Meta 被欧盟初步认定违规：孩子填个假生日，就能进 Instagram

一个 12 岁孩子想注册 Instagram，最简单的办法可能不是破解系统，而是把出生年份往前填一点。

欧盟这次盯住的就是这个小入口。Meta 条款写着 Facebook 和 Instagram 不面向 13 岁以下儿童，但欧盟委员会经过近两年调查后给出初步认定：Meta 没有足够措施挡住这些孩子，也没有有效识别和移除已经在平台上的低龄用户。

注意，这是 preliminary decision，初步认定。不是最终处罚。Meta 仍可申辩、整改，后续结果未定。但如果最终确认违反《数字服务法》（DSA），理论罚款上限可到全球年营业额的 6%，外媒估算最高约 120 亿美元。

欧盟指向的不是一个注册框

这件事先看清边界：争议集中在 13 岁以下儿童，不是所有未成年人使用社交平台都违法。欧盟也不是说年龄验证只能有一种标准答案。

它指向的是平台有没有真正履行大型平台的系统性风险治理义务。

这不是“表单没做好”。DSA 要求大型平台证明自己知道风险、评估风险、缓解风险，并能接受外部审查。

年龄验证当然有现实难题。身份证明、面部估龄、家长授权，都可能带来隐私泄露、误判和执行成本。把验证做得太重，也可能把孩子推向更灰的角落。

但这些难题不能自动变成免责条款。欧盟现在问的是：你有没有证明现有措施有效？如果没有，条款就只是门面。

对家长和平台从业者，影响很具体

家长最该看的不是罚款数字，而是举报和移除机制。

如果家里孩子未满 13 岁却已经在用 Instagram 或 Facebook，现实动作很简单：检查账号年龄信息，保留举报记录，关注平台是否给出处理反馈。欧盟批评的重点之一，正是举报工具难用、无效，且举报后常缺少后续移除动作。

这对家长意味着一件麻烦事：不能只相信平台页面上的“年龄限制”。真正有用的是平台能不能识别、能不能处理、处理后有没有闭环。

对平台合规、安全、产品团队来说，这件事更硬。

过去很多公司会把未成年人保护做成政策页、举报入口、弹窗提醒。成本低，摩擦小，也不太影响增长。DSA 的压力在于，它把这些东西拉进审计、证据和罚款框架里。

产品团队以后很难只说“用户自己填的生日”。如果平台明知某类用户不该进来，却把入口做成轻轻一推就开，那就要解释为什么这不构成系统性风险。

这会改变内部优先级。注册转化率、活跃时长、广告库存，可能要让出一点位置给年龄识别、举报处理、风险评估和合规留痕。

我不太买账的是那种“技术太难，所以只能这样”的说法。难是真的难。但长期让生日自报承担儿童保护责任，也是真的轻。

生日自报不是漏洞，是增长账本的一部分

“天下熙熙，皆为利来。”这句话放在这里不玄。

社交平台的基本盘是用户规模、活跃时长、关系链和广告库存。低龄用户未必立刻贡献最高收入，但他们贡献习惯、关系链和未来生命周期。

所以问题不在生日框，而在激励设计。

如果增长团队拿到的是更低流失、更高注册、更长停留，安全团队背的是“别出大事”，儿童保护天然会排在后面。不是没人知道风险，而是风险成本没有进账本。

欧盟现在做的，就是把账本改掉。

过去平台可以说：我们有政策，我们提供举报入口，我们持续改进。DSA 的逻辑更硬：风险识别了吗？缓解措施有效吗？证据拿得出来吗？如果拿不出来，罚款和整改就会跟上。

这几年从隐私、反垄断、内容治理到未成年人保护，欧盟对大型平台的思路越来越清楚：别再只靠平台自觉。

这有点像铁路和电力早年的路径。先扩张，先铺网，先形成依赖；事故、垄断和公共风险堆到一定程度，监管才开始补账。不完全一样，但节奏相似。技术公司喜欢把自己讲成创新者，监管看到的是基础设施化之后的公共责任。

接下来最该看三件事。

一是 Meta 如何申辩，是否能证明现有年龄限制、举报工具和风险评估足够有效。二是它会不会调整注册、识别和移除流程，而不是只改政策文字。三是欧盟最终会不会把这次初步认定推进到罚款或强制整改。

这次少见地把问题抓到了根上：儿童保护不是一句“我们禁止 13 岁以下用户”就结束。门槛写在条款里不算数，能挡住人、能处理存量账号、能经得起审查，才算数。

Meta 还没被最终处罚，年龄验证也没有完美解法。但有一点已经很清楚：互联网“先扩张、后补监管账”的时代，账单正在送到桌上。

回到开头那个假生日。它看起来只是一个孩子随手填错的数字。放进平台增长机器里，它就是一扇被默认半开的门。