发生了什么：欧盟委员会 9 月 17 日通过儿童网络安全立法提案
2026 年 9 月 17 日，欧盟委员会正式公布 EU KIDS Act 立法提案（全称 Keeping Internet Digital Spaces Accountable and Trustworthy Act）。这是一部直接适用的欧盟法规提案，不是成员国各自立法的指导框架，一旦经欧洲议会和欧盟理事会通过，将在整个欧盟直接生效。
提案的核心抓手是年龄分级和“安全设计”（safe by design）：13 岁以下禁止使用社交媒体；13 至 15 岁只能使用由家长开设和监督的“mini 账户”，功能受限、每天最多使用 1 小时；15 岁起可以开设自己的账户；18 岁以下账户统一执行强制安全设计。最关键的是“举证责任倒置”：平台必须主动证明自己的服务对儿童安全，而不是等出事后回应。
真正值得 AI 行业关注的是适用范围。提案用“Social Media+”定义受监管服务：除了社交网络、视频分享平台、在线游戏、应用商店和操作系统，AI 陪伴（AI companions）和通用对话聊天机器人被明确列入。冯德莱恩在 9 月 16 日的年度盟情咨文中说，AI 聊天机器人对未成年人默认关闭，且不得培养情感依赖。
影响谁：欧盟境内服务无一例外，包括非欧盟注册团队
提案适用于在欧盟境内提供的所有相关服务，不论提供者注册在哪个国家——这和 GDPR 的域外逻辑一致。受影响最大的三类主体：
一是面向欧盟用户的 AI 聊天机器人和 AI 陪伴产品。只要产品在欧盟可被未成年人使用，就要准备年龄分层、默认关闭、反情感依赖设计三套机制。二是应用商店和操作系统，因为年龄验证的入口被要求统一走欧盟的年龄验证方案。三是游戏和视频平台，“Social Media+”的定义有意比传统社交媒体更宽，带社交功能的游戏也在列。
豁免只留了窄口：教育用途和非营利服务不受约束，专业或工业用途的 AI 工具不在范围内。
现在能做什么：把谈判期当作整改窗口
法案仍在提案阶段，按法律评论机构的评估，即便顺利通过，实际生效也不会早于 2028 年。这意味着现在的两年谈判期就是整改窗口。合规团队可以做四件事：
第一，盘点用户年龄结构。如果产品在欧盟有真实的未成年用户或可预见的未成年使用，尽早规划年龄验证接入，而不是等到法案生效前六个月被要求“清查全部存量账户”。
第二，审视默认设置。把 AI 聊天机器人对未成年人“默认关闭”的逻辑提前进产品设计，同时检查推荐、通知、陌生人联系等机制里是否存在“培养情感依赖”的设计模式。
第三，准备“安全设计”证据链。举证责任倒置意味着平台要能拿出文档证明设计是安全的：风险评估记录、设计决策说明、未成年人测试记录都要从现在开始留存。
第四，盯住年龄验证方案。提案要求用欧盟的年龄验证方案核验用户年龄，官方口径称该方案不保留身份证件和生物识别数据，但这套基础设施本身还在推进，接入方式可能随谈判变化。
风险在哪里：别把提案当法律，也别忽视隐私争议
最大的误区是把 9 月 17 日当作“法案生效日”。这只是委员会提案，后面是议会和理事会的漫长谈判，条款可能大改。合规投入要以“跟踪提案、预留改造空间”为主，不要现在就按最严版本重构产品。
第二个风险是隐私与验证的张力。全网年龄验证意味着所有用户都要先证明自己成年——数字权利组织已经警告，这会为互联网铺设事实上的身份层，与 GDPR 的数据最小化原则存在冲突。欧盟的年龄验证 app 被承诺不保留证件和生物识别数据，但技术承诺能不能在谈判中守住，是个问号。
第三个风险是罚款和执法强度。据媒体援引草案版本报道，违规企业可能面临最高相当于全球营业额 6% 的罚款和 90 天快速执法程序——这部分尚未得到官方逐条确认，谈判中仍可能调整，但方向已经明确：欧盟这次不想再做“纸面合规”。
另外值得注意，提案还禁止成员国制定比法案更严格的最低年龄标准。这意味着过去两年各国各自推进的未成年人社交禁令——比如被法国宪法委员会驳回的 15 岁以下禁令——会被统一框架取代。对跨国运营的产品来说这是好消息：一个规则代替十几个国家的拼凑，但前提是最终文本别在谈判中缩水。
