La verificación de edad se muda al sistema operativo, y parte el mercado en dos
La Ley de Responsabilidad de las Tiendas de Aplicaciones de Texas ya está en vigor, Utah fue la pionera y California acaba de trasladar la pregunta sobre la edad a la propia cuenta del sistema operativo. La factura del cumplimiento recae sobre quien distribuye la plataforma, y media industria del software libre no tiene con qué pagarla.
Empecemos por la multa, porque la multa es lo que convierte la verificación de edad a nivel de sistema operativo de debate regulatorio en problema de cadena de suministro. La Senate Bill 2420 de Texas, la Ley de Responsabilidad de las Tiendas de Aplicaciones, está en vigor desde el 1 de enero de 2026. Obliga a los operadores de tiendas de aplicaciones a verificar la edad de cada titular de cuenta en el estado, a vincular a los menores con la cuenta de un progenitor y a obtener consentimiento parental antes de que un menor descargue una aplicación o gaste dinero dentro de ella. Los incumplimientos son prácticas comerciales engañosas bajo el Capítulo 17 del Código de Comercio de Texas, que fija sanciones civiles de hasta 10.000 $ por infracción. Lo que la ley nunca aclara es qué cuenta como una infracción, y ahí es donde vive la exposición real. Leída de forma estricta, una infracción por cada cuenta de menor sin verificar, y una tienda con diez mil adolescentes tejanos sin verificar en su registro ya mira a un techo teórico de nueve cifras. Leída como la interpretará un fiscal general motivado, una infracción por cada descarga o compra sin consentimiento, y ese techo deja de ser una cifra planificable. Apple puede poner precio a esa incertidumbre: tiene un departamento jurídico y una hoja de ruta de API. Un proyecto de software mantenido por voluntarios no puede ponerle precio a ningún número por encima de cero.
Texas no fue la primera. La SB 142 de Utah, firmada por el gobernador Spencer Cox en marzo de 2025, fue la primera ley de este tipo en Estados Unidos y fijó el modelo: el control de edad ocurre donde vive la cuenta, no donde vive el contenido. La Online Safety Act británica, la ley con la que el Reino Unido regula la seguridad en internet, funciona con la arquitectura contraria: pone la obligación en cada servicio por separado, con el regulador Ofcom exigiendo desde julio de 2025 una «verificación de edad altamente eficaz» bajo multas de hasta 18 millones de libras o el 10% de la facturación mundial. Las leyes estadounidenses empujan la misma obligación un piso más abajo en la pila, hacia la tienda y la cuenta que hay debajo. El control de edad está abandonando la web para instalarse en la máquina.
California ya ha escrito el destino final en su ordenamiento. La AB 1043, la Ley de Garantía Digital de la Edad, firmada en octubre de 2025 y operativa desde 2027, sitúa la pregunta sobre la edad dentro del propio sistema operativo: el proveedor del sistema deberá recoger una fecha de nacimiento o edad al configurar la cuenta del dispositivo, y luego servir la franja de edad resultante a los desarrolladores como una señal que estos pueden solicitar. Sin comprobación de documentos a nivel de sistema operativo, sin escaneo de identidad, solo una franja declarada, una contención que explica en parte por qué las objeciones más ruidosas de las plataformas se han dirigido a otras leyes. Es también la declaración más clara hasta la fecha de hacia dónde va esta arquitectura. La cuenta que creas al encender un dispositivo nuevo se convierte en el ancla de cada decisión de edad tomada por encima de ella.
¿Quién presionó a favor de la verificación de edad en las tiendas de aplicaciones?
Aquí el rastro documental es inusualmente claro. Cuando Utah aprobó la SB 142, Meta, Snap y X emitieron un comunicado conjunto, ampliamente recogido en marzo de 2025, felicitando al estado por dar el primer paso y presionando al Congreso para que siguiera el mismo camino, reafirmando la postura de siempre de Meta de que deberían ser los progenitores quienes autoricen las descargas de aplicaciones de sus hijos adolescentes a nivel de tienda. Las mismas compañías que llevaban una década resistiéndose a los controles de edad a nivel de servicio hicieron campaña a favor de ellos a nivel de plataforma. No hay ningún misterio en eso. Una señal de edad a nivel de plataforma convierte cualquier futura obligación de control de edad sobre una red social en una simple llamada a una API, y traslada la recogida responsable de datos de edad a quien distribuye la tienda y el sistema operativo.
Los fabricantes de sistemas operativos se dieron cuenta. La respuesta de Apple, anunciada en febrero de 2025 y ya publicada para desarrolladores como la API Declared Age Range, se lee como la posición de compromiso de una empresa que espera perder el debate: la declaración de un progenitor llega a las aplicaciones como una señal, de modo que la plataforma retiene el dato y los desarrolladores heredan solo la respuesta. Cuando un lado de una industria hace campaña a favor de una regulación y el otro construye la maquinaria para sobrevivir a ella, la suposición segura es que el coste ha encontrado un nuevo hogar. Esta vez ese hogar es el sistema operativo.
¿Implementarán las distribuciones de Linux la verificación de edad?
Nadie lo sabe, y eso incluye a las propias distribuciones. Las leyes están redactadas pensando en Apple y Google, pero sus definiciones son funcionales: una tienda de aplicaciones es un servicio que distribuye software de terceros a usuarios, y un repositorio de paquetes de Linux hace exactamente eso todos los días. Que un tribunal llegara a estirar la definición hasta ahí es algo sin resolver, y ninguna distribución comunitaria de peso ha publicado, a fecha de hoy, una postura sobre la acreditación de edad. La pregunta, al parecer, todavía no les ha llegado. Lo que sigue es, por tanto, nuestra previsión, no la política declarada de nadie.
Cabe esperar que la base de proveedores se divida por criterios económicos. El nivel comercial cumplirá: Apple ya ha publicado su diseño de acreditación, Google está integrando la garantía de edad en sus cuentas, y ambos pueden amortizar el coste entre negocios que ya cuentan con departamentos de cumplimiento normativo. Los proyectos mantenidos por voluntarios no tienen departamento de cumplimiento, ni reserva legal, ni ingresos que sobrevivan a una sola sanción por infracción, lo que les deja tres opciones si las definiciones llegan a alcanzarles: acotar por geografía, litigar, o seguir funcionando y desafiar la aplicación de la norma. La vía del litigio sin ánimo de lucro ya se está recorriendo, y los resultados hasta ahora son desiguales: la Fundación Wikimedia impugnó ante el Tribunal Superior británico las regulaciones de categorización de la Online Safety Act y vio desestimada la impugnación en agosto de 2025, aunque el juez subrayó que el fallo no daba luz verde al régimen y dejaba margen para una nueva demanda si Wikipedia acabara efectivamente situada en la categoría más estricta. Acotar por geografía apenas funciona para el código, porque una imagen ISO, a diferencia de un escaparate, no sabe dónde se está instalando. Negarse a cumplir, para un proyecto de voluntarios, no sería elegir un mercado más pequeño. Sería elegir una postura legal.
¿Qué significa la verificación de edad a nivel de sistema operativo para tu empresa?
Las consecuencias prácticas llegan por dos frentes: continuidad y datos. Sobre la continuidad: si tu infraestructura se apoya en un sistema operativo, especialmente uno libre o de código abierto enterrado varias capas por debajo de lo que realmente tienes en mente, la eventual postura de su mantenedor sobre la acreditación de edad ya pertenece a tu registro de riesgos. ¿Seguirá pudiendo distribuirse tu plataforma en las jurisdicciones donde operas? ¿Es probable que su mantenedor acabe en el bando de quienes cumplen, en el de quienes se niegan, o es simplemente demasiado pequeño para haberlo decidido? Son preguntas de compras y proveedores, y pertenecen a la misma revisión que las licencias y los ciclos de soporte. Mapear esa cadena de dependencias es exactamente el tipo de trabajo poco vistoso para el que existe una revisión de estrategia técnica, y sale considerablemente más barato antes de una migración forzosa que durante ella.
Sobre los datos: el modelo californiano implica que el registro de edad arranca en la configuración de la cuenta del dispositivo y fluye hacia fuera desde ahí. Justo es reconocer que una franja declarada es un tarro de miel más pequeño que las comprobaciones documentales que ha producido el régimen británico a nivel de servicio. Pero el cambio estructural se mantiene al margen de la carga de datos concreta. La edad ahora vive en una capa de la pila que antes no albergaba ninguno de estos datos, se rellena por defecto para todo el mundo en lugar de por elección para algunos servicios, y se sirve a través de una interfaz autorizada a cualquier aplicación que la solicite. Si tu organización está decidiendo sobre qué plataformas construir para la próxima década, «quién retiene los datos de edad de mi plantilla, y quién puede consultarlos» es ya un criterio de selección de primer orden, algo que en este lado del Atlántico observan de cerca tanto la AEPD como la AESIA.
El objetivo declarado de estas leyes es proteger a los menores frente a las aplicaciones. La maquinaria que realmente construyen es una capa de edad debajo de cada aplicación, propiedad del fabricante de la plataforma, rellenada para todos y tarificada, al menos en Texas, en tramos de 10.000 $ para quien se equivoque. Juzga la política por la maquinaria. Dice que tu sistema operativo se está convirtiendo en responsable del tratamiento de datos, y tu trabajo es saber cuál has elegido.
Preguntas frecuentes
¿Qué obliga a hacer la Ley de Garantía Digital de la Edad de California a los sistemas operativos?
Desde 2027, la AB 1043 obliga a los proveedores de sistemas operativos a recoger una fecha de nacimiento o edad al configurar una cuenta en un dispositivo, y a poner una señal de franja de edad a disposición de los desarrolladores que la soliciten. Funciona con franjas declaradas, no con documentos de identidad, lo que reduce el riesgo sobre los datos, pero convierte igualmente a la cuenta del sistema operativo en el registro ancla de las decisiones de edad de todas las aplicaciones del dispositivo.
¿Implementarán las distribuciones de Linux y los sistemas operativos de código abierto la verificación de edad?
Todavía no hay una respuesta oficial, y esa es la conclusión honesta: ninguna distribución comunitaria de peso ha publicado una postura, y si un repositorio de paquetes de voluntarios siquiera encaja en la definición legal de tienda de aplicaciones es algo sin resolver. Los fabricantes comerciales están construyendo capas de acreditación para conservar el acceso al mercado. Los proyectos de voluntarios no tienen presupuesto de cumplimiento ni ingresos que sobrevivan a sanciones por infracción, así que si las definiciones llegan a alcanzarles, sus opciones realistas son negarse, litigar o reestructurar su forma de distribución. Conviene vigilar los canales de gobernanza de cada proyecto en lugar de asumir que el ecosistema se mueve en bloque.
¿Cómo debería prepararse una empresa ante las normas de verificación de edad a nivel de sistema operativo?
Haz inventario de cada sistema operativo en tu infraestructura, incluidos los integrados en dispositivos e infraestructura en los que normalmente no piensas. Para cada uno, averigua quién lo mantiene, si ha fijado una postura sobre los requisitos de acreditación de edad, y cuál sería tu ruta de migración si esa plataforma dejara de poder distribuirse o de recibir soporte en tus jurisdicciones. Trátalo como cualquier otro riesgo de continuidad de la cadena de suministro: barato de mapear ahora, caro de descubrir más tarde.
Relacionado
- En Ubuntu 26.04 LTS, el coreutils del que depende tu build ya no es de GNU
- La prima de la soberanía: por qué las soluciones de IA soberana para empresas ganan por acceso, no por velocidad
- Los pleitos por secretos comerciales se ganan años antes de que nadie dimita. Que se lo pregunten a Faccenda Chicken.
- Security & Trust
Escrito por una persona editorial de IA del sistema editorial propietario de Abyshire y revisado por nuestro equipo.