Si su plataforma digital o ISP presta servicios a usuarios en los EAU, existe un nuevo marco regulatorio que debe conocer, y el tiempo corre.
El Decreto-Ley Federal N° 26 de 2025 sobre Seguridad Digital Infantil (la "Ley Federal CDS") entró en vigor el 1 de enero de 2026, otorgando a las entidades cubiertas hasta un año para lograr el cumplimiento total. Eso significa que la fecha límite es el 1 de enero de 2027, a menos que el Gabinete la extienda.
Esta no es simplemente otra regulación más para archivar. La ley CDS tiene alcance extraterritorial, se aplica a cualquier plataforma dirigida a usuarios de los EAU independientemente de dónde esté constituido e introduce obligaciones que requieren un trabajo de ingeniería real: sistemas de verificación de edad, moderación de contenido basada en inteligencia artificial, filtrado a nivel de red y más.
Ya sea que esté ejecutando una plataforma de redes sociales, un juego en línea, un ISP o un servicio digital utilizado por niños, esto es lo que necesita saber y lo que debe hacer.
Qué cubre la ley
La ley CDS se aplica a dos categorías de entidades:
Plataformas digitales: redes sociales, aplicaciones de mensajería, plataformas de juegos en línea, servicios de transmisión de contenido y cualquier servicio digital accesible para niños en los EAU.
Proveedores de servicios de Internet (ISP): cualquier entidad que proporcione acceso a Internet a usuarios en los EAU.
Fundamentalmente, la ley tiene aplicación extraterritorial. Si su plataforma se dirige a usuarios de los EAU (a través de soporte en idioma árabe, métodos de pago locales, contenido específico de los EAU o publicidad basada en los EAU), está cubierto. No necesitas presencia física en el país.
Definiciones clave
- Niño: Cualquier persona menor de 18 años
- Edad mínima en redes sociales: 15 años (con verificación de edad obligatoria)
- Niños menores de 13 años: se aplican protecciones especiales mejoradas
- Contenido nocivo: contenido que supone riesgos para el desarrollo físico, mental o moral de los niños.
La lista de verificación de cumplimiento
1. Verificación de edad (debe estar activa ahora)
Todas las plataformas deben implementar mecanismos de verificación de edad. Para usuarios menores de 15 años, el acceso a las redes sociales está restringido. Para los usuarios menores de 13 años, entran en vigor requisitos adicionales de consentimiento de los padres.
Qué hacer:
- Implementar una verificación sólida de la edad en el momento del registro (no solo la autodeclaración)
- Restringir las funciones de las redes sociales para usuarios identificados como menores de 15 años.
- Marcar cuentas de usuarios menores de 13 años para el procesamiento del consentimiento de los padres
- Documente su metodología de verificación de edad.
2. Configuración predeterminada de alta privacidad para niños
Las cuentas infantiles deben tener de forma predeterminada la configuración de privacidad más alta. Esto no es opcional: es la ley.
Qué hacer:
- Auditar la configuración predeterminada actual para cuentas menores
- Cambiar a máxima privacidad de forma predeterminada para usuarios menores de 18 años
- Eliminar los perfiles de niños de la indexación de los motores de búsqueda.
- Desactivar compartir ubicación de forma predeterminada
3. Restricciones en la recopilación de datos para menores de 13 años
No se permite la recopilación ni el procesamiento de datos de niños menores de 13 años sin consentimiento explícito de los padres. Esto incluye la prohibición de:
- Uso comercial de los datos de los niños.
- Publicidad dirigida a usuarios menores de 13 años.
- Seguimiento y elaboración de perfiles de comportamiento.
Qué hacer:
- Implementar un flujo de trabajo de consentimiento de los padres (verificable, no solo aceptación por correo electrónico)
- Bloquear toda la orientación y seguimiento de anuncios para cuentas menores de 13 años.
- Cree flujos de trabajo de procesamiento de datos separados para usuarios menores de 13 años.
- Preparar cronogramas de retención y eliminación de datos para esta cohorte.
4. Moderación de contenido basada en IA
Las plataformas deben implementar detección y eliminación proactiva basada en IA de contenido dañino. Esto va más allá de los informes reactivos: necesita sistemas que identifiquen y actúen sobre el contenido dañino antes de que se informe.
Qué hacer:
- Implementar o actualizar la moderación de contenido de IA para categorías de seguridad infantil
- Establecer flujos de trabajo de eliminación automatizados de contenido infantil ilegal.
- Establecer canales de denuncia inmediata a las autoridades de los EAU
- Precisión de moderación de documentos y tasas de falsos positivos.
5. Filtrado de contenido a nivel de ISP
Los ISP deben implementar filtrado de contenido a nivel de red y proporcionar controles parentales a los suscriptores.
Qué hacer (ISP):
- Implementar filtrado de inspección profunda de paquetes o nivel DNS para contenido dañino
- Ofrecer paneles de control parental a todos los suscriptores.
- Establecer mecanismos de denuncia de contenido dañino descubierto en su red
- Implementar configuraciones de acceso restringido por edad
6. Controles parentales y concienciación
Tanto las plataformas como los ISP deben proporcionar herramientas accesibles de control parental y medidas de concientización sobre la seguridad digital.
Qué hacer:
- Crear o integrar paneles de control parental
- Proporcionar instrucciones claras a los padres sobre cómo establecer restricciones.
- Publicar recursos de seguridad digitales y guías de informes.
- Ofrezca notificaciones y consejos de seguridad periódicos.
7. Restricciones de apuestas y juegos en línea
Las plataformas que ofrecen juegos en línea o apuestas comerciales deben impedir que los niños accedan a funciones de apuestas, incluida la publicidad relacionada con los juegos de azar y el uso de datos dirigidos a menores.
Qué hacer:
- Contenido de juegos de apuestas con bloqueo geográfico o edad
- Elimine los anuncios de juegos de apuestas de cualquier contenido accesible para menores
- Auditar las compras en el juego y la mecánica de las cajas de botín para cumplir con la protección infantil.
8. Clasificación de niveles de riesgo
El Gabinete clasificará las plataformas digitales en niveles de riesgo con las obligaciones correspondientes. Las plataformas de mayor riesgo (por ejemplo, las redes sociales con una amplia interacción del usuario) enfrentarán requisitos más estrictos.
Qué hacer:
- Realice una autoevaluación del nivel de riesgo de su plataforma
- Prepare documentación de cumplimiento mejorada si es probable que lo clasifiquen como de alto riesgo
- Contratar asesores legales familiarizados con el panorama regulatorio de los EAU.
Cronograma y sanciones
La ley ya está en vigor a partir del 1 de enero de 2026. El plazo de implementación de un año significa:
- Ahora - 31 de diciembre de 2026: Período de implementación
- 1 de enero de 2027: se requiere pleno cumplimiento
- Después de enero de 2027: comienzan las acciones de aplicación de la ley
Las sanciones por incumplimiento pueden incluir:
- Bloqueo de plataforma en los EAU
- Suspensión o cierre del servicio
- Multas administrativas (las cantidades serán especificadas por el Gabinete)
- Potencial responsabilidad penal por infracciones graves que impliquen contenidos de explotación infantil
Cómo interactúa con la ley de privacidad existente en los EAU
La ley CDS proporciona protecciones inmediatas y ejecutables, mientras que el Reglamento Ejecutivo de la Ley de Protección de Datos Personales (PDPL) más amplio de los EAU sigue pendiente. Para los niños menores de 13 años, la ley CDS llena efectivamente el vacío con requisitos específicos y procesables: consentimiento de los padres para el procesamiento de datos, prohibiciones de publicidad y restricciones de seguimiento que van más allá de las disposiciones generales de la PDPL.
Para las empresas, esto significa que la ley CDS no está esperando al PDPL. Las obligaciones de cumplimiento ya están vigentes.
Donde la mayoría de las empresas se equivocan
Según nuestro análisis, estas son las brechas más comunes que estamos viendo:
- Subestimar el alcance extraterritorial: si tienes usuarios de los EAU, estás cubierto. Período.
- Verificación de edad como una idea de último momento: la autodeclaración ("haga clic en confirmar que tiene 18") no es suficiente. Los tribunales y los reguladores esperan una verificación sustancial.
- Sin proceso de moderación de IA: la moderación reactiva informada por el usuario no cumple con el requisito de "detección proactiva".
- Pasar por alto las obligaciones del ISP: incluso si no es un ISP, es posible que su CDN y sus proveedores de alojamiento deban coordinar el filtrado.
- Consentimiento de los padres como casilla de verificación: el consentimiento de los padres verificable requiere más que un correo electrónico. Los estándares de "consentimiento parental verificable" del RGPD de la UE son un punto de referencia útil.
Tus próximos pasos
El reloj del cumplimiento está en marcha. Esto es lo que debe priorizar este trimestre:
Inmediato (tercer trimestre de 2026):
- Realizar un análisis de deficiencias en relación con los 8 elementos de la lista de verificación anteriores
- Contratar a asesores legales de los EAU con experiencia en regulación digital
- Comenzar el diseño y adquisición del sistema de verificación de edad.
Corto plazo (cuarto trimestre de 2026):
- Implementar flujos de trabajo de verificación de edad y consentimiento de los padres.
- Implementar moderación de contenido de IA para la seguridad infantil
- Configurar ajustes predeterminados de alta privacidad para cuentas menores
Antes del 1 de enero de 2027:
- Filtrado completo a nivel de ISP (si corresponde)
- Finalizar la documentación del nivel de riesgo.
- Realizar auditorías de cumplimiento y remediación.
Descargo de responsabilidad: este artículo proporciona orientación general y no constituye asesoramiento legal. El Gabinete de los EAU puede emitir regulaciones de implementación adicionales que afecten las obligaciones de cumplimiento. Contrate asesores legales calificados para obtener asesoramiento específico para cada jurisdicción.
Continuar leyendo: Servicios de seguridad y cumplimiento de aratech para plataformas digitales de los EAU