Verificación de edad y consentimiento: qué mirar en tu web

Cada pocas semanas vuelve el mismo titular: redes sociales prohibidas hasta los 16, apps oficiales para demostrar la edad, multas millonarias a las plataformas. Y cada pocas semanas alguien nos escribe con la misma pregunta: «¿tengo que poner una pantalla de verificación de edad en mi web?».

Casi siempre la respuesta es no. Pero de todo ese ruido sí se cae algo encima de tu negocio, y no es lo que la gente se piensa. Esto es un repaso corto de qué se está moviendo de verdad, qué parte te aplica si tienes una pyme y una revisión de media hora que puedes hacer tú mismo esta semana.

Qué se está moviendo, sin titulares

Tres cosas, y conviene no mezclarlas porque van a velocidades distintas.

En Europa. El 14 de julio de 2025 la Comisión publicó sus directrices sobre protección de menores en el marco del Reglamento de Servicios Digitales. Recomiendan métodos de comprobación de edad —desde la simple declaración hasta la verificación fuerte— según el riesgo del servicio, y vienen acompañadas de un modelo técnico de app de verificación pensado para que se pueda demostrar la edad sin entregar el DNI entero.

En España. El proyecto de ley orgánica de protección de menores en entornos digitales sigue su trámite parlamentario. Entre otras cosas subiría de 14 a 16 años la edad para consentir el tratamiento de datos personales y para abrirse cuentas en redes. A día de hoy no está publicada en el BOE, así que cualquier cifra que leas sobre ella es un «si sale así», no una obligación.

Y por otro lado, la infraestructura. Cartera Digital Beta, la aplicación del Gobierno para acreditar la mayoría de edad, sigue en beta a la espera de encajar con la cartera de identidad europea. Existe, funciona para lo suyo, y no es algo que vayas a integrar en tu web de momento.

La parte que no te aplica (y saberlo te ahorra dinero)

Aquí está el detalle que casi nadie cuenta y que cambia la conversación entera: las directrices de la Comisión excluyen expresamente a las microempresas y pequeñas empresas. Y además van dirigidas a «plataformas en línea», es decir, sitios donde los usuarios suben contenido y se lo enseñan a otros usuarios.

Tu web de servicios no es eso. Tu tienda online de recambios tampoco. Ni la página de la clínica, ni la del taller, ni la de la academia. La verificación de edad fuerte —la de demostrar que tienes 18 con una credencial— está pensada para contenido adulto, apuestas y redes sociales, no para que alguien vea tus tarifas.

Dicho de otra forma: si un proveedor te llama con urgencia regulatoria para venderte un sistema de verificación de edad «porque lo exige Europa», desconfía. Pregúntale qué artículo te obliga exactamente y para qué tipo de servicio. La respuesta suele acabarse rápido.

Lo que sí te toca, y ya te tocaba antes de todo esto

Tres puntos. Ninguno es nuevo. Los tres se incumplen a diario en webs de negocios que van muy bien.

1. El banner de cookies. La guía de la AEPD es clara: rechazar tiene que ser tan fácil como aceptar, en el mismo sitio y con el mismo formato. Un «Aceptar todo» verde y grande frente a un «Configurar» en gris pequeño no cumple, por muy normalizado que esté.
2. Los formularios. Cada campo que pides tiene que servir para algo. Base legal clara, información de quién trata los datos y para qué, y nada de casillas premarcadas.
3. La edad de consentimiento. En España hoy son 14 años. Si el proyecto de ley sale adelante serán 16. Esto solo te afecta de verdad si tu negocio trata con adolescentes: academias, gimnasios, escuelas de idiomas, clubes deportivos, campamentos, tiendas de videojuegos. Si es tu caso, es el punto que merece que tengas localizado.

La revisión de media hora

Abre tu web en una ventana de incógnito y haz de cliente que llega por primera vez. No hace falta ninguna herramienta ni ningún consultor.

• El banner. ¿Hay un botón de rechazar al mismo nivel visual que el de aceptar? Dale a rechazar y comprueba que efectivamente no se carga la analítica ni el píxel de publicidad. Es sorprendentemente habitual que el banner sea decorativo.
• Lo que pasa antes del banner. Abre la pestaña de red del navegador y mira si ya se ha cargado algo de terceros antes de que tú decidas nada.
• Cada formulario, campo por campo. ¿Pides el teléfono para que alguien se descargue un PDF? ¿La fecha de nacimiento «por si acaso»? Cada dato que no vas a usar es trabajo tuyo de custodiar y riesgo tuyo si se filtra.
• Dónde acaba el dato. Este es el importante. Sigue el recorrido completo: el formulario manda un correo, alguien lo copia a una hoja de cálculo compartida, esa hoja está enlazada en un grupo de WhatsApp, y la bandeja que lo recibe la leen seis personas, dos de las cuales ya no llevan eso.

De los cuatro puntos, el que más sustos da no es el banner. Es el último. La mayoría de webs de pyme cumplen razonablemente por delante y tienen el desorden por detrás, donde no se ve.

Casi ninguna pyme tiene un problema de verificación de edad. Casi todas tienen un problema de no saber dónde acaban los datos que recogen.

Si tienes un chat o un agente contestando, tres preguntas más

Las directrices europeas mencionan de pasada las salvaguardas alrededor de los chatbots de IA integrados en plataformas. A ti no te obligan, pero la dirección del viento se ve perfectamente. Tres preguntas que puedes hacerle a tu proveedor hoy:

1. ¿Qué guarda y durante cuánto tiempo? En muchas herramientas lo de fábrica es guardar la conversación entera de forma indefinida. Casi nunca necesitas eso: con la cita, el pedido o el presupuesto suele bastar.
2. ¿Pide datos que no necesita? Un agente que reserva citas necesita nombre, una forma de contacto y un hueco. No necesita el DNI, ni la dirección, ni la fecha de nacimiento, salvo que tu servicio lo exija.
3. ¿Qué hace si escribe alguien que claramente es menor? No hace falta montar un interrogatorio. Basta una regla: si la conversación va de contratar, pagar o firmar algo, el agente dice que eso lo tiene que gestionar un adulto y pasa la conversación a una persona. Eso es una línea en las instrucciones, no un proyecto.

Un agente que pide menos datos no es un agente peor. Es un agente con mucho menos que explicar el día que algo salga mal.

Cuándo no hacer nada

Dos frenos honestos, porque el reflejo ante un titular regulatorio es pasarse de frenada.

No montes una verificación de edad que no necesitas. Para comprobar la edad hay que pedir un dato que antes no tenías. Pasas de no tener ningún problema a custodiar documentos de identidad, y pierdes por el camino a la mitad de la gente que iba a rellenar el formulario. Más riesgo y menos clientes para resolver algo que no te aplicaba.

Tampoco te adelantes a una ley que todavía no existe. Lo sensato con el proyecto español es dejar apuntado en un folio qué tendrías que tocar si sale adelante —la edad mínima en tus formularios, el consentimiento de padre o madre para ciertos servicios— y volver a ese folio cuando esté en el BOE. Adaptarse a un borrador es rehacer el trabajo dos veces.

Y que quede dicho: esto no es asesoramiento jurídico, es lo que le contamos a un cliente antes de que llame a su abogado. Si tratas datos de salud, si trabajas sistemáticamente con menores o si vendes productos con edad mínima legal, esa llamada sí toca hacerla.

Por dónde empezar de verdad

Al final del repaso, lo incómodo casi nunca es la web. Es que nadie en el negocio tiene una lista de qué datos entran, por dónde y quién los ve. Y si tu equipo ya usa IA por su cuenta, cada uno con su herramienta y su cuenta personal, ese mapa tampoco existe para las conversaciones.

Ordenar eso es justo de lo que va IA para equipos: un perímetro claro, criterios comunes y tú decidiendo qué sale de casa y qué no.