Web scraping per l’AI: l’EDPB alza il muro (e tu devi adeguarti)

Il web scraping non è più il Far West

Se pensavi che raschiare dati da internet per addestrare la tua AI fosse una zona franca, l’EDPB (Comitato Europeo per la Protezione dei Dati) ti ha appena svegliato con un secchio d’acqua gelata. Le nuove linee guida 03/2026 chiariscono che il web scraping per l’AI generativa è soggetto al GDPR, punto e basta. Niente scappatoie, niente “tanto sono dati pubblici”.

Immagina di entrare in un supermercato e prendere tutto quello che vuoi senza pagare. Il web scraping senza regole è un po’ così: i dati non sono gratis, anche se sono pubblici. L’EDPB ha deciso di mettere ordine, e le aziende che usano scraping per addestrare modelli devono ora fare i conti con obblighi stringenti.

Legittimo interesse? Sì, ma con condizioni

La base giuridica più gettonata per lo scraping è il legittimo interesse. Ma l’EDPB dice: non basta dire “ci serve per l’AI”. Devi dimostrare che il trattamento è necessario e che non lede i diritti degli interessati. In pratica, devi fare un bilanciamento serio, non una scartoffia buttata lì.

E se raccogli dati sensibili (opinioni politiche, salute, religione)? Allora il legittimo interesse non basta: serve il consenso esplicito o una delle altre eccezioni strettissime del GDPR. Quindi, se la tua AI impara da forum medici o commenti politici, preparati a giustificarlo.

Trasparenza e diritti: non puoi nasconderti

Le linee guida impongono di informare gli interessati che i loro dati sono stati raccolti via scraping. Sì, anche se sono milioni di utenti. Devi spiegare cosa fai con quei dati, per quanto tempo li conservi e come esercitare i diritti (accesso, cancellazione, opposizione).

E qui arriva il bello: se un utente ti chiede di cancellare i suoi dati dal modello, devi farlo. Ma come si cancella un dato da un modello già addestrato? L’EDPB non dà ricette magiche, ma dice che devi essere in grado di farlo. Un bel grattacapo tecnico, vero? È come chiedere a un fornaio di togliere la farina da una pagnotta già cotta.

Necessità del trattamento: non raccogliere a caso

Un altro paletto è la necessità. Non puoi raschiare tutto il web “tanto poi si vede”. Devi dimostrare che i dati raccolti sono strettamente necessari per l’addestramento. Se puoi usare dati sintetici o dataset già pronti, devi farlo. Lo scraping deve essere l’ultima spiaggia, non la prima.

In pratica, l’EDPB dice: “Raccogli solo ciò di cui hai veramente bisogno, e se puoi evitare di raschiare, evita”. Sembra ovvio, ma molte aziende raccolgono tonnellate di dati “per sicurezza”. Ora non più.

Cosa fare per mettersi in regola

Se usi web scraping per addestrare AI, ecco una checklist pratica:

• Identifica una base giuridica valida (legittimo interesse? consenso?);
• Fai una valutazione d’impatto (DPIA) specifica per lo scraping;
• Informa gli interessati in modo chiaro (non nei Termini e Condizioni nascosti);
• Garantisci i diritti di cancellazione e opposizione, anche a livello di modello;
• Documenta tutto: necessità, proporzionalità, misure di sicurezza.

Per approfondire, leggi il testo ufficiale delle linee guida EDPB 03/2026.

Non aspettare la multa

Le sanzioni GDPR possono arrivare fino al 4% del fatturato globale. Non è uno scherzo. Se stai usando scraping per la tua AI, è il momento di rivedere le procedure. Non serve farsi prendere dal panico, ma serve agire con metodo. E magari, mentre sistemi la documentazione, pensa a quanto sarebbe bello se leggere le linee guida fosse divertente come guardare un film. Invece no, ma almeno eviti una multa.