Respuesta breve. El EDPB mantiene abierta hasta el 30 de octubre de 2026 la consulta sobre sus Directrices 03/2026 relativas al web scraping en el contexto de la IA generativa. El documento todavía no es una norma definitiva, pero ofrece un criterio regulatorio relevante: si el scraping incluye datos personales, la empresa debe analizar base jurídica, finalidad, transparencia, minimización, exactitud, categorías especiales y gobernanza del entrenamiento.
¿Tu producto usa datos obtenidos de internet para entrenar o ajustar IA?
Conviene revisar las fuentes, el diseño del tratamiento, la información a las personas y los controles del proveedor antes de ampliar el conjunto de datos.
¿Qué ha publicado el EDPB sobre web scraping e IA?
El Comité Europeo de Protección de Datos publicó en julio de 2026 las Directrices 03/2026 sobre web scraping en el contexto de la IA generativa y abrió un periodo de consulta pública que termina el 30 de octubre de 2026 a las 23:59 CET. La página oficial indica que las aportaciones serán examinadas y, en los términos previstos por el procedimiento, podrán hacerse públicas.
La consulta no equivale a una decisión final ni convierte el documento en una obligación autónoma aplicable como un reglamento. Sí permite anticipar el enfoque que el EDPB está desarrollando para interpretar el RGPD cuando una organización extrae información de internet y la utiliza para crear, entrenar, ajustar o evaluar sistemas de IA.
¿Cuándo se aplica el RGPD al scraping?
El RGPD puede aplicarse cuando el scraping implica recoger, almacenar, organizar, consultar o utilizar datos relativos a personas identificadas o identificables. Que la información esté publicada en una web no la convierte automáticamente en anónima ni elimina la necesidad de justificar el tratamiento.
Hay que analizar el contexto: qué fuente se utiliza, qué datos se extraen, si pueden combinarse con otras bases, quién puede identificar a las personas, qué finalidad tiene el modelo y qué resultados produce. Un dato aparentemente aislado puede adquirir carácter personal cuando se vincula con identificadores, perfiles, imágenes, localización o información adicional.
¿Qué cuestiones debe documentar una empresa?
Finalidad y limitación del propósito
La empresa debe definir por qué necesita extraer los datos y qué uso concreto tendrá el conjunto. No basta con decir que el modelo se entrenará “para mejorar la IA”. La finalidad debe permitir decidir qué fuentes son relevantes, qué campos son necesarios, qué datos deben excluirse y cuándo debe detenerse la recopilación.
También es importante evitar reutilizar el conjunto para finalidades incompatibles. Un archivo recopilado para búsqueda interna no necesariamente puede reutilizarse para entrenamiento comercial, personalización o elaboración de perfiles.
Base jurídica e interés legítimo
Las Directrices abordan el posible uso del interés legítimo, pero no lo convierten en una autorización automática. La empresa tiene que identificar un interés real, acreditar que el tratamiento es necesario y realizar la ponderación frente a los derechos y expectativas razonables de las personas.
La ponderación debe considerar la naturaleza de la fuente, la visibilidad del dato, la relación de las personas con la organización, la sensibilidad de la información, la escala del scraping, la capacidad de inferencia y las medidas de exclusión o control. La existencia de una página pública es solo un elemento del análisis.
Transparencia y cuándo puede ser desproporcionada la información individual
El EDPB recuerda la importancia del principio de transparencia. En determinados diseños, informar individualmente a cada persona puede resultar imposible o exigir un esfuerzo desproporcionado, pero esa circunstancia debe analizarse y documentarse. No debe utilizarse como una fórmula genérica para omitir información.
La organización debería preparar información pública accesible, explicar las fuentes y finalidades, facilitar mecanismos de oposición cuando proceda y evaluar cómo responderá a solicitudes de derechos. La información debe corresponder al tratamiento real y a la función del modelo.
Minimización y selección de fuentes
Extraer todo lo técnicamente accesible aumenta el riesgo y dificulta la gobernanza. El EDPB apunta a la necesidad de limitar los datos a lo adecuado, pertinente y necesario. La empresa debe definir campos excluidos, reglas para eliminar identificadores, filtros de categorías sensibles y controles para evitar que el modelo retenga información innecesaria.
Exactitud, fecha y validación
Las Directrices recomiendan utilizar fuentes fiables, registrar la fecha de extracción y validar los datos antes de emplearlos en el entrenamiento. Esto tiene una consecuencia práctica: el equipo debe saber de dónde procede cada lote, cuándo se obtuvo, qué transformaciones sufrió y qué controles se aplicaron.
Los datos antiguos, incompletos o descontextualizados pueden provocar resultados inexactos y afectar a personas. La trazabilidad no es solo una medida técnica: es una evidencia para explicar la calidad del tratamiento y corregir errores.
¿Qué ocurre con las categorías especiales de datos?
Si el scraping recoge datos que revelan origen racial o étnico, opiniones políticas, convicciones religiosas, afiliación sindical, datos genéticos, biométricos, salud, vida sexual u orientación sexual, el análisis es más exigente. En principio, el artículo 9 del RGPD prohíbe su tratamiento salvo que concurra una excepción aplicable.
El EDPB indica que pueden existir situaciones de recopilación incidental o residual, pero no establece una exención general. La empresa debe valorar cada caso, limitar técnicamente la recogida y aplicar medidas organizativas para impedir la difusión o utilización indebida de esa información.
¿Qué debe revisar el proveedor o usuario de un modelo?
El cumplimiento no termina cuando el dataset entra en el modelo. Hay que revisar la retención de entradas, las salidas, la posibilidad de memorizar información, los accesos, los subproveedores, las transferencias internacionales y el uso posterior. También conviene distinguir entre el responsable que decide el tratamiento, el proveedor que presta una infraestructura y otros participantes que determinan elementos esenciales.
El contrato debe concretar fuentes autorizadas, controles, auditorías, incidentes, eliminación, derechos, subcontratación y cooperación. Si la empresa no puede obtener información suficiente sobre el origen o la gestión del dataset, difícilmente podrá demostrar responsabilidad proactiva.
Checklist de web scraping para entrenar IA
- Describir el caso de uso, el modelo y la finalidad concreta.
- Inventariar fuentes, dominios, campos, frecuencia y volumen de extracción.
- Clasificar datos personales, categorías especiales, datos confidenciales y metadatos.
- Documentar la base jurídica y la ponderación si se invoca interés legítimo.
- Definir filtros de exclusión, minimización y reglas de parada.
- Registrar fecha, fuente, transformaciones, validaciones y responsables de cada lote.
- Preparar información pública y mecanismos de derechos u oposición cuando proceda.
- Revisar riesgo de memorización, inferencias, reidentificación y uso indebido.
- Controlar proveedores, subencargados, transferencias y accesos al dataset.
- Revisar el análisis cuando cambien la finalidad, el modelo, las fuentes o el riesgo.
Preguntas frecuentes
¿Las Directrices 03/2026 del EDPB ya son obligatorias?
No. La página oficial las presenta como un documento abierto a consulta hasta el 30 de octubre de 2026. Son una referencia interpretativa en desarrollo, no un reglamento ni una resolución sancionadora.
¿Se pueden usar datos públicos de internet para entrenar IA?
No automáticamente. Si incluyen datos personales, hay que justificar la base jurídica, la finalidad, la necesidad, la transparencia, la minimización y las medidas de control. Publicidad no equivale a anonimización ni a libertad de reutilización.
¿El interés legítimo permite extraer cualquier dato?
No. Requiere un interés real, necesidad y una ponderación documentada. La escala, la sensibilidad, las expectativas de las personas y la capacidad de inferencia pueden hacer que el tratamiento no sea admisible.
Este análisis forma parte del hub de RGPD, IA y derecho digital para empresas y se integra con la revisión profesional de Álvaro Ruipérez Candón.
Conclusión: el dataset también forma parte de la gobernanza de IA
El documento del EDPB confirma que la evaluación legal de la IA debe comenzar antes del modelo y alcanzar a las fuentes que alimentan el sistema. Las empresas que documentan finalidad, base jurídica, selección de datos, transparencia, calidad y controles estarán mejor preparadas para demostrar cumplimiento cuando el producto crezca o cambien las reglas.
¿Quieres revisar el uso de datos en tu proyecto de IA?
Álvaro Ruipérez Candón ayuda a empresas tecnológicas y equipos de producto a ordenar fuentes, contratos, riesgos RGPD y gobernanza del sistema.
Fuentes oficiales consultadas el 9 de octubre de 2026: EDPB, Guidelines 03/2026 on web scraping in the context of generative AI, consulta abierta hasta el 30 de octubre de 2026; EDPB, explicación sobre anonimización y web scraping para IA generativa, 8 de julio de 2026; Reglamento (UE) 2016/679.
Autor: Álvaro Ruipérez Candón, abogado de derecho digital, privacidad e inteligencia artificial en ScandoUp Global Legal. Contenido informativo, no asesoramiento jurídico para un caso concreto.