De EU KIDS ACT; is jouw dienst al veilig voor kinderen?

Het internet is gevaarlijk voor minderjarigen: Cyberpesten, grooming, slaapproblemen, angst, depressie en eetstoornissen zijn een greep uit de gevolgen van online diensten. Slechts de helft van de kinderen tussen 9 en 16 jaar voelt zich online veilig. Het is allemaal de aanleiding geweest voor nieuwe regelgeving vanuit de EU; de EU Keeping Internet Digital Spaces Accountable and Trustworthy verordening (Hierna: ‘KIDS Act’). Deze Amerikaans klinkende verordening is bedoeld om minderjarigen te beschermen tegen de vele risico’s die het internet met zich meebrengt, zoals verslavende ontwerpen, contact met vreemden en ongepaste content.

Afgelopen september is de consultatieversie van de KIDS Act gepubliceerd. De reikwijdte van het voorstel is breed, de eisen zijn streng en de boetes kunnen oplopen tot maar liefst 6% van je wereldwijde jaaromzet.

Het gaat op dit moment nog ‘slechts’ om een consultatieversie. Deze sluit op 3 december. Nu is daarom het perfecte moment om jezelf alvast in te lezen in de KIDS Act zodat je niet wordt verrast door allerlei lastige verplichtingen als de definitieve versie wordt gepubliceerd. Ook is het nog mogelijk om te reageren op de tekst, waardoor je zelfs nog invloed kan uitoefenen op de definitieve inhoud. In dit blog worden daarom de belangrijkste bepalingen uitgelegd, zodat jij straks voorbereid bent.

Voor wie geldt de KIDS Act?

De KIDS Act bouwt voort op verplichtingen voor platforms uit de Digital Services Act, met name artikel 28. Dit artikel verplicht aanbieders van onlineplatforms al om een hoog niveau van privacy, veiligheid en bescherming voor minderjarigen te waarborgen. De KIDS Act werkt deze verplichting verder uit.

Binnen het toepassingsgebied van de KIDS Act kunnen zeven specifieke typen gereguleerde diensten onderscheiden worden:

• Online sociale netwerk diensten

• Video-platform diensten

• App-stores

• Online spellen

• Besturingssystemen

• AI-metgezellen

• Algemene conversationele chatbots

De act maakt hierbij onderscheid tussen drie leeftijdscategorieën: minderjarigen jonger dan 13 jaar, minderjarigen tussen de 13 en 15 jaar, en minderjarigen van 15 tot 18 jaar.Voor jongere minderjarigen gelden strengere regels dan voor oudere.

Algemene uitganspunten

Voordat we inzoomen op de specifieke diensten, is het goed om te weten dat de KIDS Act een aantal algemene uitgangspunten hanteert. Zodra jouw dienst onder de act valt, krijg je te maken met drie uitgangspunten.

Allereerst moet op basis van de KIDS Act een gereguleerde dienst voorzien worden van een onafhankelijke EU-leeftijdsverificatie die de leeftijd van de gebruiker vaststelt voordat een account wordt aangemaakt. Deze leeftijdsverificatie moet nauwkeurig, betrouwbaar, veilig, robuust, niet-indringend en non-discriminatoir zijn en privacy- en gegevensbescherming bieden. Het enkel aanvinken van een vakje of invullen van de geboortedatum is niet meer voldoende. Leeftijdsverificatie moet voortaan gebaseerd zijn op identiteitsdocumenten of andere geverifieerde identificatiebronnen. Dit kan bijvoorbeeld met de aanstaande EU-wallet. Hoe dit precies werkt, verschilt per dienst. De Europese Commissie stelt een lijst op met erkende aanbieders van leeftijdsverificatie. Ook kan de Commissie richtlijnen opstellen om meer duidelijkheid te verschaffen waar leeftijdsverificatie aan moet voldoen.

Ten tweede moeten de aanbieders van de gereguleerde diensten hulpmiddelen voor voogden aanbieden. Hiermee kunnen voogden het gebruik van een dienst en de bijkomende functies beperken. Daarnaast moeten meldknoppen voor ongepaste inhoud of ongewenst contact zo worden ingericht dat ze voor minderjarigen daadwerkelijk begrijpelijk en toegankelijk zijn.

Als derde uitgangspunt moeten gereguleerde diensten zich houden aan de principes van ‘privacy by design’ en ‘safety by design’. Dit houdt in dat accounts van minderjarigen standaard ingesteld staan op de privacyvriendelijkste en veiligste instellingen. In deze versie van de KIDS Act betekent dit dat chatten met vreemden uitgeschakeld is, dat de geolocatie uitstaat en dat profielen op privé staan.

Dienstspecifieke regels

Aangezien een appstore iets heel anders doet dan een videospel of AI-chatbot, vult de KIDS Act de verplichtingen per type dienst specifiek aan. Hieronder een overzicht van de belangrijkste verplichtingen per dienst.

Onlinesocialenetwerkdiensten

De definitie van een onlinesocialenetwerkdienst kan worden samengevat als een platform dat eindgebruikers in staat stelt via meerdere apparaten in verbinding te treden en te communiceren met elkaar, inhoud te delen en inhoud te ontdekken. Hieronder vallen social media als Instagram, Snapchat en TikTok.

Voor onlinesocialenetwerkdiensten geldt onder de KIDS Act een minimum leeftijd. Minderjarigen jonger dan 13 jaar mogen van de act in de huidige vorm geen account meer aanmaken op social media.

Voor minderjarigen tussen de 13 en 15 jaar mogen op de meeste onlinesocialenetwerkdiensten alleen ouders en voogden een account aanmaken. Dit kan anders zijn als de social media geen risico’s vormt voor het kind. Onlinesocialenetwerkdiensten vormen volgens de KIDS Act geen risico’s voor minderjarigen indien het geen één van de volgende functies heeft:

• Live streaming

• Communicatie met derden

• Aanbevelingssysteem gebaseerd op profilering

• Vriend suggesties

• Mogelijk maken van ononderbroken consumptie van inhoud

• Interacties met de dienst stimuleren

• Geautomatiseerde meldingen die ertoe aanzetten de dienst (opnieuw) te gebruiken

De aangemaakte accounts voor minderjarigen tussen de 13 en 15 jaar moeten daarnaast voorzien zijn van hulpmiddelen voor voogden. Dit zijn de volgende hulpmiddelen:

• Beperken van de schermtijd

• Nieuwe contacten moeten vooraf door de voogd goedgekeurd worden

• Controleren van de privacyinstellingen zoals de geolocatie, camera, microfoon, contactsynchronisatie en pushmeldingen

‘Privacy by design’ en ‘safety by design’ betekent voor social media bijvoorbeeld een niet profilerende feed, geen oneindig scrollen of autoplay en het standaard uit staan van geolocatie, camera, microfoon, contactsynchronisatie en pushmeldingen. Deze functies mogen enkel aangezet worden door de voogd via de daarvoor bedoelde hulpmiddelen.

Voor minderjarigen tussen de 15 en 18 jaar is het wel mogelijk om zelf een account aan te maken, maar ook hier geldt dat privacy- en safety by design de uitgangspunten zijn. Het moet de keuze van de minderjarige zelf zijn om hier van af te wijken.

Videoplatformdiensten

Een videoplatformdienst is een dienst waarvan het hoofddoel bestaat uit het aanbieden van programma’s en/of door gebruikers gegenereerde video’s waarvoor het platform geen redactionele verantwoordelijkheid draagt aan het algemene publiek. Hieronder vallen diensten als YouTube, Twitch of Kik.

Ook voor videoplatformdiensten is het niet toegestaan een account aan te maken als je jonger bent dan 13 jaar. Minderjarigen in deze leeftijdsgroep kunnen wel gebruikmaken van videoplatformdiensten die speciaal voor minderjarigen zijn ontworpen, maar alleen via het account van een ouder of voogd. Deze mogelijkheid moet expliciet opgenomen zijn in de algemene voorwaarden inclusief vanaf welke leeftijd het platform toegankelijk is. Ook moet een beoordeling gemaakt en gepubliceerd worden waarin de risico’s voor minderjarigen zijn beoordeeld en hoe deze worden beperkt.

Minderjarigen jonger dan 13 jaar kunnen dan maximaal 1 uur per dag gebruik maken van de videoplatformdienst. Hierbij moeten wel alle personalisatiefuncties, aanbevelingssystemen en zoekfunctionaliteiten standaard uitgeschakeld zijn. Deze mogen alleen aangezet worden als uit de hiervoor genoemde beoordeling blijkt dat het in het belang van de minderjarige is en het geen enkele negatieve gevolgen voor de privacy, veiligheid en beveiliging van de minderjarige heeft.

Ook hier geldt; privacy- en safety by design zijn de uitgangspunten, dus onder andere geen oneindig scrollen, geen streakbeloningen en geen algoritmische aanbevelingssystemen.

Appstores

Een appstore is een onlinetussenhandelsdienst die gericht is op het verstrekken van softwareapplicaties als product of dienst. Denk hierbij aan de Google Play Store, de Apple Appstore of Steam.

Appstores krijgen onder de KIDS Act een poortwachtersrol. Ze moeten van de KIDS Act een leeftijdsclassificatiesysteem invoeren; apps worden ingedeeld in een systeem waaruit blijkt voor welke leeftijd ze geschikt zijn. Appstores moeten ervoor zorgen dat minderjarigen geen apps te zien krijgen die niet geschikt zijn voor ze. Dit geldt ook voor apps waar een wettelijke leeftijdslimiet voor geldt, zoals gok-, drank- of beleggingsapps.

Besturingssystemen

Een besturingssysteem is software die de basisfuncties van hardware of software regelt. Denk hierbij aan Microsoft, Android of iOS. Ook besturingssystemen krijgen een poortwachtersrol onder de KIDS Act. Besturingssystemen moeten standaard een veilige en privacyvriendelijke basisomgeving bieden voor accounts van minderjarigen. Daarnaast moeten ze op apparaatniveau interoperabiliteit faciliteren voor leeftijdsverificatie apps.

Online spellen

Onlinespellen worden in de KIDS Act onderverdeeld in twee subcategorieën: videospellen en videospelplatforms. De definitie van een videospel is onder de KIDS Act erg breed en samen te vatten als elke elektronische gesimuleerde omgeving voor spel- of amusementsdoeleinden. Hieronder vallen spellen als Call of Duty, Fortnite en Candy Crush. Bij videospelplatform kan je denken aan diensten als Roblox en Minecraft, waar mensen zelf een omgeving kunnen maken om spellen te spelen en anderen deze kunnen spelen.

Safety- en privacy by design houdt bij onlinespellen onder andere in dat chatten met vreemden standaard uit staat, er geen dagelijkse beloningen beschikbaar zijn, zodat overmatig gebruik niet gestimuleerd wordt, en dat minderjarigen niet naar een onveilige omgeving worden gelokt.

AI-chatbots en -metgezellen

Tot slot richt de KIDS Act zich op een categorie die vier jaar geleden nog nauwelijks bestond, maar inmiddels niet meer weg te denken is uit de leefwereld van veel minderjarigen (en volwassenen); AI-chatbots en -metgezellen. De risico's hiervan voor minderjarigen zijn nog grotendeels onbekend, maar de EU wacht niet af.

Een AI-chatbot kan omschreven worden als een AI-systeem voor algemene doeleinden met algemene conversationele functionaliteiten voor rechtstreekse interactie met gebruikers. Voorbeelden hiervan zijn ChatGPT, Claude en Grok. Een AI-metgezel is een chatbot die voorziet in duurzame, gepersonaliseerde interactie of gezelschap, waarbij een sociale, emotionele of interpersoonlijke relatie met een gebruiker wordt gesimuleerd of vergemakkelijkt. Denk hierbij aan Replika, Character.ai of Snapchats MyAI.

Voor minderjarigen jonger dan 13 jaar is toegang tot AI-systemen uitsluitend toegestaan onder direct beheer van de voogd. Daarnaast moeten minderjarigen vanaf 13 jaar beschermd worden tegen emotionele afhankelijkheid van de chatbot. Ook mogen geen gegevens uit eerdere gesprekken gebruikt worden en moet de chatbot standaard uitstaan indien deze is geïntegreerd in social media of een spel.

Aanbieders van een AI-chatbot of-metgezel moeten een risico-assessment uitvoeren waarin de impact van het AI-systeem op de mentale gezondheid en ontwikkeling van minderjarigen in kaart wordt gebracht. Deze moet uitgevoerd worden voordat de chatbot in de handel wordt gebracht.

Wat kan je nu doen?

Hoewel de inwerkingtreding van de KIDS Act nog ver weg klinkt, kan je wel al de eerste stappen nemen. Degene die dit soort verplichtingen enkel zien als een verplicht nummertje, lopen het risico te laat te zijn om te voldoen. Wie nu al actie onderneemt, voorkomt kostbare herontwerpen op het laatste moment en bouwt aan vertrouwen bij ouders en gebruikers.

Een goed begin is om in kaart te brengen welke functionaliteiten in jouw dienst onder de KIDS Act vallen. Bepaal vervolgens welke veranderingen doorgevoerd moeten worden om deze diensten compliant te krijgen. Pas daarna je softwareontwikkelproces aan, zodat alle toekomstige aanpassingen en nieuwe diensten vanaf het begin aan de verplichtingen voldoen. Controleer periodiek of je diensten nog steeds aan de eisen voldoen. Onderzoek daarnaast hoe jouw platform in de toekomst kan aansluiten op de erkende EU-systemen voor leeftijdsattestering. Implementatie hiervan kost namelijk veel tijd en moeite, dus als je wacht tot het laatste moment heb je kans dat de implementatie te laat is. Zorg tot slot voor bewustwording binnen de organisatie. Dit maakt dat je afwijkingen tijdig signaleert, sneller kunt handelen en daarmee de kans en impact van fouten verkleint.

Tot slot

De consultatieversie van de KIDS Act laat er geen twijfel over bestaan: de Europese Unie geeft er prioriteit aan om de digitale wereld van minderjarigen veiliger te maken. Voor aanbieders van digitale diensten betekent dit dat 'kindveiligheid' niet langer een vrijblijvende optie is, maar een kernonderdeel van de architectuur.

Heb je vragen over wat de KIDS Act specifiek betekent voor jouw app, platform of game? Of wil je ondersteuning bij het uitvoeren van een impact-assessment? Wij denken graag met je mee!