Ley SB 73 de Utah: El fin del anonimato VPN para la edad

La SB 73 de Utah entra en vigor el 6 de mayo de 2026, convirtiéndose en el primer estado de EE. UU. en responsabilizar legalmente a los sitios web comerciales por los usuarios que acceden a contenidos con restricción de edad a través de una VPN o proxy para falsear su ubicación geográfica. La ley no solo regula qué contenidos pueden mostrar los sitios, sino que se dirige directamente al uso de herramientas de anonimización como mecanismo de elusión, creando una responsabilidad que alcanza a plataformas de todo el mundo.

Lo que la SB 73 dice realmente sobre las VPN

La innovación central de la ley es jurisdiccional: en lugar de confiar en la geolocalización por dirección IP, que cualquier VPN puede cambiar en segundos, la SB 73 responsabiliza a los sitios web de la presencia física de los usuarios en Utah. Un sitio es responsable tanto si la dirección IP del usuario se resuelve en Utah como si no, siempre que dicho usuario se encuentre físicamente en el estado. Se trata de una ruptura fundamental con el funcionamiento de la jurisdicción en Internet durante décadas.

El estatuto va más allá. Se prohíbe explícitamente a los sitios web proporcionar instrucciones, enlaces o fomentar el uso de servicios VPN para eludir los requisitos de verificación de edad. Enlazar a una guía sobre "cómo usar una VPN" - o incluso mencionar las VPN como una solución en una sección de preguntas frecuentes - se convierte en una posible exposición legal según la ley. Firmada por el gobernador de Utah el 19 de marzo de 2026, las disposiciones de la SB 73 sobre verificación de edad y VPN se activan el 6 de mayo, con un impuesto especial del 2 % sobre los ingresos por contenidos para adultos que entrará en vigor el 1 de octubre de 2026.

La trampa de responsabilidad de la EFF: sin salida limpia para las plataformas

La Electronic Frontier Foundation ha descrito la SB 73 como una "trampa de responsabilidad", una ley estructurada de tal manera que el cumplimiento técnico es efectivamente imposible sin imponer costes significativos a los usuarios que no tienen nada que ver con Utah. Dado que ninguna tecnología puede verificar con certeza si un usuario que utiliza una VPN de alta calidad se encuentra físicamente en el estado, los sitios web se enfrentan a una elección binaria sin término medio.

La primera opción es bloquear todos los rangos de direcciones IP de VPN conocidos a nivel mundial. Esto cortaría el acceso a usuarios legítimos de VPN en todo el mundo (periodistas, defensores de la privacidad, trabajadores remotos y cualquier persona que simplemente prefiera la navegación cifrada) que no tienen ninguna conexión con Utah ni plantean ninguna preocupación regulatoria. La segunda opción es exigir un documento de identidad emitido por el gobierno o una verificación biométrica de la edad al 100 % de sus visitantes, independientemente de dónde se encuentren. Ambos resultados construyen una infraestructura que antes no era necesaria: uno crea una lista negra global de VPN; el otro crea una base de datos entre sitios que vincula la identidad real con el comportamiento de navegación.

Qué sitios se ven afectados y cómo es el cumplimiento

La SB 73 se aplica a entidades comerciales en las que una "parte sustancial" del contenido se clasifica como perjudicial para los menores; en la práctica, principalmente plataformas de contenido para adultos. Para satisfacer el estándar de "verificación de edad razonable", se espera que los sitios utilicen documentos de identidad emitidos por el gobierno, sistemas biométricos de estimación de edad o servicios de verificación de identidad de terceros. Los tres métodos requieren la recopilación de datos personales sensibles de cada usuario que necesite demostrar su edad, no solo de los menores.

Sin embargo, las disposiciones específicas sobre VPN crean una presión indirecta para una categoría mucho más amplia de sitios web. Cualquier sitio que quiera evitar la responsabilidad de Utah y, al mismo tiempo, evitar el coste de la verificación de identidad universal, tiene una única opción realista: bloquear totalmente los rangos de IP de VPN. Los investigadores de seguridad y los grupos de libertades civiles señalan que las listas negras de VPN son intrínsecamente imprecisas, y con frecuencia bloquean a usuarios legítimos, redes corporativas y nodos de salida de Tor junto con el tráfico de VPN al que pretenden dirigirse.

Utah en el contexto nacional: más de 25 estados y sumando

Más de 25 estados de EE. UU. han aprobado leyes de verificación de edad desde 2022. Nebraska (LB 383, en vigor desde el 1 de julio de 2026), Virginia Occidental (HB 4412, en vigor desde el 12 de junio de 2026), Ohio (HB 96) y Florida (HB 3) se encuentran entre los estados con requisitos activos o pendientes. El panorama legal se encamina hacia un mosaico en el que las plataformas deben satisfacer el estándar del estado más restrictivo para operar a nivel nacional sin exposición a responsabilidades.

Lo que distingue a la SB 73 es su enfoque explícito en la elusión basada en VPN. Ninguna otra ley estatal ha insertado directamente el uso de VPN en un marco de responsabilidad para el cumplimiento de la verificación de edad. La ley parece diseñada en parte para contrarrestar el aumento documentado en la adopción de VPN que siguió a los mandatos anteriores de verificación de edad, incluso en la propia Utah, donde las descargas de VPN se dispararon tras la legislación anterior. Los legisladores han intensificado efectivamente la medida: si los usuarios pueden eludir la primera ley con una VPN, hagan que el uso de la VPN sea en sí mismo un desencadenante de la responsabilidad de la plataforma.

Qué significa la SB 73 para los usuarios de VPN

Una VPN sigue siendo esencial para proteger el tráfico de red, cifrar los datos en redes públicas y blindar la navegación frente al ISP y los rastreadores de terceros. Nada de eso cambia con la SB 73. Lo que cambia es el entorno regulatorio en el que se produce el uso de la VPN.

La SB 73 marca un cambio cualitativo en la forma en que los legisladores tratan el uso de VPN: no como un delito para el usuario, sino como un multiplicador de responsabilidad para la plataforma. El resultado práctico para los usuarios preocupados por la privacidad es un mayor bloqueo. A medida que más estados adopten el modelo de Utah (basando las obligaciones de cumplimiento en la presencia física en lugar de en la ubicación de la IP), las plataformas se verán sometidas a una presión cada vez mayor para tratar las conexiones VPN como inverificables y, por tanto, arriesgadas. El espacio donde una VPN preserva tanto el acceso como el anonimato se estrechará con cada estado que siga el ejemplo de Utah.

Cobertura relacionada en vpnlab.io

La ola de cumplimiento de la verificación de edad sigue remodelando el panorama de la privacidad a nivel mundial:

• La UE considera que Meta infringe la DSA: Instagram y Facebook no logran mantener a los menores de 13 años fuera de las plataformas - las conclusiones preliminares de la Comisión Europea contra Meta muestran cómo los reguladores de ambos lados del Atlántico exigen lo mismo: una garantía de edad vinculada a la identidad que imposibilite el acceso anónimo.
• Apple acaba de convertir el Apple ID en un documento de identidad: iOS 26.4 incluye la verificación de edad obligatoria en el Reino Unido - cuando la capa de verificación se traslada al sistema operativo, ni siquiera una VPN cambia la ecuación.
• Sony impone la verificación de edad en PlayStation en el Reino Unido e Irlanda: sin identificación, no hay juego - las plataformas de hardware que despliegan requisitos de identificación muestran la misma tendencia que llega a los dispositivos de origen desconectado.

Conclusión