IA GENERATIVA E GDPR: NUOVE REGOLE SU ANONIMIZZAZIONE E WEB SCRAPING

L’utilizzo dell’intelligenza artificiale generativa pone una questione sempre più rilevante: quando e a quali condizioni è possibile utilizzare dati personali per sviluppare e addestrare sistemi di IA? Il fatto che un’informazione sia disponibile pubblicamente online non significa, infatti, che possa essere raccolta e utilizzata liberamente. Su questo tema è intervenuto l’European Data Protection Board (EDPB), che durante la plenaria dell’8 luglio 2026 ha adottato due nuovi documenti destinati a incidere sull’applicazione del GDPR all’intelligenza artificiale: le Linee guida 02/2026 sull’anonimizzazione e le Linee guida 03/2026 sul web scraping nel contesto dell’IA generativa, entrambe sottoposte a consultazione pubblica fino al 30 ottobre 2026. Le indicazioni affrontano due problemi strettamente collegati: stabilire quando un dato possa considerarsi realmente anonimo e chiarire quali garanzie debbano essere rispettate quando informazioni disponibili sul web vengono raccolte automaticamente per alimentare dataset destinati ai sistemi di intelligenza artificiale.

DATI ANONIMI: ELIMINARE IL NOME NON È SUFFICIENTE

Uno degli aspetti centrali riguarda il concetto di anonimizzazione. Quando un insieme di informazioni è realmente anonimo, non è più qualificabile come dato personale e, di conseguenza, esce dall’ambito di applicazione del GDPR.

Il problema consiste nello stabilire quando questo risultato possa dirsi effettivamente raggiunto.

Secondo le nuove indicazioni dell’EDPB, la semplice eliminazione del nome, del cognome o di altri identificativi diretti non rende automaticamente anonimo un dataset. Occorre verificare se, utilizzando altre informazioni disponibili e mezzi ragionevolmente accessibili, sia ancora possibile risalire alla persona alla quale i dati si riferiscono.

IL RISCHIO DI REIDENTIFICAZIONE

La valutazione deve quindi concentrarsi sul rischio concreto di reidentificazione.

Un insieme di dati apparentemente anonimo potrebbe continuare a consentire l’identificazione di una persona quando le informazioni vengono combinate con altre fonti.

Questo aspetto assume particolare importanza nell’ambito dell’intelligenza artificiale, dove vengono elaborati dataset molto ampi e informazioni provenienti da fonti differenti.

Per imprese e organizzazioni, quindi, dichiarare semplicemente che un dataset è stato anonimizzato non è sufficiente: occorre verificare concretamente che l’identificazione dell’interessato non sia ragionevolmente possibile.

WEB SCRAPING: I DATI PUBBLICI NON SONO DATI LIBERI

Il secondo documento dell’EDPB affronta il web scraping, cioè la raccolta automatizzata di grandi quantità di informazioni disponibili online.

Questa tecnica può essere utilizzata per costruire dataset destinati all’addestramento dei modelli di IA generativa. Tuttavia, quando tra le informazioni raccolte sono presenti dati personali, entra in gioco il GDPR.

Il principio evidenziato dall’EDPB è particolarmente importante: la pubblica accessibilità di un dato non determina automaticamente la sua libera utilizzabilità.

Una fotografia, un commento, un’informazione professionale o un altro dato personale pubblicato online rimane soggetto alla normativa sulla protezione dei dati quando viene successivamente raccolto e trattato.

QUALI PRINCIPI DEL GDPR DEVONO ESSERE RISPETTATI

Le attività di raccolta, conservazione e utilizzo dei dati devono rispettare i principi fondamentali previsti dal GDPR.

Tra gli aspetti richiamati dall’EDPB assumono particolare rilievo:

• la limitazione delle finalità;

• la minimizzazione dei dati;

• l’esattezza delle informazioni;

• la trasparenza del trattamento;

• l’individuazione di una base giuridica adeguata.

Questo significa che la possibilità tecnica di acquisire un’enorme quantità di informazioni online non coincide necessariamente con la possibilità giuridica di utilizzarle.

LEGITTIMO INTERESSE E INTELLIGENZA ARTIFICIALE

Le linee guida affrontano anche il possibile ricorso al legittimo interesse come base giuridica per determinate operazioni di trattamento.

Non si tratta, però, di un’autorizzazione generale al web scraping.

L’organizzazione deve verificare concretamente la sussistenza dei presupposti che consentono di utilizzare questa base giuridica e considerare l’impatto del trattamento sui diritti e sulle libertà delle persone interessate.

PARTICOLARE ATTENZIONE AI DATI SENSIBILI

Il web può contenere informazioni estremamente delicate riferite alle persone.

L’EDPB richiama quindi particolare attenzione quando la raccolta automatizzata coinvolge categorie particolari di dati personali. La presenza online dell’informazione non elimina le garanzie previste dal GDPR.

Le organizzazioni sono inoltre chiamate ad adottare misure tecniche e organizzative adeguate per ridurre i rischi per i diritti e le libertà degli interessati.

COSA SIGNIFICA PER LE IMPRESE CHE UTILIZZANO L’IA

Le nuove linee guida confermano che AI governance e protezione dei dati devono procedere insieme.

Per le organizzazioni che sviluppano o utilizzano soluzioni di intelligenza artificiale diventa essenziale conoscere la provenienza dei dati, verificare le modalità con cui sono stati raccolti, distinguere tra dati personali e dati realmente anonimizzati e valutare la base giuridica applicabile.

Particolare attenzione dovrebbe essere riservata anche ai rapporti con fornitori esterni: utilizzare un dataset acquistato o un servizio sviluppato da terzi non elimina automaticamente le problematiche relative alla protezione dei dati.

La regolamentazione dell’intelligenza artificiale richiede oggi di coordinare AI Act, GDPR, governance dei dati e responsabilità dei diversi soggetti coinvolti. Le Linee guida EDPB 02/2026 e 03/2026 rappresentano un ulteriore passaggio verso la definizione di criteri più precisi per l’utilizzo dei dati personali nell’ecosistema dell’IA generativa. Trattandosi, secondo l’allegato, di documenti posti in consultazione pubblica fino al 30 ottobre 2026, sarà importante seguirne anche l’evoluzione successiva.