dataset <\/strong>di addestramento.<\/p>\n\n\n\nDal punto di vista tecnico, il web scraping <\/em>rappresenta una delle tecniche pi\u00f9 diffuse<\/strong> per la raccolta dei dati impiegati nello sviluppo e nell\u2019addestramento dei modelli di Intelligenza artificiale generativa. Esso consiste nell\u2019acquisizione automatizzata<\/strong>, mediante appositi software <\/em>o crawler<\/em><\/strong>, di contenuti disponibili online, successivamente estratti, strutturati e conservati all\u2019interno di dataset. Le fonti sono eterogenee e possono comprendere registri pubblici, portali open data, testate giornalistiche, piattaforme di social media, forum di discussione e blog personali. Sebbene non implichi necessariamente una raccolta su larga scala, nel contesto dell\u2019IA generativa lo scraping <\/em>assume frequentemente carattere massivo <\/strong>e avviene, di regola, senza un\u2019interazione diretta con le persone cui i dati si riferiscono.<\/p>\n\n\n\nLe Linee guida muovono da tali presupposti operativi, soffermandosi su un ambito applicativo ben definito. <\/p>\n\n\n\n
L’ambito di applicazione \u00e8 circoscritto a due scenari <\/strong>tipici, a seconda che un’organizzazione: <\/p>\n\n\n\n\n procede autonomamente <\/strong>allo scraping ,<\/em>ovvero vi provvede mediante affidamento a terzi nel contesto dello sviluppo di modelli di IA generativa; <\/li>\n\n\n\nacquisisce <\/strong>un dataset gi\u00e0 precedentemente raccolto da altra entit\u00e0. <\/li>\n<\/ul>\n\n\n\nNe consegue, dunque, che: <\/p>\n\n\n\n
\nLe Linee Guida non estendono il proprio ambito di applicazione in caso di data broker<\/strong><\/em> che si limitano a detenere e cedere dataset senza procedere direttamente allo sviluppo di modelli. <\/li>\n\n\n\nLe Linee guida circoscrivono il proprio ambito di operativit\u00e0 alle attivit\u00e0 di web scraping<\/em> svolte da soggetti privati<\/strong>, senza affrontare specificamente i trattamenti effettuati da autorit\u00e0 o organismi pubblici.<\/li>\n<\/ul>\n\n\n\nTipologie di web scraping e contenuti<\/strong><\/h2>\n\n\n\nLe Linee Guida tracciano una distinzione fondamentale tra scraping mirato<\/em> <\/strong>e scraping non mirato<\/strong><\/em>, in base alla specificit\u00e0 e alla selettivit\u00e0 della raccolta (e non degli strumenti tecnici utilizzati):<\/p>\n\n\n\n\nLo scraping mirato<\/em> viene eseguito secondo criteri di raccolta pi\u00f9 o meno restrittivi. Tali criteri potrebbero essere, ad esempio: tutti gli URL che terminano con europa.eu, URL con contenuti redatti in una determinata lingua o relativi a un argomento specifico.<\/li>\n<\/ul>\n\n\n\n\nLo scraping non mirato<\/em> (come il web crawling senza criteri di raccolta) viene effettuato su base pi\u00f9 indiscriminata, lasciando al software la libert\u00e0 di esplorare e seguire ogni collegamento scoperto proseguendo nella propria esplorazione. Ci\u00f2 pu\u00f2 avvenire mediante un web crawler, che aggiorna automaticamente l’elenco degli URL da visitare e conserva le risposte del server. Questo processo si realizza tramite spider<\/em>, piccoli programmi software che ricevono in anticipo le proprie istruzioni. Tali istruzioni potrebbero essere, ad esempio: \u00abaggiungi tutti gli URL che incontri durante la scansione degli URL elencati\u00bb. A seconda delle istruzioni impartite agli spider, un elenco inizialmente circoscritto di URL pu\u00f2 espandersi notevolmente nel tempo, man mano che il crawler scopre e aggiunge continuamente nuovi URL alla propria coda di pagine da visitare. Questo pu\u00f2 comportare l’esplorazione di una vasta porzione di internet per effetto dell’aggiunta costante di nuovi URL pertinenti, aumentando il rischio che il titolare del trattamento disponga di una conoscenza limitata circa i dati personali raccolti e trattati.<\/li>\n<\/ul>\n\n\n\nL’EDPB si sofferma, altres\u00ec, sulla distinzione tra contenuto statico<\/strong><\/em> e contenuto dinamico<\/strong><\/em> nei siti web.<\/p>\n\n\n\n\nIl contenuto statico<\/strong><\/em> non varia in funzione delle azioni degli utenti (ad esempio, il testo di un determinato post in un blog). Quando si effettua lo scraping<\/em> di contenuto statico da pagine web, i dati target risiedono direttamente nell’HTML della pagina e possono pertanto essere estratti semplicemente recuperando e analizzando la pagina stessa. La maggior parte degli scraper <\/em>che operano su siti statici si basa sulla struttura diretta dell’HTML per individuare i dati necessari.<\/li>\n<\/ul>\n\n\n\n\nIl contenuto dinamico<\/strong><\/em> pu\u00f2 variare in risposta alle azioni degli utenti (ad esempio, il caricamento di ulteriori contenuti quando l’utente scorre verso il basso la pagina). Quando si effettua lo scraping <\/em>di contenuto dinamico da pagine web, i crawler <\/em>devono renderizzare la pagina internamente, simulando l’interazione di un utente umano con la pagina stessa. Questi scraper <\/em>attendono che la pagina renderizzi il contenuto aggiuntivo e poi leggono ed estraggono i dati renderizzati dinamicamente.<\/li>\n<\/ul>\n\n\n\nLe diverse fasi del processo di web scraping<\/strong><\/h2>\n\n\n\nLe Linee Guida si soffermano, altres\u00ec, sul processo di web scraping<\/em>, individuandone le quattro fasi principali<\/strong>. <\/p>\n\n\n\n\n
\nLa prima fase<\/em> riguarda la definizione dei criteri di raccolta dei dati.<\/strong> Consiste nell’individuare le fonti rilevanti da cui effettuare lo scraping \u2014 in funzione, ad esempio, della finalit\u00e0 del successivo sviluppo del modello di IA \u2014 nonch\u00e9 altri criteri volti a escludere la raccolta di dati personali non necessari ai fini del trattamento. Questa fase implica anche l‘adozione di misure per escludere dalla raccolta determinate fonti<\/strong> (ad esempio, siti web che si oppongono al web scraping mediante misure tecniche come robots.txt<\/strong> o CAPTCHA<\/strong>). <\/li>\n\n\n\nLa seconda fase<\/em> riguarda l’\u00abestrazione\u00bb<\/strong>, durante la quale i dati provenienti dalle fonti selezionate vengono trasferiti alla posizione di archiviazione designata.<\/li>\n\n\n\nLa terza fase<\/em> \u00e8 la \u00abpulizia<\/strong>\u00bb: i dati grezzi trasferiti dal processo automatizzato dovranno spesso essere elaborati per migliorarne la qualit\u00e0 (ad esempio, eliminando duplicati, rimuovendo tag o codice HTML non pertinenti e normalizzando i formati, come date e numeri, nonch\u00e9 cancellando dati non necessari).<\/li>\n\n\n\nLa quarta fase<\/em> \u00e8 la \u00abstrutturazione e archiviazione<\/strong>\u00bb, durante la quale l’organizzazione che costituisce il dataset di addestramento pu\u00f2 applicare ulteriori regole per affinare i dati, escludendo contenuti web di bassa qualit\u00e0. Al termine di questa fase di raffinamento, i dati residui vengono strutturati in un formato utilizzabile.<\/li>\n<\/ul>\n<\/div><\/div>\n\n\n\nWeb scraping e GDPR<\/h2>\n\n\n\n Il nucleo centrale delle Linee Guida ruota attorno al binomio “web scraping – GDPR”. In tale sezione, l’EDPB si concentra sugli aspetti salienti connessi al trattamento dei dati personali. In particolare:<\/p>\n\n\n\n
\nI soggetti coinvolti nel trattamento dei dati personali;<\/li>\n\n\n\n I principi rilevanti; <\/li>\n\n\n\n Le basi giuridiche per il trattamento; <\/li>\n\n\n\n Il trattamento delle categorie speciali di dati personali. <\/li>\n<\/ul>\n\n\n\nLa qualificazione soggettiva: titolare, contitolare, responsabile<\/h2>\n\n\n\n Prima ancora di affrontare i profili sostanziali di conformit\u00e0, le Linee guida chiariscono un aspetto organizzativo di significativa rilevanza pratica: la qualificazione dei soggetti coinvolti nella filiera del trattamento non \u00e8 predeterminata dalla struttura dell’operazione, ma dipende dall’analisi delle circostanze concrete<\/strong>.<\/p>\n\n\n\nIl soggetto che materialmente esegue le operazioni di scraping non \u00e8 necessariamente il titolare del trattamento.<\/strong> Ove uno sviluppatore <\/strong>di modelli IA incarichi un terzo <\/strong>di costituire il dataset secondo istruzioni documentate riguardanti le fonti da includere, le categorie di dati da raccogliere e le modalit\u00e0 operative, tale terzo deve essere qualificato come responsabile del trattamento ai sensi dell’art. 28 GDPR, mentre il titolare rimane lo sviluppatore che ne determina finalit\u00e0 e mezzi essenziali.<\/p>\n\n\n\nDiversa \u00e8 l’ipotesi di codeterminazione <\/strong>delle scelte di raccolta: ove due organizzazioni decidano congiuntamente le finalit\u00e0 e i mezzi del trattamento, ripartendosi operativamente i compiti (l’una per lo scraping, l’altra per lo sviluppo del modello), entrambe sono da qualificarsi come contitolari ex art. 26 GDPR, con obbligo di disciplinare contrattualmente la ripartizione delle responsabilit\u00e0.<\/p>\n\n\n\nNel caso di acquisizione di dataset pre-costituiti<\/strong>, infine, ciascuna delle entit\u00e0 coinvolte risponde del proprio trattamento separato: lo scraper per la raccolta, l’acquirente per le successive operazioni di utilizzo.<\/p>\n\n\n\nI principi di cui all’art. 5 GDPR applicati allo scraping<\/h2>\n\n\n\n Le Linee guida 03\/2026 richiamano i seguenti principi ex art. 5 GDPR: <\/p>\n\n\n\n
\nliceit\u00e0 e correttezza, <\/li>\n\n\n\n limitazione della finalit\u00e0, <\/li>\n\n\n\n trasparenza,<\/li>\n\n\n\n minimizzazione dei dati, <\/li>\n\n\n\n esattezza,<\/li>\n\n\n\n accountability. Per ciascuno di essi, le Linee Guida forniscono esempi pratici per contestualizzarne l’applicazione. <\/p>\n\n\n\n
La base giuridica del trattamento<\/h2>\n\n\n\n Prima di avviare operazioni di scraping <\/em>che comportino la raccolta di dati personali o il riutilizzo di dati gi\u00e0 raccolti, il titolare del trattamento deve individuare una base giuridica <\/strong>per il trattamento. <\/p>\n\n\n\nL’EDPB sottolinea che la base giuridica dell’interesse legittimo<\/strong> \u00e8 quella pi\u00f9 frequentemente invocata <\/strong>per lo scraping nel contesto dello sviluppo dell’IA generativa da parte di soggetti privati. Le altre basi giuridiche di cui all’art. 6(1) GDPR risulteranno generalmente meno applicabili al web scraping nel medesimo contesto.<\/p>\n\n\n\nIn particolare, il consenso <\/strong>rappresenta una base giuridica difficilmente applicabile, poich\u00e9 ottenere il consenso degli interessati \u00e8 spesso difficile quando i dati personali vengono raccolti indirettamente e su larga scala. Le organizzazioni che raccolgono dati da internet (in qualit\u00e0 di \u00abdati di terzi\u00bb) non intrattengono una relazione diretta con gli interessati e con ogni probabilit\u00e0 non sono in grado di identificare e ottenere il consenso di ciascuno di essi prima di procedere allo scraping.<\/p>\n\n\n\nPeraltro, spesso gli interessati non sono nemmeno a conoscenza del fatto che i propri dati siano pubblicamente disponibili online. Nondimeno (e questo pu\u00f2 essere un elemento centrale nella riflessione), il fatto che un interessato renda i propri dati personali accessibili online \u2014 ad esempio su una pagina web aperta a tutti \u2014 non implica che abbia prestato il proprio consenso allo scraping<\/strong> di tali dati per una finalit\u00e0 specifica. In particolare, l’assenza o la non applicabilit\u00e0 di un file robots.txt su un sito web non equivale a consenso ai sensi del GDPR.<\/p>\n\n\n\nLe categorie particolari di dati: il regime speciale e la sentenza GC & Others<\/em><\/h2>\n\n\n\nIl trattamento di categorie particolari di dati ai sensi degli artt. 9 e 10 GDPR \u2014 dati di origine razziale o etnica, opinioni politiche, dati sanitari, orientamento sessuale, dati relativi a condanne penali e reati, tra gli altri \u2014 \u00e8 vietato in linea di principio e richiede, in aggiunta a una base giuridica ex art. 6, un’apposita eccezione ai sensi dell’art. 9(2). La difficolt\u00e0 pratica dello scraping risiede nel fatto che spesso non \u00e8 possibile accertare con ragionevole certezza se e in quale misura il dataset raccolto contenga dati appartenenti a tali categorie prima che la raccolta sia completata: i filtri tecnici riducono il rischio ma non lo azzerano.<\/p>\n\n\n\n
Per risolvere questa tensione, l’EDPB richiama la sentenza GC & Others<\/em> (C-136\/17). Nella sentenza, la Corte di giustizia non ha escluso l’applicazione degli artt. 9 e 10 GDPR all’attivit\u00e0 dei motori di ricerca. Ha tuttavia riconosciuto che le specifiche caratteristiche di tale attivit\u00e0 incidono sull’estensione delle responsabilit\u00e0 e degli obblighi del gestore, i quali devono essere valutati \u00abnell’ambito delle sue responsabilit\u00e0, competenze e possibilit\u00e0\u00bb. Muovendo da tale impostazione, l’EDPB ritiene che il ragionamento possa assumere rilievo anche nello scraping destinato all’addestramento di modelli IA, ma soltanto per la raccolta incidentale e residuale di categorie particolari di dati e previa verifica di condizioni cumulative.<\/p>\n\n\n\nIl titolare deve poter dimostrare: che la propria attivit\u00e0 presenta rilevanti analogie con quella di un motore di ricerca per struttura e scala; che la raccolta di dati sensibili \u00e8 incidentale e residuale, non intenzionale; che \u00e8 oggettivamente difficile o impossibile identificare in anticipo la presenza di tali dati; e, infine, che ha adottato misure adeguate \u00abnel quadro delle proprie responsabilit\u00e0, competenze e possibilit\u00e0\u00bb per prevenire la raccolta e la diffusione di dati appartenenti a categorie particolari.<\/p>\n\n\n\n
Queste misure presentano una struttura diacronica: in fase antecedente alla raccolta, definizione di criteri e filtri per l’esclusione di fonti ad alto rischio; in fase successiva alla raccolta, cancellazione immediata dei dati sensibili identificati e su richiesta degli interessati; durante lo sviluppo del modello, adozione di misure di resistenza agli attacchi di estrazione e di filtri sull’output; dopo il deployment, monitoraggio continuo dell’output generato e intervento immediato in caso di rigurgitazione di dati sensibili, con considerazione delle tecniche di machine unlearning<\/em> man mano che queste diventino disponibili.<\/p>\n\n\n\nL’EDPB ribadisce che non esiste un’esenzione generale dagli artt. 9 e 10 GDPR per il trattamento connesso allo scraping: ogni attivit\u00e0 deve essere valutata individualmente per verificare se il ragionamento elaborato dalla Corte in GC & Others<\/em> sia applicabile alle specifiche circostanze del caso.<\/p>\n\n\n\nConclusioni<\/h2>\n\n\n\n Le Linee guida 03\/2026 non pongono un divieto generale di utilizzo del web scraping per l’addestramento di modelli di IA generativa. Definiscono, piuttosto, un percorso di conformit\u00e0 <\/strong>esigente, che richiede ben pi\u00f9 di una privacy policy generica o del rispetto formale delle indicazioni dei files robots.txt. Per i soggetti che sviluppano modelli generativi, il documento delinea un sistema integrato di obblighi: qualificazione soggettiva corretta dei trattamenti, raccolta selettiva e documentata, misure tecniche e organizzative proporzionate al rischio, gestione strutturata delle categorie particolari di dati lungo l’intero ciclo di vita del modello \u2014 dalla raccolta al deployment.<\/p>\n\n\n\nDue profili meritano particolare attenzione in prospettiva. <\/p>\n\n\n\n
Il primo \u00e8 la dinamicit\u00e0 del bilanciamento<\/strong>: le ragionevoli aspettative degli interessati e la valutazione dell’impatto del trattamento non sono statiche, ma si modificano al variare delle capacit\u00e0 tecniche dei modelli e della percezione sociale della raccolta massiva. Un bilanciamento che risulta favorevole al titolare in un dato momento potrebbe non esserlo in seguito, in ragione dell’evoluzione tecnologica o del mutato contesto d’uso del modello.<\/p>\n\n\n\nIl secondo profilo riguarda lo statuto ancora incerto del machine unlearning<\/em>.<\/strong> Le Linee guida ne considerano l’impiego come prospettiva rilevante nel lungo periodo per la cancellazione di dati da modelli gi\u00e0 addestrati, precisando che, qualora tali tecniche arrivassero a garantire la cancellazione di dati specifici, potrebbero rappresentare un’alternativa ai filtri di output o al riaddestramento. \u00c8 pertanto ragionevole ritenere che, con il consolidamento di tali tecniche, il machine unlearning possa progressivamente entrare nel novero delle misure esigibili secondo lo stato dell’arte \u2014 bench\u00e9 tale conclusione costituisca una valutazione interpretativa dell’autore e non una determinazione espressa delle Linee guida.<\/p>\n\n\n\nDi\u00a0Alessia Palladino<\/strong>Assegnista di ricerca e Cultore della Materia in \u00abInformatica giuridica\u00bb e \u00abComputer Law\u00bb\u00a0 presso l\u2019Universit\u00e0 degli Studi di Cagliari<\/em><\/p>\n","protected":false},"excerpt":{"rendered":"Il 7 luglio 2026 il Comitato europeo per la protezione dei dati (EDPB) ha posto in consultazione pubblica fino al 30 ottobre 2026 le Linee guida 03\/2026 sul web scraping nel contesto dell’Intelligenza artificiale generativa. Il […]<\/p>\n","protected":false},"author":9973,"featured_media":1267,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_coblocks_attr":"","_coblocks_dimensions":"","_coblocks_responsive_height":"","_coblocks_accordion_ie_support":"","footnotes":""},"categories":[1],"tags":[13,11,8,12],"class_list":["post-1265","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-news-ed-eventi","tag-artificial-intelligence","tag-dataprotection","tag-ia","tag-intelligenza_artificiale"],"_links":{"self":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1265","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/users\/9973"}],"replies":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/comments?post=1265"}],"version-history":[{"count":2,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1265\/revisions"}],"predecessor-version":[{"id":1269,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/posts\/1265\/revisions\/1269"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/media\/1267"}],"wp:attachment":[{"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/media?parent=1265"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/categories?post=1265"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/sites.unica.it\/ict4lawforensics\/wp-json\/wp\/v2\/tags?post=1265"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
![\"\"](\"https:\/\/sites.unica.it\/ict4lawforensics\/files\/2026\/07\/image-725x1024.png\")
<\/figure>