Уеб скрейпинг за AI: какво иска EDPB от фирмите

17.07

време за четене: 5 мин.

Има широко разпространено убеждение, че щом нещо е публикувано в интернет, то е свободно за ползване. Европейският регулатор тъкмо обясни подробно защо това не е така, когато данните хранят AI. Документът още не е окончателен, но посоката в него е недвусмислена. Публично достъпно и свободно за ползване са две различни неща.

Какво прие EDPB и какъв е статусът

На 7 юли 2026, на своята 122-ра пленарна сесия, Европейският комитет по защита на данните (EDPB) прие два документа: проект на насоки за уеб скрейпинг в контекста на генеративен AI и проект на насоки за анонимизация. Заедно с тях излезе и финалната версия на насоките за обработване на лични данни чрез блокчейн.

Статусът е важен и не бива да се пропуска. Двата документа за AI са проекти, отворени за обществена консултация до 30 октомври 2026. Тоест текстът още може да се промени и днес не е задължителен. Пренебрегването му обаче би било лекомислено: това е разбирането на регулатора за правила, които вече действат. Проект днес не значи без значение утре.

Уеб скрейпинг за AI попада под GDPR

Ето и същината. Уеб скрейпинг, тоест автоматичното събиране на данни от интернет страници, не е правно неутрално действие, когато сред събраното има лични данни. Насоките изискват законно основание и в общия случай това е законният интерес по член 6(1)(f) от GDPR, при три условия, които трябва да са изпълнени едновременно и се преценяват за всеки случай поотделно.

Две широко разпространени заблуди падат тук изрично. Първата: че публикуваното значи разрешено. Втората, по-техническа: че щом сайтът няма robots.txt файл, значи няма нищо против. Насоките казват направо, че липсата на такъв файл не представлява съгласие по смисъла на GDPR. Нещо повече, сигналите на самия сайт тежат в преценката: изискване за вход, robots.txt или ai.txt файлове, CAPTCHA. Отделно се посочва, че сайтовете, ползвани предимно от малолетни, следва да се изключват. Мълчанието на сайта не е разрешение.

Какво трябва да е налице преди обучението

Тук насоките стават приятно конкретни. Преди данните да влязат в обучение на AI, се препоръчват три неща, доколкото е възможно.

Първото е събиране от надеждни източници: официални, достоверни и поддържани, например държавен регистър или верифициран фирмен профил, вместо вторични или остарели агрегатори. Второто е времеви печат, тоест записване кога са събрани данните, за да е ясно колко са актуални. Третото е валидиране преди употреба: коректни формати на имейли и телефони и извадкова проверка на случайни проби за фактическа точност. За специалните категории данни, като здравна информация, изискването е двойно: нужно е и основание по член 6, и отделна дерогация по член 9(2), а насоките изрично отбелязват, че общо освобождаване няма.

Прозрачността вече е конкретно задължение

Задължението за информиране също получава плът. Когато не е възможно всеки човек да бъде уведомен поотделно, администраторът трябва да направи информацията публично достъпна, например чрез политика за поверителност или отделно съобщение на сайта си.

Съдържанието ѝ е изброено: категориите лични данни, целите и основанието за обработването, точно посочване на източниците, а когато данните са събрани автоматично, и характеристиките на самия събирач. Изключението за „непропорционално усилие“ съществува, но насоките предупреждават, че то не бива да се ползва рутинно от администратори, които не обработват данни за архивиране в обществен интерес, за научни или исторически изследвания или за статистика. Изключението е тясна врата, не удобен изход.

Кога данните наистина са анонимни

Вторият документ отговаря на въпрос, който много фирми смятат за приключен. Данните са анонимни, ако не се отнасят до идентифицирано или идентифицируемо лице, но насоките подчертават нещо важно: това може да е различно за различните субекти. Анонимността се преценява от гледната точка на всеки конкретен субект, а не веднъж завинаги.

Критериите са три: да не може отделен запис да бъде изолиран, да не може да се направи връзка между записи и да не може да се направи извод за конкретно лице. Изрично се посочват набори, които очевидно не са анонимни: съдържащите име, имейл, телефон или единен граждански номер; съдържащите псевдоними, които лесно се обръщат обратно; и наборите без преки идентификатори, но с достатъчно признаци, за да се стигне до човека.

Уеб скрейпинг важи и когато не го правите сами

Тази част засяга най-много обикновената фирма. Насоките покриват не само организацията, която сама събира данните, а и тази, която възлага събирането на друг.

Още по-съществено: отговорността не се изпарява, когато данните идват отвън. Насоките признават, че за организацията, получила чужд набор от данни, може да е трудно да установи какви точно лични данни има вътре, но заключават, че въпреки това администраторът трябва да постигне съответствие с изискването за отчетност. Купуването на готов набор не прехвърля отговорността върху продавача.

Какво значи това за българските фирми

За българските организации поуката е практична, а не теоретична. Малка фирма, която подава събрани от интернет данни в AI инструмент, или която купува готов набор за обучение, попада точно в обхвата на тези насоки. Уточнение за честност: в документите няма отделен раздел за малките и средните предприятия, така че облекчения заради размера не се предвиждат.

Разумната посока е да се знае откъде идват данните, да се пази запис кога са събрани, да се провери какво съдържат и да се опише всичко това публично. Ако някой в организацията твърди, че данните са анонимни, това твърдение вече има критерии, по които може да бъде проверено. Консултацията тече до края на октомври, което дава време за подготовка, вместо за наваксване. Времето до финалния текст е предимство само за онзи, който го използва.

Заключение

Насоките на EDPB не въвеждат нови правила, а обясняват как действащите се прилагат към AI. Именно затова са полезни: превръщат общи принципи в проверими изисквания. За българския бизнес посланието е спокойно, но ясно. Данните, които хранят AI, не са ничии просто защото са били видими. Организацията, която още отсега знае откъде идват данните ѝ и може да го обясни, ще посрещне финалния текст без изненади.

Помагаме на български организации да ползват данни за AI законосъобразно - да проверят откъде идват данните им, да опишат прозрачно обработването и да преценят дали „анонимното“ наистина е анонимно. Услугите ни покриват одит, оценка на готовност, обучение на екипи и имплементация на специализирани AI автоматизации за всяка организация. Препоръчваме консултация при подготовка за новите изисквания и при преглед на наборите от данни за обучение. [Свържете се с нас за консултация: academy@razvivai.se]