El Comité Europeo de Protección de Datos, conocido como EDPB por sus siglas en inglés, publicó un borrador de guía sobre web scraping aplicado al entrenamiento y ajuste fino de IA generativa. El documento no bloquea de forma general el uso de datos públicos de internet, pero sí detalla cómo deben actuar las empresas privadas cuando ese web scraping incluye datos personales bajo el Reglamento General de Protección de Datos (GDPR).
La novedad práctica es que Europa aterriza ese proceso en una lista concreta de exigencias: definir para qué se recoge la información, limitar la captura a lo necesario, informar a las personas cuando corresponda, revisar la calidad de los datos y sostener todo con una base legal válida. La guía cubre tanto a la empresa que hace la recolección por su cuenta como a la que encarga ese trabajo a un proveedor externo.
El texto fue adoptado para consulta pública y el EDPB abrió observaciones hasta el 30 de octubre de 2026. Eso significa que todavía no es una norma nueva ni una prohibición general del entrenamiento con datos abiertos de la web, sino una guía de cumplimiento que anticipa cómo espera el regulador que se aplique el GDPR en este terreno.
Qué exige Europa en el web scraping para IA generativa
La guía define el web scraping como el uso de herramientas automáticas para extraer y almacenar información de servicios web públicamente accesibles. En el contexto de la IA generativa, el EDPB se centra en dos escenarios: cuando una organización recopila datos de internet para desarrollar o ajustar un modelo, y cuando reutiliza un conjunto de datos ya recolectado por otra parte.
En ambos casos, si hay datos personales en juego, el GDPR entra en funcionamiento desde operaciones como la recopilación, el almacenamiento, la organización o la recuperación de esa información.
El borrador insiste en varios principios del GDPR que las empresas deben aplicar desde el diseño del proceso. Entre ellos están la limitación de la finalidad, la transparencia, la minimización de datos y la exactitud. En la práctica, eso implica acotar mejor qué sitios y qué tipos de datos se van a rastrear, excluir categorías innecesarias, evitar fuentes que se oponen claramente al scraping y usar, cuando sea viable, datos sintéticos, anonimizados o seudonimizados.
También recomienda trabajar con fuentes fiables, registrar marcas de tiempo y validar la información antes de usarla para entrenar modelos con web scraping.
La base legal también queda bajo foco. El EDPB reconoce que muchas empresas intentan apoyarse en el interés legítimo, pero recuerda que no funciona como permiso automático. La organización debe superar el análisis de tres pasos habitual: demostrar un interés legítimo, probar que el tratamiento es necesario para ese objetivo y comprobar que los derechos de las personas no quedan por debajo de ese interés.
El documento añade que, para reducir riesgos, pueden ser necesarias medidas técnicas y organizativas como limitar la recolección a datos libremente accesibles, facilitar el ejercicio de derechos, eliminar o anonimizar datos cuanto antes y aplicar controles para bajar el riesgo de memorización o extracción posterior desde el modelo.
El apartado más sensible es el de categorías especiales de datos, como información sobre salud, origen étnico, opiniones políticas u orientación sexual. La guía recuerda que su tratamiento está prohibido en principio y que, si aparece en procesos de web scraping para IA, no basta con una base legal del artículo 6 del GDPR: también hace falta una excepción válida del artículo 9.
El EDPB admite que puede existir una recogida incidental o residual de este tipo de datos, pero exige filtros previos, borrado rápido, pruebas sobre la eficacia de las medidas y controles sobre la salida del modelo para evitar que esa información reaparezca.
Qué cambia para empresas, proveedores de datos y desarrolladores
Para las empresas que entrenan o ajustan modelos generativos usando web scraping, el mensaje es que ya no basta con decir que los datos eran públicos. El regulador europeo deja claro que la disponibilidad abierta en internet no elimina las obligaciones de protección de datos. Si una compañía utiliza sitios sin criterios precisos, mezcla fuentes poco fiables o no puede explicar por qué necesitaba ciertos datos personales, el riesgo de incumplimiento sube de forma clara.
Esto también afecta a proveedores de datasets, contratistas que hacen recolección por encargo y equipos que afinan modelos ya existentes con datos externos. La guía empuja a documentar mejor la procedencia del material, separar responsabilidades entre controlador y encargado, y revisar si el conjunto de datos arrastra problemas desde su origen.
En un mercado donde cada vez más empresas incorporan modelos a productos propios, esa capa de trazabilidad pasa a ser tan relevante como el rendimiento técnico. El contexto encaja con otras discusiones recientes sobre riesgos del sector, como las que recoge AI Safety Index 2026.
Para quienes desarrollan producto, la guía también sirve como señal de diseño. Si una empresa depende de datos web para entrenar o hacer fine-tuning, tendrá que pensar antes en filtros, exclusiones, gobernanza de datos y mecanismos para borrar o bloquear información personal. Eso puede cambiar costes, tiempos y decisiones sobre qué fuentes usar, además de empujar a más equipos a combinar datos propios con material sintético o mejor controlado.
Para el sector, el efecto inmediato es menos margen para prácticas amplias y opacas de recolección. A partir de aquí, las empresas que quieran seguir usando datos públicos para modelos generativos tendrán que demostrar con más detalle qué capturan, por qué lo hacen y qué barreras aplican para no convertir esa recolección en un tratamiento desproporcionado.
