Neste artigo
- O que realmente mudou na regra
- A cláusula que importa para quem adicionou um assistente de IA
- Garantia de idade não significa coletar fotos de documentos
- Padrões de design que antes eram vistos como sacadas de crescimento e agora são infrações
- Isso chega até você como empresa saudita?
- O que sua equipe técnica deve fazer neste trimestre
- Fontes
Em 17 de setembro de 2026, a Comissão Europeia adotou sua proposta do EU KIDS Act. Resumindo: qualquer serviço digital que um menor na UE possa usar — uma rede social, uma plataforma de vídeo, um jogo, uma loja de apps ou um chatbot de IA — precisa demonstrar que é seguro desde a concepção, em vez de esperar por uma denúncia. Abaixo de 13 anos, nenhuma conta independente. Entre 13 e 14 anos, uma miniconta supervisionada com controle parental. As contas independentes começam aos 15. Chatbots e companheiros de IA ficam desativados por padrão para menores. O descumprimento pode gerar multas de até 6% do faturamento anual mundial total.
A proposta ainda não é lei — ainda precisa ser negociada com o Parlamento Europeu e os Estados-membros. Mas a direção da regulação já está clara o suficiente para afetar decisões técnicas que você está tomando no seu produto hoje.
O que realmente mudou na regra
As regras anteriores faziam uma única pergunta: você removeu o conteúdo nocivo depois que ele foi denunciado? O KIDS Act inverte isso e pergunta: você projetou o serviço para que alguém jovem demais para usá-lo nunca entrasse? A própria Comissão descreve a proposta como uma inversão do ônus da prova, que passa a recair sobre o prestador do serviço.
O alcance é maior do que a maioria imagina. Não se trata apenas das grandes plataformas sociais. Abrange jogos, lojas de apps e serviços de compartilhamento de vídeo com recursos de risco comprovado, e abrange expressamente chatbots e companheiros de IA. Em outras palavras: se o seu produto tem um assistente que conversa com o usuário, você está dentro do escopo mesmo não sendo uma empresa de mídia social.
A cláusula que importa para quem adicionou um assistente de IA
Esta é a parte mais importante para qualquer empresa que acoplou um chatbot à sua loja ou app nos últimos dois anos. A proposta exige que companheiros de IA não simulem relações humanas de formas que possam criar dependência emocional. Na prática, isso se traduz em um comportamento padrão diferente: as conversas não levam memória de uma sessão para outra por padrão, e o acesso de menores de 13 anos só acontece por meio do controle parental.
Ela também acrescenta uma obrigação que não tem nada a ver com a interface: os chatbots precisam ser testados quanto a riscos à segurança infantil antes do lançamento e monitorados depois. Quem opera um assistente de IA sem um registro de conversas revisável e sem uma forma de medir como ele se comporta vai descobrir que não consegue provar nada quando for questionado.
Garantia de idade não significa coletar fotos de documentos
O equívoco mais comum é achar que verificar a idade significa coletar documentos de identidade dos usuários — que é a pior coisa que você pode fazer com o seu próprio banco de dados. O texto da Comissão vai no sentido contrário: a verificação é feita por soluções certificadas independentes das plataformas, incluindo um app gratuito de verificação de idade da UE e a Carteira Europeia de Identidade Digital, e usa tecnologia de prova de conhecimento zero para que a plataforma receba uma resposta de sim ou não sobre um limite de idade sem saber quem é o usuário nem onde ele está.
Esse design vale a pena ser copiado bem além da Europa. O princípio geral: pegue a resposta de que você precisa, não os dados que a produzem. Se a sua decisão é permitir ou negar, você precisa de um único booleano — não de um registro com data de nascimento e número de documento que se torna sua responsabilidade de segurança para sempre.
Há um detalhe operacional que muitos vão deixar passar: as contas existentes. A proposta exige que os prestadores desativem as contas existentes de menores em até seis meses após as regras entrarem em vigor. Ou seja, o trabalho não se limita a uma nova tela de cadastro; ele alcança sua base de usuários atual e o que você realmente sabe sobre ela.
Padrões de design que antes eram vistos como sacadas de crescimento e agora são infrações
Grande parte da proposta não trata de conteúdo, mas de mecânicas de interface criadas para prolongar a sessão. Para menores, a lista de proibições inclui:
- Reprodução automática sem fim e rolagem infinita sem uma pausa real.
- Notificações feitas para trazer o usuário de volta sem relação com nada que ele realmente tenha feito.
- Recompensas por publicar para grandes audiências.
- Mecânicas de sequência que penalizam o usuário por perder um dia.
- Feeds de recomendação baseados em rastreamento, mensagens de desconhecidos e perfis públicos por padrão.
A lição para produtos que não são sociais: esses mesmos padrões vivem dentro de muitos apps de fidelidade, lojas e apps educacionais. Se parte do seu modelo de crescimento depende de uma sequência diária e de notificações à noite, entenda que esse modelo está sob pressão regulatória crescente — e não só na Europa.
Isso chega até você como empresa saudita?
Em três casos claros. Primeiro, se você tem usuários dentro da UE: as regras europeias seguem o usuário, não a sede da empresa, e um jogo ou app educacional saudita publicado globalmente nas duas lojas se enquadra. Segundo, se você é fornecedor de uma entidade europeia, caso em que a obrigação chega até você pelo contrato e pelos requisitos de auditoria. Terceiro, e o que mais pesa na prática: as duas lojas de apps transformam regras como essas em condições de publicação. O que começa como regulação europeia geralmente termina como uma cláusula na revisão da App Store e do Google Play que vale para todos.
No âmbito local, a Lei de Proteção de Dados Pessoais (PDPL) da Arábia Saudita já trata dos dados de pessoas sem plena capacidade civil, exige o consentimento do responsável nesses casos e obriga você à minimização de dados. A diferença é que a proposta europeia acrescenta uma camada de design de produto sobre a camada de proteção de dados. A boa notícia é que se preparar para uma é quase se preparar para a outra.
O que sua equipe técnica deve fazer neste trimestre
Você não precisa de um grande programa de conformidade agora — quatro passos que cabem em algumas semanas bastam:
- Conheça as idades. O seu sistema sequer sabe quais usuários podem ser menores? A maioria dos produtos não consegue responder isso, e essa é a primeira lacuna.
- Separe no código as configurações de menores das de adultos. Faça disso um sinalizador alternável na camada de permissões, não uma condição espalhada pela interface.
- Corrija os padrões. Assistente de IA desligado, perfil privado, sem mensagens de desconhecidos, sem notificações noturnas. Mudar um padrão é muito mais barato do que reconstruir um recurso depois.
- Documente os testes. Se você opera um chatbot, mantenha um registro de testes de segurança para cada versão. O próprio documento é a sua evidência.
A regra com que construímos na Origami é simples: um design que não sabe a idade do seu usuário não consegue protegê-lo, e também não consegue proteger você. Tudo o que foi dito acima pode ser implementado em qualquer produto bem construído sem reescrevê-lo.
Fontes
Perguntas frequentes
Nosso app é saudita e nossos usuários estão no Reino: a lei europeia se aplica a nós?
Não diretamente, desde que você não tenha usuários dentro da UE, porque as regras seguem a localização do usuário, e não a sede da empresa. Ainda assim, fique atento a duas coisas: se o seu app está publicado globalmente na App Store ou no Google Play, você pode ter usuários europeus sem perceber, e as duas lojas costumam transformar regras como essas em condições de publicação que valem para todos.
Verificação de idade significa pedir fotos de documentos aos usuários?
Não — a intenção é justamente a oposta. A proposta europeia se apoia em soluções certificadas independentes da plataforma, incluindo o app de verificação de idade da UE e a Carteira de Identidade Digital, usando provas de conhecimento zero que retornam um sim ou um não sobre um limite de idade sem revelar a identidade. Coletar imagens de documentos aumenta sua responsabilidade de segurança sem nenhum benefício regulatório.
Temos um chatbot na nossa loja — o que precisa mudar?
Três coisas: ele precisa estar desativado por padrão para usuários abaixo do limite de idade, não pode ser projetado para criar apego emocional nem simular uma relação humana, e você precisa de um registro de testes de segurança antes do lançamento, além de monitoramento depois dele. Na prática, isso significa um sinalizador de idade na camada de permissões e um registro de conversas que possa ser revisado.
Quando a lei entra em vigor?
Ainda não entrou em vigor. O que aconteceu em 17 de setembro de 2026 foi a adoção da proposta pela Comissão, que ainda precisa ser negociada e aprovada com o Parlamento Europeu e os Estados-membros. O texto aponta um prazo de seis meses para desativar as contas existentes de menores assim que as regras passarem a valer, então o prazo prático é mais curto do que parece.
