Añadir Mangas Verdes como fuente preferida de Google de forma gratuita.
Mantente informado con las últimas noticias de actualidad.
Publicar un dato en abierto no equivale a regalarlo para entrenar una inteligencia artificial.
El Comité Europeo de Protección de Datos ha adoptado las Directrices 03/2026 sobre extracción automatizada de datos en el contexto de la inteligencia artificial generativa, con fecha de publicación del 4 de agosto de 2026. El texto ordena cómo deben aplicarse las obligaciones del Reglamento (UE) 2016/679 cuando una organización desarrolla, entrena o afina modelos.
El regulador distingue dos formas de rastrear la Red
No es lo mismo buscar con una lista previa de criterios que recorrer la web de forma progresiva y sin restricciones claras. Las directrices separan la extracción dirigida del rastreo abierto porque esa diferencia afecta a la finalidad, al alcance de la recogida y a la evaluación jurídica de todo el proceso.
Además, el Comité descompone esa cadena en cuatro fases. Primero llegan la definición de criterios de recopilación y la extracción, y después la limpieza de los datos brutos junto con la estructuración y el almacenamiento del conjunto final.
Ahí aparece una pregunta decisiva. La condición de responsable, corresponsable o encargado del tratamiento no depende de la etiqueta que una empresa se asigne, sino de las circunstancias fácticas de cada caso y del grado de influencia efectiva sobre los fines y los medios.
El interés legítimo no evita el examen de fondo
Entre las entidades privadas, el interés legítimo del artículo 6.1.f) del Reglamento es la base jurídica que más se invoca para extraer datos con destino al entrenamiento de modelos. Pero ese camino no queda abierto de forma automática, porque exige acreditar tres condiciones acumulativas, existencia de un interés legítimo, necesidad y prueba de ponderación.
En esa ponderación entran cuestiones muy concretas. El Comité cita la autodeterminación informativa, el posible efecto disuasorio sobre la libertad de expresión, el riesgo de generar falsificaciones digitales y las expectativas razonables de las personas afectadas.
Tampoco vale una confusión muy extendida.
Que una página sea pública o que no incluya ficheros de exclusión de rastreo no equivale al consentimiento exigido por el Reglamento. La ausencia de una barrera técnica puede facilitar la captura, pero no convierte esa captura en lícita por sí sola.
La minimización empieza antes de recopilar un solo dato
Primero hay que decidir qué no debe entrar. El principio de minimización obliga a evaluar si pueden usarse datos sintéticos, a fijar criterios precisos y a aplicar filtros que excluyan categorías innecesarias antes de iniciar la recopilación.
Ese enfoque enlaza con otra obligación práctica. Las organizaciones deben respetar las medidas técnicas de oposición a la extracción automatizada, como los ficheros de configuración de rastreo y los mecanismos de verificación, un terreno que ya había aparecido en debates sobre datos personales extraídos sin consentimiento.
Cuando informar uno a uno resulte imposible o exija un esfuerzo desproporcionado, el artículo 14.5.b) permite prescindir de esa comunicación individual. A cambio, el responsable debe publicar en su propia página la información sobre categorías de datos, base jurídica, fines, fuentes utilizadas, dominios y fechas de recopilación.
Los datos más sensibles entran aunque nadie los busque
La recopilación masiva mediante extracción automatizada captura de forma incidental datos de categorías especiales del artículo 9 del Reglamento, y su tratamiento está en principio prohibido. Ese es uno de los puntos más delicados del documento porque describe un problema que nace precisamente de la escala.
Para abordarlo, el Comité traslada a esta práctica el razonamiento de la sentencia del Tribunal de Justicia de la Unión Europea en el asunto GC y Otros, C-136/17. El tratamiento incidental de esos datos solo puede contemplarse cuando la actividad guarda similitudes con un motor de búsqueda, tiene carácter residual, resulta imposible de determinar de antemano y cuenta con medidas efectivas.
Después llegan las barreras técnicas y organizativas. El texto menciona filtros previos, eliminación inmediata tras la recopilación, prevención durante el desarrollo y monitorización constante de las salidas una vez desplegado el sistema, una lógica cercana a la que ya se discute al analizar filtraciones de números privados.
Las directrices no discuten si extraer datos es útil para entrenar modelos, sino bajo qué límites legales puede hacerse. Y en ese marco dejan una idea difícil de esquivar, una web abierta sigue siendo un espacio sometido a reglas, no una cantera sin dueño.