Diseño adictivo en redes sociales: cómo protegen la DSA y el AI Act a los menores

El caso Meta y los límites jurídicos de la manipulación algorítmica, la protección de la infancia y la responsabilidad de las plataformas digitales.

Exégesis reivindicativa a la luz del «Núremberg digital» de nuestro siglo: la tragedia del Meta affair

1. LA INFANCIA COMO SUJETO DE DERECHOS FRENTE AL DISEÑO DE LA DEPENDENCIA

La infancia no puede convertirse en la variable de ajuste de un modelo de negocio que obtiene rendimientos de prolongar indefinidamente la atención. Cuando una plataforma dispone de capacidad para anticipar qué estímulos retienen a un adolescente, cuándo regresa, qué le perturba y qué le resulta difícil abandonar, la cuestión jurídica deja de agotarse en la licitud del contenido que aparece en pantalla. Alcanza a la organización de la experiencia: qué decisiones se facilitan, cuáles se dificultan y qué costes personales se desplazan hacia quienes todavía están desarrollando su autonomía. El problema no es que una tecnología interese a los menores, sino que su funcionamiento pueda aprovechar esa condición para debilitar su capacidad de decidir y exponerlos a daños previsibles.

La noción de infoesfera, desarrollada por FLORIDI, permite comprender que la experiencia digital no constituye un espacio separado de la vida del menor: participa de sus relaciones, aprendizaje e identidad. La continuidad entre lo conectado y lo cotidiano explica por qué el diseño del servicio puede proyectar efectos fuera de la pantalla. En este marco, la crítica a la «avaricia desaforada» del título se dirige a la subordinación de la protección a objetivos de captación y monetización; no sustituye la prueba de una infracción ni atribuye por sí sola una intención ilícita a todo operador.

La tesis de este trabajo es que el Reglamento de Servicios Digitales —DSA— y el Reglamento de Inteligencia Artificial —RIA o, en su denominación internacional, AI Act— forman un tándem: articulan una respuesta complementaria, pero no intercambiable. La DSA obliga a gobernar los riesgos del servicio y a adoptar medidas de protección y mitigación efectivas. El RIA establece, entre otros límites, prohibiciones frente a determinadas formas de manipulación y explotación de vulnerabilidades. El primer instrumento puede exigir rediseño sin que se hayan acreditado todos los elementos del artículo 5 del segundo. A su vez, una práctica prohibida de IA no se convierte en lícita porque el operador publique un informe de transparencia o permita configurar algunas preferencias.

El análisis toma el litigio estadounidense relativo a Meta como contraste para examinar las obligaciones europeas. Su método es jurídico y comparado: distingue las alegaciones de los litigantes, los términos del acuerdo judicial, las actuaciones administrativas preliminares y las propuestas interpretativas de este estudio. La investigación se cierra el 8 de noviembre de 2026, para la ponencia «El papel de la DSA en la protección de los menores», prevista el 16 de noviembre en Youth IGF Spain.

1.1. Alcance de una metáfora y exigencia de precisión

La expresión «Núremberg digital» se emplea en el subtítulo como metáfora crítica de la exigencia de rendición de cuentas a estructuras de poder. No designa una jurisdicción existente, no equipara el sufrimiento asociado a las plataformas con los crímenes juzgados en Núremberg y no atribuye a Meta ni a sus directivos responsabilidad por crímenes internacionales. Tampoco convierte un litigio civil o un acuerdo transaccional en una condena penal. Su alcance se limita a una pregunta: ¿puede la complejidad organizativa servir para diluir la responsabilidad por decisiones empresariales que afectan a personas vulnerables? El apartado 7.3 desarrolla las tres lecciones concretas que justifican la metáfora.

Con la misma cautela debe entenderse «ensañamiento adictivo». Es una valoración crítica del diseño que insiste en capturar la atención pese a señales de perjuicio, no la afirmación de una agravante penal ni un diagnóstico clínico universal. «Impunidad» expresa aquí el riesgo de una distancia persistente entre capacidad de producir efectos, conocimiento de los riesgos y eficacia de la respuesta institucional. La fuerza de la reivindicación disminuye, en lugar de aumentar, si se confunden sospecha, infracción, causalidad e indemnización.

1.2. Derechos del menor y autonomía progresiva

El artículo 24 de la Carta exige considerar primordialmente el interés superior del menor y reconoce su derecho a expresar una opinión que debe ponderarse según edad y madurez. Esa protección convive con la dignidad, la vida privada, la protección de datos, la libertad de expresión y el acceso a información. La Observación general n.º 25 del Comité de los Derechos del Niño sitúa esos derechos dentro del entorno digital. Proteger no significa expulsar a los menores de la vida conectada; significa hacer compatible su participación con condiciones de seguridad que no dependan exclusivamente de su resistencia individual.

No hay una única infancia tecnológica. Una misma función puede ayudar a mantener vínculos y, en otras circunstancias, alimentar comparación social, hostigamiento o uso problemático. La respuesta debe atender a edad, contexto y necesidades sin convertir esas diferencias en nuevas etiquetas comerciales de vulnerabilidad. Resulta especialmente incoherente invocar la personalización como prueba de sofisticación cuando incrementa la retención y alegar indiferenciación técnica cuando se solicita reducir un riesgo conocido.

2. DEL TIEMPO DE PANTALLA A LA ARQUITECTURA DE LA DECISIÓN

2.1. La atención como objetivo de optimización

En un servicio personalizado, la experiencia visible es el resultado de elecciones sobre datos, objetivos y reglas de ordenación. La reproducción automática elimina una decisión intermedia; el desplazamiento infinito suprime un final reconocible; las notificaciones crean ocasiones de regreso; los contadores de aprobación transforman la interacción en comparación cuantificada. Su combinación puede intensificar el uso. Sin embargo, ni cada función aislada ni cualquier aumento de permanencia constituyen automáticamente manipulación ilícita. Deben examinarse su configuración, el público destinatario y sus efectos previsibles.

El objeto de evaluación es la secuencia completa: señal captada, inferencia, estímulo elegido, respuesta observada y nueva intervención. Un sistema puede aprender qué contenido interesa y también qué contenido dificulta abandonar la sesión. La diferencia jurídica no se resuelve llamando «relevancia» al objetivo de negocio. Debe poder explicarse qué se optimiza, qué restricciones protegen al menor y qué ocurre cuando un indicador comercial mejora a costa de un indicador de bienestar. Una política interna que nunca puede detener un lanzamiento carece de la capacidad preventiva que su nombre promete.

Se propone utilizar la noción de autonomía efectiva para ordenar el análisis: posibilidad real de comprender la interacción, modificarla y abandonarla sin obstáculos desproporcionados. No se presenta como un derecho autónomo ya tipificado, sino como criterio interpretativo de los deberes de protección y de las prohibiciones de manipulación. Permite preguntar si el menor conserva control práctico sobre su experiencia, además de disponer formalmente de un botón de salida. También obliga a valorar si las medidas protectoras son accesibles, estables y comprensibles, o si el propio diseño las neutraliza.

2.2. Evidencia científica sin determinismos

La preocupación por la salud mental no autoriza a afirmar que las redes causan de modo uniforme todos los trastornos observados en adolescentes. El informe de las National Academies de 2024 no consideró demostrada una relación causal poblacional de ese alcance y destacó la heterogeneidad de experiencias y resultados. La advertencia del Surgeon General de 2023, por su parte, señaló riesgos relevantes y lagunas que impedían concluir que el entorno fuera suficientemente seguro. Las dos aproximaciones permiten sostener prudencia preventiva sin sustituir la investigación por una explicación monocausal.

Conviene separar uso frecuente, uso problemático, pérdida de control y diagnóstico clínico. Las horas acumuladas son un indicador imperfecto: una sesión larga de aprendizaje no equivale a una cadena de retornos compulsivos durante la noche. La investigación debe considerar desplazamiento del sueño, interferencia con actividades, exposición reiterada a estímulos perjudiciales y dificultad para detenerse. Su medición debe evitar nuevas bases de datos sensibles innecesarias. Y la incertidumbre no paraliza el Derecho: esperar certeza absoluta haría inoperante la prevención, del mismo modo que prescindir de la prueba para imponer responsabilidad haría ilegítima la respuesta.

3. EL META AFFAIR COMO LABORATORIO DE RESPONSABILIDAD Y REPARACIÓN

3.1. Qué litigio, qué reclamaciones y qué cifra

El antecedente público incluye el testimonio de Frances HAUGEN ante el Senado estadounidense el 5 de octubre de 2021 y las acciones anunciadas el 24 de octubre de 2023 por una coalición de fiscales generales. En esa fase, treinta y tres estados presentaron conjuntamente la demanda federal en California. La relevancia del antecedente reside en hacer examinable la distancia entre información interna sobre riesgos, declaraciones públicas y decisiones de producto; el testimonio o la demanda no equivalen por sí solos a hechos judicialmente probados.

El procedimiento federal de referencia se integra en el MDL n.º 3047, ante el Tribunal de Distrito del Norte de California. La acción de los fiscales generales imputaba a Meta, entre otras conductas, prácticas engañosas relacionadas con el diseño de Facebook e Instagram y vulneraciones de COPPA por el tratamiento de datos de menores de trece años. El consentimiento judicial posterior recoge que Meta las niega y no contiene una resolución final contradictoria que declare probados todos los hechos y fundamentos alegados.

La referencia periodística a veintinueve estados y 1,4 billones de dólares requiere una delimitación especialmente cuidadosa. En su escrito de 6 de julio de 2026, Meta discutió determinados cálculos de sanciones y restitución de beneficios y estimó una exposición de hasta 1,4 billones —1,4 trillion en inglés—. El escrito distingue reclamaciones COPPA y pretensiones estatales de consumo. No puede transformarse esa cifra de controversia procesal en una indemnización firme reconocida a veintinueve estados. Tampoco acredita por sí misma que la compañía se encontrara al borde de la bancarrota.

La apertura de alegatos el 18 de agosto de 2026 y la magnitud económica del conflicto explican su relevancia pública. Pero la primera grieta se había abierto antes. El 24 de marzo de 2026, un jurado de Nuevo México impuso a Meta una sanción civil de 375 millones de dólares y, al día siguiente, otro de Los Ángeles declaró a Meta y a YouTube responsables por diseño negligente en el caso K.G.M., con una indemnización de 6 millones de dólares. En agosto, un tribunal de Nuevo México calificó además las plataformas de Meta como una molestia pública (public nuisance). La compañía ha recurrido o solicitado la anulación de estas resoluciones, que no son firmes. Más que una clasificación mediática por tamaño, importa que el litigio trasladara al examen judicial decisiones de diseño, información interna sobre riesgos y mecanismos de protección.

3.2. El acuerdo de agosto de 2026 y sus distintos perímetros

La sentencia por consentimiento de 26 de agosto de 2026 aprobó el acuerdo. Por tanto, al cierre de este estudio resulta incorrecto describirlo como pendiente del visto bueno judicial. Su aprobación no equivale a admisión de responsabilidad. Permite exigir los compromisos entre sus partes en los términos pactados, sin clausurar todos los litigios relativos a la empresa o sus servicios.

Las cifras difundidas corresponden a perímetros diferentes. La Fiscalía General de Nueva York anunció hasta 17.100 millones de dólares: 12.100 millones de base y hasta 5.000 millones condicionados. Meta explicó un agregado aproximado de 18.000 millones para los acuerdos sobre menores, con 12.700 millones de base y unos 5.300 millones contingentes. Su información financiera del tercer trimestre situó el perímetro ampliado en hasta 18.590 millones, incluyendo componentes adicionales de privacidad y costes. No son tres versiones intercambiables de una única transferencia ya realizada.

La descripción aproximada de un 70 % pagadero durante diez años y un 30 % condicionado debe conservar esa distinción. La contingencia depende de acuerdos sectoriales y de condiciones relativas a protecciones y pagos de otras plataformas, entre ellas YouTube y TikTok. La cifra máxima expresa una obligación potencial bajo condiciones; no debe presentarse como dinero íntegramente cobrado ni como valoración judicial del daño de cada menor.

3.3. Medidas de diseño y excepciones relevantes

El acuerdo contempla para adolescentes de trece a diecisiete años, en su fase inicial, un límite diario acumulado de Facebook e Instagram de dos horas y restricciones nocturnas de medianoche a seis de la mañana. Son configuraciones por defecto sujetas a las reglas de supervisión parental y a excepciones, como las previstas para mensajería. La protección no se describe correctamente como un cierre absoluto e indisponible de toda función. El texto establece además medidas sobre notificaciones, modos de uso y mecanismos de garantía de edad, con implantación escalonada. Si otras grandes plataformas suscriben compromisos equivalentes, se prevé una segunda fase de diez años más exigente: sesenta minutos diarios por plataforma de Meta, bloqueo de 22:00 a 7:00 horas y desactivación de las notificaciones push. Esta escalada comparte con la parte condicionada del pago una misma lógica: incentivar un estándar sectorial y no solo individual.

Entre las intervenciones figuran la reducción de notificaciones en franjas nocturnas y escolares, la opción de un feed no personalizado, la ocultación por defecto de recuentos de «me gusta» y reacciones y restricciones sobre determinados filtros asociados a cambios cosméticos. Ocultar recuentos no equivale a suprimir todos los comentarios. El control de los compromisos incluye auditoría independiente.

La combinación de ajustes predeterminados y posibilidad de intervención parental plantea una tensión de interés comparado. Los valores por defecto reducen el esfuerzo necesario para protegerse, pero una excepción demasiado fácil puede desactivar su efecto. La supervisión familiar puede aportar contexto, aunque no deba funcionar como una transferencia completa del deber empresarial. Y como la implantación es escalonada, la eficacia del acuerdo se acreditará con resultados y controles, no con su anuncio.

3.4. Lo que Europa puede aprender sin importar automáticamente el acuerdo

El valor comparativo del caso reside en mostrar que el diseño es susceptible de negociación, documentación y control. Determinadas decisiones de producto se convierten así en compromisos jurídicos precisos. Ello proporciona preguntas para la supervisión europea: qué alternativas existen, cuál es su coste, cómo se evalúan y por qué se descartaron.

La diferencia entre transacción y regulación debe permanecer visible. Un acuerdo responde a partes, pretensiones y concesiones concretas; una norma general debe justificar su ámbito y proporcionalidad. Además, una solución económica que cierre ciertas reclamaciones públicas no satisface necesariamente las necesidades individuales de reparación. Ahí reside la tragedia del Meta affair: no en una cifra récord, sino en la distancia que el litigio puso en el centro del debate entre lo que la investigación interna advertía —según los documentos hechos públicos desde 2021— y las decisiones de producto que se mantuvieron. La lección reivindicativa es exigir que el rediseño reduzca la exposición al daño y no se limite a convertir el riesgo en una partida presupuestaria. Para demostrarlo hacen falta indicadores externos y consecuencias frente al incumplimiento.

4. LA DSA COMO ESTATUTO DE DILIGENCIA SOBRE EL ENTORNO DIGITAL

4.1. Protección de menores y diferenciación de obligaciones

El artículo 28.1 DSA obliga a los prestadores de plataformas en línea accesibles a menores a establecer medidas adecuadas y proporcionadas que garanticen un elevado nivel de privacidad, seguridad y protección. Su ámbito no se reduce a servicios que se publiciten como infantiles. Debe considerarse, no obstante, la exención del artículo 19 para microempresas y pequeñas empresas, con la excepción correspondiente a plataformas designadas de muy gran tamaño. La intensidad regulatoria no puede analizarse sin identificar previamente servicio, prestador y categoría aplicable.

La norma no fija por sí sola una edad europea universal de acceso de trece años. Tampoco establece que toda publicidad dirigida a menores esté prohibida. El artículo 28.2 se refiere a anuncios basados en elaboración de perfiles mediante datos personales cuando el prestador conoce con una seguridad razonable la minoría de edad del destinatario. Una interpretación rigurosa protege mejor que una prohibición retórica cuyo alcance se deshace al contrastarla con el texto.

El artículo 28.3 añade una garantía decisiva: cumplir esas obligaciones no impone tratar datos adicionales para determinar si el usuario es menor. La protección no puede utilizarse como excusa automática para acumular identificación, biometría o historiales. La solución técnica debe justificarse según el riesgo y preservar la minimización.

4.2. Interfaces y recomendadores

El artículo 25 combate interfaces que engañen, manipulen o menoscaben sustancialmente decisiones libres e informadas. Su apartado segundo delimita la relación con prácticas cubiertas por el RGPD o la Directiva sobre prácticas comerciales desleales. No procede acumular etiquetas regulatorias sin examinar esa cláusula. El análisis debe identificar la conducta: hacer difícil desactivar una función, inducir reiteradamente a reactivarla o presentar opciones de manera sesgada requiere un examen distinto del contenido que después recomienda el sistema.

El artículo 27 exige transparencia sobre los principales parámetros de los sistemas de recomendación y las opciones disponibles para influir en ellos. Para las plataformas y motores de búsqueda de muy gran tamaño, el artículo 38 añade al menos una opción no basada en perfiles. Se trata de obligaciones distintas: explicar no equivale a permitir elegir y permitir elegir no garantiza que la opción protectora sea visible o utilizable.

4.3. Riesgos sistémicos y deber de mitigación eficaz

Los artículos 34 y 35 establecen el núcleo preventivo para las plataformas y motores de búsqueda de muy gran tamaño. La evaluación abarca riesgos derivados del diseño, funcionamiento y uso del servicio, incluidos los que afectan a los derechos del niño, la salud pública y las consecuencias graves para el bienestar físico y mental. Debe realizarse al menos anualmente y antes de desplegar funcionalidades que puedan tener un impacto crítico. Los recomendadores, la publicidad, las prácticas de datos y la moderación forman parte de los factores que deben examinarse.

La evaluación no se satisface con una descripción favorable del producto. Debe poder relacionar un mecanismo con una exposición, una población y un posible efecto. Si el prestador sabe que una función incrementa las sesiones nocturnas de adolescentes, la evaluación pertinente no termina calculando su éxito comercial. Debe considerar la gravedad y probabilidad del riesgo, las salvaguardas y las alternativas.

La mitigación del artículo 35 ha de ser razonable, proporcionada y eficaz. Puede exigir adaptar diseño, funcionamiento, condiciones del servicio o sistemas algorítmicos; también adoptar medidas específicas de protección de menores. La eficacia introduce una exigencia material: no basta que una medida exista si el propio entorno la hace irrelevante. Tampoco permite exigir riesgo cero.

La auditoría independiente del artículo 37 y el acceso a datos del artículo 40 permiten discutir esas afirmaciones fuera del perímetro de confianza del operador. Su función es reducir la asimetría epistémica entre quien observa el sistema desde dentro y quienes soportan o supervisan sus consecuencias. La independencia pierde sentido si el auditor recibe únicamente indicadores seleccionados para confirmar la narrativa empresarial.

4.4. Directrices y actuaciones europeas

Las directrices de protección de menores adoptadas en julio de 2025 y publicadas como Comunicación C/2025/5519 ofrecen criterios sobre cuentas privadas por defecto, recomendación, diseño, notificaciones, garantía de edad y servicios de IA. No sustituyen al artículo 28 ni convierten su seguimiento en una exención automática. Su valor reside en concretar cómo evaluar medidas según contexto, riesgos y derechos.

El 6 de febrero de 2026 la Comisión comunicó conclusiones preliminares sobre el diseño adictivo de TikTok. El 29 de abril hizo públicas conclusiones preliminares relativas a Meta y el acceso de menores de trece años; el 10 de julio, sobre el diseño de Instagram y Facebook. En esta última, la Comisión señaló el desplazamiento infinito, la reproducción automática, las notificaciones push y los recomendadores muy personalizados, así como la insuficiente consideración del uso nocturno de los menores; una eventual decisión de incumplimiento podría acarrear multas de hasta el 6 % del volumen de negocios mundial. Estas actuaciones muestran la relevancia regulatoria de la configuración del servicio y de la eficacia de sus salvaguardas. Deben describirse como posiciones preliminares sujetas a defensa y procedimiento, no como sanciones firmes ni como decisiones que acrediten automáticamente una infracción del RIA.

5. EL RIA FRENTE A LA MANIPULACIÓN Y LA EXPLOTACIÓN DE LA EDAD

5.1. Identificar el sistema antes de calificar la práctica

El RIA no convierte cualquier técnica de persuasión en inteligencia artificial. Primero debe comprobarse si el componente satisface la definición del artículo 3.1: un sistema basado en máquinas con los rasgos de autonomía e inferencia previstos en ella. Después deben identificarse proveedor, responsable del despliegue, finalidad y ámbito territorial. Un mecanismo de interfaz programado mediante reglas simples y un recomendador que infiere preferencias no necesariamente reciben la misma calificación. La presencia de un algoritmo, término mucho más amplio, no resuelve esa subsunción.

También debe evitarse otro salto: un recomendador no pasa a ser de alto riesgo exclusivamente porque lo utilicen menores o porque pertenezca a una gran red social. La clasificación depende del artículo 6 y de los supuestos pertinentes de sus anexos. Las prohibiciones del artículo 5 operan, por su parte, sin necesidad de esa clasificación.

5.2. Manipulación y decisión contrafáctica

El artículo 5.1.a prohíbe determinadas técnicas subliminales o deliberadamente manipuladoras o engañosas cuando concurren los restantes elementos legales: objetivo o efecto de alterar sustancialmente la conducta, menoscabo apreciable de la capacidad de decisión informada, una decisión que de otro modo no se habría adoptado y un perjuicio considerable real o razonablemente probable. Esta estructura impide equiparar cualquier recomendación persuasiva con la práctica prohibida. Exige reconstruir el mecanismo y el efecto, no simplemente expresar desaprobación por el producto.

La referencia contrafáctica merece atención. ¿Qué habría decidido esa persona sin la intervención cuestionada? No siempre puede responderse mediante una comparación experimental individual, pero sí investigarse con diseño de pruebas, cambios de configuración, secuencias de uso y evidencia contextual. Un incremento de retención acredita un efecto comercial; no demuestra por sí solo menoscabo decisorio ni perjuicio considerable. La prueba debe explicar por qué la intervención supera la persuasión ordinaria. No es preciso esperar a que el perjuicio se consume si existe una probabilidad razonable, pero esa anticipación obliga a justificar el umbral material de la prohibición, con las garantías propias de todo procedimiento sancionador.

5.3. Explotación de vulnerabilidades por razón de edad

El artículo 5.1.b contempla sistemas que exploten vulnerabilidades derivadas, entre otros factores, de la edad, con la finalidad o el efecto de alterar sustancialmente el comportamiento de modo que provoque o sea razonablemente probable que provoque perjuicios considerables. La minoría de edad no demuestra automáticamente explotación. Debe explicarse qué vulnerabilidad se aprovecha y cómo se conecta la intervención con la alteración y el daño. Tampoco basta alegar que el sistema es popular entre adolescentes.

La hipótesis jurídicamente relevante sería, por ejemplo, un sistema de IA que utiliza señales de especial sensibilidad a la aprobación social para intensificar estímulos y dificultar la desconexión, pese a indicadores consistentes de perjuicio considerable. Se trata de un supuesto analítico, no de una declaración de hechos probados respecto de Meta. La explotación puede investigarse sin que exista una etiqueta interna llamada «vulnerabilidad», pero no puede presumirse únicamente a partir del beneficio económico.

Las directrices de la Comisión sobre prácticas prohibidas ofrecen ejemplos de refuerzo adictivo dirigido a jóvenes y de dependencia respecto de sistemas conversacionales. Ayudan a interpretar la prohibición, aunque no vinculan al tribunal ni sustituyen su aplicación al caso. Es especialmente relevante que la intervención emocional pueda combinarse con una apariencia de atención personal: la transparencia sobre que se interactúa con IA no neutraliza una práctica que, por sus restantes elementos, esté prohibida.

5.4. Calendario y reforma de 2026

El RIA entró en vigor el 1 de agosto de 2024. Las prohibiciones aquí examinadas son aplicables desde el 2 de febrero de 2025 y la fecha general de aplicación del Reglamento es el 2 de agosto de 2026. Debe leerse con la reforma del Reglamento (UE) 2026/1744 y la versión consolidada de 27 de julio de 2026. Para las secciones 1, 2 y 3 del capítulo III —excepto el artículo 6.5—, el calendario reformado sitúa la aplicación relativa al anexo III en el 2 de diciembre de 2027 y al anexo I en el 2 de agosto de 2028. Estos aplazamientos no suspenden las prohibiciones de manipulación y explotación de vulnerabilidades.

Desde el 2 de diciembre de 2026, el artículo 5 incorporará además, por obra del Reglamento (UE) 2026/1744, la prohibición de los sistemas de IA destinados a generar imágenes íntimas no consentidas —las llamadas aplicaciones para «desnudar»— y material de abuso sexual infantil. Aunque esta prohibición no forma parte del Derecho aplicable al cierre del estudio, su entrada en aplicación, apenas dos semanas después de esta ponencia, confirma que la reforma no rebajó la protección de la infancia, sino que la reforzó.

6. EL TÁNDEM VIRTUOSO COMO COMPLEMENTARIEDAD ASIMÉTRICA

6.1. Dos preguntas jurídicas sobre un mismo proceso

La DSA pregunta si el servicio protege adecuadamente al menor y, cuando corresponde, si evalúa y mitiga eficazmente sus riesgos sistémicos. El RIA pregunta, entre otras cuestiones, si un sistema de IA desarrolla una práctica prohibida. Las dos preguntas pueden referirse a un mismo recomendador, pero requieren premisas distintas. De ahí que la falta de prueba suficiente del artículo 5 no cierre el examen de los artículos 28, 34 y 35 DSA. Y que la diligencia documental bajo la DSA no sanee una prohibición acreditada bajo el RIA.

El considerando 118 RIA reconoce la articulación de sus obligaciones correspondientes con la gestión de riesgos de la DSA respecto de sistemas o modelos integrados en plataformas o motores de búsqueda de muy gran tamaño. Su función interpretativa no permite desplazar las prohibiciones del artículo 5 ni convertir cualquier evaluación DSA en una certificación universal de conformidad con el RIA. La convergencia evita duplicaciones innecesarias; no borra obligaciones con presupuestos y finalidades propios.

Considérese un recomendador hipotético que intensifica vídeos breves durante sesiones nocturnas de adolescentes. La DSA permite preguntar por evaluación, alternativas y eficacia de las restricciones, aun sin acreditar explotación de una vulnerabilidad. Si además se prueba que la IA aprovecha características vinculadas a la edad para alterar sustancialmente la conducta con perjuicio considerable real o probable, podría abrirse el análisis del artículo 5.1.b. Si una notificación funciona sin un sistema de IA, queda fuera de esa prohibición por ese motivo, pero no necesariamente fuera de la DSA o de otras normas.

6.2. Coordinación institucional y límites sancionadores

La reforma de 2026 refuerza esta conexión. El artículo 75 RIA atribuye a la Oficina de IA competencia exclusiva sobre determinados sistemas que constituyen o están integrados en plataformas o motores de búsqueda de muy gran tamaño designados conforme a la DSA. Alcanza a los proveedores y, respecto de los responsables del despliegue, exige que sean también proveedores o pertenezcan a la misma empresa que el proveedor. Esta articulación facilita una supervisión coherente, pero no fusiona los presupuestos materiales de ambos reglamentos ni dispensa de las garantías de investigación y defensa.

Las sanciones tampoco deben sumarse de manera mecánica. La DSA contempla máximos de hasta el 6 % del volumen de negocios anual mundial en los supuestos legales; el RIA prevé para determinadas prácticas prohibidas hasta 35 millones de euros o el 7 %, con sus reglas específicas. No se sigue de ello una multa automática del 13 %. Deben examinarse competencias, hechos, fundamento, proporcionalidad y garantías frente a la duplicación punitiva. La potencia económica del régimen no sustituye la tipicidad de la infracción.

6.3. El RGPD como garantía transversal

La tesis del tándem no excluye la protección de datos ni reduce el problema a dos normas. El RGPD sigue exigiendo licitud, lealtad, transparencia, minimización y protección desde el diseño; también evaluación de impacto cuando concurre el supuesto correspondiente. Su artículo 8 regula el consentimiento infantil en un contexto específico, no establece una licencia general de acceso a redes sociales. Una autorización familiar no puede legitimar una práctica prohibida por otro reglamento ni hacer desaparecer los deberes propios de la plataforma.

La sentencia del Tribunal de Justicia de 4 de julio de 2023, Meta Platforms, C-252/21, muestra la importancia de examinar las bases jurídicas del tratamiento y las condiciones del consentimiento en modelos de acumulación de datos. No resuelve el conjunto del problema del diseño adictivo, pero impide tratar la aceptación de condiciones generales como respuesta suficiente a toda objeción. Poder hacer clic no equivale a disponer de una elección libre frente a cualquier operación de tratamiento.

6.4. La recepción en España: autoridades y reforma legislativa

En España, el tándem se proyecta sobre dos autoridades nacionales. La CNMC ejerce como coordinador de servicios digitales; su plena habilitación ha requerido reformas normativas y motivó que la Comisión decidiera, en mayo de 2025, llevar a España ante el Tribunal de Justicia. La Agencia Española de Supervisión de la Inteligencia Artificial (AESIA) actúa, por su parte, como autoridad de vigilancia del mercado del RIA. Respecto de las plataformas de muy gran tamaño, ambas operan junto a la Comisión y la Oficina de IA, lo que exige protocolos estables de cooperación e intercambio de información.

En el plano legislativo, el proyecto de Ley Orgánica de protección de las personas menores de edad en los entornos digitales, aprobado por el Consejo de Ministros el 25 de marzo de 2025, seguía en tramitación parlamentaria al cierre de este estudio. Entre las enmiendas debatidas figuran elevar a dieciséis años la edad mínima de acceso autónomo a las redes sociales y reforzar la verificación de edad. A ello se suma que el artículo 7 de la Ley Orgánica 3/2018 (LOPDGDD) fija en catorce años la edad del consentimiento para el tratamiento de datos. La regulación nacional deberá articularse con la armonización plena de la DSA, que limita el margen de los Estados para imponer obligaciones adicionales en las materias que regula, y con la futura EU KIDS Act.

7. DE LA PROHIBICIÓN ABSTRACTA A UNA PRUEBA QUE PUEDA AUDITARSE

7.1. Una cadena de evidencia verificable

La protección será débil si el expediente conserva únicamente políticas y declaraciones de intención. Resultan relevantes la documentación de objetivos, versiones del recomendador, configuraciones por edad, criterios de lanzamiento, ensayos, incidencias y decisiones sobre medidas alternativas. Esa documentación debe permitir reconstruir por qué se mantuvo una función cuando aparecieron señales de riesgo.

Se propone distinguir cuatro eslabones: conocimiento o previsibilidad del riesgo; decisión de diseño; exposición efectiva; y resultado o probabilidad de perjuicio. Cada eslabón responde a una cuestión diferente. Un informe interno puede probar conocimiento, sin demostrar daño individual. Una secuencia de uso puede acreditar exposición, sin identificar por sí sola la función causal. La solidez surge de su convergencia, de la calidad de los métodos y del examen de explicaciones alternativas.

La evaluación experimental exige límites éticos propios. No sería aceptable producir deliberadamente daño grave para obtener mejores métricas. Pueden emplearse pruebas de seguridad previas, simulaciones, análisis retrospectivos y comparaciones de configuraciones protectoras con supervisión independiente. La asimetría informativa no se corrige haciendo de la infancia un objeto permanente de experimentación.

7.2. Indicadores de protección y gobierno del producto

Un programa de protección debería explicitar qué resultado considera satisfactorio. A título de propuesta, pueden evaluarse la facilidad de abandonar una sesión, la persistencia de ajustes protectores, los retornos nocturnos inducidos por avisos, la exposición repetida a contenidos perjudiciales y la resolución de reclamaciones. También debe comprobarse si una reducción aparente del tiempo traslada el problema a otra función o a otra cuenta.

La dirección del producto debe documentar quién puede paralizar una funcionalidad, con qué evidencia y bajo qué condiciones se reanuda. La propuesta de este estudio es incorporar a cada decisión relevante una justificación de riesgo, alternativa y seguimiento. No se trata de convertir toda discrepancia en veto, sino de evitar que la protección quede subordinada de hecho a un único indicador de crecimiento.

7.3. Tres lecciones del legado de Núremberg

La metáfora del subtítulo adquiere aquí contenido jurídico concreto. La primera lección es documental. El fiscal JACKSON prefirió sostener la acusación sobre los archivos de los propios acusados antes que sobre testimonios, porque la prueba debía resultar difícilmente refutable. El Meta affair se ha construido también sobre investigación interna, y la DSA (arts. 40, 69 y 72) y el Reglamento de Ejecución 2023/1201 permiten acceder a ella sin depender de una filtración.

La segunda lección es el consentimiento. El Código de Núremberg (1947) se abre con una afirmación rotunda: «el consentimiento voluntario del sujeto humano es absolutamente esencial». El experimento que en 2014 alteró el feed de 689.003 usuarios para medir el «contagio emocional» mostró con qué facilidad la experimentación conductual puede desplegarse a gran escala sin conocimiento de los afectados. Cuando los sujetos son menores, la revisión ética independiente propuesta en el apartado 7.1 es la traducción contemporánea de aquel principio.

La tercera lección es la responsabilidad personal. Los Principios de Núremberg (1950) negaron que la orden superior exonerase a quien la ejecuta. Su equivalente digital es que «lo decidió el algoritmo» no es una defensa: el sistema optimiza la función objetivo que alguien le asigna, y el considerando 29 RIA no exige intención de causar un perjuicio. Nada de ello equipara conductas ni presume infracciones (apartado 1.1). Identifica, en cambio, criterios de rendición de cuentas cuya ausencia sí alimentaría la impunidad que denuncia el título.

8. PROTEGER SIN VIGILAR NI EXCLUIR

8.1. Garantía de edad y minimización

La garantía de edad debe concebirse como un problema de adecuación y privacidad, no como una invitación a identificar universalmente a toda persona. El Comité Europeo de Protección de Datos propone principios que incluyen necesidad, proporcionalidad y minimización. Cuando baste acreditar una franja de edad, no debería entregarse a la plataforma una identidad completa. La fiabilidad del método, la posibilidad de error y las vías de revisión forman parte de su evaluación; también los efectos discriminatorios sobre quienes carecen de determinados documentos o dispositivos.

El sistema debe impedir que la información obtenida para proteger se reutilice para aumentar el conocimiento comercial del menor. Una señal destinada a activar salvaguardas no debe convertirse en un segmento publicitario. Deben separarse finalidades, reducir conservación y controlar accesos. La proporcionalidad exige comparar alternativas y documentar por qué una opción menos intrusiva resulta insuficiente cuando se descarta.

8.2. Familias, educación y participación juvenil

La alfabetización digital y el acompañamiento familiar son necesarios, pero no sustituyen el deber del prestador. Pedir a cada adolescente que compense una arquitectura diseñada y optimizada por especialistas desplaza la carga hacia la parte con menor capacidad de intervención. A la inversa, una regulación que trate a todos los menores como sujetos pasivos puede privarlos de vínculos, información y espacios de expresión. El equilibrio requiere escuchar sus experiencias y distinguir protección de control indiscriminado.

Una política proporcionada debería incluir información comprensible, recursos accesibles y canales para impugnar errores de edad o moderación. La protección de un menor frente al acoso puede exigir bloquear contactos; su acceso a apoyo confidencial puede exigir no revelar indiscriminadamente todas sus interacciones. El interés superior obliga a motivar estas decisiones y a reconocer la autonomía progresiva, en lugar de reducirla a una casilla de consentimiento.

9. TUTELA EFECTIVA Y REPARACIÓN MÁS ALLÁ DE LA MULTA

9.1. Reclamación, procedimiento y remedios

El artículo 54 DSA reconoce la posibilidad de reclamar indemnización por daños o pérdidas derivados del incumplimiento, conforme al Derecho de la Unión y nacional. La reclamación requiere examinar incumplimiento, daño y conexión causal según el marco aplicable. El artículo 53 prevé reclamaciones ante el coordinador de servicios digitales. La tutela administrativa y la civil desempeñan funciones diferentes, aunque la información obtenida por una pueda resultar relevante para la otra dentro de los cauces legales.

El Reglamento de Ejecución (UE) 2023/1201 desarrolla aspectos de la tramitación de procedimientos de la Comisión bajo la DSA: actuaciones de inspección, seguimiento, audiencia y acceso al expediente, entre otros. Su importancia para este debate es metodológica. Una política firme de protección debe ir acompañada de procedimientos que permitan examinar evidencia y discutirla. La eficacia no exige debilitar el derecho de defensa; exige evitar que la opacidad técnica vuelva imposible tanto acreditar como refutar una imputación.

La reparación debe considerar el cese de la conducta, la corrección del diseño y las consecuencias sufridas, según las acciones y poderes disponibles. Las multas ingresadas en el ámbito público no equivalen a resarcimiento individual. La multiplicidad de reglamentos puede reforzar la tutela, pero también producir desorientación si las autoridades no coordinan información y competencia. Pagar sin modificar incentivos puede perpetuar el riesgo; rediseñar sin resarcimiento puede dejar daños sin respuesta.

9.2. Acciones de representación y responsabilidad por productos

La dimensión colectiva tiene una conexión normativa expresa: el artículo 90 DSA y el artículo 110 RIA incorporan ambos reglamentos al anexo I de la Directiva (UE) 2020/1828. Las entidades habilitadas pueden promover, dentro del régimen aplicable, medidas de cesación y resarcitorias frente a infracciones que lesionen intereses colectivos de consumidores.

La Directiva (UE) 2024/2853 incluye expresamente los programas informáticos entre los productos y los daños a la salud psicológica reconocidos médicamente entre las lesiones indemnizables. Exige identificar un producto defectuoso, un daño comprendido en su ámbito y el nexo causal, con las reglas de exhibición y presunciones legalmente previstas. No convierte todo uso problemático de una plataforma en un defecto indemnizable. Además, el nuevo régimen se aplica a productos introducidos en el mercado o puestos en servicio después del 9 de diciembre de 2026; la transposición debe realizarse, a más tardar, ese día.

9.3. La EU KIDS Act como propuesta de desarrollo

La propuesta de EU KIDS Act, presentada el 17 de septiembre de 2026, muestra una posible evolución hacia obligaciones más específicas de seguridad desde el diseño. Al cierre de este estudio seguía en tramitación y no constituía Derecho vigente. Sus artículos 9 y 10 proyectan restricciones sobre funciones que fomenten el uso compulsivo, pausas efectivas y una adaptación de los recomendadores que priorice las preferencias explícitas del menor. El artículo 28 incorpora garantías de minimización y pruebas de conocimiento cero para acreditar la edad.

Su interés reside en concretar la protección, aunque la aprobación de reglas adicionales no sustituiría las obligaciones ya exigibles. La calidad de la reforma deberá juzgarse por su coherencia con la DSA, el RIA y el RGPD, por la posibilidad de verificar su cumplimiento y por sus efectos sobre participación y privacidad.

10. CONCLUSIONES Y PROPUESTAS

Primera. La protección debe situar cada deber en quien tiene capacidad para cumplirlo. La educación y el acompañamiento familiar conservan su función, pero no sustituyen la responsabilidad por el diseño del entorno. La infancia es titular de derechos presentes, no de una mera promesa de seguridad futura.

Segunda. El Meta affair exige precisión: 1,4 billones no es una indemnización concedida; el acuerdo aprobado contiene distintos perímetros económicos, condiciones y calendarios. La reforma del producto es un compromiso exigible en sus propios términos, no una confesión tácita ni una condena penal.

Tercera. La DSA y el RIA forman una complementariedad asimétrica. La primera exige protección y mitigación del riesgo del servicio; el segundo prohíbe prácticas de IA con presupuestos específicos. No alcanzar el umbral de una prohibición no exonera de diligencia. La transparencia tampoco legitima explotar vulnerabilidades.

Cuarta. La evaluación debe abarcar el funcionamiento conjunto de recomendadores, interfaces y notificaciones. La obligación de diligencia no requiere esperar a un diagnóstico clínico generalizado; la aplicación de una prohibición o la reparación individual sí exige acreditar sus elementos propios.

Quinta. La rendición de cuentas necesita documentación sobre objetivos, versiones, exposición, alternativas y decisiones. Auditoría, investigación y acceso regulatorio deben permitir contrastar resultados. Se propone someter la experimentación que afecte a menores a salvaguardas proporcionadas y a evaluación ética independiente cuando el riesgo lo justifique.

Sexta. La supervisión debe ser diligente, coordinada y motivada. Las conclusiones preliminares requieren un procedimiento con audiencia y defensa, sin predeterminar su desenlace. La coordinación entre autoridades —en España, entre la CNMC y la AESIA— no elimina las garantías frente a la duplicación punitiva.

Séptima. Las medidas de protección deben ser efectivas por defecto y comprensibles en la práctica. Debe verificarse si persisten, si resultan fáciles de neutralizar y si reducen el riesgo.

Octava. Verificar edad no justifica identificación excesiva; supervisar no legitima vigilancia ilimitada. La minimización, la revisión de errores y la participación juvenil deben formar parte del diseño. El interés superior exige preservar expresión, privacidad y autonomía progresiva.

Novena. Prevención, cese y resarcimiento cumplen funciones distintas y complementarias. Las acciones de representación y la responsabilidad por productos pueden reforzar la tutela dentro de sus ámbitos, condiciones y calendarios. Ni una multa ni un rediseño reemplazan automáticamente la reparación de un daño probado.

Décima. El desarrollo legislativo debe concretar responsabilidades y evitar fragmentación. La propuesta de EU KIDS Act merece evaluarse por su eficacia y coherencia con las garantías existentes. Su tramitación no justifica aplazar el cumplimiento de la DSA ni de las prohibiciones ya aplicables del RIA.

Europa dispone de instrumentos para limitar la rentabilidad de la atención cuando compromete derechos. Debe convertir esa capacidad normativa en decisiones, pruebas y remedios efectivos. Ese es el sentido último del tándem entre la DSA y la AI Act: que la avaricia no fije la función objetivo de los sistemas que acompañan a la infancia y que ninguna decisión de diseño que la dañe quede sin respuesta. Un entorno digital digno de la infancia no se mide únicamente por cuánto tiempo logra mantenerla conectada, sino por la libertad que le deja para aprender, relacionarse y salir.

RESUMEN

La DSA y el Reglamento de Inteligencia Artificial (AI Act) forman un tándem que ofrece una protección complementaria frente al diseño digital perjudicial para los menores. Este trabajo defiende que la diligencia sobre los riesgos del servicio y las prohibiciones de manipulación deben aplicarse con presupuestos diferenciados, y que solo su aplicación coordinada puede cerrar los espacios de impunidad. El Meta affair —el juicio iniciado en 2026 por una coalición de fiscales generales estadounidenses y el acuerdo de hasta unos 18.000 millones de dólares que lo concluyó— permite contrastar la reparación estadounidense con la prevención europea. A la luz de tres lecciones del legado de Núremberg, se examinan las obligaciones de diseño, la prueba, la coordinación supervisora, la privacidad, la recepción en España y las vías colectivas de tutela. El estudio concluye con diez criterios para una protección efectiva que preserve la autonomía progresiva de la infancia.

Palabras clave: DSA; AI Act; menores; diseño adictivo; recomendadores; vulnerabilidad; Meta; rendición de cuentas; tutela efectiva.

ABSTRACT

The Digital Services Act and the EU AI Act form a tandem that provides complementary safeguards against digital design that harms children. This paper argues that service-level risk management and prohibitions on manipulation require distinct legal assessments, and that only their coordinated enforcement can close the gaps in which impunity thrives. The Meta affair —the 2026 trial brought by a coalition of US state attorneys general and the settlement of up to roughly USD 18 billion that ended it— offers a comparative perspective on US remedies and European prevention. In light of three lessons from the Nuremberg legacy, the analysis addresses design duties, evidence, supervisory coordination, privacy, the Spanish framework and collective redress. It concludes with ten principles for effective protection that preserves children’s evolving autonomy.