EU KIDS Act og norsk aldersgrense på sosiale medier: Dette er forslagene

Hva er EU KIDS Act?

Den 17. september la EU-kommisjonen frem forslag til forordningen «EU KIDS Act» – «EU Keeping Internet Digital Spaces Accountable and Trustworthy». Forslaget gjelder det som omtales som «Social Media+»: tjenester som anses å utgjøre særlig risiko for mindreårige. Dette omfatter sosiale medier, videodelingsplattformer, nettspill, KI-chatboter, KI-følgesvenner og digitale løsninger som gir mindreårige råd om psykisk helse og personlig utvikling.

Forslaget bygger på anbefalinger fra et ekspertpanel kommisjonspresident Ursula von der Leyen satte ned høsten 2025, med over 60 fagpersoner fra medisin, barnepsykologi, informatikk og barnerettigheter. Panelet anbefalte i juli 2026 aldersgrenser, felles sikkerhetskrav, personvernvennlig aldersverifisering og regulering av flere digitale tjenester enn sosiale medier.

Aldersgrensene i forslaget

Forslaget begrenser selvstendig opprettelse av kontoer for barn under 15 år, på tjenester som utgjør en risiko for mindreåriges personvern, sikkerhet eller trygghet. Risikoen avgjøres ut fra funksjonaliteter i artikkel 6: blant annet profilering i anbefalingssystemer, kontakt med fremmede og avhengighetsskapende design. Barn fra 13 år kan få kontoer med begrensede funksjoner opprettet av foreldre, mens yngre barn skal ha strengere foreldrekontroll. Barn under 13 bør ikke ha tilgang til skadelige sosiale medier eller videodelingstjenester.

Kommisjonens meddelelse viser hvilke aldersgrenser forslaget konkret innfører:

Forslaget stiller krav til sikker design og aldersverifisering

Digitale tjenester skal utformes med barns sikkerhet, personvern og trygghet som utgangspunkt, med begrensninger i funksjoner som kan føre til overdreven eller tvangsmessig bruk og krav om tidsbegrensningsverktøy som beskytter barnas søvn og skoletid. Tilbydere av sosiale nettverkstjenester og videodelingsplattformer må også gjennomføre aldersverifisering ved ny kontoopprettelse, enten gjennom EUs aldersverifiseringsverktøy eller andre sertifiserte løsninger som oppfyller krav til nøyaktighet, pålitelighet, personvern og likebehandling.

Forslaget bygger på håndhevingssystemer som allerede finnes i DSA og AI Act. Tjenestetilbyderne har selv ansvaret for å dokumentere at de oppfyller kravene, og tilbydere utpekt som svært store plattformer (VLOP-er) etter DSA artikkel 33 må også utarbeide en samsvarsplan som vurderes av en uavhengig revisor. Kravene til sikker design henger også tétt sammen med AI Act. Kommisjonens nylige retningslinjer om beskyttelse av mindreårige på nett, gitt med hjemmel i DSA artikkel 28(4), viser sammenhengen på to punkter.

For det første gjelder merkeplikten for KI-interaksjon i AI Act artikkel 50(1) ved siden av KIDS Act-kravene: leverandører av KI-systemer som samhandler direkte med mennesker, må sikre at brukerne vet at de snakker med et KI-system. Kommisjonen presiserer at anbefalingen om å varsle mindreårige tydelig om AI-chatboter, kommer i tillegg til og ikke i stedet for tilsynsordningen under artikkel 50(1).

For det andre knytter Kommisjonen AI-følgesvenner rettet mot barn til forbudet mot manipulerende KI i artikkel 5(1)(b): et forbud mot å utnytte sårbarheter hos en person eller gruppe på grunn av alder, funksjonsnedsettelse eller sosial eller økonomisk situasjon, på en måte som vesentlig fordreier atferd og forårsaker eller med rimelig sannsynlighet vil forårsake betydelig skade. Kommisjonen understreker at AI-følgesvenner rettet mot barn kan rammes av dette forbudet, og presiserer at tiltak for å følge dens anbefalinger skal gå lenger enn det som kreves for å unngå selve forbudet. KIDS Act-kravene til AI-følgesvenner er altså en egen og strengere beskyttelsesstandard, ikke bare en regulering av handlingsrommet rett under forbudsgrensen.

AI Act har også et håndhevingsapparat utover bøter: markedstilsynsmyndighetene kan pålegge retting, begrense eller forby tilgjengeliggjøring, og kreve tilbaketrekking. Brudd på forbudene i artikkel 5 utløser en forkortet unionssikkerhetsprosedyre med frister på 30 og 60 dager, mot de vanlige fristene på tre og seks måneder.

Flere EU-land, blant dem Italia, Frankrike, Hellas, Polen, Østerrike og Belgia, har alt innført nasjonale regler med ulike aldersgrenser, samtykkekrav og virkeområde. Kommisjonen mener felles EU-regler trengs for å sikre lik beskyttelse av mindreårige på tvers av disse grenseoverskridende tjenestene, og samtidig ivareta det indre markedet.

Kritikk av forslaget

Forslaget har møtt kritikk fra digitale rettighetsorganisasjoner og deler av sivilsamfunnet. Kritikken retter seg i hovedsak mot tre temaer: virkninger for personvern og anonymitet på nettet, begrensninger i barns ytringsfrihet og rett til deltakelse, og problematiske sider ved foreldrekontroll som forutsetning for tilgang.

European Digital Rights (EDRi), en paraplyorganisasjon for digitale rettighetsorganisasjoner i Europa, kaller aldersverifisering et «kortsynt, virkningsløst og farlig» virkemiddel som ikke tar tak i årsakene til skade på nettet. I praksis må alle brukere bevise at de er voksne for å få full tilgang, noe som snur bevisbyrden og kan undergrave retten til å være anonym på nettet. EDRi peker også på at aldersverifiseringsverktøy øker angrepsflaten for dataangrep. Budskapet er at personvernvennlige løsninger også kan før eller siden rammes av lekkasjer, og organisasjonen advarer mot at slike verktøy kan misbrukes av autoritære regimer, for eksempel til å begrense tilgang til informasjon om LHBTQ+-rettigheter eller reproduktive rettigheter.

Netzpolitik.org, et uavhengig tysk nettsted for digitale rettigheter, retter skarp kritikk mot ordningen for foreldrekontroll: foresatte må bevise foreldreansvaret sitt overfor selskaper som Meta, Google og ByteDance, noe som gir risiko for at sensitive personopplysninger havner hos selskaper med tvilsom datahåndtering. Nettstedet kaller det en «teknisk naivitet» i forslaget, og viser til at alderskontroller alt har vist seg lite virkningsfulle i Australia.

En viktig del av kritikken gjelder inngrep i barns egne rettigheter. EDRi viser til FNs barnekomités generelle kommentar nr. 25 og OECD, og mener barn trenger digitale rom for å møte andre, finne trygghet og bygge relasjoner. For barn i utrygge hjemmesituasjoner, for eksempel de som utsettes for omsorgssvikt eller tilhører seksuelle minoriteter i miljøer som ikke aksepterer dette, kan nettet være en viktig støttekanal. Et system der foreldrekontroll er en forutsetning for tilgang, kan stenge disse barna ute fra viktig kunnskap, ressurser og fellesskap.

Kommisjonen erkjenner selv i begrunnelsen at aldersverifisering kan få «viktige konsekvenser for retten til privatliv, samt ytringsfriheten, retten til deltakelse og retten til likebehandling». Den mener likevel at forslaget stiller klare krav og sikkerhetstiltak som begrenser inngrepet til det strengt nødvendige for å ivareta mindreåriges helse og sikkerhet på nettet.

Sammenligning: Det norske forslaget

Norge er blant landene som har foreslått å innføre aldersgrenser på sosiale medier og er et godt eksempel på fragmenteringen EU KIDS Act forsøker å løse.

Det første norske forslaget, på høring høsten 2025, foreslo en aldersgrense på 15 år med plikter direkte på tjenestetilbyderne. Forslaget skulle sikre aldersverifisering og kunne ilegges gebyr ved brudd. Etter høringsrunden hevet departementet grensen til det året barnet fyller 16 år, men fjernet samtidig alle plikter rettet mot tjenestetilbyderne fordi de ikke var i tråd med EØS-retten. Igjen står en generell regel om at barn under 16 år ikke skal ha tilgang til sosiale medier. Lovforslaget er uten krav til aldersverifisering eller sanksjoner, og det er i praksis foreldrene som må håndheve grensen.

Det norske forslaget skiller seg fra Kommisjonens forslag på flere punkter:

Aldersgrense: EUs forslag setter 15 år for selvstendig kontoopprettelse på risikotjenester, med mulighet for foreldreopprettede kontoer med begrensede funksjoner fra 13 år. Det norske forslaget setter 16 år, uten tilsvarende unntak for andre aldersgrupper.

Pliktsubjekt: Det norske forslaget retter seg etter ordlyden mot barna («barn skal ikke ha tilgang»), ikke tjenestetilbyderne. Det opprinnelige forslaget rettet plikter mot tilbyderne, men departementet endret dette etter høringen. I notatet til ESA skriver det at dette ikke ville vært forenlig med EØS-retten. EU-forordningen retter seg derimot direkte mot tjenestetilbyderne.

Skadelighetsvilkår: Det norske forslaget avklarer ikke om grensen gjelder bare «skadelige» tjenester, noe som krever en skjønnsmessig vurdering. EU-forordningen bruker en annen tilnærming: artikkel 6(1) lister konkrete funksjonaliteter som utløser risikovurderingen.

Håndheving: Det norske forslaget har etter endringene verken aldersverifisering eller sanksjoner rettet mot plattformene. Tilsynet kan bare gi retningslinjer og vurdere hva som er «skadelig». Departementet viser til at DSA vil gi tilbyderne et verifiseringsansvar når forordningen er gjennomført i norsk rett. EU-forordningen har i kontrast et fullt håndhevingsapparat som gjelder direkte for tjenestetilbyderne fra starten.

Veien videre

EU KIDS Act skal nå behandles etter den ordinære lovgivningsprosedyren i Europaparlamentet og Rådet. Det norske forslaget ble sendt på EØS-høring til ESA i mai 2026, og regjeringen tar sikte på å legge et endelig forslag frem for Stortinget innen årsskiftet. Svekkelsen av håndhevingen i loven har fått kritikk og barne- og familieminister Lene Vågslid har blitt bedt om redegjøre i Stortinget for hvorfor loven er endret så vesentlig, og om teknologiselskapene i det hele tatt kan holdes ansvarlige. Det gjenstår å se både hvordan det endelige norske forslaget blir, og hvordan det vil forholde seg til EU-forordningen når denne skal vurderes for innlemmelse i EØS-avtalen.

Har du spørsmål om EU KIDS Act eller de norske reglene? Ta kontakt med Ole Martin Moe.