El 16 de septiembre, tras el anuncio ante el Parlamento Europeo sobre una posible restricción del acceso de los menores a las redes sociales, Caracol Radio me invitó a analizar si prohibir podía ser una respuesta efectiva. Aún no se conocía el texto de la KIDS Act.
Mi posición no ha cambiado: prohibir, por sí solo, no equivale a proteger.
En ciberseguridad hay un principio que no se discute: un control que depende de la buena fe del usuario no es un control. Hoy, la barrera que separa a un niño de nueve años de una plataforma para adultos es que escriba una fecha de nacimiento verdadera. Es un atributo autodeclarado y no verificado, y ningún equipo de seguridad concedería acceso a un recurso protegido sobre esa base. Lo llamamos un control que falla en abierto: cuando se elude, no bloquea, deja pasar.
Por eso, una restricción de edad sin verificación fiable, aseguramiento independiente, educación digital y corresponsabilidad entre Estado, industria, colegios y familias es una declaración de intenciones. Y proteger a un niño acumulando su identidad amplía la superficie de ataque en nombre de su seguridad.
Surgió también la pregunta más dolorosa para Colombia. Según la Jurisdicción Especial para la Paz, en una cifra recogida por Human Rights Watch, el 44 % de los niños reclutados por grupos armados en 2025 fueron captados mediante redes sociales. El dato aparece en el informe de la JEP sobre reclutamiento y ha sido retomado por Human Rights Watch en su análisis sobre el uso de plataformas digitales para captar menores.
Retirar un contenido cuando el reclutamiento ya ocurrió es un control correctivo: llega después del daño. La detección temprana exige perseguir patrones, no piezas. La captación digital sigue una secuencia reconocible: cuentas creadas en ráfaga, interacción coordinada con perfiles de adolescentes en territorios concretos, repetición de una estética y un vocabulario, y escalamiento del canal público a la mensajería privada. Cada paso deja señales en fuentes abiertas antes de que haya una víctima.
En Ceuta, una segunda convocatoria se identificó semanas antes rastreando volumen de publicaciones y patrones de coordinación.
El caso colombiano es distinto; lo que comparten es el método. Y quiero ser precisa: no hablo de vigilar a los niños ni de acceder a sus comunicaciones, sino de indicadores de comportamiento y no de identidad. Métricas de red, no expedientes personales.
El límite ya está escrito en nuestra norma. El Decreto 0769 de 2026 establece disposiciones para la promoción, protección y garantía de entornos digitales sanos y seguros para niños, niñas y adolescentes. No estorba a la anticipación; es la condición que la hace legítima.
A finales de agosto, el Ministerio TIC anunció la conformación de un grupo de trabajo especializado para hacer seguimiento permanente a las acciones adelantadas por las plataformas y otros actores del ecosistema, con reuniones semanales para verificar los avances. También planteó el uso de inteligencia artificial para identificar y filtrar contenidos relacionados con el reclutamiento. Será muy interesante conocer sus indicadores, su ventana de detección y sus resultados.
El 17 de septiembre, la Comisión Europea presentó la KIDS Act. Conviene la precisión, porque se ha leído lo contrario: no es una ley vigente, sino una propuesta que deberá ser examinada y negociada por el Parlamento Europeo y el Consejo antes de convertirse en ley.
Plantea una entrada gradual: sin acceso autónomo a redes sociales antes de los trece años, cuentas limitadas y administradas por los padres entre los trece y los quince, y cuentas propias a partir de los quince. Pero su innovación está en el modelo de responsabilidad: invierte la carga de la prueba. Ya no correspondería al regulador demostrar primero el daño, sino al proveedor demostrar que su servicio es seguro desde el diseño. Para las plataformas de mayor tamaño, además, se contemplan planes de cumplimiento verificados por auditores independientes.
Europa no actúa sola. El 10 de septiembre, California aprobó Adam’s Law, que establece un marco específico de protección para los menores frente a los chatbots de compañía basados en inteligencia artificial. La norma contempla, entre otras medidas, evaluación de riesgos, mecanismos de respuesta ante situaciones de crisis, controles para padres y auditorías independientes.
Y esa atención separada tiene una razón técnica: un buscador no recuerda ni construye vínculo, mientras que un acompañante conversacional mantiene memoria entre sesiones, ajusta su lenguaje y simula empatía. Persistencia, personalización y antropomorfismo son propiedades que pueden incrementar la eficacia de la ingeniería social.
Si obligamos a cada plataforma a custodiar el documento o la biometría de un niño, habremos construido uno de los objetivos de ataque más valiosos del ecosistema y lo habremos llamado protección infantil. La criptografía resolvió ese dilema y ya existen arquitecturas que permiten verificar atributos sin revelar toda la identidad.
España y otros países europeos están desarrollando soluciones de verificación de edad alineadas con la arquitectura europea, en la que el usuario puede demostrar que supera determinado umbral sin que la plataforma tenga que recibir su documento de identidad o sus datos biométricos. La Comisión Europea, de hecho, señala que su aplicación de verificación de edad no conserva documentos de identidad ni datos biométricos y utiliza pruebas de conocimiento cero.
La privacidad no puede ser el precio de la seguridad infantil. Tiene que formar parte de ella.
Las tres brechas técnicas que Colombia puede cerrar
Colombia no comienza desde cero. Desde julio rige el Decreto 0769 de 2026, que reglamenta la Ley 2489 de 2025 y establece disposiciones relacionadas con la verificación de edad, la minimización de datos, los controles parentales y la privacidad desde el diseño, entre otras obligaciones para los proveedores de servicios digitales dirigidos o accesibles a menores.
Quiero señalar tres brechas: son técnicas, no necesariamente normativas, y pueden cerrarse sin tocar la ley.
Primera: verificación sin estándar técnico. El decreto establece la obligación de verificar la edad, pero el desafío está en definir con precisión qué métodos ofrecen garantías suficientes. Sin una especificación técnica común, la práctica del mercado puede terminar reducida a la autodeclaración: el control que falla en abierto. La oportunidad está en adoptar por lineamiento un estándar de conocimiento cero e interoperable con las arquitecturas que se están desarrollando en Europa. Interoperable importa: las plataformas construyen una sola vez para el mercado más grande; si el nuestro no conversa con ese, se ignora.
Segunda: autoevaluación sin aseguramiento independiente. Los informes semestrales los produce el propio proveedor. En lenguaje de auditoría, es una atestación de primera parte: útil como declaración, insuficiente como evidencia. Europa y California añaden lo que falta: un tercero que verifica si los controles existen y funcionan.
Tercera: la IA conversacional está incluida, pero sin reglas propias. Los sistemas de inteligencia artificial están contemplados dentro del nuevo marco colombiano; lo que falta no es necesariamente cobertura, sino especificación. Incluir no es regular. Hacen falta reglas sobre la memoria conversacional de un menor, el escalamiento ante señales de angustia y la prohibición de simular vínculos que generen dependencia emocional.
El decreto ya prevé el Comité Nacional de Tecnología, Niñez y Adolescencia, mesas técnicas con representación de niños, familias, industria y sociedad civil, y un informe anual al Congreso cada 6 de febrero. Esos espacios pueden definir cuatro cosas: el estándar de verificación, el aseguramiento independiente, los lineamientos para IA conversacional y las métricas públicas.
Sobre esto último insisto: hoy se publica cuánto contenido se retira, que es una métrica de cobertura del control y describe el filtro, no necesariamente lo que vivió el usuario. La métrica de resultado es cuántos menores reportan contactos no deseados o abordajes sospechosos. Lo primero describe el sistema; lo segundo, la infancia.
Colombia no necesita copiar a nadie: tiene el marco, la institucionalidad y una fecha en el calendario. Porque la pregunta dejó de ser a qué edad entra un niño en una plataforma. Es, qué clase de plataforma estamos construyendo para recibirlo.
Verificar sin identificar es un comienzo; diseñar para proteger y anticipar sin vigilar son los pasos que siguen. Y es una conversación que Colombia puede liderar.
Andrea García Beltrán es especialista internacional en ciberseguridad, Cofundadora de Cyber Specs® y autora de Las Ciberaventuras de Nala.