiera saben si sus hijos usan estas herramientas: casi 3 de cada 10 padres de EE. UU. (28 %) no saben si su hijo adolescente usa chatbots de IA (Pew Research Center, 2026). Esta brecha de conocimiento es la que este artículo busca cerrar.
No es cierto que estemos en un "vacío legal". Europa dispone del marco regulatorio más avanzado del mundo para la protección de menores frente a la IA. El problema no es la ausencia de leyes, sino que la mayoría de padres desconoce qué derechos tiene y qué obligaciones tienen las empresas.
Este artículo desglosa las leyes clave que afectan al uso de la IA por menores en Europa y qué significan para ti como padre o tutor. Para entender cómo un producto diseñado con estos principios funciona en la práctica, consulta nuestra guía sobre qué es un chatbot supervisado.
EU AI Act: el Reglamento Europeo de Inteligencia Artificial
El EU AI Act (Reglamento (UE) 2024/1689) es la primera regulación integral sobre inteligencia artificial en el mundo. Entró en vigor en 2024 y se aplica por fases: la obligación de los chatbots de informar de que son una IA (art. 50) se aplica desde el 2 de agosto de 2026, y los requisitos de alto riesgo en educación, desde el 2 de diciembre de 2027.
Categorías de riesgo
El EU AI Act clasifica los sistemas de IA en cuatro categorías según su nivel de riesgo:
| Categoría | Descripción | Ejemplos |
|---|---|---|
| Riesgo inaceptable | Prohibidos. Sistemas que manipulan, explotan vulnerabilidades o realizan puntuación social. | Sistemas que explotan la vulnerabilidad de menores para manipular su comportamiento. |
| Alto riesgo | Permitidos con requisitos estrictos. Evaluación de conformidad obligatoria. | IA en educación que determina acceso a formación, sistemas de evaluación de estudiantes. |
| Transparencia (art. 50) | Obligaciones de transparencia: el usuario debe saber que interactúa con una IA. Se suele llamar «riesgo limitado», pero el Reglamento no usa esa etiqueta. | Chatbots conversacionales, contenido generado por IA. |
| Riesgo mínimo | Sin requisitos específicos. | Filtros de spam, videojuegos con IA básica. |
¿En qué categoría entran los chatbots para adolescentes?
A los chatbots conversacionales se les aplican sobre todo obligaciones de transparencia (a menudo llamadas de «riesgo limitado», aunque el Reglamento no usa esa etiqueta). Esto implica:
- Obligación de transparencia: El usuario debe saber en todo momento que está hablando con una IA, no con una persona.
- Información clara: El proveedor debe explicar qué datos recoge, cómo los usa y con qué propósito.
- Derechos de los usuarios: El usuario (o su tutor, en caso de menores) puede solicitar información sobre el sistema.
Sin embargo, hay un matiz crítico: el Reglamento no considera de alto riesgo a todo chatbot que hable con menores (en educación lo son los sistemas que evalúan, admiten, asignan nivel o vigilan exámenes), pero prohíbe las prácticas que explotan la vulnerabilidad de los menores por su edad (art. 5). Por eso conviene fijarse especialmente en si un chatbot:
- Ofrece consejos de salud mental
- Genera contenido que podría afectar al bienestar emocional del menor
- Crea dependencia emocional
- Opera sin supervisión parental
Qué significa para los padres
Tienes derecho a saber:
- Que tu hijo está interactuando con una IA (no con una persona)
- Qué datos recoge el sistema sobre tu hijo
- Cómo se procesan esos datos
- Qué medidas de seguridad tiene implementadas
Si una plataforma de IA no te proporciona esta información de forma clara, está incumpliendo el EU AI Act.
GDPR: la protección de datos de los menores
El Reglamento General de Protección de Datos (GDPR, Reglamento (UE) 2016/679) lleva en vigor desde 2018 y tiene disposiciones específicas para menores.
¿A qué edad puede un menor dar consentimiento sobre sus datos?
El Artículo 8 del GDPR establece que para el tratamiento de datos personales de menores en relación con servicios de la sociedad de la información:
- Menores de 16 años (o la edad que establezca cada Estado miembro, con un mínimo de 13): se requiere el consentimiento del titular de la patria potestad.
- En España, la edad se fija en 14 años (LOPDGDD).
- En Francia, 15 años. En Alemania, 16 años. En Países Bajos, 16 años.
Esto significa: en España, si tu hijo tiene menos de 14 años y una plataforma se basa en el consentimiento para tratar sus datos, necesita el tuyo como padre, madre o tutor. (HolaNolis, por política propia, exige una persona adulta responsable para todos los menores de 18.)
Principio de minimización de datos
El GDPR exige que los sistemas recojan solo los datos estrictamente necesarios para el servicio. Un chatbot no necesita saber la dirección de tu hijo, su colegio, o los nombres de sus amigos para funcionar. Si lo pide, debería levantar una señal de alarma.
Derecho de supresión (derecho al olvido)
Los menores pueden ejercer sus derechos (por sí mismos o a través de sus padres o tutores, según su edad y la ley de cada país), también el de pedir la eliminación completa de sus datos. La empresa debe responder sin dilación indebida (en general, en el plazo de un mes).
Derecho de acceso
Tienes derecho a solicitar una copia de todos los datos que una plataforma ha recogido sobre tu hijo. Incluyendo historiales de conversación, metadatos, perfiles de comportamiento y cualquier análisis derivado.
Evaluación de impacto (DPIA)
Cualquier sistema de IA que procese datos de menores a gran escala está obligado a realizar una Evaluación de Impacto en Protección de Datos (DPIA). Si la plataforma que usa tu hijo no ha realizado esta evaluación, está incumpliendo el GDPR.
DSA: Digital Services Act
La Ley de Servicios Digitales (DSA, Reglamento (UE) 2022/2065) entró en plena aplicación en febrero de 2024 y tiene implicaciones directas para menores:
Prohibición de publicidad dirigida a menores
Está prohibido utilizar datos personales de menores para mostrarles publicidad segmentada. Esto incluye plataformas de IA que utilicen los datos de conversación para personalizar anuncios.
Obligación de protección de menores
Las plataformas deben implementar medidas adecuadas para garantizar un alto nivel de privacidad, seguridad y protección de los menores en sus servicios.
Transparencia algorítmica
Los servicios deben explicar los parámetros principales de sus sistemas de recomendación. Si un chatbot decide qué responder basándose en un perfil del menor, los padres tienen derecho a saber cómo funciona ese mecanismo.
Evaluación de riesgos sistémicos
Las plataformas de gran tamaño (más de 45 millones de usuarios en la UE) deben realizar evaluaciones anuales de riesgos sistémicos, incluyendo específicamente los efectos negativos sobre los derechos de los menores.
UK AADC: Children's Code (Código del niño)
Aunque el Reino Unido ya no forma parte de la UE, su Age Appropriate Design Code (AADC) es una referencia mundial. Establece 15 estándares que todo servicio digital accesible a menores debe cumplir:
- Interés superior del niño como consideración primordial
- Evaluación de impacto en los datos del menor
- Uso apropiado a la edad
- Transparencia en el uso de datos
- Uso perjudicial de datos prohibido
- Políticas y estándares comunitarios claros
- Configuración predeterminada de alta privacidad
- Minimización de datos
- Intercambio de datos restringido
- Geolocalización desactivada por defecto
- Control parental disponible y transparente
- Perfilado restringido
- Técnicas de empujón (nudge) prohibidas cuando sean perjudiciales
- Juguetes y dispositivos conectados incluidos
- Herramientas online de gestión de datos accesibles
Relevancia para padres en España: Aunque el AADC es legislación británica, muchas empresas tecnológicas lo aplican globalmente. Si una plataforma cumple el AADC, es una señal positiva de compromiso con la seguridad de los menores.
Estados Unidos: COPPA y CA SB 243
Aunque la legislación estadounidense no se aplica directamente en Europa, es relevante porque muchas plataformas de IA son americanas.
COPPA (Children's Online Privacy Protection Act)
- Protege a menores de 13 años
- Requiere consentimiento parental verificable para recoger datos
- Obliga a publicar políticas de privacidad claras
- Permite a los padres revisar y eliminar datos de sus hijos
California SB 243 (California AI Transparency Act)
- Obliga a las empresas de IA a informar cuando un usuario está interactuando con IA
- Requisitos específicos de transparencia para sistemas que interactúan con menores
- Penalizaciones significativas por incumplimiento
Lo que significa para ti: Si tu hijo usa ChatGPT, Character.AI u otro servicio americano, estas leyes deberían aplicarse. En la práctica, el nivel de cumplimiento varía enormemente. El 53 % de 1.200 respuestas de ChatGPT a peticiones sobre autolesiones, trastornos alimentarios y drogas, escritas como si fueran de adolescentes de 13 años, resultó dañino (CCDH, 2025 — Fake Friend report), lo que sugiere que la protección real deja mucho que desear.
Qué significan todas estas leyes para ti como padre
Resumiendo tus derechos fundamentales:
Tienes derecho a saber
- Que tu hijo está hablando con una IA
- Qué datos se recogen sobre él
- Cómo se usan esos datos
- Si se comparten con terceros
- Qué medidas de seguridad existen
Tienes derecho a actuar
- Consentir o denegar el uso del servicio (para menores de 14 años en España)
- Solicitar acceso a todos los datos recogidos
- Solicitar la eliminación completa de los datos
- Presentar una reclamación ante la Agencia Española de Protección de Datos (AEPD)
Tienes derecho a exigir
- Configuración de privacidad por defecto en su nivel más alto
- Transparencia sobre cómo funciona el sistema
- Protección contra manipulación y explotación de vulnerabilidades
- Ausencia de publicidad dirigida a tu hijo menor
Cómo se posiciona HolaNolis: sin diagnosticar ni evaluar, por diseño
HolaNolis está diseñado desde su arquitectura teniendo en cuenta el RGPD, el Reglamento europeo de IA y, para EE. UU., la COPPA; no es una certificación: la revisión jurídica externa está pendiente. No diagnostica, no evalúa y no toma decisiones sobre nadie; por eso, según nuestro análisis preliminar (pendiente de revisión externa), no es un sistema de alto riesgo del Reglamento de IA. Esto no es un accidente; es una decisión estratégica y ética. La razón principal es que Nolis detecta y redirige, pero está diseñado para no diagnosticar: para entender esta distinción crucial, lee por qué Nolis no da consejos médicos ni psicológicos.
Qué implica para HolaNolis
- Transparencia. La app indica en todo momento que Nolis es una inteligencia artificial.
- Información clara a padres. Qué datos se recogen, cómo se usan, durante cuánto tiempo se almacenan.
- Supervisión parental integrada. No como añadido, sino como parte central del producto.
Por qué, según nuestro análisis, HolaNolis no es de "alto riesgo"
La clave es lo que HolaNolis no hace:
- No diagnostica problemas de salud mental (eso sería alto riesgo)
- No evalúa el estado emocional con fines clínicos (eso sería alto riesgo)
- No prescribe tratamientos ni intervenciones (eso sería alto riesgo)
- No toma decisiones que afecten al acceso a servicios (eso sería alto riesgo)
HolaNolis detecta, alerta y redirige. Esta es una función de compañía y seguridad, no de evaluación clínica. La diferencia regulatoria es enorme.
Medidas específicas de cumplimiento
- Cifrado de datos personales en reposo (AES-256-GCM)
- Minimización de datos: solo se recoge lo estrictamente necesario
- Adulto responsable para todos los menores de 18 años, por política propia (la ley española exige el consentimiento de los padres hasta los 14 cuando la base es el consentimiento)
- Derecho de supresión implementado: un clic para eliminar todos los datos
- Sin publicidad ni perfilado con fines comerciales
- Evaluación de impacto en protección de datos realizada
- Alertas de crisis gratuitas en todos los planes, porque la seguridad no es una funcionalidad premium
Por qué el cumplimiento normativo es una ventaja, no un coste
Muchas empresas tecnológicas ven la regulación como un obstáculo. En HolaNolis, la vemos como un diferenciador competitivo.
Cuando un chatbot genérico dice "cumplimos con GDPR" en letra pequeña, suele significar que tienen un formulario de consentimiento y una política de privacidad de 40 páginas que nadie lee.
Cuando decimos que HolaNolis está diseñado teniendo en cuenta el marco regulatorio europeo (no es una certificación: la revisión jurídica externa está pendiente), significa:
- Que la arquitectura del sistema se diseñó desde cero con ese marco en mente
- Que la protección de datos está integrada en cada decisión de producto
- Que los tutores ven lo que permite el nivel de supervisión acordado y pueden ejercer sus derechos de acceso y supresión
- Que la seguridad del menor es la prioridad número uno, por encima de la engagement, la retención o los ingresos
En un mercado donde el 53 % de 1.200 respuestas de ChatGPT a peticiones sobre autolesiones, trastornos alimentarios y drogas, escritas como si fueran de adolescentes de 13 años, resultó dañino (CCDH, 2025 — Fake Friend report) y en una investigación de CNN y el CCDH con perfiles de adolescentes, 8 de los 10 chatbots más usados ayudaron a planear ataques violentos (CNN–CCDH, 2026), tomarse en serio la ley no es solo una obligación: debería ser lo mínimo que se exige a un producto para menores.
Preguntas frecuentes
¿Es legal que mi hijo menor de edad use ChatGPT en España? +
¿A qué edad puede mi hijo dar consentimiento para el tratamiento de sus datos en España? +
¿Qué derechos tengo como padre sobre los datos de mi hijo en plataformas de IA? +
¿Qué nivel de riesgo asigna el EU AI Act a los chatbots conversacionales para adolescentes? +
¿Cómo puedo denunciar una plataforma de IA que no cumple la protección de datos de mi hijo? +
Conclusión: conoce tus derechos, úsalos
La legislación europea te da herramientas reales para proteger a tu hijo en el mundo digital. El problema no es la falta de leyes, sino la falta de conocimiento sobre ellas.
Como padre o tutor:
- Pregunta a las plataformas que usa tu hijo qué datos recogen y cómo los protegen.
- Ejercita tu derecho de acceso: solicita una copia de los datos de tu hijo.
- Verifica que las plataformas tengan configuración de privacidad por defecto alta.
- Denuncia ante la AEPD si una plataforma incumple sus obligaciones.
- Elige servicios diseñados para cumplir la normativa, no para esquivarla.
La protección de los menores en el entorno digital no es solo responsabilidad de las empresas tecnológicas ni de los gobiernos. Es también responsabilidad de los padres: informarse, exigir y elegir con criterio. Para una guía práctica de cómo proteger a tu adolescente en internet combinando herramientas y diálogo, lee nuestra guía completa para proteger a tu adolescente en internet.
También puedes profundizar en nuestra guía de IA segura para adolescentes o registrarte para acceder a HolaNolis.
Recursos útiles
- AEPD (Agencia Española de Protección de Datos): aepd.es
- EU AI Act (texto completo): eur-lex.europa.eu
- INCIBE (Instituto Nacional de Ciberseguridad): incibe.es — Recursos específicos para familias
- IS4K (Internet Segura for Kids): is4k.es — Centro de seguridad online para menores
¿Quieres proteger a tu hijo con IA segura?
Empieza gratis