Web scraping per AI: l’EDPB mette i paletti, e tu devi adeguarti (o pagare)

Scraping? Ora è come rubare caramelle a un bambino… con la telecamera

Immagina di entrare in un negozio, prendere tutti i prodotti dagli scaffali e usarli per creare il tuo ristorante personale, senza chiedere permesso. Ecco, il web scraping per addestrare l’AI generativa è più o meno la stessa cosa, ma con dati personali. E l’EDPB (Comitato Europeo per la Protezione dei Dati) ha appena pubblicato le linee guida 03/2026 per ricordarci che il GDPR non fa sconti, nemmeno alle macchine.

Legittimo interesse? Sì, ma con il freno a mano tirato

Le aziende spesso invocano il legittimo interesse per giustificare lo scraping. L’EDPB dice: ok, ma devi dimostrare che il trattamento è necessario e che non esistono alternative meno invasive. In pratica, se puoi usare dati sintetici o dataset già pronti, fallo. Altrimenti, preparati a un bilanciamento serrato tra il tuo interesse e i diritti degli interessati.

Il test di necessità: meno scraping, più cervello

Non basta dire “mi servono tutti i dati del web”. Devi spiegare perché proprio quei dati, in quella quantità, e perché non puoi farne a meno. È come andare dal medico e chiedere una TAC totale perché hai un raffreddore: non passa.

Dati sensibili: il vaso di Pandora dell’AI

Se durante lo scraping raccogli dati sensibili (salute, opinioni politiche, orientamento sessuale…), il trattamento è vietato a meno di consenso esplicito o eccezioni molto strette. L’EDPB sottolinea che l’AI generativa può involontariamente “imparare” e riprodurre pregiudizi o informazioni sensibili. Quindi, attenzione: pulire i dati dopo è come chiudere la stalla dopo che i buoi sono scappati.

Trasparenza: non fare il ninja dei dati

Devi informare le persone che i loro dati sono stati raccolti e usati per addestrare un modello. Sì, anche se i dati sono pubblici. E no, non basta un trafiletto nei Termini e Condizioni (che nessuno legge, ammettiamolo). L’ideale? Una notifica chiara, magari con un pop-up che spiega: “Stiamo usando i tuoi dati per insegnare al nostro chatbot a non rispondere con frasi senza senso”.

Diritti degli interessati: il diritto all’oblio… anche per i dati di training

Se una persona chiede la cancellazione dei propri dati, devi poterli rimuovere dal modello. Sembra impossibile? L’EDPB suggerisce tecniche come il machine unlearning o la riprogettazione del modello. In pratica, devi avere un piano B, non solo un “mi dispiace, non si può”.

Cosa fare ora? (Spoiler: non farti prendere dal panico)

Prima di tutto, fai una mappatura di tutti i dati che raccogli via scraping. Poi, verifica se hai una base giuridica valida. Se usi il legittimo interesse, documenta il bilanciamento. Infine, preparati a gestire le richieste degli interessati. E ricorda: le sanzioni GDPR possono arrivare fino al 4% del fatturato globale. Meglio investire in compliance che in multe.

Per approfondire, leggi le linee guida ufficiali dell'EDPB: EDPB Guidelines 03/2025 (bozza).