Web scraping AI e GDPR 2026: cosa cambia per le PMI italiane

La conclusione, subito: le linee guida EDPB sul web scraping AI non riguardano quasi nessuna PMI italiana, ma i principi che contengono sì

Le Guidelines 03/2026 dell’EDPB sul web scraping per l’addestramento di modelli AI sono uscite in estate. Da allora circolano sintesi che le presentano come un nuovo obbligo urgente per chiunque usi l’AI in azienda. Non è così.
Se la tua PMI non raccoglie dati dal web in modo automatizzato per costruire o affinare modelli, queste linee guida non ti toccano direttamente. Se invece usi strumenti AI che qualcun altro ha addestrato con dati raccolti via scraping, la responsabilità è di chi ha costruito il modello, non tua.
Il punto che invece riguarda ogni PMI che lavora con AI è più sottile: il GDPR si applica ogni volta che un sistema AI tratta dati personali, indipendentemente da come quei dati siano stati raccolti. E su questo molte PMI sono ancora esposte.

Cosa dicono le linee guida EDPB e perché fanno rumore

L’EDPB, il comitato europeo che coordina le autorità di protezione dei dati, ha pubblicato a inizio 2026 un documento che risponde a una domanda molto specifica: quando è lecito raccogliere dati dal web per addestrare modelli di intelligenza artificiale?
La risposta breve è: quasi mai senza un’analisi seria delle basi giuridiche.

Il problema del legittimo interesse

Il legittimo interesse è la base giuridica più invocata da chi fa scraping su larga scala. L’EDPB ha chiarito che non basta dichiararlo: serve un bilanciamento reale tra l’interesse del titolare del trattamento e i diritti degli interessati. Se i dati raccolti includono informazioni personali, anche indirettamente, quel bilanciamento deve essere documentato e difendibile.
Questo non è un cambiamento radicale rispetto al GDPR del 2018. È una conferma che molti operatori preferivano non sentire.

Chi usa scraping su dati pubblici

Raccogliere dati da siti web pubblici non equivale a raccogliere dati anonimi. Un nome, un’email in un profilo LinkedIn, un commento su un forum collegato a un account reale: sono tutti dati personali, anche se tecnicamente accessibili senza login. Le linee guida ribadiscono che la pubblicità di un dato non ne azzera la protezione.
Per una PMI che, per esempio, costruisce un sistema di lead generation automatizzata raccogliendo dati da directory pubbliche o profili aziendali, questo ha implicazioni concrete.

Cosa cambia per una PMI che usa AI senza fare scraping

La maggior parte delle PMI italiane non costruisce modelli AI propri. Usa strumenti di terzi, spesso via API o interfaccia SaaS. In questo caso il perimetro di responsabilità è diverso, ma non assente.

I dati che passano nei prompt

Ogni volta che un sistema AI riceve un prompt che contiene dati personali, anche in modo apparentemente innocuo, si configura un trattamento ai sensi del GDPR. Un prompt che include il nome di un cliente, la sua email, un dettaglio di una trattativa commerciale: sono dati personali.
Se il fornitore del modello AI è extra-UE e i dati vengono processati fuori dall’Unione Europea, serve una base giuridica per il trasferimento. Molte PMI non hanno verificato se il contratto con il proprio fornitore AI include le clausole contrattuali standard (SCC) richieste dal GDPR.
Questo non è un dettaglio tecnico da delegare. È un rischio legale concreto.

Il DPA e le istruzioni ai fornitori

Chi usa un modello AI come strumento di lavoro, passandogli dati personali, deve verificare se il fornitore agisce come responsabile del trattamento (data processor) o come titolare autonomo. La distinzione cambia tutto: nel primo caso serve un Data Processing Agreement (DPA) firmato; nel secondo, il trasferimento di dati va valutato con ancora più attenzione.
Molti fornitori di strumenti AI propongono DPA standard nei loro termini di servizio. Vanno letti, non accettati ciecamente.

Cosa conviene fare adesso

Tre azioni concrete, ordinate per priorità.
Prima: mappa quali strumenti AI usi in azienda e quali dati personali ricevono. Non serve un audit formale da decine di migliaia di euro. Basta un foglio dove elenchi strumenti, tipo di dati coinvolti, paese del fornitore.
Seconda: verifica se hai un DPA firmato con ogni fornitore AI che tratta dati personali per tuo conto. Se il fornitore è extra-UE, controlla se il contratto menziona le SCC o altri meccanismi di trasferimento validi.
Terza: se la tua PMI usa scraping automatizzato per raccogliere dati da competitor, da directory di settore o da fonti pubbliche per alimentare analisi o sistemi AI interni, fatti assistere da un legale specializzato in privacy prima di continuare. Le linee guida EDPB hanno alzato l’asticella su questo punto in modo significativo.
Se stai valutando come automatizzare processi interni con AI agent e vuoi capire dove il trattamento dei dati diventa un nodo da gestire, raccontaci il tuo caso: possiamo aiutarti a strutturare l’architettura in modo che i dati personali non transitino dove non devono.

Cosa puoi ignorare (almeno per ora)

Le linee guida EDPB parlano principalmente di chi costruisce o affina modelli AI su larga scala. Se sei una PMI che usa ChatGPT, Copilot o strumenti analoghi senza passarci dati personali sensibili, o che usa modelli pre-addestrati senza modificarli, non sei nel mirino diretto di questo documento.
Puoi ignorare anche il dibattito sul legittimo interesse come base per il training AI: è rilevante per chi gestisce dataset di milioni di record, non per chi usa l’AI per automatizzare la fatturazione o rispondere alle email.
Quello che non puoi ignorare è la governance di base: sapere cosa entra nei tuoi sistemi AI, chi lo processa e dove. Su questo, la nostra posizione è netta: le PMI che pensano di essere troppo piccole per interessare al Garante si sbagliano. Le sanzioni GDPR si applicano per percentuale sul fatturato, non in base alla dimensione aziendale.

Il rischio reale non è la multa, è la dipendenza cieca

C’è un aspetto che le analisi legali tendono a trascurare: il problema della qualità e della provenienza dei dati usati per addestrare i modelli che le PMI adottano.
Se un fornitore AI ha costruito il proprio modello con dati raccolti in modo non conforme, la tua PMI potrebbe trovarsi a usare uno strumento che, in caso di contestazione, diventa difficile da difendere davanti a un cliente o a un’autorità. Non perché tu abbia fatto qualcosa di sbagliato, ma perché non hai verificato.
La dipendenza dai grandi provider AI ha questo lato nascosto: non controlli come il modello è stato costruito, e quando le regole cambiano, sei esposto.
Un approccio più solido, dove possibile, è usare modelli open source auto-ospitati per i processi che trattano dati sensibili. Non è sempre praticabile, però è l’unico modo per avere piena visibilità su cosa succede ai dati.
Per chi vuole capire meglio come tenere sotto controllo i sistemi AI che girano in azienda, l’analisi su come proteggere i sistemi aziendali dagli agenti AI fuori controllo affronta il lato tecnico di questo problema.

Se gestisci una PMI e stai introducendo strumenti AI nei processi che toccano dati di clienti o fornitori, in Press Start possiamo aiutarti a strutturare l’architettura in modo conforme fin dall’inizio. Scrivici e raccontaci il tuo caso.