Was passiert ist: Die Kommission hat den Vorschlag für mehr Kindersicherheit online am 17. September angenommen
Am 17. September 2026 hat die Europäische Kommission den Vorschlag für den EU KIDS Act (vollständig: Keeping Internet Digital Spaces Accountable and Trustworthy Act) offiziell angenommen. Es handelt sich um einen direkt anwendbaren EU-Verordnungsvorschlag, nicht um einen unverbindlichen Rahmen: Sobald das Europäische Parlament und der Rat der EU zustimmen, gilt er in der gesamten Union, ohne nationale Umsetzung.
Der Vorschlag ruht auf zwei Säulen: Altersstufen und „Safety by Design“. Unter 13 keine sozialen Medien; 13- bis unter 15-Jährige dürfen nur „Mini-Konten“ nutzen, die von Eltern eröffnet und beaufsichtigt werden, mit eingeschränkten Funktionen und maximal einer Stunde pro Tag; ab 15 ein eigenes Konto; für alle Konten unter 18 gilt verpflichtendes sicheres Design. Der schärfste Hebel ist die Umkehr der Beweislast: Plattformen müssen aktiv nachweisen, dass ihre Dienste für Kinder sicher sind — nicht erst nach einem Vorfall reagieren.
Die KI-Branche sollte vor allem den Anwendungsbereich beachten. Der Vorschlag definiert die regulierten Dienste als „Social Media+“: Neben sozialen Netzwerken, Videoplattformen, Online-Spielen, App-Stores und Betriebssystemen werden KI-Companions und allgemeine Gesprächs-Chatbots ausdrücklich einbezogen. Kommissionspräsidentin von der Leyen sagte am 16. September in ihrer Rede zur Lage der Union, KI-Chatbots müssten für Minderjährige standardmäßig abgeschaltet sein und dürften keine emotionale Abhängigkeit erzeugen.
Wen es betrifft: Auch Teams mit Sitz außerhalb der EU
Der Vorschlag gilt für alle erfassten Dienste, die in der EU angeboten werden — unabhängig davon, wo der Anbieter registriert ist. Dieselbe extraterritoriale Logik wie bei der DSGVO. Drei Gruppen sind besonders betroffen:
Erstens KI-Chatbots und KI-Companion-Produkte für EU-Nutzer. Sobald Minderjährige in der EU das Produkt nutzen können, sind drei Pflichten einzuplanen: Altersstufen, standardmäßige Abschaltung und ein Design, das keine emotionale Abhängigkeit fördert.
Zweitens App-Stores und Betriebssysteme, weil die Altersverifikation über die EU-Lösung zur Altersprüfung laufen muss.
Drittens Spiele und Videoplattformen. Die Definition von „Social Media+“ ist bewusst weiter als klassische soziale Medien — auch Spiele mit sozialen Funktionen fallen darunter.
Die Ausnahmen sind eng: Bildungszwecke und gemeinnützige Dienste sowie professionelle oder industrielle KI-Tools bleiben außen vor.
Was jetzt zu tun ist: Die Verhandlungsphase als Umsetzungsfenster nutzen
Der Text ist bislang nur ein Vorschlag. Nach Einschätzung von Kanzleien ist eine Anwendung vor 2028 selbst im günstigsten Fall unwahrscheinlich. Die rund zwei Jahre dauernde Verhandlungsphase sind also ein Umsetzungsfenster. Compliance-Teams können vier Dinge tun:
Erstens die Altersstruktur der Nutzer erfassen. Hat das Produkt in der EU reale oder absehbare minderjährige Nutzer, sollte die Integration der Altersverifikation früh geplant werden — statt kurz vor dem Stichtag alle Bestandskonten erneut prüfen zu müssen.
Zweitens die Standardeinstellungen prüfen. Die Logik „für Minderjährige standardmäßig abgeschaltet“ gehört bei KI-Chatbots bereits ins Produktdesign; Empfehlungen, Benachrichtigungen und Kontaktfunktionen für Fremde sollten auf Muster geprüft werden, die emotionale Abhängigkeit fördern.
Drittens die Nachweiskette für sicheres Design vorbereiten. Die Umkehr der Beweislast bedeutet, dass Plattformen dokumentieren können müssen, dass ihr Design sicher ist: Risikobewertungen, Begründungen von Designentscheidungen und Testprotokolle mit Minderjährigen sollten ab sofort aufbewahrt werden.
Viertens die EU-Lösung zur Altersprüfung beobachten. Der Vorschlag verlangt Altersnachweise über die EU-Lösung, die nach offiziellen Angaben keine Ausweisdokumente oder biometrischen Daten speichert — die Infrastruktur ist aber noch im Aufbau, und das Zugangsmodell kann sich in den Verhandlungen ändern.
Wo die Risiken liegen: Ein Vorschlag ist noch kein Gesetz — und die Datenschutz-Spannung nicht übersehen
Das größte Missverständnis wäre, den 17. September als Geltungsbeginn zu behandeln. Es ist nur ein Kommissionsvorschlag; Parlament und Rat werden lange verhandeln, und der Text kann sich erheblich ändern. Compliance-Investitionen sollten dem Vorschlag folgen und Spielraum für Anpassungen lassen — Produkte müssen nicht schon heute nach der strengsten Lesart umgebaut werden.
Das zweite Risiko ist die Spannung zwischen Verifikation und Datenschutz. Eine flächendeckende Altersprüfung bedeutet, dass jeder Nutzer zuerst beweisen muss, volljährig zu sein — Bürgerrechtsgruppen warnen bereits, dies lege eine faktische Identitätsebene über das Internet, im Widerspruch zum DSGVO-Grundsatz der Datenminimierung. Der EU-Altersprüfungs-App wird versprochen, keine Dokumente oder Biometrie zu speichern — ob dieses technische Versprechen die Verhandlungen übersteht, ist offen.
Das dritte Risiko sind Bußgelder und Durchsetzung. Unter Berufung auf durchgesickerte Entwurfsfassungen berichten Medien von bis zu 6 % des weltweiten Umsatzes und einem beschleunigten 90-Tage-Durchsetzungsverfahren — offiziell noch nicht Zeile für Zeile bestätigt und weiter verhandelbar, doch die Richtung ist klar: Brüssel will keine Papiertiger-Compliance mehr.
Bemerkenswert ist außerdem: Der Vorschlag würde es Mitgliedstaaten verbieten, strengere Mindestaltersgrenzen als das Gesetz festzulegen. Die nationalen Minderjährigen-Verbote der vergangenen zwei Jahre — etwa das vom französischen Verfassungsrat gekippte Verbot unter 15 — würden durch einen einheitlichen Rahmen ersetzt. Für grenzüberschreitende Anbieter ist das eine gute Nachricht: eine Regel statt eines Flickenteppichs aus einem Dutzend nationalen Lösungen — vorausgesetzt, der endgültige Text wird in den Verhandlungen nicht verwässert.
