Cuando el control no controla. Age assurance, controles parentales y eficacia real de las salvaguardias digitales para menores

(Artículo dirigido, revisado y validado por Leocadio Marrero Trujillo, autor y responsable editorial. Se utilizaron herramientas de IA generativa como apoyo a la edición y al diseño gráfico).

SERIE PRIVACIDAD INFANTIL · ARTÍCULO 3/5

Un menor entra en una aplicación que le pregunta su fecha de nacimiento. Introduce una edad superior a la real, pulsa continuar y accede. En otra plataforma, el registro requiere autorización parental; el niño llama a su madre, le explica que todos sus compañeros utilizan el servicio y, unos segundos después, la cuenta está creada. En otra familia, los padres han configurado límites de tiempo, restricciones de aplicaciones y filtros de contenido, pero meses más tarde descubren que su hijo utiliza otra cuenta, otro navegador o un dispositivo diferente para evitar algunas de esas restricciones.

En todos estos casos existe una medida concebida para proteger. Lo que ya no resulta tan sencillo es determinar si esa medida está consiguiendo realmente aquello para lo que fue diseñada.

Esta es la cuestión que quiero abordar en el tercer artículo de la serie. En el primero analizamos la distancia que puede existir entre confianza y comprensión. En el segundo vimos que proteger a un menor no significa sustituir indefinidamente su capacidad para decidir y que la protección debe evolucionar conforme cambian su edad, capacidad, contexto y autonomía. Ahora aparece una consecuencia natural de ambos razonamientos: una salvaguardia implantada no demuestra, por sí sola, que el riesgo esté controlado.

La pregunta rectora puede formularse de esta manera: ¿bajo qué condiciones podemos demostrar que una medida de determinación de edad o un control parental reduce suficientemente el riesgo sin introducir una afectación desproporcionada a los derechos del menor?

La pregunta importa porque durante mucho tiempo el compliance se ha sentido relativamente cómodo comprobando la existencia de medidas. Revisamos si hay una política, si determinada función se encuentra activada, si existe un filtro o si la plataforma solicita una fecha de nacimiento. Sin embargo, desde una verdadera gestión del riesgo esa comprobación es solamente el comienzo. La organización necesita saber qué riesgo pretendía reducir, qué resultado esperaba conseguir y qué evidencia permite afirmar que la medida funciona suficientemente bien en las condiciones reales en las que será utilizada.

El age assurance —determinación de la edad, según la denominación de la versión española de la Declaración 1/2025 del Comité Europeo de Protección de Datos— constituye un caso especialmente ilustrativo. El CEPD utiliza el concepto como término paraguas para los métodos que permiten determinar la edad o un rango de edad con diferentes niveles de certeza. Su Declaración fue adoptada el 11 de febrero de 2025 y sitúa expresamente el problema dentro de la protección de la infancia, el RGPD, el DSA y otros marcos europeos. (Consejo Europeo de Protección de Datos)

Bajo esa expresión caben técnicas muy distintas. No todas proporcionan el mismo nivel de certeza, no todas requieren la misma cantidad de información y tampoco presentan los mismos riesgos. Por eso el debate no consiste simplemente en comprobar la edad de cuantos más usuarios mejor. Consiste en saber cuándo necesitamos determinarla, con qué finalidad, con qué grado de certeza, mediante qué mecanismo y con qué impacto sobre la privacidad y los demás derechos de las personas afectadas.

Una referencia empírica que conviene interpretar con prudencia

El estudio utilizado como principal referencia empírica es Children’s & parents’ attitudes on information rights, elaborado por DJS Research por encargo del Information Commissioner’s Office. La encuesta fue realizada online a 4.132 menores de entre 8 y 17 años y a uno de sus padres o cuidadores, con un cuestionario de aproximadamente diez a quince minutos. El trabajo de campo principal se desarrolló entre el 5 y el 30 de enero de 2026 y la muestra fue diseñada para representar a la población infantil del Reino Unido atendiendo, entre otros factores, a género, origen étnico, ruralidad, necesidades educativas especiales o discapacidad y situación socioeconómica.

Estamos ante una fuente cuantitativa especialmente útil para estudiar percepciones y comportamientos declarados, pero no ante un experimento destinado a medir causalmente la eficacia de tecnologías concretas. Las respuestas son en buena medida autorreportadas y, además, bajo expresiones como “comprobación de edad” conviven mecanismos muy diferentes.

Esta precisión delimita correctamente lo que podemos afirmar. El estudio observa comportamientos, actitudes y percepciones que permiten identificar cuestiones relevantes para riesgo y gobernanza; no permite concluir que una tecnología específica sea eficaz o ineficaz únicamente a partir de esos porcentajes.

Los menores encuentran controles y también aprenden a relacionarse con ellos

El 82 % de los menores de entre 8 y 17 años afirma haberse encontrado alguna forma de comprobación de edad al registrarse o utilizar un juego, aplicación o sitio web. El 51 % recuerda haber recibido una solicitud de permiso parental y el mismo porcentaje haber tenido simplemente que indicar su edad; un 32 % señala que se le pidió confirmar su identidad mediante otra cuenta, el 19 % mostrar un documento y el 17 % utilizar una fotografía o la cámara para estimar su edad.

El resultado muestra que hablar de “comprobación de edad” como si todos los mecanismos fueran equivalentes simplifica demasiado el problema. Una autodeclaración proporciona un nivel de certeza muy diferente al de una credencial apoyada en una fuente fiable, pero esta última también puede requerir un tratamiento mucho más intenso de datos personales. Entre ambos extremos existen soluciones de estimación, verificación o acreditación de atributos con características muy diferentes.

El estudio plantea además a los menores qué harían si quisieran utilizar un servicio que les indicara que son demasiado jóvenes. El 52 % declara que buscaría alguna forma de superar la restricción: un 24 % recurriría a otra persona para registrarse, un 19 % intentaría encontrar por sí mismo una vía alternativa y un 9 % utilizaría una cuenta ajena. Frente a ello, el 19 % afirma que esperaría hasta alcanzar la edad requerida y el 23 % que no utilizaría el servicio. El propio informe advierte de que esta última respuesta puede estar parcialmente afectada por deseabilidad social.

No podemos interpretar ese 52 % como una tasa observada de elusión. El dato corresponde a una conducta declarada frente a un escenario hipotético. Sí sugiere, en cambio, que las medidas operan dentro de un contexto en el que una parte significativa de los usuarios puede percibir el límite como negociable o buscar ayuda para sortearlo.

La participación familiar refuerza esta lectura. El 31 % de los padres reconoce haber ayudado alguna vez a su hijo a sortear una comprobación o límite de edad, y el 18 % afirma haberlo hecho durante los doce meses anteriores a la encuesta. Entre quienes intervinieron, el 47 % considera que corresponde al padre decidir si su hijo puede utilizar el servicio, el 33 % menciona que sus amigos ya están allí y el 31 % entiende que el servicio no resultará perjudicial.

Estos datos no demuestran por sí mismos por qué se produce cada elusión ni qué tecnología hubiera podido evitarla. Lo que sí muestran es que estamos ante un sistema en el que intervienen tecnología, comportamiento, decisiones familiares, presión social, diferentes dispositivos y percepciones sobre el riesgo.

Y eso cambia bastante la manera de entender la eficacia.

Implementar una medida es solamente una parte del trabajo

Los controles parentales permiten observar la misma tensión desde otro ángulo. Como vimos con mayor detalle en el artículo anterior, los padres encuestados informan de que utilizan una media de 4,4 controles o herramientas diferentes, y entre quienes emplean medidas de control o monitorización el 89 % considera que ayudan a mantener privada online la información de sus hijos.

Al mismo tiempo, el 41 % de los menores declara haber intentado sortear controles o restricciones y, entre quienes lo hicieron, el 49 % afirma que resultó fácil. Esa percepción aumenta con la edad entre quienes han intentado eludirlos: pasa del 42 % en el grupo de 8 a 10 años al 68 % a los 17.

Ninguno de estos resultados permite concluir que los controles parentales sean ineficaces con carácter general. Lo que sí permite afirmar es que su existencia y la utilidad que los adultos les atribuyen no bastan para demostrar su eficacia operacional.

Desde GRC podemos distinguir, por tanto, varios niveles. Una medida puede haber sido correctamente diseñada pero no llegar a implantarse de manera efectiva. Puede estar implantada y aplicarse de forma inconsistente. Puede funcionar técnicamente y ser fácilmente eludible en determinadas condiciones. También puede producir un efecto protector razonable sin que la organización disponga todavía de evidencia suficiente para demostrarlo.

Como recurso analítico, resulta útil representar esa evolución de una forma sencilla:

Diseñada → Implementada → Operativa → Eficaz → Evidenciada

No se trata de una metodología normativa autónoma. Su utilidad consiste en impedir que la revisión termine precisamente cuando el control aparece marcado como “implementado”.

Antes de determinar la edad necesitamos saber para qué

Tampoco existe una única finalidad bajo la expresión age assurance. En unos escenarios queremos impedir que un menor acceda a contenidos, productos o actividades sujetos a restricciones de edad. En otros pretendemos adaptar configuraciones, funcionalidades o protecciones a la edad del usuario. También existen supuestos en los que una norma impone directamente una determinada restricción de acceso.

Estas finalidades no son equivalentes y no deberían exigir automáticamente el mismo grado de certeza.

No es lo mismo decidir qué configuración de privacidad aplicar por defecto a un usuario probablemente adolescente que determinar si una persona puede entrar en un servicio de juego o acceder a contenido reservado jurídicamente a adultos. El impacto potencial de una clasificación incorrecta es diferente y, con él, también puede cambiar el nivel de certeza razonablemente necesario.

La secuencia debería comenzar por el riesgo y la finalidad. Solo después tiene sentido decidir cuánto necesitamos saber de la persona.

El artículo 28 DSA protege a los menores, pero no obliga a conocer la edad de todos

El artículo 28.1 del Reglamento de Servicios Digitales exige que las plataformas online accesibles a menores adopten medidas adecuadas y proporcionadas para garantizar un elevado nivel de privacidad, seguridad y protección. Sin embargo, su apartado tercero establece expresamente que cumplir esas obligaciones no obliga a tratar datos personales adicionales para determinar si el destinatario del servicio es menor. El considerando 71 sigue la misma lógica al advertir que estas obligaciones no deberían incentivar a las plataformas a recopilar la edad de los usuarios antes de que utilicen el servicio. (EURLex)

Esta precisión no constituye una prohibición general de utilizar mecanismos de determinación de edad. Tampoco significa que una plataforma no pueda necesitarlos en un escenario concreto. Su función es impedir que las obligaciones de protección de menores se conviertan automáticamente en un mandato de recopilar información adicional sobre todos los usuarios. La necesidad, licitud y proporcionalidad de cada mecanismo tendrán que analizarse atendiendo a la finalidad, el riesgo, la base jurídica y las alternativas disponibles.

Las Directrices de la Comisión sobre protección de menores desarrollan precisamente esa lógica. Fueron adoptadas y presentadas el 14 de julio de 2025 y publicadas posteriormente en el Diario Oficial de la Unión Europea el 10 de octubre de 2025. La Comisión las caracteriza como documentos no vinculantes: su aplicación es voluntaria, no garantiza automáticamente el cumplimiento y puede servir de referencia a la hora de evaluar si las plataformas cumplen sus obligaciones bajo el DSA. (Estrategia Digital Europea)

Conviene, por tanto, distinguir los diferentes niveles de autoridad utilizados a lo largo del artículo. El RGPD y el DSA establecen obligaciones jurídicas vinculantes. La Declaración del CEPD aporta criterios interpretativos sobre protección de datos. Las Directrices de la Comisión orientan la aplicación del artículo 28 DSA. Y la Recomendación de 2026 impulsa una determinada dirección técnica y política sin tener naturaleza reglamentaria.

A veces necesitamos acreditar un atributo, no identificar a la persona

Durante mucho tiempo, demostrar la edad ha significado revelar también identidad. El usuario presenta un documento y, junto con la información necesaria para conocer el umbral de edad, termina comunicando nombre, fecha exacta de nacimiento, fotografía y otros atributos que quizá no resulten necesarios para la finalidad del servicio.

El principio de minimización obliga a cuestionar ese modelo. Si una plataforma solo necesita saber si alguien supera determinado umbral, puede no existir ninguna razón para que conozca todos los elementos utilizados para comprobarlo.

La solución europea de verificación de edad pretende avanzar precisamente en esta dirección. La Comisión hizo disponible un primer blueprint el 14 de julio de 2025 y señala que la solución alcanzó el estado de feature ready el 15 de abril de 2026, pudiendo desde entonces ser personalizada por Estados miembros y actores del mercado. La propia Comisión afirma que permite demostrar que un usuario es mayor de 18 años sin compartir otra información personal y que puede adaptarse posteriormente a otros umbrales, como 13+. (Estrategia Digital Europea)

El 29 de abril de 2026, la Comisión adoptó además la Recomendación (UE) 2026/1035 sobre un marco común para tecnologías de verificación de edad en toda la Unión, publicada en el Diario Oficial el 8 de mayo. La Recomendación promueve tecnologías robustas y respetuosas con la privacidad y anima a los Estados miembros a avanzar hacia su disponibilidad antes de finalizar 2026. (EURLex)

La arquitectura descrita por la Comisión busca limitar la información que llega al servicio y reducir la posibilidad de vincular distintas interacciones. Incluye, además, tecnologías como pruebas de conocimiento cero en las versiones recientes del blueprint. (Estrategia Digital Europea)

Aquí conviene utilizar el lenguaje con cuidado. Que el servicio no reciba identidad directa no significa necesariamente que debamos calificar todo el sistema como “anónimo” en sentido jurídico. Resulta más preciso hablar de divulgación mínima, separación funcional, menor vinculabilidad y ausencia de identificación directa frente al servicio, dependiendo de cómo esté implementada la arquitectura concreta.

El cambio conceptual sigue siendo importante: podemos pasar de preguntar “¿quién eres y cuándo naciste?” a solicitar únicamente la prueba necesaria para confirmar que se supera un determinado umbral.

FIGURA 3 (IA): La determinación de edad debe ajustarse al riesgo y limitar la información tratada a aquello que realmente necesita conocer el servicio.

Una medida protectora también puede crear riesgo

Introducir una medida para proteger al menor no coloca esa medida fuera del análisis de riesgos.

Dependiendo del mecanismo utilizado, podemos terminar tratando documentos de identidad, imágenes faciales, atributos derivados, credenciales digitales, información sobre dispositivos o datos gestionados por terceros. A ello se añaden posibles errores de clasificación, exclusiones, riesgos de seguimiento, reutilización de la información o nuevas dependencias tecnológicas.

El CEPD señala que la determinación de edad debe diseñarse de manera que no cree medios adicionales para identificar, localizar, perfilar o rastrear a las personas y que los datos utilizados no deberían reutilizarse para finalidades incompatibles. También vincula expresamente el análisis con necesidad, proporcionalidad, minimización y protección de datos desde el diseño y por defecto. (Consejo Europeo de Protección de Datos)

La consecuencia desde gestión del riesgo es clara. El análisis debe contemplar simultáneamente el riesgo que pretendemos reducir y el riesgo que la propia salvaguardia introduce para poder hacerlo.

Esta doble mirada adquiere especial importancia cuando hablamos de menores, porque la misma medida puede afectar a privacidad, autonomía, participación, acceso, no discriminación o libertad de expresión.

La propia determinación de edad puede necesitar una EIPD

La Declaración 1/2025 del CEPD señala que, en muchos casos, la determinación de edad puede implicar un alto riesgo para los derechos y libertades, lo que puede llevar a la necesidad de realizar una evaluación de impacto conforme al artículo 35 RGPD. (Consejo Europeo de Protección de Datos)

Eso no significa que cualquier pregunta sobre edad requiera automáticamente una EIPD. El análisis dependerá del diseño concreto, de la escala, de los datos utilizados, de la tecnología, de los proveedores intervinientes y de las consecuencias que pueda producir una clasificación incorrecta.

La evaluación cobrará especial importancia cuando intervengan tecnologías más intrusivas, tratamientos a gran escala, inferencias automatizadas, vinculación entre cuentas, imágenes o características físicas, proveedores externos o decisiones de acceso y exclusión con efectos importantes para la persona.

La idea de fondo es más sencilla: una medida protectora también puede convertirse en objeto de la evaluación de riesgos.

La eficacia necesita convertirse en algo observable

Si queremos pasar de un control existente a un control defendible, necesitamos evitar que “eficacia” se convierta en una palabra genérica.

No todas las dimensiones que necesitamos evaluar son métricas de rendimiento en sentido estricto. Algunas describen cómo funciona la tecnología; otras, los derechos e impactos que genera; otras son garantías organizativas. Por eso resulta más útil organizar la evaluación en cuatro bloques:

Este marco no pretende constituir un estándar técnico. Sirve para ordenar algo que el CEPD ya plantea en términos de accesibilidad, fiabilidad y robustez y para conectarlo con las demás exigencias jurídicas y organizativas del sistema. (Consejo Europeo de Protección de Datos)

La ventaja desde GRC es evidente: dejamos de preguntar simplemente si el mecanismo funciona y empezamos a concretar qué evidencia necesitamos observar para sostener esa afirmación.

FIGURA 4 (IA): La eficacia combina rendimiento, derechos e impactos, garantías y riesgo residual, y no puede reducirse a una tasa media de precisión.

Los errores tampoco tienen todos el mismo significado

La fiabilidad necesita distinguir al menos dos situaciones.

Cuando un menor que no alcanza el umbral requerido es clasificado como habilitado y consigue acceder, podemos hablar de error de admisión. Cuando una persona que sí cumple la condición queda incorrectamente fuera, tenemos un error de exclusión.

Estas expresiones son más claras para este análisis que utilizar “falso positivo” y “falso negativo” sin definir previamente cuál es la clase estadística considerada positiva.

Los dos errores pueden ser relevantes, pero su peso depende del escenario. En un servicio destinado a impedir el acceso a contenidos de riesgo elevado, la organización puede necesitar reducir especialmente los errores de admisión. En servicios educativos, sociales o de participación, una tasa significativa de exclusiones incorrectas puede producir un impacto igualmente serio.

Una tasa global de exactitud no cuenta toda la historia. Necesitamos conocer quién queda mal clasificado, bajo qué condiciones ocurre y qué consecuencias produce.

La estimación automatizada exige mirar más allá de la media

Esta cuestión es especialmente importante cuando la edad se estima mediante sistemas automatizados basados en imágenes u otras señales.

Una cifra general de precisión puede ocultar comportamientos muy diferentes entre grupos. La evaluación debería considerar la representatividad de los datos de entrenamiento y validación, las diferencias de rendimiento entre edades y colectivos, así como las condiciones reales de uso. La iluminación, la calidad de la cámara, el dispositivo, determinados rasgos físicos o las características de la población sobre la que se desplegará el sistema pueden afectar a los resultados.

Esto no permite afirmar de manera general que un sistema concreto sea discriminatorio o inexacto. Esa sería una conclusión que requeriría evidencia específica. Sí permite formular una exigencia de evaluación: el rendimiento medio no debería ocultar errores sistemáticos que afecten de manera mucho más intensa a determinados usuarios.

En otras palabras, una solución que funciona bien para el “usuario medio” pero falla de forma persistente para un determinado grupo plantea un problema de eficacia y también de equidad.

La robustez se prueba cuando alguien intenta rodear el control

Los datos del ICO adquieren aquí especial interés.

El CEPD entiende la robustez como la capacidad para resistir formas razonablemente previsibles de engaño o elusión. En una simple autodeclaración, esa propiedad se encuentra inevitablemente limitada porque el mecanismo depende en buena medida de que el usuario proporcione una respuesta verdadera. (Consejo Europeo de Protección de Datos)

Frente a ello tenemos el resultado del estudio: el 52 % de los menores declara que, ante un servicio que realmente quisiera utilizar pero para el que fuese demasiado joven, buscaría alguna forma de superar la restricción.

El estudio observa una intención declarada; no demuestra que esas personas consiguieran posteriormente eludir un sistema concreto. El resultado sí sugiere que la posibilidad de bypass pertenece al contexto real en el que funcionan las salvaguardias.

Eso no justifica diseñar todos los servicios desde una lógica adversarial hacia la infancia. Un enfoque así podría entrar en conflicto con proporcionalidad y con una perspectiva de derechos del menor. Lo que significa es que, cuando el impacto potencial resulta elevado, la organización no puede evaluar el control suponiendo únicamente usuarios cooperativos.

La resistencia requerida deberá guardar relación con el riesgo.

La intervención familiar confirma que estamos ante un sistema sociotécnico

Los datos sobre participación parental vuelven a ser especialmente útiles.

Cuando una autorización adulta forma parte del mecanismo, ya no estamos únicamente ante una función tecnológica. El padre o la madre interpreta la regla, valora la situación y puede decidir si respetarla, flexibilizarla o sustituirla por su propio criterio.

Entre los padres que reconocen haber ayudado a sortear límites de edad, el 15 % afirma no comprender cómo se establecen las edades mínimas ni por qué se ha fijado determinado umbral, mientras que otro 10 % señala que no sabe para qué sirven estas comprobaciones.

El estudio observa esa asociación, pero no permite concluir que una mejor explicación hubiera impedido la elusión. Esa posibilidad debe mantenerse como hipótesis para una evaluación posterior.

Lo que sí resulta razonable afirmar es que la comprensión de una salvaguardia forma parte del contexto en el que opera. Cuando la familia percibe la medida como una barrera poco comprensible, mientras los compañeros del menor ya utilizan el servicio y los adultos consideran pequeño el riesgo, el funcionamiento real puede alejarse bastante del escenario imaginado por quien diseñó la medida.

Los controles digitales son, por tanto, sistemas sociotécnicos: dependen de tecnología, pero también de comportamientos, incentivos, relaciones familiares, normas sociales y alternativas disponibles.

El caso británico muestra cómo la eficacia empieza a entrar en la supervisión

La experiencia del Reino Unido resulta útil como referencia comparada, siempre distinguiendo correctamente los planos regulatorios. El ICO aborda estas cuestiones desde protección de datos y Children’s Code, mientras que Ofcom ejerce las competencias derivadas del Online Safety Act.

El 21 de mayo de 2026, el ICO informó de que había requerido a TikTok, Snapchat, Facebook, Instagram, YouTube y X revisar y reforzar sus mecanismos de age assurance. Tras analizar sus respuestas, afirmó que todavía no tenía confianza en que se estuvieran adoptando medidas adecuadas y señaló que ninguna de esas plataformas había introducido aún nuevas soluciones que reunieran las condiciones de viabilidad y protección de la privacidad esperadas por la autoridad. El ICO sostuvo además que, si un servicio determina que solo resulta apropiado por encima de una determinada edad, debe disponer de medidas efectivas para impedir el acceso de usuarios menores de ese umbral. (ICO)

Lo interesante desde GRC es el cambio de pregunta. La supervisión ya no se conforma necesariamente con que exista una pantalla o una técnica de estimación. Empieza a preguntar si la medida produce el resultado que la plataforma afirma perseguir.

La experiencia británica tiene un evidente valor ilustrativo y comparado, pero no sustituye el análisis de las obligaciones derivadas del RGPD y del DSA aplicables dentro de la Unión Europea.

Cuando un control falla conviene comprender el fallo antes de añadir más control

Supongamos que un menor consigue superar una restricción. La reacción más inmediata puede consistir en aumentar la intensidad de la comprobación, pero hacerlo sin entender lo ocurrido puede generar más tratamiento de datos, mayor fricción y más intrusión sin corregir la causa.

El usuario puede haber mentido en una autodeclaración, utilizado una cuenta ajena, recibido ayuda de un adulto, compartido una sesión o encontrado una ruta alternativa en la que la comprobación no se aplicaba. También es posible que el propio sistema de estimación se haya equivocado.

Ninguna de estas explicaciones puede deducirse automáticamente de los porcentajes del estudio del ICO. Son hipótesis de análisis que deberían comprobarse mediante evidencia concreta.

Aquí la ingeniería inversa resulta especialmente útil. El hecho observado puede ser que la medida fue superada; el trabajo de riesgo comienza reconstruyendo qué secuencia permitió que ocurriera.

Solo después tiene sentido decidir si hay que reforzar la tecnología, modificar el proceso, revisar el diseño, ofrecer una alternativa distinta o aceptar un determinado nivel residual de riesgo.

Medir actividad no equivale a demostrar reducción del riesgo

Una plataforma puede realizar millones de comprobaciones de edad y continuar teniendo un problema relevante de eficacia. También puede bloquear miles de accesos y estar excluyendo incorrectamente a demasiadas personas.

El volumen de verificaciones, bloqueos o controles activados describe actividad. Para evaluar eficacia necesitamos además comprender el resultado.

Eso implica analizar errores de admisión y exclusión, elusión, accesibilidad, reclamaciones, correcciones, rendimiento según colectivos y condiciones de uso, funcionamiento en dispositivos diferentes y posibles cambios después de modificaciones técnicas.

No todas estas variables tienen que medirse con la misma intensidad en cualquier servicio. La proporcionalidad vuelve a importar también aquí. Pero cuanto mayor sea el riesgo que justificó la medida, más difícil será defenderla únicamente mediante evidencia de que “está funcionando” en sentido técnico.

Después de todo ello todavía quedará una pregunta: qué riesgo permanece.

El riesgo residual convierte una funcionalidad en una decisión de gobierno

Ninguna salvaguardia eliminará completamente la incertidumbre. Existirán errores, nuevas formas de elusión, problemas de proveedores, casos que no encajen bien en las categorías previstas y personas que no puedan completar determinados procedimientos.

La organización madura no necesita fingir que esos problemas han desaparecido. Necesita poder explicar qué exposición permanece después del control, qué consecuencias podría producir, por qué considera aceptable ese nivel, quién posee autoridad para adoptar esa decisión y qué evidencia obligaría a revisarla.

El CEPD vincula precisamente la determinación de edad con estructuras de responsabilidad, documentación, evaluación, revisión, prueba y auditoría. (Consejo Europeo de Protección de Datos)

En ese momento, age assurance deja de ser una funcionalidad aislada y se convierte claramente en una cuestión de gobernanza.

Una lectura GRC: gobernar también las salvaguardias

Desde Gobernanza, la organización necesita poder explicar por qué determina la edad, qué finalidad persigue, qué riesgo la justifica, qué nivel de certeza necesita, qué proveedores intervienen, cómo se gestionan errores y excepciones y quién tiene autoridad para aceptar el riesgo residual.

Desde Riesgo, el análisis debe contemplar tanto el acceso indebido que queremos evitar como los impactos introducidos por el propio sistema: exclusión incorrecta, exceso de identificación, discriminación, seguimiento, reutilización, dependencia de terceros, compromiso de credenciales o fallos técnicos.

Desde Cumplimiento, estas decisiones deben conectarse con los principios del artículo 5 RGPD, la base jurídica del artículo 6, la responsabilidad del artículo 24, la protección de datos desde el diseño y por defecto del artículo 25, la seguridad del artículo 32 y, cuando corresponda, la EIPD del artículo 35. Si intervienen categorías especiales de datos o decisiones exclusivamente automatizadas con los efectos requeridos por sus respectivos preceptos, deberán analizarse también los artículos 9 y 22, pero su aplicación no debe presumirse simplemente porque exista una imagen facial o una decisión tecnológica.

El DSA incorpora otra capa de protección y proporcionalidad y, mediante su artículo 28.3, impide convertir esa protección en una obligación indiscriminada de recopilar más información sobre todos los usuarios.

Y atravesando las tres dimensiones aparece una cuestión de aseguramiento: qué evidencia podemos presentar para sostener que la salvaguardia reduce suficientemente el riesgo que le hemos atribuido.

FIGURA 5 (IA): Gobernar una salvaguardia exige conectar riesgo, diseño, prueba, evidencia, decisión y revisión dentro de un ciclo continuo.

Una secuencia para evitar cerrar demasiado pronto el análisis

La lógica desarrollada en este artículo puede resumirse mediante una cadena sencilla:

RIESGO → FINALIDAD DEL CONTROL → NIVEL DE CERTEZA NECESARIO → DISEÑO → DATOS MÍNIMOS → IMPLEMENTACIÓN → PRUEBA → ELUSIÓN Y ERROR → EFECTOS SECUNDARIOS → RIESGO RESIDUAL → DECISIÓN → REVISIÓN

No pretende convertirse en una metodología normativa autónoma ni exige idéntico grado de análisis en todos los escenarios. Puede entenderse mejor como una heurística de gobierno y auditoría que obliga a continuar preguntando después de comprobar que el control ha sido implantado.

Porque es ahí donde comienza realmente la evaluación de su eficacia.

Proteger mejor puede significar saber menos, pero demostrar más

La evolución reciente del age assurance permite observar algo especialmente interesante para la protección de datos.

Durante años hemos asociado protección con recopilar más información: conocer la edad exacta, verificar identidad, solicitar documentos, vincular cuentas o reunir nuevas señales sobre la persona. La arquitectura europea está intentando demostrar que, al menos en determinados escenarios, puede existir otro camino: separar identidad y atributo, limitar la información comunicada al servicio y acreditar únicamente aquello que realmente necesita conocer.

Eso no significa que minimizar la información resuelva por sí solo el problema. Una solución que divulga muy pocos datos puede seguir teniendo demasiados errores, resultar poco accesible o ser fácilmente eludible.

La minimización y la eficacia no son alternativas. Son dos condiciones que deben gobernarse conjuntamente.

Volvamos entonces al menor del comienzo. Introduce una fecha de nacimiento y la pantalla se desbloquea. El sistema registra que la comprobación se realizó correctamente y, desde una mirada puramente procedimental, podríamos considerar que el control funcionó.

Desde la perspectiva del riesgo todavía sabemos muy poco. No sabemos si la información era verdadera, si el mecanismo ofrecía la robustez necesaria, si el grado de certeza era proporcional al riesgo, si existían rutas sencillas para eludirlo o si el propio procedimiento trataba más información de la necesaria.

Ahí aparece la diferencia entre tener un control y gobernarlo.

Una salvaguardia no se justifica simplemente porque exista. Debe poder demostrar que reduce de forma proporcionada el riesgo que pretende gestionar sin introducir para el menor una exposición mayor que aquella que intentaba evitar.

Y quizás esta sea la idea más importante de toda esta tercera entrega: la responsabilidad proactiva no termina cuando desplegamos una medida. Empieza cuando tenemos que demostrar que sigue protegiendo en el mundo real.

Próxima entrega · Artículo 4/5

«Cuando los niños hablan con las máquinas: IA, confianza y privacidad infantil».

La siguiente entrega nos llevará a un escenario diferente pero profundamente conectado con los anteriores: menores que utilizan sistemas de inteligencia artificial para aprender, buscar información, resolver problemas o mantener conversaciones que pueden adquirir un carácter personal o incluso íntimo.

La interfaz conversacional introduce una dificultad particular. Puede producir cercanía y confianza mucho antes de que el menor comprenda qué información está proporcionando, qué sucede con ella y cuáles son realmente los límites de esa interacción. Volveremos así, desde una tecnología nueva, a una cuestión que inició la serie: qué sucede cuando la confianza aparece antes que la comprensión.

Bibliografía y fuentes verificadas

1. DJS Research. (2026). Children’s & parents’ attitudes on information rights. Research commissioned by the Information Commissioner’s Office. May 2026. Estudio empírico principal utilizado para los datos sobre comprobación de edad, controles parentales, intención declarada de elusión y participación familiar.
2. Comité Europeo de Protección de Datos. (2025). Declaración 1/2025 sobre la determinación de la edad. Adoptada el 11 de febrero de 2025. Documento principal para necesidad, proporcionalidad, minimización, eficacia, accesibilidad, fiabilidad, robustez, protección de datos desde el diseño y por defecto, EIPD y responsabilidad. Declaración 1/2025 del CEPD — versión española (Consejo Europeo de Protección de Datos)
3. Unión Europea. Reglamento (UE) 2016/679 — Reglamento General de Protección de Datos. Especialmente artículos 5, 6, 24, 25, 32 y 35 y, cuando concurran sus requisitos, artículos 9 y 22. RGPD — texto oficial en EUR-Lex
4. Unión Europea. Reglamento (UE) 2022/2065 — Reglamento de Servicios Digitales. Especialmente artículo 28 y considerando 71. DSA — texto oficial en EUR-Lex (EURLex)
5. Comisión Europea. (2025). Directrices sobre medidas para garantizar un elevado nivel de privacidad, seguridad y protección de los menores en línea, de conformidad con el artículo 28.4 del Reglamento (UE) 2022/2065. Adoptadas el 14 de julio de 2025 y publicadas en el DOUE el 10 de octubre de 2025. Directrices C/2025/5519 — EUR-Lex (EURLex)
6. Comisión Europea. (2026). Recomendación (UE) 2026/1035, de 29 de abril de 2026, sobre el establecimiento de un marco común para tecnologías de verificación de edad en toda la Unión. Publicada en el DOUE el 8 de mayo de 2026. Recomendación (UE) 2026/1035 — EUR-Lex (EURLex)
7. Comisión Europea. (2025-2026). The EU approach to age verification y documentación técnica del blueprint europeo. Fuente para la evolución de la solución, el estado feature ready de 15 de abril de 2026, la divulgación limitada de atributos y el uso de tecnologías de mejora de la privacidad. Enfoque de la UE para la verificación de la edad (Estrategia Digital Europea)
8. Information Commissioner’s Office. (2026). ICO statement on age assurance. 21 May 2026. Referencia comparada sobre supervisión de grandes plataformas y exigencia de medidas efectivas y respetuosas con la privacidad. ICO statement on age assurance (ICO)

Autor y responsable editorial: Leocadio Marrero Trujillo.
El enfoque, la arquitectura, los criterios de análisis y las conclusiones de este artículo han sido definidos y validados por el autor. Durante su elaboración se han utilizado herramientas de inteligencia artificial generativa como apoyo para la estructuración, reformulación, edición y creación de determinados elementos gráficos.

El contenido ha sido sometido a revisión humana sustantiva, comprobación de fuentes y validación jurídica y técnica. El autor ha aprobado la versión definitiva y asume íntegramente la responsabilidad editorial sobre su contenido