https://www.edpb.europa.eu/system/files/2026-07/edpb_guidelines_2020603_webscraping_v1_en_0.pdf

Comparto las nuevas Guidelines 03/2026 del European Data Protection Board (EDPB) sobre web scraping en el contexto de la inteligencia artificial generativa.

La idea principal es sencilla: que un dato esté publicado en internet no significa que pueda utilizarse libremente para entrenar un modelo de IA.

Desde un punto de vista técnico, muchas soluciones de IA necesitan datos actuales y fiables. El problema no es solo el modelo, sino qué información se le introduce. Pero desde un punto de vista jurídico, la pregunta es otra: ¿de dónde salen esos datos?, ¿para qué se usan?, ¿eran necesarios?, ¿se ha informado correctamente?, ¿puede la persona ejercer sus derechos?

El EDPB recuerda varios puntos prácticos:

  • no basta con decir “interés legítimo”; hay que justificarlo y hacer una ponderación real;
  • no debe recogerse todo “por si acaso”: hay que limitar fuentes, datos y finalidad;
  • deben evitarse, filtrarse o eliminarse datos sensibles, datos de menores o información claramente innecesaria;
  • conviene respetar señales técnicas de oposición al scraping, como robots.txt, ai.txt o CAPTCHA: en la práctica, son mecanismos que una web puede usar para indicar a bots y sistemas automatizados que no quiere que su contenido sea rastreado, extraído o reutilizado;
  • los datos deben proceder de fuentes fiables, quedar fechados y validarse antes de usarse;
  • la empresa debe poder explicar qué ha recogido, de dónde, cuándo y con qué garantías.

En sencillo: el scraping para IA no está prohibido por definición, pero tampoco es una barra libre.

La parte más relevante, en mi opinión, es la prueba. Una empresa que entrena o compra datasets para IA debe poder demostrar el origen de los datos, la base jurídica, las medidas de minimización, los filtros aplicados, la información ofrecida y cómo atiende derechos como oposición o supresión.

El cumplimiento no está solo en el modelo. Está en todo el pipeline: fuentes, extracción, limpieza, entrenamiento, seguridad, salidas del sistema y documentación.

Para mí, esta guía conecta directamente privacidad, tecnología y responsabilidad práctica. No se trata de frenar la IA, sino de construirla con datos que puedan explicarse y defenderse.