2026年9月17日，欧盟委员会提出《欧盟儿童法案》立法提案（EU Keeping Internet Digital Spaces Accountable and Trustworthy，下称“EU KIDS Act”；提案文件编号：COM(2026) 681 final），拟在欧盟范围内统一具有特定风险特征的社交网络及视频分享服务的账户年龄准入规则：未满13岁不得开立或使用归属于本人的账户；已满13岁至未满15岁，可通过监护人设立并管理的受限账户使用；年满15岁可自主开户。提案另为未满13岁儿童通过监护人账户访问特定视频分享服务保留了严格限定的例外。同时，提案进一步强化在线服务的年龄保障、默认保护及安全设计义务。[1]

大西洋彼岸，美国联邦层面，《儿童在线安全法案》（Kids Online Safety Act，下称“KOSA”；S.1748）仍在推进，2026年9月30日有参议员试图通过一致同意程序推动其获参议院通过，但遭到反对；众议院则已于6月29日通过包含相关儿童安全规定的《儿童互联网与数字安全法案》（Kids Internet and Digital Safety Act，下称“KIDS Act”；H.R.7757），两院方案在平台注意义务等关键问题上仍存在分歧。[5][7]

欧美两者之间的差异，并不只在“年龄线该画在哪里”。欧盟提案更强调默认安全设计与年龄保障，美国则在多项具体保护义务中以平台的知情程度作为触发条件，并辅以联邦执法、州法和私人诉讼。但这种比较是监管重心的概括：美国亦有设计义务，欧盟也存在以知情为条件的规则，不能把“是否知情”理解为美国所有未成年人保护义务的总开关。

一、立法路线：一部“条例”，一张“拼图”

欧盟：选择统一立法路径。以《欧盟运行条约》第114条为法律基础，EU KIDS Act以“条例”（Regulation）形式提出，拟在欧盟范围内统一未成年人网络保护规则，避免成员国年龄限制及平台义务分化。它也不是一座孤岛：一方面细化《数字服务法》（Digital Services Act，下称“DSA”）第28条的未成年人保护要求，另一方面在《人工智能法》（Artificial Intelligence Act，下称“AI Act”）既有规则之外，为人工智能（下称“AI”）陪伴与通用对话型聊天机器人增加未成年人专项设计义务，并与《通用数据保护条例》（General Data Protection Regulation，下称“GDPR”）衔接。AI Act本身已可适用于有关AI系统，不能将其理解为尚未覆盖这些产品。目前，提案（立法程序编号：2026/0286(COD)）仍处于普通立法程序中，尚未成为现行法。[1][3]

美国：则是一张拼图，呈现联邦与州法并行的监管格局。联邦层面能落地执行的，仍主要是1998年制定的《儿童在线隐私保护法》（Children’s Online Privacy Protection Act，下称“COPPA”），它管的是13岁以下儿童的个人信息，而非全面的产品安全设计。拟进一步强化未成年人网络安全保护的联邦法案尚未完成立法。于是州一级先行，各州持续针对社交媒体、年龄验证及特定产品功能制定专项规则，形成适用范围与合规义务各异的监管体系。

对于同时进入欧美市场的企业，欧盟侧重统一规则下的跨法规合规，美国则需重点识别联邦基础义务与各州专项要求的叠加适用。

欧盟：EU KIDS Act的适用对象有七类：在线社交网络、视频分享平台、软件应用商店、网络游戏、操作系统、AI陪伴服务、通用对话型聊天机器人。提案适用于向欧盟境内接收者或用户提供相关服务或系统的提供者，不以其是否设立于欧盟境内为限，但针对非营利性百科全书、教育服务及公共机构提供的服务等设有适用例外；各类主体承担的具体义务仍须逐条判断。[1]

欧盟委员会将提案的核心措施概括为四大支柱：社交媒体使用年龄限制（social media delay）、安全设计（safety by design）、年龄保障与家长责任（age assurance and parental responsibility），以及有效执法（effective enforcement）。其中，“延迟”并非全面禁止未成年人使用网络服务，而是对具有特定风险功能的社交网络及视频分享服务设置账户准入限制，并通过家长管理的受限账户等机制保留适龄使用空间。

美国：美国联邦立法则呈现不同路径。参议院版KOSA（S.1748）拟要求受监管平台在设计功能的创建和实施中尽合理注意义务，预防和减轻与该功能相关且可合理预见的特定未成年人损害。相比之下，2026年6月29日众议院通过的KIDS Act（H.R.7757）第213条要求平台针对特定风险建立、实施及执行合理的政策、措施和程序，并明确该条不应被解释为对平台施加注意义务（duty of care）。[5]

在年龄识别方面，KIDS Act第212条将该法第二编A分编的知悉标准扩展至“知道或应当知道”（know or should have known），但不宜据此理解为所有平台均须实施普遍年龄验证。相关义务仍需结合具体服务类型及法案条款判断。上述两项联邦法案目前均尚未完成立法程序，其最终义务范围仍存在不确定性。以下对KOSA具体条文的分析以S.1748公开的提出版本为依据；该案于2026年8月5日经委员会以替代修正案形式审议通过，后续仍须按最终公布文本复核。[5][7]

二、年龄与年龄保障：默认保护，还是知情触发

欧盟：逻辑是先保护、后放行。EU KIDS Act第6条为具有特定风险特征的社交网络与视频分享平台划出三段年龄：未满13岁不得开立或使用归属于本人的账户；已满13岁至未满15岁，可由监护人设立受限账户，家长控制工具须始终开启，监护人可设定每日最多1小时的使用上限，并可预先批准潜在新联系人及限制联系人数量；年满15岁不再受该条的自主开户年龄门槛限制，但仍可能适用其他未成年人保护要求。所谓“风险特征”包含五类情形：向不特定多数用户直播；与既有联系人或订阅对象之外的人互动；使用基于画像的推荐系统；推荐新的联系人或来自既有联系人、订阅对象之外的信息；以及促进不间断内容消费、激励互动或通过自动通知促使用户上线的功能或设计。第7条另允许专为未满13岁儿童设计的视频分享服务，在严格条件下供已满3岁至未满13岁儿童通过监护人自己的账户有限访问，不得为儿童另设或归属账户。[1]

相比账户准入限制，第8条规定的默认保护机制对企业产品设计的影响更为直接。该条要求适用主体默认按照未成年人隐私、安全及保障要求设计服务或系统，只有通过符合提案要求的年龄保障机制确认用户成年后，方可偏离相关默认保护要求。第32条第3款另规定，如能以高度确信确认用户并非未成年人，则无须再评估其年龄；不宜将默认保护规则理解为所有用户都必须重新核验年龄。[1]

【EU KIDS Act｜Article 8(1)】 Providers [...] shall design those services and systems in accordance with the requirements laid down in this Chapter by default and shall only derogate from those requirements after they have established that the recipient of the service or the user of the system is an adult, by making use of age assurance in accordance with Chapter V.

换句话说，在该默认设计规则下，平台原则上无须先确认用户是儿童才提供保护，而须确认用户成年方可偏离保护要求，并适用前述例外。提案在年龄保障定义中排除了用户自行申报年龄（self-declaration）：勾选“我已满18岁”不构成有效的年龄保障，企业需要根据适用场景采取符合要求的年龄保障措施；年龄保障包括年龄估算和年龄核验，并不等同于实名身份验证。[1]

年龄保障的技术要求也被进一步明确。

· 提案第27条要求年龄保障方案具备较高的准确性、可靠性、安全性、稳健性、非侵入性及隐私保护水平，并避免歧视；

· 第28条第3款更要求相关年龄保障措施采用零知识证明；

· 第29条区分不同适用场景：针对第6条规定的社交媒体账户准入限制，平台须采用符合欧盟认证要求的第三方年龄核验方案；对于第8条的默认保护及第16条规定的部分应用商店义务，则允许采用其他符合要求的年龄保障方式；

· 第31条第5款要求成员国确保至少提供一种免费的欧盟认证年龄核验方案，并非要求平台向所有用户免费提供全部核验服务。

年龄保障也引发了新的隐私争议。欧洲数字权利组织（European Digital Rights，下称“EDRi”）等指出，年龄核验可能导致成年人同样需要证明年龄，并带来身份识别、跨服务追踪及网络匿名性受损等风险。欧盟委员会则通过年龄证明、数据最小化及零知识证明等机制，试图在未成年人保护与用户隐私之间实现平衡。如何确保核验机制既有效识别年龄，又不演变为普遍身份识别，仍是提案后续审议的重要问题。[8]

美国：须先区分服务类型与适用条件。COPPA及其实施规则原则上适用于面向未满13岁儿童并收集个人信息的网站或在线服务，以及实际知悉正在收集此类儿童个人信息的一般网站或在线服务运营者；不能将“实际知悉”视为所有适用情形的共同前提。除法定例外外，收集、使用或披露儿童个人信息前须取得可验证的家长同意。2025年修订的实施规则进一步要求：向第三方披露儿童个人信息，原则上须单独取得可验证的家长同意，但披露与服务性质不可分的情形除外；这涵盖用于定向广告的非必要第三方披露，不能笼统等同于任何AI训练均须取得“单独同意”。个人信息定义新增特定生物识别标识及政府签发标识，并强化书面信息安全计划、数据留存及删除要求。修订规则于2025年6月23日生效，大部分新增要求的合规期限为2026年4月22日。[4]

联邦层面，KOSA第112条及KIDS Act第220条均明确，相关规定不应被解释为要求平台普遍实施年龄门禁或年龄核验。但两者对部分具体保护义务设置了较宽的知悉标准：前者包括实际知悉及根据客观情况可合理推知，后者在第二编A分编采用“知道或应当知道”的标准。该标准不能概括为KIDS Act所有分编的统一标准；其其他分编另有定义和年龄核验要求。此外，KOSA及KIDS Act相关安全规定将“未成年人”定义为未满17岁，与EU KIDS Act的未满18岁不同，不能直接以同一年龄范围比较。美国国会研究服务处（Congressional Research Service，下称“CRS”）在对第118届国会相关方案的分析中指出，平台可能主动采取年龄核验措施，或对所有用户统一调整产品功能；这一实务判断仍具有参考意义。[1][5][6]

州法则提供了另一种路径。加州《数字年龄保障法》（Digital Age Assurance Act，AB 1043，经AB 1856修订）规定自2027年1月1日起实施，要求符合条件且具有账户设置功能的操作系统提供者，在账户设置环节要求账户持有人申报设备主要用户的年龄或出生日期，并向受监管应用商店或应用开发者提供年龄区间信号。开发者在应用下载并启动时须按法定要求获取信号；收到信号后，原则上被视为实际知悉相应年龄区间，不能故意忽视与该信号不符的、内部已有的清晰且令人信服的信息。该机制将部分年龄信息获取工作前移至操作系统层面，但不当然免除开发者自身义务。修法另对符合许可条件的开源软件分发者等作出排除；既有设备及符合条件的既有应用设有截至2027年7月1日的过渡安排。[9]

三、设计义务：监管之手伸向“留人机制” 

过去谈儿童保护，监管盯的是“屏幕上出现什么”；这一轮，规则开始盯住“让用户停不下来的机制”。

欧盟：提案第9—11条进一步细化了社交网络及视频分享平台的安全设计义务，包括限制诱发过度使用的自动播放、持续性内容消费、奖励及通知机制；要求推荐系统优先考虑用户明确表达的偏好，默认关闭基于行为参与信号的推荐，并提供推荐参数调整及非画像推荐选项；同时要求默认关闭定位、摄像头、麦克风及推送通知等功能。

上述要求并非完全从零开始。欧盟委员会于2025年7月发布的DSA《未成年人保护指引》，已建议平台默认采用较高隐私设置、限制可能造成过度使用的功能、提高未成年人对推荐系统的控制权，并采取措施防止其发布的内容被未经授权下载或截屏。该指引为解释和落实DSA第28条提供参考，不等同于独立新增法定义务，也不构成当然免责依据。2026年7月，欧盟委员会进一步就Instagram和Facebook的成瘾性设计作出违反DSA的初步认定，表明相关问题已进入实际执法；初步认定不等于最终违法决定。[2][12]

从监管逻辑看，产品风险并不完全取决于内容本身。推荐算法决定内容如何分发，通知与奖励机制影响用户是否持续使用，默认设置则决定未成年人在使用产品时面临何种风险。因此，未成年人保护不能仅依靠内容审核，还需要在产品设计及功能配置阶段识别并降低风险。

值得注意的是，英国《适龄设计准则》（Age Appropriate Design Code，下称“英国准则”）较早确立了将儿童隐私保护融入产品设计的监管框架，要求默认采用高隐私设置，并限制诱导儿童提供不必要个人信息或弱化隐私保护的设计。美国加州《适龄设计准则法》（California Age-Appropriate Design Code Act，下称“CAADCA”）亦体现类似监管方向，但其部分条款受到司法禁令限制；加州又于2026年9月10日通过AB 2246，规定以新的儿童在线隐私条款替代原制度，须区分现行规则、禁令范围与新法实施时间。欧美监管路径虽不完全相同，将未成年人保护前置至产品设计阶段已成为值得企业关注的共同趋势。[10][11]

美国：方向趋同。KOSA拟要求受监管平台为其知悉的未成年用户提供限制强迫性使用的保护工具，并将相关保护默认设为最严格水平，涉及无限滚动、自动播放、使用时长奖励及推送通知等设计，同时提供隐私保护、陌生人互动限制及个性化推荐控制措施。州法也体现设计治理方向：CAADCA规定高隐私默认设置，部分条款曾受禁令限制；2026年3月12日的上诉裁判部分维持、部分撤销禁令。2026年9月通过的AB 2246将自2027年1月1日起替代原制度，继续规定高隐私默认设置、年龄估算或对全部用户提供儿童保护等义务。企业应分别核对新旧法与禁令的适用范围。[5][10]

此外，加州《社交媒体警示法》（Social Media Warning Law，AB 56）规定自2027年1月1日起实施，要求符合条件的平台在用户每日首次访问时展示警示，并在当日累计主动使用满3小时后及其后每累计1小时再次展示警示。平台如已合理确定用户年满18岁，可免于展示相应警示。该制度通过法定风险提示揭示社交媒体使用可能带来的心理健康风险，本身不创设私人诉权。[13]

四、AI与情感依赖：禁止、披露与诉讼

针对AI陪伴与聊天机器人，欧美正在形成不同的监管路径。

欧盟：以现行AI监管为基础，进一步强化未成年人专项保护。AI Act第5条第1款(a)、(b)项禁止符合特定条件、造成或合理可能造成重大损害的操纵性、欺骗性AI实践，以及利用年龄等脆弱性实质性扭曲行为的AI实践；第50条原则上要求提供者告知用户正在与AI系统交互，但在合理知情、注意且审慎的人看来这一点已显而易见等情形除外。EU KIDS Act第14条则拟增加专项要求：避免可能引发未成年人情感依赖的模拟人际关系设计；原则上默认不将历史交互信息或分析用于后续交互，但保护未成年人安全或落实相关安全设置所必需的情形除外；开展上线前风险评估与测试，并实施上市后风险监测，后者对微型和小型企业设有例外。未满13岁用户的访问还须由监护人工具启用及控制。[1][3]

现行数据保护法律也已成为重要执法依据。意大利数据保护机构于2025年4月10日作出决定，并于同年5月公布相关情况，因Replika在相关时期缺乏个人数据处理合法性基础、存在透明度及年龄核验不足等问题，对其运营商Luka Inc.处以500万欧元罚款。[14]

需要注意，AI Act第5条的禁止性规定已于2025年2月2日起适用，第50条透明度义务已自2026年8月2日起适用；EU KIDS Act仍处于立法程序中，相关新增义务尚未生效。

美国：以专项立法、监管调查与私人诉讼强化责任。2025年9月11日，美国联邦贸易委员会（Federal Trade Commission，下称“FTC”）依据《联邦贸易委员会法》第6(b)条，向七家AI聊天机器人相关企业发出信息提供命令，调查产品安全测试、年龄限制、用户交互及儿童隐私保护等情况。该调查属于行业研究，并非针对特定违法行为的执法认定。[15]

州法层面，加州关于陪伴型聊天机器人的SB 243（Companion Chatbots）核心行为义务已于2026年1月1日生效，要求符合条件的运营者履行AI身份披露、自杀及自伤风险应对等义务；对已知未成年用户，还须默认在持续交互中至少每3小时提醒休息并再次说明其非人类身份，采取合理措施防止生成特定色情视觉内容或直接建议未成年人从事相关性行为。因违法遭受实际损害者可依法提起私人诉讼；年度报告义务则自2027年7月1日起实施。此外，加州于2026年9月通过SB 1119，增加儿童安全风险评估、安全控制和独立审计等要求，其中主要安全义务自2027年7月1日起实施，首次审计另设期限及过渡性营收豁免。相关产品的民事责任须结合具体义务、损害及因果关系判断。[16]

五、执法与救济：监管前置，还是私权驱动

欧盟：现行法律已进入实质执法阶段。2025年5月，欧盟委员会针对Pornhub等四家成人内容平台启动DSA调查，重点关注未成年人保护及年龄验证措施；2026年4月及7月，又分别就Meta未能有效阻止13岁以下用户访问，以及Instagram、Facebook的成瘾性设计作出初步违法认定；初步认定仍须经过后续程序，不能表述为已作出最终处罚。上述案件说明，即使EU KIDS Act尚未生效，监管机构仍可依据现行DSA追究平台责任。同时，未成年人保护措施须与风险相称，并兼顾隐私及其他基本权利。[12][17]

处罚方面，DSA对相关实质义务违法的罚款上限为提供者上一财政年度全球年度营业额的6%，特定信息提供等程序性违法另有上限；AI Act对违反第5条禁止性规定的行为，最高可处3500万欧元或上一财政年度全球年度营业额7%的罚款（一般取较高者；中小企业，包括初创企业，适用较低者等特别规则）。违反COPPA实施规则的民事罚款上限按现行规定为每项违法53,088美元，具体金额取决于违法情节等因素，并须关注后续通胀调整。[3][18]

美国：监管执法与私人诉讼并行，且州法面临持续的司法审查。FTC及州总检察长可依据相关法律执法，部分州法另赋予私人诉权，但COPPA本身不创设私人诉权。未成年人保护措施亦可能因涉及言论自由而受到宪法挑战。例如，CAADCA及得克萨斯州《应用商店责任法》（App Store Accountability Act，SB 2420）均经历司法审查；禁令的发布、部分撤销或暂缓执行，会改变相应条款的可执行状态，不能仅凭最初的禁令判断现状。[10][19]

因此，对进入美国市场的企业而言，不仅需要识别州法规定的合规义务，还应持续关注其实施日期、司法禁令及最新裁判，避免将法律通过等同于全部条款均可执行。

六、企业要准备什么

EU KIDS Act及相关美国联邦新法案虽仍在立法阶段，但DSA、GDPR、AI Act、COPPA及多项州法已经生效或进入分期实施阶段。企业既要落实现行义务，也应为拟议规则预留可复用的合规能力。

具体实施可从三个方面展开：

第一，明确产品适用规则。结合目标年龄、实际用户、产品功能、营销方式及上线地区，识别适用的欧盟法规、美国联邦法及州法，不能仅凭“仅限成年人使用”的声明排除未成年人保护义务。

第二，将法律要求落实到产品功能。对照适用规定，逐项评估年龄保障、默认隐私设置、推荐算法、陌生人互动、使用时长、AI记忆及情感交互机制，明确需要限制、默认关闭或设置家长控制的功能。

第三，建立可核查的合规记录。留存法律适用评估、产品设计决策、年龄保障措施、安全测试、风险评估及整改记录，并在产品功能、用户定位或上线地区发生变化时及时复核。

企业合规的关键，不仅是判断是否需要保护未成年人，更是明确哪些法律适用于自身产品、哪些功能需要调整，以及如何证明相关保护措施已经落实。

七、结语

欧盟与美国的未成年人网络保护制度虽有不同的监管路径，但正呈现共同趋势：监管重点从个人信息及内容保护，进一步延伸至产品设计与使用风险。欧盟通过统一立法与安全设计要求强化事前保护，美国则依托联邦法律、州级专项立法及监管执法、私人诉讼等机制，逐步完善未成年人保护体系。

对同时进入欧美市场的企业而言，关键并非简单选择更严格的统一标准，而是根据不同市场的法律要求，识别适用义务，将年龄保障、默认保护及AI安全等措施落实到具体产品功能，并保留可核查的合规证据。

* 实习生王勃森对本文亦有贡献。

参考资料：

1. EU KIDS Act提案，COM(2026) 681 final，2026/0286(COD)，2026年9月17日，第2—3、6—16、27—32条。

2. 欧盟委员会，DSA未成年人保护指引及年龄核验蓝图，2025年7月14日。

3. DSA：Regulation (EU) 2022/2065，第28、52、74条；AI Act：Regulation (EU) 2024/1689，第5、50、99、113条；GDPR：Regulation (EU) 2016/679，第8、25条。

4. COPPA实施规则：美国《联邦法规汇编》（Code of Federal Regulations，下称“C.F.R.”）第16编第312部分，重点为§§312.2、312.3、312.5、312.8、312.10；2025年修订规则刊于《联邦公报》（Federal Register）第90卷第16918页（2025年4月22日），并见该文所列生效与合规日期。

5. 第119届国会：KOSA，S.1748（2025年5月14日提出版本），第101—103、112条；KIDS Act，H.R.7757（2026年6月29日众议院通过版本），第201、212—214、220、232条及第一编。

6. CRS，KOSA分析报告IF12730，2024年9月27日版本，第2页“Considerations for Congress”。此处仅引用其对合规选择的分析，不据此确定第119届国会法案条文。

7. 美国参议院商务委员会，2026年8月5日审议结果；《国会记录》，2026年9月30日，第S5213页及续页（KOSA一致同意请求及反对）。

8. EDRi，The KIDS Act will make the internet less safe，2026年9月30日（政策批评意见，非法律效力依据）。

9. 加州AB 1043（2025年第675章），经AB 1856（2026年第184章）修订；《民法典》§§1798.500—1798.505，重点为年龄区间信号、实际知悉、开源许可排除及过渡安排。

10. 加州CAADCA（AB 2273，2022年第320章）；NetChoice, LLC v. Bonta, No. 25-2366（第九巡回上诉法院，2026年3月12日）；AB 2246（2026年第187章），废止并重订《民法典》第1.81.47编。

11. 英国准则，第7项（默认设置）及第13项（诱导设计），英国信息监管机构官方文本。

12. 欧盟委员会，对Meta未有效防止未满13岁用户访问的初步认定（2026年4月29日），以及对Instagram、Facebook成瘾性设计的初步认定（2026年7月10日）。

13. 加州AB 56（2025年第671章），《健康与安全法典》§28002，特别是警示时点、成年用户例外、不创设私人诉权及2027年1月1日实施安排。

14. 欧洲数据保护委员会，意大利监管机构对Replika运营商的处罚通报，2025年5月21日；所述决定作于2025年4月10日。

15. FTC，依据第6(b)条对陪伴型AI聊天机器人的调查公告，2025年9月11日。

16. 加州SB 243（2025年第677章），《商业与职业法典》§§22601—22606；SB 1119（2026年第190章），重点为§§21812—21814及分期实施规定。

17. 欧盟委员会，对Pornhub、Stripchat、XNXX和XVideos启动未成年人保护调查，2025年5月27日。

18. COPPA罚款依据：《美国法典》（United States Code，下称“U.S.C.”）第15编§§6502(c)、6505(d)，15 U.S.C. §45(m)(1)(A)，16 C.F.R. §1.98(d)；FTC民事罚款上限调整规则。

19. 得克萨斯州SB 2420相关诉讼：Computer & Communications Industry Association v. Paxton，初步禁令及后续上诉、暂缓执行程序。