Le regole del digitale stanno cambiando.
O sei visibile o sei fuori. Noi ti aiutiamo a raggiungere i clienti giusti — quando ti stanno cercando.
Contattaci ora
Sintesi di ottobre: linee guida su scraping e IA, chi compra dataset pronti resta responsabile.
L'EDPB, nelle linee guida 03/2026 sullo scraping per l'IA, indica di evitare i siti che bloccano la raccolta con robots.txt, ai.txt o CAPTCHA. La sintesi conta perché sposta la responsabilità anche su chi compra dataset già pronti, chiamato a verificare l'origine dei dati. Resta però aperta la consultazione pubblica fino al 30 ottobre 2026.
Per anni il robots.txt è stato poco più di una cortesia. Un file di testo di poche righe con cui un sito dice ai crawler, cioè ai programmi che scandagliano il web in automatico, dove possono entrare e dove no. Rispettarlo era una scelta. Ora l’European Data Protection Board, l’organismo che riunisce le autorità europee per la protezione dei dati, gli dà un peso diverso. Come riportato da PPC Land, l’EDPB ha pubblicato un riassunto di quattro pagine, intitolato “Guidelines at a Glance” e datato ottobre 2026, che condensa le Linee guida 03/2026 sullo scraping web nel contesto dell’intelligenza artificiale generativa. Il messaggio per chi sviluppa modelli di IA è netto: i siti che bloccano lo scraping vanno evitati.
Quattro pagine per dire: dove c’è un blocco, non si raccoglie
Il testo completo non è una novità. L’EDPB aveva adottato le Linee guida 03/2026 già lo scorso 7 luglio, in un documento di 22 pagine, versione 1.0. La sintesi di ottobre serve a rendere leggibile quel lavoro e a mettere in fila le indicazioni pratiche. La più chiara riguarda proprio i blocchi tecnici. Secondo l’EDPB, gli sviluppatori dovrebbero evitare i siti che impediscono lo scraping con misure come l’autenticazione per vedere i contenuti, i file robots.txt o ai.txt, oppure i CAPTCHA, quei test che servono a verificare che dall’altra parte ci sia un essere umano e non un software. L’ai.txt, per chi non lo conoscesse, è un file pensato apposta per dire ai sistemi di IA cosa possono usare di un sito.
Il riassunto contiene anche un esempio molto concreto. Prendiamo un dataset che riguarda un gruppo chiuso di 5.000 persone, con dati recenti, identificabili e con recapiti disponibili. In quel caso, sempre secondo l’EDPB, informare ciascuno individualmente come prevede l’articolo 14 del GDPR non comporterebbe uno sforzo sproporzionato. Quindi il fornitore dovrebbe avvisare ogni persona dello scraping. Tradotto: se puoi raggiungere le persone, non puoi nasconderti dietro la scusa che sono troppe.
Fin qui il divieto pesa su chi raccoglie i dati. Ma chi quei dati li compra già pronti, da altri, è al riparo?
Il dataset comprato non lava la responsabilità
La risposta è no. E qui sta il punto che interessa davvero il mercato. Lo sviluppatore di IA, ai sensi del GDPR, è titolare autonomo del trattamento: risponde in prima persona dell’uso che fa dei dati, a prescindere da chi li ha raccolti. Come spiegato in un’analisi dello studio legale Sidley, chi acquista dataset di terze parti non può esternalizzare la responsabilità e deve fare due diligence a monte su come i dati sono stati raccolti. Compreso il controllo su un aspetto preciso: se provengono da siti che bloccavano lo scraping.
Funziona un po’ come per un’auto usata. Se la compri e poi si scopre che era rubata, il fatto di averla pagata non la rende tua. Con i dati il meccanismo è simile: il prezzo pagato a un fornitore o a un data broker non cancella le domande su come quei dati sono nati. Chi compra eredita il problema.
Vale la pena fermarsi sulle conseguenze. Negli ultimi anni una parte consistente dell’addestramento dei modelli si è appoggiata a raccolte enormi, spesso assemblate da terzi e rivendute. Un approccio comodo, perché sposta il lavoro sporco altrove. Con questa lettura dell’EDPB quella comodità si riduce: se il dataset contiene pagine prese da siti che avevano detto chiaramente di no, il problema resta in mano a chi lo usa. Chi ci guadagna? Di sicuro chi pubblica contenuti, che vede riconosciuto il valore di un segnale che prima molti ignoravano.
Le linee guida non chiudono del tutto la porta allo scraping. Nel testo completo delle Linee guida 03/2026 l’EDPB ricorda che, nel bilanciamento degli interessi, i titolari possono adottare misure tecniche o organizzative per ridurre i rischi individuati. È il cosiddetto balancing test, cioè la valutazione con cui si soppesa l’interesse di chi tratta i dati rispetto ai diritti delle persone coinvolte. Le misure contano, quindi. Ma non sostituiscono il rispetto dei blocchi.
Due regole diverse, lo stesso segnale
Il GDPR, però, non è l’unico fronte. Lo stesso file di testo che conta per la protezione dei dati conta anche per il diritto d’autore. Come ricostruito da una guida dello studio Reed Smith, l’eccezione per il text and data mining della Direttiva DSM, quella che consente l’estrazione automatica di testi e dati, e l’articolo 53 dell’AI Act impongono già ai fornitori di modelli di IA general-purpose di rispettare le riserve dei titolari dei diritti. In pratica questi fornitori devono avere politiche conformi al diritto d’autore europeo, capaci di individuare e rispettare, anche con tecnologie all’avanguardia, gli opt-out dichiarati da chi detiene i diritti.
Due discipline nate per scopi diversi, privacy da una parte e copyright dall’altra, finiscono per indicare gli stessi strumenti. Il robots.txt diventa così un punto d’incontro: un segnale di rifiuto che pesa sia per i dati personali sia per le opere protette.
Resta un passaggio da seguire. Le linee guida complete sono aperte alla consultazione pubblica fino al 30 ottobre 2026, quindi per altri nove giorni. I dettagli possono ancora cambiare. La direzione, però, sembra difficile da invertire.
Per chi fa impresa online il robots.txt smette di essere un dettaglio da lasciare al tecnico e diventa una dichiarazione con un peso giuridico. Chi pubblica contenuti ha uno strumento in più per proteggerli. Chi usa o compra dati per l’IA, invece, dovrà essere in grado di dimostrare da dove vengono. Meglio prima che qualcuno glielo chieda.
