Ofcom: at gætte en brugers alder er ikke nok

Meddelelsen landede hos ét selskab

Den 16. juli 2026 åbnede Ofcom, den britiske kommunikationsmyndighed, en formel undersøgelse af de alderskontrolforanstaltninger, som TikTok Information Technologies UK Ltd anvender. Pligten det handler om er section 12 i Online Safety Act 2023, og de pligter har været gældende siden den 25. juli 2025. Én navngiven enhed, én navngiven lovbestemmelse, én myndighed, der har afgjort, at den uformelle fase er forbi.

Den maksimale bøde efter loven er GBP 18 millioner eller 10% af den relevante globale omsætning, alt efter hvad der er størst. For et selskab af TikToks størrelse er det den anden mulighed, der tæller, og den første - omtrent EUR 21 millioner til den nuværende kurs - er snarere et gulv end et loft. Ofcom har oplyst, at bevisindsamlingen vil tage mindst tre måneder, og at der kommer en opdatering i oktober 2026.

Læst som en nyhed er dette én platform under lup. Læst som et signal er det betydeligt bredere, på grund af det, Ofcom har valgt at sætte spørgsmålstegn ved.

Det er metoden, der står for retten

Ofcoms indvending er ikke, at TikTok intet har gjort. Den er, at TikTok støtter sig til aldersestimering - at udlede en brugers alder af adfærds- og profilsignaler, som brugeren allerede udsender - frem for aldersverifikation. Aldersestimering står udtrykkeligt ikke i Ofcoms vejledning som en metode, der kan være yderst effektiv til alderskontrol.

Den sondring er hele sagen, og den standser ikke ved ét selskab. En myndighed, der åbner en undersøgelse på den præmis, at en teknik falder uden for dens egen liste over acceptable metoder, har givet teknikken en advarsel, ikke kun dens mest synlige bruger. Enhver operatør af en tjeneste rettet mod Storbritannien, der valgte estimering, bærer samme eksponering, blot uden overskriften.

Det ubehagelige for en bestyrelse er, at estimering ikke ligner et hul. Det ligner en kontrol. Den producerer en alder, den logger en beslutning, og i et compliance-notat kan den beskrives som en alderskontrol. Myndighedens holdning er, at beskrivelsen ikke gør den til en.

Estimering blev valgt, fordi den ikke spørger

Estimering blev standarden af en kommerciel grund, ikke en teknisk. Den kræver ingen upload af dokument, skaber intet frafald ved tilmelding og udløser ingen samtale om biometrisk samtykke, som skal forklares til brugere eller til en databeskyttelsesrådgiver. Det er den alderskontrol, der intet koster i toppen af tragten.

Netop dét er problemet. Den egenskab, der gjorde estimering attraktiv, er den egenskab, der gør den utilstrækkelig: den virker ved ikke at spørge. En metode bygget til at undgå friktion er per konstruktion en metode bygget til at undgå det øjeblik, hvor en bruger hævder noget, der kan efterprøves. Ofcoms vejledning anerkender metoder, der skaber det øjeblik. Estimering er designet til at springe det over.

Det kommercielle og det regulatoriske argument peger dermed i hver sin retning, og enhver operatør, der foretog den afvejning i 2025, gjorde det, før myndigheden viste sine kort. Det er ikke en fejlvurdering. Det er en position, der nu skal gennemgås på skrift.

Omgåelsesfælden

Den anden halvdel af eksponeringen kom samme dag, fra samme myndighed. Ofcom offentliggjorde den 16. juli 2026 en undersøgelse, der viser, at den daglige VPN-brug i Storbritannien omtrent er fordoblet, siden alderskontrolpligterne trådte i kraft: omkring 2,2 millioner daglige brugere mod omkring 1,2 millioner før den 25. juli 2025. Brugerne går uden om kontrollerne i omtrent dobbelt så høj grad som før.

Den britiske teknologiminister Liz Kendall sagde, at VPN'er hverken vil blive aldersbegrænset eller forbudt, og at byrden ved at standse omgåelse ligger hos platformene. Det er et sammenhængende politisk valg. For en operatør er det samtidig svært at bære: værktøjet, der bruges til at omgå din aldersport, er uden for rækkevidde, og du hæfter alligevel for resultatet.

Sammenholder man de to halvdele, er compliance-positionen skarpere, end den først lyder. En platform kan blive ansvarlig for en omgåelsesrate, den ikke styrer, med en verifikationsmetode, den måske ikke må støtte sig til. Det er ikke, hvad sætningen "vi har tilføjet en alderskontrol" antyder i et bestyrelsesmateriale.

Hvad er omfattet, og hvad er ikke

Dette er britisk ret. Det er UK Online Safety Act 2023, håndhævet af en britisk myndighed, og den gælder ikke i EU. EU's eget arbejde med børnebeskyttelse og aldersverifikation kører på et separat spor, og intet ved TikTok-undersøgelsen ændrer den retlige stilling for en operatør, der kun opererer i EU.

Det anvendelsesområde, der bider, er territorialt og ikke selskabsretligt. En operatør etableret hvor som helst i EU, der betjener britiske brugere, falder ind under den britiske ordning uanset hjemsted. Og kategorien er bredere end sociale platforme: alkohol, spil, kosmetik, knive, finans, dating og gaming bringer alle aldersbegrænset indhold, produkter eller funktioner ind på det britiske marked. Vores læsning, tilbudt som læsning og ikke som lov, er, at retningen deles på begge sider af Kanalen, og at estimeringsbaseret alderskontrol er den metode, der mest sandsynligt bliver prøvet først.

Handlingen er snæver og konkret. Find ud af, hvilken alderskontrolmetode jeres tjeneste faktisk hviler på i dag, og om den er en, som Ofcoms vejledning anerkender som mulig at gøre yderst effektiv. "Vi har en aldersport" er ikke et svar på det spørgsmål. Stil det til jeres produktteam før Ofcoms opdatering i oktober 2026, for efter den dato er svaret ikke længere et planlægningsspørgsmål.

Læs videre: EU omskriver GDPR  |  Tyskland har nu en udpeget AI-tilsynsmyndighed