← Leyes y regulación

Online Safety Act

El Reino Unido tomó un camino distinto al de la UE. En lugar de escribir reglas para las plataformas más grandes, escribió obligaciones para casi todos los servicios donde las personas pueden publicar contenido para otras, y se las confió a un solo regulador con poder para multar.

Cómo leer esta página. Toca cualquier palabra subrayada para ver el término jurídico exacto y una definición breve. Abre cualquier recuadro “Más a fondo” para ver los pormenores y los puntos en disputa. El texto principal se sostiene solo: puedes saltarte ambos y aun así seguir todo el argumento.

Qué es la ley

La Online Safety Act 2023 recibió la sanción real el 26 de octubre de 2023. Su título largo es modesto: una ley “para establecer disposiciones sobre la regulación por parte de OFCOM de ciertos servicios de internet, y en relación con ella”. Lo que cambia es la pregunta que se hace. Antes de ella, la principal exposición jurídica de un servicio en el Reino Unido era por contenidos concretos, una vez que se le había avisado de ellos. La ley, en cambio, impone un deber de cuidado (duty of care) al propio servicio: a sus sistemas, a sus procesos y a su diseño. Ofcom, el regulador de las comunicaciones, redacta los códigos de práctica y los hace cumplir.

Llega más lejos de lo que cabría esperar de una ley británica. Según la sección 4, un servicio está regulado si “tiene vínculos con el Reino Unido”: un número significativo de usuarios en el Reino Unido, que esos usuarios sean uno de sus mercados objetivo, o simplemente que pueda usarse en el Reino Unido cuando hay motivos razonables para creer que presenta un riesgo material de daño significativo. No lo decide el lugar donde está registrada la empresa.

Qué exige

Tres capas, que llegaron una tras otra.

Contenido ilegal. Todo servicio regulado de usuario a usuario y de búsqueda debe evaluar el riesgo de que sus usuarios se encuentren con contenido ilegal —una lista que va del terrorismo y el material de abuso sexual infantil al fraude y el contenido que fomenta o ayuda al suicidio— y usar sistemas proporcionados para impedirlo, para limitar cuánto tiempo permanece publicado y para retirarlo en cuanto el servicio lo sepa. Ofcom publicó estos códigos el 16 de diciembre de 2024; las evaluaciones de riesgos vencían el 16 de marzo de 2025 y las obligaciones entraron en vigor el 17 de marzo de 2025.

Seguridad de los menores. Un servicio al que probablemente accedan menores debe hacer una evaluación de riesgos aparte, centrada en ellos, y tomar medidas proporcionadas contra el “contenido de prioridad primaria”: la pornografía y el contenido que fomenta el suicidio, las autolesiones o los trastornos de la conducta alimentaria. Ofcom publicó los códigos para menores el 24 de abril de 2025, con más de 40 medidas; las evaluaciones vencían el 24 de julio de 2025 y las obligaciones entraron en vigor el 25 de julio de 2025.

Controles de edad. La sección 12(4) exige que el proveedor use comprobación de la edad o estimación de la edad (age verification, age estimation) para impedir que menores de cualquier edad lleguen al contenido de prioridad primaria, y la sección 12(6) dice que el método debe ser “altamente eficaz para determinar correctamente si un usuario en particular es o no un menor”. De esa frase de la ley salió el verano de 2025: por ella, los usuarios británicos de sitios pornográficos, y de plataformas comunes que tienen ese mismo material, se encontraron con un control de edad.

El tope de las sanciones lo fija el Anexo 13: la cifra mayor entre 18 millones de libras y el 10% de los ingresos mundiales computables del proveedor. Ofcom también afirma que “en casos muy graves podemos solicitar una orden judicial para bloquear un sitio en el Reino Unido”.

Qué ha pasado desde que empezó la aplicación

La primera investigación de Ofcom en virtud de la ley, abierta en 2025, fue sobre un foro en línea dedicado al suicidio. El 13 de mayo de 2026 multó al proveedor con £950,000, al constatar que no había hecho “una evaluación de riesgos de contenido ilegal adecuada y suficiente”, que no había usado medidas proporcionadas contra el contenido ilegal prioritario y que no había retirado ese contenido con rapidez. Ofcom decidió no nombrar el foro ni a su proveedor, y le dio diez días hábiles para cumplir.

La primera multa en virtud de la ley llegó antes y fue menor. El 13 de octubre de 2025 Ofcom multó a 4chan con £20,000, más £100 diarias, por no responder a requerimientos legales de información; la misma actualización registraba cinco programas de aplicación y 21 investigaciones sobre los proveedores de 69 sitios y apps. El 19 de marzo de 2026 Ofcom impuso a 4chan otras tres sanciones por un total de £520,000 —£450,000 por la falta de controles de edad, £50,000 por la falta de una evaluación de riesgos de contenido ilegal y £20,000 por sus condiciones de servicio—, con sanciones diarias ligadas a un plazo que vencía el 2 de abril.

Hasta ahora, la mayoría de las sanciones se refieren a controles de edad en sitios pornográficos. El 20 de noviembre de 2025 Ofcom multó a Itai Tech Ltd con £50,000, más £5,000 por un requerimiento de información sin respuesta, por el sitio de “nudificación” Undress.cc, un servicio que genera imágenes falsas de personas reales desnudas. El boletín para la industria de junio de 2026 de Ofcom registra más sanciones en la misma línea, entre ellas £600,000 contra Youngtek Solutions Ltd y £80,000 contra First Time Videos LLC.

Los controles de edad y lo que vino después

Desde el 25 de julio de 2025 los controles tenían que estar en marcha. Lo que vino después se puede medir; lo que significa no está resuelto. La directora ejecutiva de Ofcom, Dame Melanie Dawes, comunicó a dos comisiones parlamentarias el 8 de octubre de 2025 que, tras la fecha límite, “los usuarios activos diarios de apps de VPN en el Reino Unido se duplicaron temporalmente hasta alrededor de 1.5 millones”, y que el uso “ya ha vuelto a bajar a alrededor de 1 millón a finales de septiembre”, un patrón que, según dijo, también se había dado tras los controles de edad en otros países y en estados de Estados Unidos. Una VPN oculta dónde está el usuario, así que es una forma de saltarse un control; también es una herramienta común de privacidad, y las cifras no dicen qué uso impulsó el aumento. La pregunta que Ofcom dice estar siguiendo, “aunque es difícil de medir”, es si el uso de VPN está creciendo entre los menores; datos de Internet Matters reunidos antes de julio sugerían que “alrededor de uno de cada diez menores de 18 años usaba VPN”, sobre todo entre los adolescentes mayores.

La oposición no fue solo técnica. Una petición en el sitio web del Parlamento británico para derogar la ley reunió 550,136 firmas; el gobierno respondió el 28 de julio de 2025 y los diputados la debatieron el 15 de diciembre de 2025.

Lo que hace, y lo que no hace, frente al diseño guiado por el engagement

La ley sí llega al feed, en dos puntos. La evaluación de riesgos para menores debe tener en cuenta “los algoritmos que usa el servicio y la facilidad, la rapidez y la amplitud con que puede difundirse el contenido”, y cómo el diseño del servicio, en particular sus funcionalidades, afecta el nivel de riesgo. Y las obligaciones de seguridad se aplican “en todas las áreas de un servicio, incluida la forma en que se diseña, se opera y se usa”, y mencionan “el diseño de funcionalidades, algoritmos y otras características” entre las áreas en las que el proveedor debe actuar si es proporcionado hacerlo. Ofcom lo convirtió en una medida concreta: todo proveedor que opere un sistema de recomendación (recommender system) al que su evaluación de riesgos asigne un riesgo medio o alto “debe configurar sus algoritmos para filtrar el contenido dañino de los feeds de los menores”.

Lo que la ley no hace es preguntar qué está optimizando el feed. Nada en ella exige que un servicio deje de ordenar por engagement, que revele qué maximiza su sistema de recomendación ni que ofrezca a un adulto un feed no personalizado. Las obligaciones se aplican a categorías de contenido: el ilegal o el dañino para los menores. Un feed puede ser todo lo absorbente que sus diseñadores logren hacerlo, siempre que lo que circula por él quede fuera de ambas listas. En este punto la UE fue un paso más allá: el artículo 38 del Reglamento de Servicios Digitales (Digital Services Act, DSA) exige a las plataformas más grandes ofrecer, para cada sistema de recomendación, al menos una opción “que no se base en la elaboración de perfiles”.

Tres apuestas distintas

Puestos uno al lado del otro, los tres regímenes que describe este sitio apuestan por cosas distintas. El DSA apuesta por la escala: las obligaciones más pesadas recaen en unas pocas decenas de plataformas muy grandes, supervisadas por la Comisión Europea, y la obligación central es evaluar y mitigar el riesgo sistémico (systemic risk) que genera el diseño de sus propios sistemas. La Online Safety Act apuesta por la amplitud: obligaciones comparables se aplican a un número muy grande de servicios de todos los tamaños, supervisados por Ofcom, y la obligación central se refiere a categorías definidas de contenido. La ley de edad mínima de Australia apuesta por el acceso: ninguna cuenta para menores de 16 años, y poco sobre el diseño o el modelo de negocio. Ninguno de los tres lleva en vigor el tiempo suficiente para evaluarlo frente a los otros.

Las críticas

Desde las organizaciones de derechos digitales, la objeción es que la ley compra una protección fácil de esquivar a costa de la privacidad de todos, y que unas obligaciones formuladas en torno al contenido “dañino” empujan a los servicios a retirar expresión lícita. La Electronic Frontier Foundation, Open Rights Group, Big Brother Watch e Index on Censorship presentaron ese argumento a políticos británicos en diciembre de 2025, y pidieron reformar o derogar la ley.

Una segunda impugnación llegó desde una dirección inesperada. La Fundación Wikimedia y un editor de Wikipedia impugnaron el reglamento que decide qué servicios entran en la “Categoría 1”, el nivel con las obligaciones más pesadas, con el argumento de que Wikipedia podría quedar incluida junto a plataformas sociales comerciales y de que los requisitos de identidad expondrían a sus voluntarios. El 11 de agosto de 2025 el Tribunal Superior (High Court) desestimó los cuatro motivos; el juez Johnson sostuvo que la cuestión dependía de lo que Ofcom decidiera en realidad, y señaló que los demandantes podían iniciar un nuevo proceso si Ofcom llegaba a clasificar así a Wikipedia. La Fundación dice que Ofcom le notificó el 10 de julio de 2026 que Wikipedia no es actualmente un servicio de Categoría 1, pero sigue en una “lista de vigilancia” de plataformas que podrían llegar a serlo más adelante.

Desde Estados Unidos, la objeción es sobre el alcance. El informe provisional del personal del Comité Judicial de la Cámara de Representantes, del 3 de febrero de 2026, llama a la ley “quizás el intento extranjero más notable de imitar el Digital Services Act” y trata a las dos leyes como una amenaza extranjera para la libertad de expresión en Estados Unidos. Como la sección 4 vincula las obligaciones a los usuarios del Reino Unido y no al lugar donde está la empresa, un servicio estadounidense con usuarios en el Reino Unido queda dentro del régimen: ese es el hecho sobre el que gira la discusión, y cada lado lo lee de manera distinta.

Cómo lo sabemos — qué está resuelto aquí y qué no +

Resuelto. Las obligaciones, las fechas, los códigos y el tope de las sanciones están en la ley y en los códigos publicados por Ofcom, y cada decisión de aplicación mencionada arriba es una decisión publicada de Ofcom. Son documentos, no estimaciones.

No resuelto. Si algo de esto mejora los resultados para los menores. Los códigos para menores solo están en vigor desde julio de 2025, y todavía no existe ninguna evaluación independiente publicada de su efecto. El propio Ofcom describe el problema de medición sin rodeos —si el uso de VPN entre menores está creciendo es algo “difícil de medir”—, y sus cifras de VPN cuentan a todos los usuarios del Reino Unido, así que por sí solas no dicen nada sobre el grupo para el que existen las obligaciones.

Con dos lados de verdad. Si unas obligaciones redactadas en torno al “contenido dañino” pueden aplicarse sin alcanzar a la expresión lícita es objeto de disputa desde ambos lados, y la sentencia sobre Wikimedia muestra por qué: el tribunal no quiso decidir la cuestión en abstracto, porque la respuesta depende de cómo el regulador aplique las reglas caso por caso. El dilema de los controles de edad —un control lo bastante fuerte para funcionar, por lo general, tiene que identificar a todos— es el mismo problema sin resolver que se expone en Restricciones de edad, y el estándar de “altamente eficaz” de la ley no lo resuelve, porque especifica un resultado y no un método.

Digital Services Act →
Restricciones de edad →
Libertad de expresión →