Redes sociales prohibidas para menores de 15 años: 7 razones de un fracaso anunciado

Deshazte de lo natural, siempre vuelve. La cuenta atrás ha comenzado: a partir del 1 de septiembre, ningún adolescente menor de 15 años podrá abrir una cuenta en redes sociales en Francia, y las cuentas existentes deberán cerrarse el 1 de enero de 2027. Ya hemos contado cómo la tecnología destinada a verificar esta edad fue hackeada en dos minutos. No es un accidente aislado, es un síntoma. En todos los lugares donde se ha probado este tipo de dispositivo, desde el Reino Unido hasta Australia, se repite la misma mecánica: la tecnología falla, los subcontratistas son hackeados, y los principales afectados encuentran la brecha incluso antes de que la ley entre en vigor. Aquí hay siete razones, sólidamente fundamentadas, que explican por qué este texto comienza con una desventaja seria antes de su primer día de aplicación. Los puntos clave de este artículo:

• Francia ha prohibido a los menores de 15 años abrir cuentas en redes sociales a partir del 1 de septiembre, utilizando una tecnología que ya ha sido hackeada.
• Los métodos de verificación de edad, ya sean técnicos o basados en IA, han sido ampliamente eludidos y criticados por su ineficacia y falta de seguridad.

Razón n°1: la prueba técnica ya ha sido hackeada en dos minutos {#h-razon-n-1-la-prueba-tecnica-ya-ha-sido-hackeada-en-dos-minutos}

Primera señal de alarma, y no menor: el prototipo europeo de verificación de edad, presentado como << técnicamente listo >> por Ursula von der Leyen, fue eludido en apenas dos minutos por la empresa de ciberseguridad Guardsquare.

El método no ataca las matemáticas de la prueba de conocimiento cero (zk-proof): modifica los archivos locales de la aplicación para inyectar una falsa fecha de nacimiento incluso antes de que se genere la prueba. Un cifrado, por sólido que sea, nunca protege un dato falso desde la fuente.

Razón n°2: la alternativa por inteligencia artificial también está llena de fallos {#h-razon-n-2-la-alternativa-por-inteligencia-artificial-tambien-esta-llena-de-fallos}

Dado que el documento de identidad plantea problemas, algunas plataformas apuestan por la estimación de edad mediante IA, un selfie o un breve video analizados para adivinar la edad del usuario. Sin embargo, la solución es casi infantil, en el sentido más literal.

Según un estudio de Internet Matters publicado por Euronews el 4 de mayo de 2026, realizado entre 1,270 niños británicos de 9 a 16 años, un tercio de ellos afirma haber eludido un control de edad en línea. Una madre incluso cuenta haber sorprendido a su hijo de 12 años dibujándose un bigote con un lápiz de cejas para que el software lo estimara en 15 años. Otro dato destacado del estudio: 46% de los niños encuestados consideran que estos controles son fáciles de eludir, frente a solo el 17% que los encuentra difíciles.

Razón n°3: la verificación se confía a empresas privadas, fuera del control directo de las plataformas {#h-razon-n-3-la-verificacion-se-confia-a-empresas-privadas-fuera-del-control-directo-de-las-plataformas}

Ni Francia ni Europa planean verificar por sí mismas la edad de los internautas. El mecanismo elegido, un << tercero de confianza >>, delega esta tarea a una empresa subcontratada, ya sea France Identité, Docaposte o la futura aplicación europea.

Como detalla La Quadrature du Net, el internauta es redirigido al sitio de este tercero, que verifica su identidad y luego devuelve a la plataforma un simple token << sí >> o << no >>. Sin embargo, el término oficial de << doble anonimato >> es inquietante: en el mejor de los casos, garantiza una separación entre las dos bases de datos, siempre que el aislamiento sea técnicamente impecable. Lo cual, precisamente, no está garantizado.

Razón n°4: la subcontratación ya ha filtrado documentos de identidad en otros lugares

En octubre de 2025, Discord confirmó que uno de sus proveedores de soporte al cliente, la empresa neerlandesa 5CA, había sido hackeada. El grupo de hackers Scattered Lapsus$ Hunters robó al menos 70,000 fotos de documentos de identidad enviadas en el marco de la verificación de edad, además de nombres, correos electrónicos y datos de pago parciales, según la Electronic Frontier Foundation.

Los atacantes exigieron hasta 5 millones de dólares de rescate. Discord cortó lazos con 5CA después del incidente, pero el daño ya estaba hecho: confiar la verificación de identidad a un tercero no elimina el riesgo de filtraciones, simplemente lo desplaza de un eslabón de la cadena a otro.

Razón n°5: el elusión mediante VPN ya está documentada a gran escala

El precedente británico da una idea bastante clara de lo que espera a Francia. Desde la entrada en vigor de la Online Safety Act en julio de 2025, las inscripciones de VPN han aumentado un 1,800% en algunos proveedores.

La misma situación se observa en Australia, donde la ley que prohíbe las redes sociales a menores de 16 años no impide, según el propio regulador local, que dos tercios de los menores afectados la eludan, informa La Quadrature du Net. Un VPN oculta la dirección IP y hace creer a la plataforma que el usuario se conecta desde un país sin obligación de control de edad, un juego del gato y el ratón que ni Londres ni Canberra han logrado contener hasta la fecha.

Razón n°6: incluso la CNIL duda de que exista una solución perfecta

Una señal reveladora: el regulador francés encargado de la protección de datos nunca ha validado una solución milagrosa. La CNIL observa que ningún dispositivo cumple simultáneamente los tres criterios que considera indispensables: fiabilidad suficiente, cobertura de toda la población y respeto a la privacidad. Cuando la autoridad encargada de garantizar la conformidad del dispositivo admite públicamente que ninguna opción disponible cumple con todos los requisitos, es difícil verlo como un simple detalle de ejecución.

Razón n°7: la base jurídica europea del texto es cuestionada

Último obstáculo, y no menos importante: la legalidad misma del dispositivo está en cuestión ante la justicia europea. El texto francés se basa en el artículo 28 de la Ley de Servicios Digitales, que impone a las plataformas proteger la privacidad de los menores, no excluirlos pura y simplemente. Un caso relacionado con la ley SREN, la anterior ley francesa de verificación de edad (aplicada esta vez a los sitios pornográficos), está actualmente pendiente ante el Tribunal de Justicia de la Unión Europea.

Según La Quadrature du Net, el abogado general encargado del caso ya ha puesto en duda seriamente su conformidad con el derecho de la UE. Si el Tribunal sigue este razonamiento, toda una parte de la verificación de edad a la francesa perdería su base legal, incluida la aplicada a las redes sociales.

Lo que cambia para el futuro {#h-lo-que-cambia-para-el-futuro}

Estos siete obstáculos no significan que la ley se quede en letra muerta de la noche a la mañana. Pero dibujan un dispositivo que deberá lidiar, desde su entrada en vigor, con fallos técnicos ya explotados, subcontratistas ya pirateados en otros lugares, elusión ya masiva en nuestros vecinos, y una base jurídica ya debilitada ante la justicia europea.

El ecosistema cripto ha tardado años en entender que un sistema de identidad digital sólido se basa menos en la promesa de anonimato total que en el control, por parte del propio usuario, de lo que divulga y a quién. Algunos proyectos construidos sobre esta lógica, como la billetera Altme y su identidad digital diseñada para compartir solo la información estrictamente necesaria, ya existen y dan la espalda al modelo del tercero de confianza centralizado. De qué alimentar, al menos, el debate sobre la mejor manera de verificar una edad sin sacrificar toda una privacidad en el proceso.