El 31 de julio de 2026, el gobernador de Illinois firmó la Ley de Seguridad de los Menores en Redes Sociales (HB5511). Diseñada para exigir responsabilidades a las plataformas sociales en la protección de los menores, la ley incluyó de forma discreta una disposición sin precedentes: a partir de 2028, los sistemas operativos de teléfonos y ordenadores deberán verificar la edad de los usuarios y transmitir esa información a cualquier aplicación que la solicite. Los impulsores de la norma sostienen que busca proteger a la infancia, pero la noticia ha desatado una intensa polémica en foros de desarrolladores de todo el mundo, ya que nadie sabe con certeza cómo llevar a cabo semejante requisito desde el punto de vista técnico.
Una ley de protección infantil que acabó regulando los sistemas operativos
En la superficie, la ley impone restricciones conocidas a las plataformas sociales: los menores deberán recibir de forma predeterminada un feed de contenidos ordenado cronológicamente (prohibiendo los algoritmos de recomendación tipo «para ti»); no se podrán enviar notificaciones a menores entre las 22:00 y las 07:00 horas; y se prohíbe que adultos desconocidos vean los perfiles de los menores o les envíen mensajes privados. Redes como TikTok, Instagram y Snapchat figuraban de forma explícita en las notas de prensa, proyectando la imagen de una ley convencional de protección infantil en internet.
Lo que pasó desapercibido fue la segunda mitad del texto. La norma define una nueva figura legal: «proveedor de sistema operativo», y agrupa a fabricantes de dispositivos, desarrolladores de sistemas y tiendas de aplicaciones bajo la categoría de «fabricantes cubiertos». A partir del 1 de enero de 2028, estas empresas deberán añadir un paso en el proceso de configuración inicial del dispositivo para solicitar la fecha de nacimiento del usuario. El sistema operativo convertirá esa respuesta en uno de cuatro rangos de edad (menores de 13 años, de 13 a 15, de 16 a 17, y de 18 años en adelante) y lo almacenará. Cuando una aplicación consulte la edad, el sistema le devolverá el rango correspondiente mediante una interfaz cifrada. Tan pronto como la aplicación identifique que el usuario es menor de edad, todas las cláusulas de protección entrarán en vigor automáticamente.
La ley fue aprobada en el parlamento estatal casi sin oposición: 57 votos a favor y 0 en contra en el Senado, y 113 a 0 en la Cámara de Representantes. Lo llamativo radica en las sanciones: el texto oficial fija multas de 2.500 dólares por niño afectado en caso de negligencia y 7.500 dólares en caso de infracción intencionada, mientras que las notas de prensa de la oficina del gobernador anunciaban sanciones de hasta 50.000 dólares por infracción. La discrepancia entre ambas cifras no fue aclarada en ningún documento oficial. Que una norma destinada a regular cientos de millones de dispositivos no tenga unificadas ni siquiera las cuantías de las multas demuestra que apenas se revisaron los detalles técnicos línea por línea durante su tramitación.
¿Cómo «sabe» tu teléfono cuántos años tienes? Una pregunta sin respuesta
La ley exige que los sistemas «verifiquen» la edad, pero no aporta una sola palabra sobre cómo debe realizarse dicha verificación. Este es el verdadero núcleo de la controversia.
En la práctica, lo que exige la norma actual es una mera «declaración jurada»: una pregunta sobre la fecha de nacimiento durante la configuración inicial. No hay escaneo de documentos de identidad, ni reconocimiento facial, ni diferencia real con rellenar la fecha de nacimiento al registrarse en un sitio web, salvo que se pasa de preguntar «en cada aplicación» a preguntar «una sola vez en el sistema». Aunque parece una medida ligera, el problema fundamental es que cualquiera puede mentir. Un menor de 10 años puede introducir 1990 como año de nacimiento, y la configuración realizada por los padres antes de entregar el teléfono al menor puede cambiarse fácilmente después. A nivel de sistema operativo, no existe ningún mecanismo para verificar si la fecha introducida es real.
Foto: Imagen de la cobertura. Fuente: TechTimes (Fotografía: Gaelle Marcel / Unsplash)
Quienes la apoyan argumentan que es mejor que nada y añade una barrera de concienciación para los padres al configurar los dispositivos. Sus detractores replican que equivale a poner un guardia de seguridad a revisar documentos en la puerta principal de un edificio que tiene cientos de puertas traseras, salidas de emergencia y garajes sin vigilancia por los que cualquiera puede entrar. Lo más preocupante es lo que ocurrirá después: en cuanto se demuestre que el sistema de «autodeclaración» no frena a los menores, los legisladores endurecerán las exigencias con la obligación de subir documentos de identidad, escaneos faciales o la integración con empresas comerciales de verificación. En ese punto, «verificar la edad» ya no será introducir un número, sino entregar los datos de identidad de cada ciudadano adulto.
El dilema del código abierto: Una ley que no encuentra a quién responsabilizar
¿Por qué la comunidad de programadores ha reaccionado de forma tan vehemente? Porque existe una categoría de sistemas operativos sobre los que la ley no tiene ningún margen de actuación: los sistemas de «código abierto», con Linux a la cabeza. Sistemas comerciales de uso diario como iOS, Android o Windows cuentan detrás con gigantes como Apple, Google o Microsoft a los que la justicia puede exigir responsabilidades. En cambio, los sistemas de código abierto no poseen un sistema unificado de cuentas, ni tienda centralizada de aplicaciones, ni entidad corporativa. Cualquier persona puede descargarlos, modificarlos y recompilarlos gratuitamente: basta con cambiar una línea de código para que el sistema responda siempre «soy adulto» ante cualquier consulta y compartir esa versión con todo el mundo.
En un hilo de debate de Hacker News con más de 300 comentarios, esta contradicción desembocó en un tenso enfrentamiento. El fundador de un proyecto de código abierto afirmó que jamás añadiría semejante función a su software, señalando que «prefería ir a la cárcel antes que escribir esa línea de código». Un usuario que se identificó como abogado le advirtió de que los tribunales disponen de múltiples mecanismos de sanción, desde la prohibición de distribución hasta multas elevadas, y le aconsejó consultar con un letrado. Otro participante respondió citando la máxima latina «la ley no exige lo imposible» (lex non cogit ad impossibilia), a lo que el abogado replicó: «La imposibilidad técnica nunca ha sido un argumento de defensa ante un tribunal». Ninguna de las dos partes logró convencer a la otra.
Más absurdo aún resulta el alcance de las definiciones del texto legal. La ley define a un «proveedor de sistema operativo» como cualquier entidad comercial o sin ánimo de lucro que controle el sistema operativo de un dispositivo conectado a internet. Bajo esta definición, los servidores, las máquinas virtuales, los frigoríficos inteligentes y los vehículos conectados quedan incluidos. Los ingenieros bromeaban en los foros: si se ejecuta un programa en un servidor Linux en Illinois, ¿habrá que demostrar la edad antes de arrancar? Un servidor sin pantalla que ejecuta tareas de cálculo ni siquiera dispone de un entorno donde pulsar «soy mayor de 18 años».
Si se impone una «verificación» real, ¿cuál será el precio?
La autodeclaración no detiene a nadie y la verificación real resulta desmesuradamente cara y peligrosa para la privacidad: este dilema es precisamente lo que más preocupa a las organizaciones de derechos digitales. La Electronic Frontier Foundation (EFF) envió una carta al gobernador Pritzker antes de la firma pidiendo su veto y calificando la medida como «una pesadilla masiva para la privacidad y la libertad de expresión». La Unión Americana por las Libertades Civiles (ACLU) de Illinois y varias asociaciones sectoriales que representan a Google y Meta se unieron de manera excepcional contra la norma.
Sus temores se sustentan en antecedentes reales. Las empresas comerciales de verificación de identidad cuentan con un historial preocupante en materia de seguridad. Una firma israelí que prestó servicios para TikTok y Uber dejó credenciales de administración expuestas en canales públicos durante 18 meses, filtrando nombres, fechas de nacimiento, números de seguridad social y fotos de documentos de identidad. Una empresa británica de verificación fue multada este año con 1,1 millones de dólares por los reguladores españoles debido al tratamiento ilícito de datos biométricos. Asimismo, el sistema de verificación de edad introducido por Discord el año pasado sufrió una filtración de documentos oficiales emitidos por gobiernos a través de un proveedor tercero. Cuando Florida aprobó una ley similar, la demanda de herramientas VPN en la zona se disparó un 1.150 %, lo que demuestra que este tipo de legislación fomenta el uso de herramientas de evasión sin reducir de forma significativa el acceso de los menores.
Illinois tropieza con la misma piedra que otros estados intentaron evitar
El diseño de la verificación de edad a nivel de sistema operativo fue tomado de iniciativas legislativas de California y Colorado. Sin embargo, ambos estados tropezaron con el mismo obstáculo: una definición excesivamente amplia que terminaba regulando a la comunidad de código abierto. Colorado terminó incluyendo exenciones para el software libre tras las gestiones de fundadores de sistemas, y California se encuentra tramitando modificaciones para excluir los proyectos open source. Illinois no incorporó estas correcciones y adoptó la versión amplia inicial sin exención alguna. Teniendo en cuenta que diversas asociaciones de la industria han presentado demandas contra leyes similares en seis estados del país –con fallos dispares hasta la fecha–, es muy probable que la HB5511 acabe en los tribunales o sea modificada antes de su entrada en vigor en 2028.
Figura: Portada sobre la verificación de edad en el SO. Fuente: VPN Lab
Resta más de un año para el 1 de enero de 2028. Grandes corporaciones como Apple, Google y Microsoft probablemente implementarán una pantalla básica de confirmación durante la configuración inicial para cumplir el expediente a bajo coste. Por su parte, la comunidad de código abierto optará mayoritariamente por ignorar la norma o, como sugirió un desarrollador, fijar el año de nacimiento predeterminado en el instalador en la época de la presidencia de Nixon. El desenlace de este choque entre el mandato legal y la realidad técnica —si la ley llegará a aplicarse, si la tecnología encontrará una solución o si los tribunales la frenarán— sigue siendo una incógnita. Sin embargo, conviene recordar una premisa: cuando «proteger a los niños» exige que todos los ciudadanos presenten una prueba de edad, la factura la acaban pagando también los adultos que ni siquiera utilizan redes sociales.
Enlaces de referencia:
- LinuxStans: Análisis de la ley HB5511 de Illinois
- Hilo de discusión en Hacker News (item?id=49249150)
- TechTimes: Cobertura sobre la ley de seguridad infantil de Illinois
- VPN Lab: Análisis de la firma de Illinois HB 5511
- EFF: Llamamiento al veto dirigido al gobernador Pritzker
