Luglio 2026
L’EDPB avvia la consultazione pubblica su anonimizzazione e web scraping per l’Intelligenza Artificiale
L’European Data Protection Board (EDPB) ha pubblicato due nuove bozze di linee guida destinate a incidere in modo significativo sul rapporto tra protezione dei dati personali e sistemi di Intelligenza Artificiale. Si tratta delle Linee guida 02/2026 sull’anonimizzazione e delle Linee guida 03/2026 sul web scraping nell’ambito dell’IA generativa, entrambe sottoposte a consultazione pubblica fino al 30 ottobre 2026.
L’iniziativa si inserisce nel più ampio percorso avviato dal Comitato europeo per fornire un’interpretazione uniforme del Regolamento (UE) 2016/679 (GDPR) rispetto alle nuove tecnologie di Intelligenza Artificiale, offrendo indicazioni pratiche sia ai titolari del trattamento sia agli sviluppatori di sistemi AI.
Anonimizzazione: quando i dati escono dall’ambito del GDPR?
Uno dei temi affrontati riguarda la distinzione tra dati personali e dati effettivamente anonimizzati.
Le nuove linee guida chiariscono che un dataset può essere considerato anonimo solo quando non esiste una ragionevole possibilità di ricondurre le informazioni a una persona fisica identificata o identificabile. La valutazione, pertanto, non può limitarsi alla rimozione di nomi, codici fiscali o altri identificativi diretti, ma deve considerare il rischio complessivo di reidentificazione.
L’EDPB richiama, inoltre, gli orientamenti più recenti della Corte di giustizia dell’Unione europea, ribadendo che occorre valutare i mezzi tecnici, economici e organizzativi ragionevolmente utilizzabili per identificare nuovamente gli interessati, tenendo conto dell’evoluzione tecnologica e della disponibilità di ulteriori informazioni.
Per le organizzazioni questo rappresenta un richiamo importante: la pseudonimizzazione, pur costituendo una misura di sicurezza rilevante, non equivale automaticamente all’anonimizzazione e i dati pseudonimizzati continuano, nella maggior parte dei casi, a essere qualificati come dati personali.
Web scraping e IA generativa: i dati pubblici restano dati personali
La seconda bozza di linee guida affronta un tema particolarmente attuale: l’utilizzo di tecniche di web scraping per raccogliere informazioni disponibili online da impiegare nell’addestramento dei modelli di Intelligenza Artificiale generativa.
L’EDPB ribadisce un principio già presente nel GDPR ma spesso oggetto di interpretazioni errate: il fatto che un’informazione sia pubblicamente accessibile non significa che possa essere raccolta e utilizzata liberamente.
Quando le informazioni raccolte consentono di identificare direttamente o indirettamente una persona fisica, il trattamento rimane soggetto alle disposizioni del GDPR. Di conseguenza, chi effettua attività di scraping deve verificare la sussistenza di una valida base giuridica e rispettare tutti i principi previsti dall’articolo 5 del Regolamento, tra cui liceità, correttezza, trasparenza, limitazione delle finalità, minimizzazione dei dati, esattezza e limitazione della conservazione.
Le linee guida dedicano particolare attenzione anche all’utilizzo del legittimo interesse quale possibile base giuridica, evidenziando la necessità di effettuare un’attenta valutazione del bilanciamento tra gli interessi del titolare del trattamento e i diritti e le libertà fondamentali degli interessati.
Maggiore attenzione ai dati particolari e alle misure di sicurezza
Un ulteriore profilo affrontato dall’EDPB riguarda il trattamento delle categorie particolari di dati personali, disciplinate dall’articolo 9 del GDPR.
Qualora i dataset raccolti tramite web scraping contengano informazioni appartenenti a tali categorie, le organizzazioni dovranno verificare con particolare rigore la sussistenza delle condizioni di liceità previste dal Regolamento e adottare misure tecniche e organizzative adeguate a ridurre i rischi derivanti dal trattamento.
L’obiettivo è garantire che lo sviluppo e l’addestramento dei sistemi di Intelligenza Artificiale avvengano nel rispetto dei principi di protezione dei dati personali e dei diritti fondamentali degli interessati.
Consultazione pubblica aperta fino al 30 ottobre 2026
Entrambe le bozze di linee guida sono attualmente in consultazione pubblica. Organizzazioni, professionisti, associazioni di categoria e altri soggetti interessati potranno trasmettere osservazioni e contributi all’EDPB entro il 30 ottobre 2026.
Una volta conclusa la consultazione, il Comitato europeo procederà alla valutazione dei contributi ricevuti e alla pubblicazione delle versioni definitive dei documenti, che costituiranno un importante punto di riferimento per l’applicazione del GDPR nel contesto dell’Intelligenza Artificiale.
Fonti
- European Data Protection Board (EDPB) – Guidelines 02/2026 on Anonymisation (bozza in consultazione pubblica).
- European Data Protection Board (EDPB) – Guidelines 03/2026 on Web Scraping and Generative AI (bozza in consultazione pubblica).
- Regolamento (UE) 2016/679 (GDPR).
