Las leyes de verificación de edad están construyendo en silencio un sistema de vigilancia que nadie pidió
Un mandato de verificación que afecta a todos, no solo a los menores
Las leyes de verificación de edad en Estados Unidos comparten un defecto estructural: no se puede identificar quién es menor de edad sin verificar la edad de todos. Ese simple hecho está convirtiendo la legislación de protección infantil en un sistema de recolección de datos de identidad y biométricos de propósito general, que captura a adultos al mismo ritmo que a los menores que pretende proteger. Las herramientas de cumplimiento que se están implementando para satisfacer estas leyes — estimación de edad facial, carga de documentos de identidad gubernamentales, huella digital del dispositivo — transmiten rutinariamente datos personales sensibles a proveedores externos, y en muchos casos esas transmisiones enfrentan menos escrutinio regulatorio que el contenido que las leyes fueron escritas para restringir.
Esto no es un riesgo hipotético. Es el resultado directo y documentado de cómo se construyen e implementan los sistemas de verificación de edad hoy en día, y está sucediendo en un momento en que la aplicación de las leyes subyacentes es en sí misma inconsistente y legalmente cuestionada.
Cuatro estados ahora exigen que las tiendas de aplicaciones entreguen tu rango de edad a los desarrolladores
California, Luisiana, Texas y Utah han promulgado leyes que exigen a las tiendas de aplicaciones móviles y a los desarrolladores verificar la edad del usuario y aplicar protecciones basadas en la edad. El mecanismo que hace novedosas estas leyes no es la verificación de edad en sí — muchas aplicaciones individuales ya restringen el contenido por fecha de nacimiento — sino el nuevo flujo de datos que crean entre plataformas. Según estos estatutos, las tiendas de aplicaciones como App Store de Apple y Google Play deben compartir el rango de edad de un usuario directamente con desarrolladores de aplicaciones externos antes de que ese usuario pueda descargar o usar una aplicación.
Eso es un conducto de datos que no existía previamente. Las tiendas de aplicaciones históricamente mantenían la información a nivel de cuenta, incluidos los datos de edad que un usuario proporcionaba al registrarse, dentro de sus propios muros. Estas leyes exigen que esa información fluya hacia afuera a cada desarrollador cuya aplicación caiga bajo el alcance de la ley, multiplicando el número de partes que poseen señales de identidad vinculadas a la edad sobre un dispositivo o cuenta determinado. El rango de edad de un adolescente, y por extensión el de un adulto, se convierte ahora en un dato que se comparte rutinariamente con empresas que antes no tenían acceso a él y no tienen un historial establecido de cómo lo almacenarán o revenderán.
La orden judicial de Texas muestra lo fragmentada que ya está la aplicación
El estado fragmentado de este panorama legal se hizo concreto a finales de diciembre, cuando un tribunal suspendió la ley de verificación de edad de Texas poco más de una semana antes de que entrara en vigor. La orden judicial detuvo la aplicación en uno de los cuatro estados con un estatuto de verificación de edad para tiendas de aplicaciones vigente, mientras que las leyes de California, Luisiana y Utah avanzan en sus propios cronogramas separados y bajo sus propias impugnaciones legales separadas.
El efecto práctico es un mosaico donde las obligaciones de cumplimiento de un desarrollador dependen del estado que el dispositivo del usuario reporte como su región de facturación o tienda de aplicaciones, y donde esa obligación puede cambiar abruptamente si un tribunal interviene cerca de una fecha de vigencia. Las empresas que construyen sistemas de verificación de edad están diseñando para un objetivo legal móvil, lo que tiende a producir implementaciones predeterminadas amplias y de recolección excesiva en lugar de otras de alcance limitado — es más fácil construir un flujo de verificación voraz de datos que mantener cuatro versiones específicas de cada estado que podrían ser suspendidas en diferentes calendarios.
Cómo se ve la verificación en la práctica — y a dónde van realmente los datos
La realidad técnica de la verificación de edad es desigual de otra manera: la mayoría de los sitios web y servicios que están legalmente obligados a verificar la edad simplemente no la aplican. El análisis de implementaciones de verificación de edad digital encontró que la aplicación es inconsistente en todos los ámbitos, y muchas plataformas omiten por completo las verificaciones significativas a pesar de caer bajo los requisitos de un estado.
Cuando los sistemas de verificación se implementan realmente, los métodos se agrupan en tres enfoques: estimación de edad facial, que analiza una foto en vivo o cargada para inferir un rango de edad; carga de documentos de identidad gubernamentales, que requiere escanear una licencia de conducir o pasaporte; y huella digital del dispositivo o navegador, que construye un identificador persistente a partir de características como la resolución de pantalla, las fuentes instaladas y la configuración del navegador. Los tres envían rutinariamente datos a múltiples proveedores externos en lugar de permanecer dentro de la plataforma de primera parte que realiza la verificación. Un escaneo facial capturado para estimar la edad no necesariamente se queda con el sitio al que el usuario intenta acceder — puede pasar a través de un proveedor especializado en verificación de edad, y desde allí a las prácticas de retención y procesamiento que permita la política de privacidad de ese proveedor, que el usuario final nunca lee y la plataforma rara vez audita.
La huella digital es legalmente datos personales — y es exactamente lo que estos sistemas usan
La parte de huella digital del dispositivo merece un escrutinio particular debido a un desajuste entre cómo se regula y cómo se utiliza. Bajo el GDPR, la huella digital del navegador y del dispositivo cuenta como procesamiento de datos personales porque crea un identificador único vinculado a una persona específica, lo que significa que requiere una base legal — casi siempre consentimiento afirmativo — y divulgación en una política de privacidad. Bajo CCPA y CPRA en California, y bajo la mayoría de las otras leyes de privacidad estatales de EE.UU. aprobadas desde 2023, las huellas digitales se clasifican explícitamente como identificadores personales únicos, colocándolas en la misma categoría legalmente sensible que otras formas de datos biométricos y de seguimiento.
A pesar de esa clasificación, la huella digital es una de las herramientas predeterminadas que los proveedores de verificación de edad utilizan para asociar un dispositivo con una edad inferida y para evitar que los usuarios simplemente borren las cookies para eludir una verificación. La suposición detrás de su uso es que una huella digital es lo suficientemente anónima como para ser de bajo riesgo. Una investigación de 2025 socavó esa suposición directamente: encontró que algunos corredores de datos pudieron vincular sesiones de navegación supuestamente anónimas a nombres reales y direcciones de domicilio utilizando solo datos de huella digital, sin requerir otra información identificativa. Un dato que se recopila específicamente porque se trata como una forma ligera y respetuosa con la privacidad de verificar la edad de alguien resulta ser suficiente, por sí solo, para reidentificar a esa persona.
Qué hacer realmente al respecto
Lea la política de privacidad del proveedor de verificación de edad, no solo la de la plataforma. Cuando un sitio subcontrata las verificaciones de edad a un tercero — el nombre del proveedor a menudo se divulga en letra pequeña o en un banner de consentimiento — los términos de retención e intercambio de datos de ese proveedor rigen lo que sucede con su escaneo facial o foto de identificación, y con frecuencia son más permisivos que la propia política de la plataforma.
Donde exista una opción, favorezca los métodos de verificación que eviten los escaneos faciales y las cargas de identificaciones. La atestación en el dispositivo, donde un sistema operativo confirma un rango de edad localmente sin transmitir datos biométricos, y las pruebas de edad de conocimiento cero, que pueden confirmar que alguien está por encima de un umbral de edad sin revelar una fecha de nacimiento o imagen de identificación, son alternativas técnicamente disponibles que algunas plataformas están comenzando a admitir. Aún no son la opción predeterminada, y pedirlas como opción es actualmente la principal palanca que tienen los usuarios.
Siga el resultado de la orden judicial de Texas y las impugnaciones paralelas a las leyes de California, Luisiana y Utah. La base legal para estos mandatos de intercambio de datos de tiendas de aplicaciones no está resuelta, y un fallo en un estado puede cambiar cómo se aplican o modifican los demás. Dado que la aplicación ya es inconsistente incluso donde las leyes están activas, el riesgo práctico para la mayoría de los usuarios hoy proviene menos de las leyes mismas que de los conductos de datos de terceros construidos silenciosamente para cumplir con ellas.