El pasado 7 de julio de 2026, el Comité Europeo de Protección de Datos (EDPB) adoptó las Directrices 03/2026 sobre web scraping en el contexto de la IA generativa, sometidas a consulta pública hasta el 30 de octubre de 2026. El documento llega en la misma semana que las nuevas directrices sobre anonimización (de las que ya hablamos en este otro artículo) y la versión final de las directrices sobre blockchain, también analizadas en el blog. Tres piezas normativas que, juntas, dibujan el marco de referencia del EDPB para 2026 en materia de tecnologías emergentes.
Estas nuevas directrices sobre web scraping abordan un problema muy concreto: cómo aplicar el RGPD a la extracción automatizada y masiva de datos de internet cuando esa información se destina a entrenar o ajustar modelos de IA generativa. Se centran en el scraping realizado por entidades privadas, ya sea de forma directa o subcontratando a un tercero, y cubren tanto los casos en que una organización scrapea datos por sí misma como aquellos en que reutiliza un conjunto de datos ya recopilado por otro (el llamado data broker).
Responsable, corresponsable o encargado: quién responde por el web scraping
Una de las primeras cuestiones que resuelve el EDPB es la calificación jurídica de los intervinientes. Quien realiza el scraping no es automáticamente el responsable del tratamiento. Si una empresa desarrolladora de IA contrata a un tercero para que scrapee siguiendo instrucciones documentadas, ese tercero actúa como encargado. Si, en cambio, dos organizaciones deciden conjuntamente los fines y medios del scraping, estaremos ante una corresponsabilidad. Y cuando una empresa simplemente reutiliza un dataset ya scrapeado por otra, cada una responde de su propio tratamiento: quien scrapeó no es responsable del uso posterior que se le dé a los datos.
Base jurídica en el web scraping: el consentimiento queda descartado, el interés legítimo se impone
El EDPB es claro: el consentimiento casi nunca será una base jurídica viable para el web scraping a gran escala, porque no existe relación directa con los interesados ni forma realista de recabarlo de cada uno de ellos. El hecho de que un dato esté publicado en abierto tampoco implica que su titular haya consentido su scraping.
La vía principal pasa por el interés legítimo (artículo 6.1.f RGPD), sujeto al triple test ya conocido: existencia de un interés legítimo, necesidad del tratamiento y superación del test de ponderación frente a los derechos del interesado. En este último punto, las directrices insisten en las expectativas razonables del interesado: no es lo mismo un dato publicado en un blog abierto que uno protegido por autenticación, CAPTCHA o señales como robots.txt o ai.txt, que el EDPB reconoce ahora como indicadores relevantes para valorar si el scraping era razonablemente previsible.
Minimización, exactitud y transparencia en la práctica
Más allá de la base jurídica, las directrices detallan medidas concretas y muy operativas:
- Minimización de datos: definir criterios de recogida precisos antes de scrapear, aplicar filtros para excluir categorías innecesarias (datos bancarios, de geolocalización), excluir sitios que se opongan técnicamente al scraping y valorar el uso de datos sintéticos.
- Exactitud: priorizar fuentes fiables, fechar los datos recogidos (timestamping) y validar muestras antes de usarlas en el entrenamiento.
- Transparencia: aunque informar individualmente a cada interesado puede resultar imposible o desproporcionado (art. 14.5.b RGPD), el responsable debe publicar información pública detallada: categorías de datos, finalidades, base jurídica y, en la medida de lo posible, un listado buscable de las fuentes scrapeadas con sus fechas de recogida.
Categorías especiales de datos: el criterio de “responsabilidades, poderes y capacidades”
Uno de los apartados más interesantes es el dedicado a las categorías especiales de datos del artículo 9 RGPD. El EDPB reconoce que, pese a las medidas preventivas, es prácticamente inevitable recoger de forma incidental y residual este tipo de datos al scrapear grandes volúmenes de internet.
Apoyándose en la sentencia GC y otros (C-136/17) sobre motores de búsqueda, el Comité admite que la prohibición del artículo 9.1 se aplica “dentro del marco de las responsabilidades, poderes y capacidades” del responsable, siempre que este implemente medidas técnicas y organizativas para prevenir la recogida y difusión de esos datos. Eso sí, subraya que no existe una exención general y que cada caso exige un análisis individualizado.
Qué deben hacer ya las empresas
Aunque el texto está todavía en fase de consulta pública y no se espera versión final antes de que acabe 2026, conviene empezar a prepararse:
- Revisar los procesos de scraping propios o subcontratados y documentar los criterios de recogida.
- Reforzar la política de privacidad pública con información sobre fuentes, fechas y categorías de datos.
- Evaluar el test de ponderación del interés legítimo con especial atención a las señales técnicas del sitio scrapeado (robots.txt, ai.txt, CAPTCHA).
- Implementar filtros y medidas de minimización antes, durante y después de la recogida.
Puedes consultar el texto completo de las Directrices 03/2026 del EDPB sobre web scraping y participar en la consulta pública abierta hasta el 30 de octubre de 2026.
En Dataseg, seguimos de cerca la evolución de este documento y su versión final, que previsiblemente marcará el estándar de cumplimiento RGPD para cualquier empresa que entrene modelos de IA con datos extraídos de internet. Y, como siempre recordamos, si necesitas saber más sobre nuestros servicios o buscas asesoramiento especializado en cumplimiento normativo, estaremos encantados de escucharte.