EDPB antar riktlinjer om webbskrapning för träning av AI

Webbskrapning innebär att programvara automatiskt besöker olika webbplatser och hämtar, skrapar, de data som publiceras på webbplatsen. Tekniken används ofta för att samla in stora datamängder för träning av generativ AI.

Den Europeiska dataskyddsstyrelsen, EDPB, har på sitt senaste plenarmöte antagit nya riktlinjer som gäller just webbskrapning av generativ AI. Riktlinjerna gäller både för verksamheter som själva skrapar data från andra webbplatser och verksamheter som skaffar färdiginsamlade data från ett annat företag.

I dataskyddsförordningen, GDPR, ställs det särskilda krav för att få behandla känsliga personuppgifter, som exempelvis kan vara uppgifter om hälsa, politisk åskådning eller etnicitet. I normalfallet är det förbjudet att för verksamheter att behandla känsliga personuppgifter, men det finns undantag.

EDPB:s riktlinjer öppnar upp för möjligheten till webbskrapning även av känsliga personuppgifter, dock endast under förutsättningen att den personuppgiftsansvariga verksamheten vidtar ett antal åtgärder innan, under och efter webbskrapningen. Vilka dessa åtgärder kan vara framgår av riktlinjerna.

Riktlinjerna ger även vägledning om ett antal andra krav i GDPR som kan vara särskilt utmanande att leva upp till vid webbskrapning, som till exempel kravet på uppgiftsminimering, och åtgärder som kan vidtas för att verksamheter ska kunna använda berättigat intresse som rättslig grund vid webbskrapning.

De nya riktlinjerna är nu ute för offentligt samråd, då intressenter får lämna synpunkter på riktlinjerna. Det offentliga samrådet pågår fram till den 30 oktober 2026.