El 7 de julio de 2026, el Comité Europeo de Protección de Datos (European Data Protection Board, EDPB) adoptó, para consulta pública, la versión 1.0 de las Guidelines 03/2026 on web scraping in the context of generative AI. Se trata de uno de los primeros documentos europeos que aborda sistemáticamente el uso de técnicas de web scraping para el entrenamiento de modelos de inteligencia artificial generativa desde la perspectiva del Reglamento General de Protección de Datos (RGPD).

La consulta pública permanecerá abierta hasta el 30 de octubre de 2026. En esta entrada se presenta el contenido principal y se sugieren algunas posibles aportaciones a la consulta, especialmente en relación con la viabilidad técnica y económica de los controles propuestos, su proporcionalidad, su eficacia real y su incidencia sobre las empresas de menor dimensión y las entidades dedicadas a la investigación.

Aunque formalmente constituyen un instrumento interpretativo del RGPD y su ámbito se limita al web scraping realizado por entidades privadas, las Directrices poseen una relevancia que excede la protección de datos en sentido estricto. Contribuyen a perfilar un marco jurídico en el que la recopilación masiva de información para entrenar modelos debe integrarse en estructuras de gobernanza, responsabilidad proactiva, gestión de riesgos y documentación. Esta lectura permite, además, relacionar sus orientaciones con otras normas europeas aplicables a la inteligencia artificial, aunque el EDPB no tenga por objeto interpretar otros regímenes.

Como primera posible aportación a la consulta pública, convendría solicitar una mayor concreción sobre la distancia existente entre la corrección jurídica del modelo de control propuesto y su viabilidad técnica y económica cuando la recopilación comprende miles de millones de datos procedentes de fuentes cambiantes y heterogéneas. Identificar anticipadamente todos los datos personales, comprobar su exactitud, distinguir las categorías especiales, reconstruir su procedencia y posibilitar el ejercicio efectivo de derechos individuales puede resultar extraordinariamente complejo —y, en determinados supuestos, materialmente inalcanzable— en los grandes conjuntos utilizados para entrenar modelos generativos. Las Directrices no desconocen esta dificultad, pero trasladan a los responsables exigencias formuladas conforme a un modelo de tratamiento identificable y trazable que encaja imperfectamente con la escala, la opacidad y el dinamismo del entrenamiento contemporáneo. No se trata de discutir la vigencia de los principios del RGPD, sino de precisar qué controles permiten aplicarlos de manera efectiva sin convertir la responsabilidad proactiva en una obligación predominantemente documental, difícil de verificar y asumible únicamente por los operadores con mayores recursos.

Contenidos destacados del documento a consulta:

1. Internet no es un espacio de libre apropiación de datos

La idea central del documento puede resumirse en una afirmación sencilla, pero de enorme trascendencia práctica: que una información sea públicamente accesible en Internet no significa que pueda ser recopilada y reutilizada libremente para entrenar modelos de inteligencia artificial. El EDPB recuerda que la publicidad de una información no elimina su posible condición de dato personal. En consecuencia, cuando el web scraping implica operaciones de tratamiento relativas a personas físicas identificadas o identificables —como la recopilación, extracción, limpieza, estructuración, almacenamiento o recuperación de datos— continúan siendo aplicables los principios del RGPD: licitud, lealtad, transparencia, limitación de la finalidad, minimización, exactitud, limitación del plazo de conservación, integridad y confidencialidad.

Las Directrices prestan especial atención a la identificación de la base jurídica del tratamiento. Aunque admiten que, en determinados supuestos, pueda acudirse al interés legítimo previsto en el artículo 6.1.f) del RGPD, recuerdan que su aplicación exige el cumplimiento acumulativo de tres condiciones: la existencia de un interés legítimo; la necesidad del tratamiento para satisfacerlo; y una ponderación que determine que no prevalecen los intereses o los derechos y libertades fundamentales de las personas afectadas. El interés legítimo no puede invocarse automáticamente por el mero hecho de que los datos procedan de fuentes abiertas.

Especial cautela merece el tratamiento de las categorías especiales de datos. Incluso cuando esa información se encuentre públicamente accesible, el tratamiento requiere una base jurídica conforme al artículo 6 del RGPD y, adicionalmente, la concurrencia de alguna de las excepciones establecidas en su artículo 9.2. El EDPB niega que exista una exención general aplicable a la recopilación incidental o residual de esta clase de información y exige un análisis individualizado.

El documento admite que la doctrina establecida por el Tribunal de Justicia de la Unión Europea en el asunto GC y otros, C-136/17, puede ser relevante cuando la recopilación de categorías especiales sea incidental y residual. Esta posibilidad queda condicionada, no obstante, a que el responsable actúe dentro del marco de sus responsabilidades, competencias y posibilidades, y adopte medidas técnicas y organizativas adecuadas para impedir la recopilación y difusión de esos datos.

2. Del RGPD al Reglamento de Inteligencia Artificial: normas que deben aplicarse conjuntamente

Las Directrices permiten advertir cómo el RGPD y el Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial, forman parte de un sistema regulatorio progresivamente interrelacionado.

Esta conexión no significa que el EDPB interprete en las Directrices el Reglamento de Inteligencia Artificial. Su análisis se circunscribe expresamente al RGPD. Sin embargo, desde la perspectiva de las empresas afectadas, las obligaciones derivadas de ambos reglamentos deben cumplirse conjuntamente cuando concurran sus respectivos ámbitos de aplicación.

El RGPD determina las condiciones conforme a las cuales pueden tratarse datos personales para entrenar un modelo. Por su parte, el Reglamento de Inteligencia Artificial impone obligaciones específicas a los proveedores de modelos de inteligencia artificial de propósito general (General-Purpose AI Models, GPAI), particularmente en materia de documentación técnica, transparencia, evaluación y reducción de riesgos y cumplimiento de la normativa de la Unión sobre derechos de autor.

El entrenamiento de un modelo no constituye, por tanto, únicamente una operación de tratamiento de datos personales. Es también un proceso que puede quedar sujeto a obligaciones de gobernanza tecnológica y rendición de cuentas durante las distintas fases del ciclo de vida del modelo.

El cumplimiento del RGPD se convierte así en uno de los componentes del cumplimiento normativo en materia de inteligencia artificial, pero no en el único. La licitud del tratamiento de los datos no garantiza, por sí sola, el cumplimiento de las demás obligaciones impuestas a los proveedores y responsables de sistemas o modelos de IA.

3. La gobernanza de los datos utilizados para el entrenamiento

El documento concede especial importancia a la gobernanza de los datos utilizados durante el entrenamiento. El EDPB recomienda que las organizaciones seleccionen fuentes fiables, registren el momento en el que fueron obtenidos los datos y los validen antes de utilizarlos para entrenar el modelo. Asimismo, insiste en la adopción de medidas destinadas a evitar la recopilación innecesaria de datos personales.

Entre esas medidas se incluyen la delimitación precisa de los criterios de recopilación; la elaboración de mapas e inventarios de datos; la utilización de filtros que excluyan determinadas categorías; la exclusión de sitios que contengan estructuralmente información especialmente sensible; y la exclusión de páginas que manifiesten claramente su oposición al scraping. Después de la recopilación pueden aplicarse filtros adicionales, así como técnicas de anonimización, seudonimización o sustitución de datos reales por datos sintéticos cuando resulte viable.

La obligación de transparencia también plantea dificultades particulares. Informar individualmente a las personas afectadas puede ser imposible o exigir un esfuerzo desproporcionado cuando se recopilan datos correspondientes a miles o millones de individuos. Las Directrices admiten que, en función del diseño concreto del tratamiento, pueda aplicarse la excepción prevista en el artículo 14.5.b) del RGPD. Sin embargo, esa excepción no debe invocarse de manera rutinaria.

Cuando no sea posible informar individualmente, el responsable debe adoptar medidas adecuadas para proteger los derechos, libertades e intereses legítimos de las personas afectadas. Entre ellas se encuentra la publicación de la información exigida por el RGPD. El EDPB considera una buena práctica incluir, cuando sea posible, los dominios y direcciones de las páginas recopiladas, facilitar esa información en un formato susceptible de búsqueda e indicar la fecha o el periodo durante el cual se produjo la recopilación.

No basta, por tanto, con identificar una base jurídica. Es necesario poder demostrar cómo se obtuvieron los datos, por qué eran necesarios, qué controles se aplicaron y qué medidas se adoptaron para reducir los riesgos asociados al tratamiento. No todas estas indicaciones tienen, sin embargo, la misma naturaleza jurídica: algunas derivan directamente de obligaciones establecidas por el RGPD, mientras que otras son recomendaciones o buenas prácticas propuestas por el EDPB. Sería conveniente que la versión definitiva delimitase con mayor precisión ambos planos, evitando que las recomendaciones técnicas sean interpretadas automáticamente como obligaciones jurídicas generales.

Este enfoque aproxima la gobernanza del dato a la gobernanza corporativa tradicional. Del mismo modo que las sociedades deben documentar determinadas decisiones estratégicas y acreditar que los administradores dispusieron de información suficiente, los desarrolladores de IA deberán poder justificar el origen, la calidad y la legitimidad de los datos utilizados para entrenar sus modelos.

Más allá del texto del documento

1. Protección de datos y derechos de autor

Aunque las Directrices tienen por objeto la interpretación del RGPD, resulta imposible ignorar la creciente convergencia entre protección de datos y propiedad intelectual.

Una parte significativa del entrenamiento de modelos se basa en la recopilación automatizada de contenidos que, además de incorporar datos personales, pueden estar protegidos por derechos de autor. Ello obliga a los desarrolladores a comprobar simultáneamente el cumplimiento de varios regímenes jurídicos:

• El RGPD, respecto del tratamiento de datos personales.
• La Directiva (UE) 2019/790 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los derechos de autor y derechos afines en el mercado único digital, incluidas las excepciones relativas a la minería de textos y datos previstas en sus artículos 3 y 4.
• Las obligaciones específicas que el Reglamento de Inteligencia Artificial impone a los proveedores de modelos de inteligencia artificial de propósito general en relación con el respeto de los derechos de propiedad intelectual.

Las Directrices no interpretan la normativa sobre propiedad intelectual. Su razonamiento refuerza, no obstante, la idea de que el entrenamiento de modelos constituye una actividad sometida simultáneamente a distintos regímenes regulatorios. Cumplir uno de ellos no excluye ni garantiza el cumplimiento de los restantes.

También en este punto cabría sugerir, en el marco de la consulta, que el EDPB distinguiese con mayor claridad entre las obligaciones derivadas del RGPD y las que proceden de otros sectores del ordenamiento. Una interpretación integrada resulta necesaria, pero no debería desdibujar las competencias respectivas de las autoridades ni trasladar al responsable la carga de resolver por sí solo posibles contradicciones o solapamientos entre regímenes regulatorios.

2. Consecuencias para la empresa

Desde la perspectiva empresarial, las consecuencias son profundas. Hasta hace pocos años, el análisis podía concentrarse principalmente en determinar si un tratamiento de datos cumplía el RGPD. En la actualidad, las empresas que desarrollan modelos de IA o utilizan modelos desarrollados por terceros deben integrar en sus sistemas internos de cumplimiento obligaciones correspondientes a la protección de datos, la inteligencia artificial, la propiedad intelectual, la gestión documental, la auditoría y supervisión interna y la gestión de riesgos tecnológicos.

La gobernanza de la inteligencia artificial deja así de ser una cuestión exclusivamente tecnológica para convertirse en una función transversal de cumplimiento. Esta transversalidad obliga a definir responsabilidades internas, establecer mecanismos de coordinación entre departamentos y determinar qué decisiones deben elevarse a los órganos de dirección o administración.

La multiplicidad de normas aplicables puede producir, no obstante, solapamientos, costes acumulativos y dudas sobre el reparto de competencias entre autoridades. La coordinación entre los distintos regímenes regulatorios resulta imprescindible para evitar que la acumulación de obligaciones se traduzca en procedimientos paralelos que incrementen la documentación sin mejorar de manera equivalente la protección efectiva de las personas afectadas.

Desde esta perspectiva, una aportación útil a la consulta consistiría en solicitar un verdadero enfoque basado en el riesgo y en la proporcionalidad. Las exigencias aplicables no deberían depender únicamente del volumen de los datos recopilados, sino también de su naturaleza, del carácter dirigido o indiscriminado de la recopilación, de las posibilidades de identificación, de la finalidad del modelo, del riesgo de memorización o reproducción y de los efectos previsibles sobre las personas. Asimismo, sería conveniente prever orientaciones adaptadas a pequeñas y medianas empresas, entidades investigadoras y desarrolladores de modelos de menor escala.

3. El web scraping como decisión de gobierno corporativo

Las Directrices permiten identificar un cambio de paradigma significativo. El web scraping ya no puede contemplarse como una mera técnica informática destinada a recopilar información. La decisión de entrenar un modelo con determinados conjuntos de datos pasa a ser una decisión organizativa que compromete a la empresa en múltiples planos: cumplimiento normativo, gestión de riesgos, reputación, responsabilidad, supervisión interna y estrategia empresarial.

En este contexto, la gobernanza de los datos se aproxima progresivamente a la gobernanza corporativa. Las decisiones relativas a las fuentes de entrenamiento, los mecanismos de validación, la documentación del proceso, los instrumentos de filtrado o la gestión de reclamaciones dejan de pertenecer exclusivamente al ámbito técnico para integrarse en los sistemas internos de control y supervisión.

Ello resulta particularmente relevante para los órganos de administración. El deber general de diligencia previsto en el Derecho societario exige que los administradores dispongan de información adecuada y adopten decisiones razonables sobre los riesgos relevantes derivados de las actividades empresariales, incluidos los relacionados con el desarrollo o utilización de inteligencia artificial.

Esto no significa que los administradores deban supervisar personalmente cada operación de recopilación ni poseer conocimientos técnicos equivalentes a los de los desarrolladores. Sí exige, en cambio, que se establezca una organización adecuada, se distribuyan responsabilidades, se reciba información suficiente y se vigile la eficacia de los sistemas de control cuando los riesgos sean relevantes para la sociedad.

La gobernanza del dato puede configurarse, en este sentido, como una manifestación específica de la diligencia exigible en la empresa algorítmica. Las Guidelines 03/2026 constituyen un paso hacia un modelo en el que la inteligencia artificial deja de ser únicamente un instrumento tecnológico para convertirse también en objeto de organización, control y gobierno corporativo.

Algunas posibles aportaciones a la consulta pública

De lo expuesto pueden extraerse varias cuestiones que sería útil someter a la consideración del EDPB antes de aprobar la versión definitiva de las Directrices:

• Diferenciar con mayor precisión las obligaciones directamente derivadas del RGPD de las recomendaciones técnicas y buenas prácticas formuladas por el EDPB.
• Concretar cómo deben cumplirse las exigencias de trazabilidad, transparencia, exactitud y ejercicio de derechos cuando el entrenamiento utiliza conjuntos de datos masivos, heterogéneos y sometidos a cambios constantes.
• Aplicar de manera efectiva los principios de proporcionalidad y enfoque basado en el riesgo, diferenciando entre recopilación dirigida e indiscriminada, entre modelos de distinta dimensión y entre usos con niveles de riesgo diferentes.
• Ofrecer orientaciones específicas para pequeñas y medianas empresas, entidades investigadoras y desarrolladores de modelos de menor escala, evitando que el coste del cumplimiento consolide la posición de los grandes proveedores.
• Identificar controles técnicamente verificables que permitan evaluar la eficacia real de los filtros, la anonimización, la supresión de datos y las medidas contra la memorización y reproducción de información personal.
• Precisar las consecuencias de la adquisición de conjuntos de datos previamente recopilados por terceros y el alcance de las comprobaciones que razonablemente pueden exigirse al desarrollador que no realizó el scraping original.
• Reforzar la coordinación con las autoridades competentes en materia de inteligencia artificial, propiedad intelectual, competencia y protección de los consumidores, sin confundir las obligaciones derivadas de los distintos regímenes.

Queda, en definitiva, una cuestión abierta: si el ambicioso entramado de selección de fuentes, filtrado, registro, validación, actualización y atención de derechos puede desplegarse y supervisarse realmente a la escala propia de la IA generativa. Existe el riesgo de que la acumulación de controles produzca una apariencia de trazabilidad sin permitir reconstruir de manera fiable qué datos personales fueron incorporados, cómo influyeron en el modelo o si fueron verdaderamente eliminados. También puede generar una asimetría competitiva: los grandes proveedores estarán en mejores condiciones de sostener la infraestructura documental y técnica exigida, mientras que las pequeñas empresas, entidades investigadoras y desarrolladores europeos pueden encontrar barreras difícilmente asumibles.

La eficacia de las Directrices dependerá, por ello, menos de multiplicar declaraciones de cumplimiento que de concretar controles técnicamente verificables, proporcionados al riesgo y compatibles con las características reales de los modelos. Sin esa concreción, la gobernanza del dato corre el peligro de convertirse en una gobernanza principalmente documental: rigurosa sobre el papel, pero limitada en su capacidad para controlar efectivamente la recopilación masiva, la memorización y la eventual reproducción de datos personales.

La consulta pública ofrece una oportunidad para incorporar estas consideraciones y procurar que la futura versión definitiva combine la protección efectiva de los derechos fundamentales con obligaciones comprensibles, proporcionadas y técnicamente realizables.

Más información:

1. European Data Protection Board, Guidelines 03/2026 on web scraping in the context of generative AI, versión 1.0, adoptadas para consulta pública el 7 de julio de 2026, disponible en: https://www.edpb.europa.eu/system/files/2026-07/edpb_guidelines_2020603_webscraping_v1_en_0.pdf.
2. European Data Protection Board, «EDPB sheds light on anonymisation and web scraping for generative AI and adopts final version of guidelines on blockchain», 8 de julio de 2026, disponible en: https://www.edpb.europa.eu/news/edpb-sheds-light-on-anonymisation-and-web-scraping-for-generative-ai-and-adopts-final-version_en.
3. Reglamento (UE) 2016/679 del Parlamento Europeo y del Consejo, de 27 de abril de 2016, relativo a la protección de las personas físicas en lo que respecta al tratamiento de datos personales y a la libre circulación de estos datos.
4. Reglamento (UE) 2024/1689 del Parlamento Europeo y del Consejo, de 13 de junio de 2024, por el que se establecen normas armonizadas en materia de inteligencia artificial.
5. European Data Protection Board, Opinion 28/2024 on certain data protection aspects related to the processing of personal data in the context of AI models, 17 de diciembre de 2024, disponible en: https://www.edpb.europa.eu/our-work-tools/our-documents/opinion-board-art-64/opinion-282024-certain-data-protection-aspects_en.
6. Directiva (UE) 2019/790 del Parlamento Europeo y del Consejo, de 17 de abril de 2019, sobre los derechos de autor y derechos afines en el mercado único digital, especialmente sus artículos 3 y 4 relativos a la minería de textos y datos.
7. Comisión Europea, Guidelines for providers of general-purpose AI models, relativas a las obligaciones previstas en el Reglamento (UE) 2024/1689.

Elaboración por la autora, con apoyo instrumental de IA