Uusi KIDS Act tuo lapsille ikärajat ja addiktointikiellon verkkopalveluihin (also available in English)

Kirjoittajat: Maria Aholainen, Veera Lahtinen Lukuaika: 2 min

Syyskuussa 2026 annettu KIDS-asetus (EU KIDS Act) on komission uusin lakiehdotus, joka asettaa pakolliset ikärajat ja ikävarmenteen sosiaalisen median palveluille, peleille ja muille verkkopalveluille sekä pakottaa suunnittelemaan palvelut lapsille soveltuviksi.

Lakiehdotuksen tavoitteena on ehkäistä palveluiden riippuvuutta ja rajoittaa haitallista sisältöä. Ehdotuksen taustalla on komission heinäkuussa 2026 julkaisema asiantuntijaraportti lasten suojelemisesta verkossa.

Kolme keskeistä asiaa lakiehdotuksesta:

1. Verkkopalvelut

Laki koskisi erityisesti sosiaalisen median palveluita, kuten verkkoyhteisöpalveluita, videonjakoalustoja, sovelluskauppoja, verkkopelejä, tekoälyseuralaisia sekä käyttöjärjestelmien tarjoajia.

Laki toimisi yhdessä digipalveluasetuksen kanssa. Soveltamisala olisi kuitenkin digipalveluasetusta laajempi ja ulottuisi palveluihin, joita ei tyypillisesti pidetä digipalveluasetuksen tarkoittamina verkkoalustoina, kuten tekoälykumppanit ja yleiset keskustelubotit, käyttöjärjestelmät sekä verkkopelit, jotka eivät levitä kolmansien osapuolten sisältöä julkisesti.

2. Ikärajat ja ikävarmenteet

Keskeisimpiä velvoitteita laissa on ikärajojen asettaminen verkkoyhteisöpalveluille ja videonjakoalustoille. Ikärajojen taustalla on paitsi lasten suojeleminen myös jäsenvaltioiden välisten ikärajakäytäntöjen yhtenäistäminen EU:ssa.

• Alle 13-vuotiaiden henkilökohtaiset käyttäjätilit kielletään. Alle 13-vuotiaat voivat käyttää vain sellaisia videonjakoalustapalveluja, jotka on suunniteltu erityisesti tälle ikäryhmälle, ja ainoastaan huoltajan oman käyttäjätilin kautta tietyin rajoituksin.

• 13–14-vuotiailla voi olla huoltajan perustama käyttäjätili, jossa olisi muun muassa rajoitettu määrä sosiaalisia kontakteja ja enimmillään yhden tunnin aikaraja palvelun käytölle päivässä. Rajoitettujen tilien avulla lapset voisivat käyttää ikätasoon sopivia sosiaalisen median alustoja ja videonjakopalveluita huoltajan tuella.

• 15–18-vuotiaat voivat luoda oman käyttäjätilin, mutta heille saa tarjota vain palveluita, jotka ovat lapsille suunnattuja niin sanotun safety by design -periaatteiden mukaisia (ks. aiheesta tarkemmin alla).

Verkkoyhteisöpalveluiden ja videonjakoalustojen tulee varmistaa käyttäjän ikä EU:n sertifioidulla iänvarmistusratkaisulla.

Laki asettaisi verkkoyhteisöpalveuille ja videonjakoalustoille velvollisuuden seuloa läpi olemassa olevat käyttäjätilit kuuden kuukauden kuluessa asetuksen soveltamisen alettua, ja käytännössä alle 15-vuotiaiden käyttäjätilit tulee estää.

3. Safety by design -periaatteet

Laki asettaa pakolliset safety by design -periaatteet alaikäisille suunnatuissa verkkopalveluissa. Alaikäisiä ovat lakiehdotuksen mukaan kaikki alle 18-vuotiaat. Periaatteet koskevat palveluita, joita lapset käyttävät eniten: sosiaalinen media ja videonjakoalustat, pelit, keskustelubotit sekä sovelluskaupat.

Palvelut tulee suunnitella lapsille soveltuviksi ja turvallisiksi. Lakiehdotus kieltää palveluiden suunnittelemisen addiktoiviksi sekä estää oletusarvioisesti pääsyn mikrofoniin ja kameraan. Palveluita ei myöskään saa suunnitella niin, että ne voisivat johtaa liialliseen tai impulsiiviseen rahankäyttöön. Lisäksi ehdotus asettaa vaatimuksia suosittelujärjestelmille, joita verkkoyhteisöpalveluissa ja videonjakoalustoilla käytetään. Esimerkiksi lapsille ei saa suositella sisältöä vain sen perusteella, kuinka kauan lapsi on katsonut tiettyä sisältöä. Sisältösuositusten tulisi perustua lapsen suoriin valintoihin, kuten palautteeseen tai itse valitsemiin aiheisiin.

Käytännössä ehdotuksen myötä alle 18-vuotiaille käyttäjille ei saisi tarjota esimerkiksi loputonta sisältövirtaa, ilmoituksia yöaikana tai yhteydenottopyyntöjä tuntemattomilta.

Valvonta

Koska lakiehdotus liittyy vahvasti digipalveluasetukseen, tietosuoja-asetukseen sekä tekoälyasetuksen mukaisiin tekoälyjärjestelmiin, valvovat viranomaiset määräytyisivät näiden voimassa olevien lakien mukaisesti. Näin ollen Suomessa valvontavastuu olisi todennäköisesti pääasiassa Traficomilla, joka valvoo digipalveluasetusta ja tekoälyasetuksen 50 artiklaa, ja rajoitetusti ikävarmenteiden osalta tietosuojavaltuutetun toimistolla, ellei kansallisessa lainvalmistelussa päädytä erilaisiin ratkaisuihin.

Consumer & Retail– ja Technology & Data -tiimimme seuraavat lakiehdotuksen etenemistä ja neuvovat asiakkaita aiheeseen liittyvissä kysymyksissä.

EU’s New KIDS Act Brings Age Restrictions to Online Services and Bans Addictive Design

Authors: Maria Aholainen, Veera Lahtinen Read time: 2 min

The EU KIDS Act, adopted by the Commission in September 2026, is the Commission’s latest legislative proposal setting mandatory age restrictions and age verification for social media services, games, and other online services and requiring these services to be suitable for children by design.

The proposal aims to prevent addiction to services and to limit harmful content. It follows the Commission’s expert report on child safety online, published in July 2026.

Three key points of the proposal:

1. Online services

The proposal would, in particular, cover social media services, including online social networking services, video-sharing platform services, software application stores, online games, AI companions, and providers of operating systems.

The proposal would operate alongside the Digital Services Act. However, its scope would be broader than that of the Digital Services Act, extending to services not typically regarded as online platforms under the Digital Services Act, such as AI companions and general conversational chatbots, operating systems, and online games that do not publicly disseminate third-party content.

2. Age restrictions and age verification

One of the key obligations under the proposal is setting age restrictions for online social networking services and video-sharing platform services. The age restrictions are intended not only to protect children but also to harmonise divergent age-limit practices between EU Member States.

• Personal user accounts for persons below the age of 13 would be prohibited. Persons below the age of 13 could only use video-sharing platform services that are specifically designed for that age group and only through a guardian’s personal account with certain restrictions.
  
• Minors aged 13 to 14 could have an account set up by a guardian, which would, among other things, have a limited number of social contacts and a maximum daily time limit of one hour for use of the service. Such limited accounts would allow children to use age-appropriate social media platforms and video-sharing services with a guardian’s support.
  
• Minors aged 15 to 18 could create their own account but could only be offered services aimed at minors that comply with the so-called safety-by-design principles (read more below).

Online social networking services and video-sharing platform services would be required to verify age using an EU-certified age verification solution.

The proposal would require providers of online social networking services and video-sharing platform services to screen existing user accounts within six months of the Act becoming applicable, and in practice, accounts of users below the age of 15 would have to be disabled.

3. Safety-by-design principles

The proposal establishes mandatory safety-by-design principles for online services aimed at minors. Under the proposal, minors are all persons below the age of 18. The principles apply to the services children use most: social media and video-sharing platforms, games, chatbots, and software application stores.

Services must be designed to be suitable and safe for children. The proposal prohibits designing services to be addictive and would by default block access to the microphone and camera. Services may also not be designed in a way that could lead to excessive or impulsive spending. In addition, the proposal sets requirements for recommender systems used by online social networking services and video-sharing platform services. For example, content may not be recommended to children solely on the basis of how long a child has watched particular content. Content recommendations should instead be based on the child’s direct choices, such as feedback or topics the child has selected.

In practice, users below the age of 18 could not be offered, for example, an endless content feed, notifications at night, or contact requests from strangers.

Enforcement

Because the proposal is closely linked to the Digital Services Act, the GDPR, and AI systems under the AI Act, the competent supervisory authorities would be determined under these existing laws. In Finland, enforcement is therefore likely to lie mainly with Traficom, which supervises the Digital Services Act and Article 50 of the AI Act, and, to a limited extent with regard to age verification, with the Office of the Data Protection Ombudsman, unless the national drafting of legislation arrives at a different outcome.

Our Consumer & Retail and Technology & Data Teams will keep an eye on the legislative process and are happy to discuss these topics.