De Europese Unie bereidt regelgeving voor die minderjarigen de toegang tot sociale media, bepaalde videogames en chatbots met kunstmatige intelligentie zal beperken. Het voornaamste doel is het verminderen van risico’s zoals verslavende ontwerpen, schadelijke contacten of problematische emotionele relaties met AI-assistenten. Echter, de toekomstige Kids Act opent ook een technologisch en democratisch debat dat niet uitsluitend over kinderbescherming zou moeten gaan: tot waar moet de identificatie van burgers reiken voor internettoegang, en welke garanties voorkomen dat een infrastructuur die bedoeld is om leeftijd te verifiëren, wordt gebruikt voor controle over andere inhoud of diensten?
De kernpunten van de Kids Act en het verificatiesysteem in 20 seconden
- De Commissie stelt verschillende beperkingen voor voor minderjarigen onder de 13 jaar en tieners tussen 13 en 15 jaar.
- Socialemediaplatforms, bepaalde videogames en AI-chatbots krijgen nieuwe verplichtingen.
- De EU ontwikkelt een leeftijdsverificatie die voorkomt dat identiteitsgegevens worden onthuld.
- Het beschermen van minderjarigen lost privacy-, anonimiteits- en informatie-toegangsrisico’s niet volledig op.
- Het debat zal ook gaan over proportionaliteit en de grenzen van het toekomstige gebruik van deze infrastructuur.
De voorgestelde regelgeving houdt in dat minderjarigen onder de 13 jaar alleen toegang krijgen tot bepaalde diensten onder toezicht, terwijl tussen 13 en 15 jaar toestemming van ouders vereist is voor het aanmaken van accounts met extra controles. Bedrijven moeten daarnaast mechanismen implementeren voor leeftijdscontrole en kunnen boetes tot 6% van hun wereldwijde jaarlijkse omzet ontvangen bij bepaalde overtredingen.
Het is belangrijk om twee debatten te onderscheiden die vaak door elkaar worden gehaald. Eén betreft of platforms beter moeten beschermen tegen minderjarigen. De andere vraag is of het proportioneel is om systemen te bouwen die de toegang tot digitale diensten afhankelijk maken van een leeftijdscredential.
Deze problemen zijn gerelateerd, maar niet identiek.
Leeftijd verifiëren zonder internet te veranderen in een identiteitscontrole
De eerste technologische zorg dringt zich meteen op: om te weten of iemand 12, 14 of 18 jaar is, is een mechanisme nodig dat dat kan bewijzen.
Tot nu toe hebben veel platforms simpelweg gevraagd naar de geboortedatum, wat gemakkelijk kan worden ontweken. Een effectieve regelgeving vereist iets betrouwbaarders.
De Europese Commissie werkt al geruime tijd aan precies die infrastructuur. Haar verificatieoplossing maakt het mogelijk bewijs te verkrijgen op basis van officiële documenten, elektronische identificaties, apps die de leeftijd van de gebruiker kennen of andere toegestane mechanismen. Vervolgens ontvangt de dienst een attest dat bevestigt dat de leeftijdsgrens wordt overschreden.
Belangrijke eigenschap van deze architectuur is dat het platform de identiteit van de gebruiker niet zou hoeven kennen.
Volgens de technische documentatie van de Commissie wordt na het genereren van het bewijs de connectie met de issuer verbroken. De dienst ontvangt een anoniem leeftijdsattest, zonder naam, documentnummer of exacte geboortedatum. De tweede versie bevatte bovendien technologie voor zero-knowledge proofs.
Op papier is dit veel beter dan het sturen van een foto van een identiteitsbewijs naar elk sociaal netwerk.
Het sluit ook aan bij de aanbevelingen van het Europees Comité voor gegevensbescherming (CDB), dat stelt dat verificatie zo min mogelijk invasief moet zijn en de verwerking van persoonsgegevens tot het strikt noodzakelijke beperkt moet blijven.
Het probleem stopt hier niet.
Een infrastructuur kan cryptografisch correct zijn ontworpen, maar nog steeds vragen oproepen over het toepassingsgebied.
De technologische vraag verschuift dan van “kan het privacybewust worden gedaan?” naar een ongemakkelijkere vraag: “Voor welke diensten zal het binnen vijf of tien jaar nodig zijn om de leeftijd te bewijzen?”
Het risico ligt in de geleidelijke uitbreiding van het gebruik
Tools voor leeftijdsverificatie zijn op zichzelf geen censuur. Er is ook geen bewijs dat Brussel ze wil gebruiken om de politieke opinies van burgers te identificeren of het algemene surfgedrag te controleren.
Dat uitspraken als feit te bestempelen, zou verder gaan dan de beschikbare informatie.
Maar een democratische samenleving heeft wél reden om van meet af aan de grenzen te bespreken van een infrastructuur die credenties introduceert als voorwaarde voor het gebruik van digitale diensten.
De Commissie zelf legt uit dat haar technologie kan worden aangepast aan verschillende drempels, zoals het aantonen dat men ouder is dan 13 of 18 jaar. Het is bovendien gebouwd op specificaties die compatibel zijn met de toekomstige Europese digitale identiteitsportefeuilles.
Dit biedt duidelijke voordelen qua interoperabiliteit.
Het onderstreept ook het belang van het vaststellen van juridische garanties om automatische uitbreiding van het gebruik te voorkomen naar diensten waar identificatie, zelfs indirect, niet nodig is.
Internet heeft historisch altijd de mogelijkheid geboden om informatie te raadplegen zonder vooraf een document te tonen. Anonimiteit en pseudonimiteit zijn niet alleen nuttig om illegale gedragingen te verdoezelen: journalisten, klokkenluiders, slachtoffers, politieke oppositie, onderzoekers en gewone burgers kunnen informatie nodig hebben zonder deze publiek aan te tonen.
Het CDB waarschuwt specifiek tegen invasieve systemen. Hun richtlijnen stellen dat platforms mechanismen moeten vermijden die een onmiskenbare identificatie mogelijk maken wanneer die niet noodzakelijk is. Als het voldoende is om alleen een leeftijdsinterval te kennen, mag de exacte geboortedatum niet worden gecontroleerd.
Dat minimisatieprincipe zal even belangrijk zijn als de technologie zelf.
Beschermen van een kind vereist niet per se het verbieden van alle technologie
Het tweede debat betreft de te beschermen diensten.
Een sociaal netwerk, een verbonden videogame en ChatGPT kunnen enkele risico’s delen, maar technisch gezien zijn het heel verschillende producten.
Een chatbot kan schadelijk content genereren of doelbewust afhankelijkheid creëren. Maar het kan ook worden gebruikt om wiskunde te leren, programmeren, teksten te vertalen of schoolvragen op te lossen.
Hetzelfde geldt voor sociale platforms.
Een aanbevelingsalgoritme dat er puur op gericht is om de gebruiksduur te maximaliseren, vormt een heel ander probleem dan een tiener die een platform gebruikt om met klasgenoten te communiceren.
Een technologische regulering kan kiezen voor beperking van toegang tot de volledige dienst of het aanpassen van de kenmerken die het risico veroorzaken.
De Wet op Digitale Diensten (DSA) volgt al gedeeltelijk deze tweede weg. Europese richtlijnen voor minderjarigen omvatten bijvoorbeeld standaard privé-accounts, meer controle over aanbevelingen, blokkering van ongewenste contacten en beperkingen op functies die overmatig gebruik stimuleren, zoals bepaalde meldingen of leesbevestigingen.
Die differentiëren maken een onderscheid dat van belang is.
Hoe specifieker de regulering over schadelijk gedrag, hoe minder nodig het wordt om de toegang tot een platform als geheel te controleren.
AI maakt de grens nog complexer
Chatbots maken het bijzonder moeilijk om een traditionele leeftijdsgrens toe te passen.
Een generatief AI-systeem heeft geen vaste catalogus met inhoud zoals een film of videospel. Het kan miljoenen verschillende gesprekken voeren.
Regelgeving kan filters, ouderlijke controles en gedragsrestricties eisen zonder daarmee te verhinderen dat een tiener het systeem gebruikt om te studeren.
Ook kan het verboden worden om bepaalde patronen in AI-metgezellen te gebruiken, bijvoorbeeld methoden die de emotionele afhankelijkheid vergroten.
De uitdaging ligt in het bepalen wat schadelijk gedrag is zonder het te breed te maken en daarmee legitieme informatie te blokkeren.
Daarnaast is er een verschil tussen kinderen beschermen tegen illegale inhoud en bepalen welke legale inhoud geschikt is voor hen.
De eerste situatie kent doorgaans duidelijke juridische grenzen. De tweede involveert onderwijs-, cultuur- en gezinsbeslissingen waarover niet altijd consensus bestaat.
Het verplaatsen van al die beslissingen naar een platform lost het probleem niet op. Het kan bedrijven juist aanmoedigen om te veel te blokkeren, uit angst voor regelgeving.
Dit is één van de aspecten die tijdens de behandeling van de Kids Act nader onderzocht moet worden.
Een Europees systeem met ruimte voor beperkingen
Het project werkt niet vanuit een infrastructuur die verplicht het delen van identiteitsbewijzen vereist voor platforms als Meta, TikTok of OpenAI.
Dat is relevant.
De Commissie stelt dat haar oplossing alleen bewijst dat aan een leeftijdsgrens wordt voldaan. Het platform krijgt geen informatie over de identiteit of geboortedatum en de uitgever van de verklaring weet niet welk dienst wordt geraadpleegd.
Het is dus technisch mogelijk een leeftijdscheck te ontwerpen die minder invasief is dan traditionele methoden.
Maar cryptografische privacy lost de democratische vraag niet vanzelf op.
Het uiteindelijke wetsvoorstel moet precies bepalen wanneer deze bewijsvoering kan worden gevraagd, door wie, hoe lang de gegevens kunnen worden bewaard, welke alternatieven er zijn en welke controles voorkomen dat de gegevens later voor andere doeleinden worden gebruikt.
Proportionaliteit is daarbij cruciaal.
De CDB benadrukt dat leeftijdsverificatie alleen moet worden gebruikt wanneer het noodzakelijk en proportioneel is. Szenarios die geschikt worden geacht, omvatten inhoud voor volwassenen, producten met een wettelijke minimumleeftijd en situaties met hoge risico’s voor minderjarigen die niet kunnen worden beperkt door minder invasieve maatregelen.
De laatste vereiste is dat er geen minder ingrijpende alternatieven bestaan: er mag geen minder invasief alternatief zijn.
Kinderbescherming en een open internet hoeven niet onverenigbaar te zijn
Het debat dreigt een binaire keuze te worden: of men accepteert meer identificatie op internet, of men laat minderjarigen achter aan algoritmes, schadelijke inhoud en diensten die ontworpen zijn om hun aandacht vast te houden.
De technologie biedt meer mogelijkheden.
Men kan het profiel van minderjarigen beperken, reclame op basis van bepaalde gegevens verbieden, dwangre aanbevelingen uitschakelen, ouderlijke controles eisen, contact met onbekende volwassenen blokkeren, standaard privé-instellingen toepassen en cryptografische leeftijdstests gebruiken zonder identiteit prijs te geven.
Ook kunnen AI-aanbieders verplicht worden om speciale bescherming voor minderjarige gebruikers te integreren.
De Commissie werkt al aan diverse van deze maatregelen via de DSA.
De Kids Act moet nu aantonen dat deze bescherming versterkt kan worden zonder dat verificatie een algemene toegangsbewijs voor internet wordt.
Een democratie moet haar minderjarigen beschermen, maar ook burgers in staat stellen zich te informeren, te uiten en technologie te gebruiken met minimale voorafgaande controle die de rechten van anderen respecteert.
De belangrijkste vraag is niet alleen of Europa technisch een systeem kan bouwen dat weet of iemand ouder is dan 13 of 15 jaar zonder naam te kennen. De beschikbare technologie wijst uit dat het mogelijk is.
Het echte vraagstuk wordt wanneer het toegestaan is deze bewijsvoering te eisen en waar het verboden moet worden.
Daar ligt het verschil tussen een beperkte tool ter bescherming van minderjarigen en een infrastructuur die uiteindelijk onnodige restricties kan opleggen aan wie toegang heeft tot welke delen van het internet.