Web scraping per AI: l’EDPB mette i paletti, e tu devi adeguarti (o pagare)

Il web scraping non è più il Far West

Se pensavi che raschiare dati da internet per addestrare la tua AI fosse una zona franca, preparati a ricrederti. L’EDPB (Comitato Europeo per la Protezione dei Dati) ha appena pubblicato le linee guida 03/2026, e il messaggio è chiaro: il GDPR si applica eccome. E con vincoli che faranno sudare anche i più scafati.

Immagina di dover leggere i Termini e Condizioni di ogni sito prima di fare scraping: è divertente quanto pulire le fughe delle piastrelle con uno spazzolino. Ma è esattamente ciò che l’EDPB richiede, in buona sostanza.

Legittimo interesse? Sì, ma con le pinze

La base giuridica più gettonata per lo scraping è il legittimo interesse. L’EDPB non lo vieta, ma lo circonda di paletti: devi dimostrare che il trattamento è necessario e che non prevale sugli interessi degli interessati. In pratica, devi fare un test di bilanciamento serio, documentarlo e – udite udite – offrire un opt-out facile e accessibile.

Se pensavi di usare i dati pubblici come se fossero di tutti, ripensaci. Pubblico non significa libero da diritti.

Dati sensibili: attenzione al tracciamento

Anche se non cerchi dati sensibili, lo scraping può involontariamente catturarli (es. opinioni politiche in un post). L’EDPB impone misure tecniche per filtrarli, e se non puoi evitarli, devi avere una base giuridica esplicita (consenso esplicito o interesse pubblico rilevante).

In pratica, se la tua AI impara a riconoscere orientamenti sessuali da commenti su forum, sei nei guai.

Trasparenza e diritti: informare non è un optional

Devi dire alle persone che i loro dati sono usati per addestrare l’AI. E non in un notes sperduto nel footer: l’informativa deve essere chiara, specifica e facilmente accessibile. Inoltre, devi garantire i diritti di accesso, rettifica, cancellazione e opposizione. Se un utente chiede di cancellare i suoi dati dal training set, devi poterlo fare. E non è banale.

L’EDPB suggerisce tecniche come la machine unlearning o la ripartizione dei dati in batch. Insomma, niente scuse.

Cosa fare subito

• Mappa le tue fonti di scraping e verifica la liceità.
• Implementa un meccanismo di opt-out semplice (es. un modulo web).
• Rivedi le informative privacy e aggiungi una sezione specifica per l’addestramento AI.
• Predisponi procedure per gestire richieste di cancellazione dai dataset.

Per approfondire, leggi il testo ufficiale delle linee guida EDPB 03/2026.

Non aspettare che arrivi una sanzione da 20 milioni di euro per muoverti. Il web scraping per AI è ancora possibile, ma solo se giochi secondo le regole. E le regole, ora, sono scritte nero su bianco.