Radije slušate? Kliknite play za AI naraciju

Većina generativnih modela umjetne inteligencije uči iz tekstova, slika i zvuka prikupljenih s otvorenog weba: blogova, foruma, news portala, profila na društvenim mrežama i javnih registara. Velik dio tog materijala odnosi se na stvarne osobe koje se mogu identificirati. Godinama je neformalna pretpostavka industrije bila jednostavna: ako je javno dostupno, slobodno je za uzeti.

Europski regulatori sada su detaljno objasnili zašto ta pretpostavka ne stoji. U srpnju 2026. Europski odbor za zaštitu podataka (EDPB) objavio je nacrt Smjernica 03/2026 o web scrapingu u kontekstu generativne umjetne inteligencije, a javno savjetovanje završava 30. listopada 2026. Dana 8. listopada 2026. britanski Ured povjerenika za informiranje (Information Commissioner's Office, ICO) objavio je završno izvješće o dvogodišnjem nadzoru najvećih razvojnih programera temeljnih modela. Zajedno daju dosad najjasniju sliku o tome kako izgleda „zakonit scraping” i što će se od tvrtki očekivati da dokažu.

To nije važno samo za laboratorije umjetne inteligencije. Ako naručujete skup podataka, kupujete ga od posrednika, fino podešavate model na javnim objavama ili gradite alat za generiranje potencijalnih kupaca koji prikuplja profile, ova pravila vrijede i za vas.

30. lis.
Rok za komentare na nacrt smjernica EDPB-a
10
Razvojnih programera UI-ja koji su promijenili prakse nakon ICO-ova nadzora
3 %
Najveća kazna prema Aktu o UI-ju za propuste u sažetku podataka za treniranje (ili 15 mil. €)
0
Izmjena Digitalnog omnibusa na snazi danas. GDPR se primjenjuje u cijelosti

Zašto je scraping sada pod povećalom

Tri su se događaja dogodila unutar nekoliko tjedana:

U međuvremenu su predložene izmjene GDPR-a EU-a za UI zapele u Vijeću (više o tome u nastavku). Za sada vrijede postojeća pravila.

„Javno” ne znači „slobodno za korištenje”

Polazište EDPB-a je jasno. GDPR se primjenjuje na web scraping kad god su uključeni osobni podaci, od izvlačenja preko čišćenja i strukturiranja do pohrane, bez obzira identificiraju li podaci nekoga izravno ili neizravno. Vrijedi zapamtiti još dvije točke:

ICO do istog zaključka dolazi iz drugog smjera. Prema njegovim riječima, nejasne izjave da je model treniran na „javno dostupnim informacijama” „vjerojatno neće biti dovoljne” u smislu transparentnosti.

Tko je odgovoran: scraper, razvojni programer ili oboje?

Lanci scrapinga često uključuju više tvrtki, a EDPB navodi da se uloge moraju procjenjivati od slučaja do slučaja, na temelju činjenica. Njegove opće upute:

ICO dodaje da bi razvojni programeri trebali osigurati da svi u njihovu lancu podataka za treniranje, uključujući posrednike podataka, ispunjavaju svoje obveze transparentnosti.

Legitimni interes: test u tri koraka primijenjen na scraping

ICO legitimni interes (čl. 6. st. 1. t. (f) GDPR-a) realno naziva jedinom zakonitom osnovom za treniranje generativnog UI-ja na prikupljenim osobnim podacima. EDPB kaže da je to osnova na koju se privatne tvrtke obično oslanjaju te da su ostale općenito manje vjerojatne. Obojica inzistiraju da se on mora zaslužiti dokumentiranim testom u tri koraka.

  1. Stvaran, konkretan interes. Mora biti zakonit, jasno formuliran te stvaran i aktualan. ICO dodaje da široki interesi poput „razvoja i poboljšanja naših proizvoda i usluga”, „treniranja naših modela” ili „koristi za čovječanstvo” vjerojatno nisu dovoljni bez pojašnjenja ili obrazloženja.
  2. Nužnost. Sužavanje kriterija prikupljanja, umjesto „scrapinga velikog dijela interneta”, može biti ključno, kaže EDPB, a pseudonimizirani ili sintetički podaci mogu biti manje invazivne alternative. ICO očekuje da razvojni programeri objasne zašto druge izvore, poput licenciranih skupova podataka, ne smatraju prikladnima.
  3. Odvagivanje. EDPB navodi rizike poput gubitka kontrole, „zastrašujućeg učinka” na slobodu izražavanja, deanonimizacije osoba koje su objavljivale anonimno i deepfakea. Također napominje da se s današnjom tehnologijom osobni podaci „ne mogu lako izbrisati” iz treniranog modela.

Razumna očekivanja imaju veliku težinu, a EDPB ih čvrsto veže uz ono što web-stranice signaliziraju. Tko objavljuje na otvorenoj platformi koja dopušta scraping i to navodi, razumno može očekivati da će razvojni programeri UI-ja prikupljati njegov sadržaj. Tko objavljuje na platformi koja blokira scrapere putem robots.txt-a i CAPTCHA-e te navodi da ne dopušta treniranje UI-ja na korisničkim podacima, ne može.

Nacrt također pokazuje gdje je granica. Organizacija koja prikuplja javne glasovne snimke kako bi prodavala alat za generiranje glasa, bez zaštita od zlonamjernog ponovnog korištenja, „ne može se osloniti” na legitimni interes. Tekstualni model treniran samo na slobodno dostupnom sadržaju koji su ljudi očito učinili javnim, uz poštivanje isključenja autorskih prava, sa zaštitama od memoriranja, jednostavnim zahtjevima za ostvarivanje prava i javnim popisom izvora, općenito može proći.

Transparentnost kad ne možete obavijestiti sve

Članak 14. GDPR-a zahtijeva da obavijestite osobe čije ste podatke dobili neizravno. Kad ste prikupili podatke o milijunima ljudi, pojedinačne obavijesti često su nemoguće. Članak 14. stavak 5. točka (b) dopušta iznimku zbog nemogućnosti ili nerazmjernog napora, no EDPB kaže da se na nju „ne bi trebalo oslanjati rutinski”, a ICO upozorava na njezino korištenje kao „paušalne” iznimke.

Ako se oslanjate na iznimku, EDPB navodi da informacije morate barem objaviti, primjerice u posebnoj obavijesti na svojoj web-stranici. Ona treba obuhvaćati kategorije podataka, svrhe i pravnu osnovu, prava osoba te preciznu naznaku izvora, uključujući značajke crawlera. Kao dobra praksa, navedite prikupljene domene i URL-ove, u formatu koji se može pretraživati, s razdobljem prikupljanja.

Opseg je važan. EDPB suprotstavlja scraping 20 godina objava s foruma bez izravnih identifikatora, gdje bi pojedinačna obavijest bila nerazmjerna, finom podešavanju na objavama iz zatvorene skupine od 5000 osoba koje se mogu identificirati. U drugom slučaju svaku bi osobu trebalo obavijestiti pojedinačno.

To se preklapa s Aktom o UI-ju. Predložak Komisije traži od pružatelja modela UI-ja opće namjene da navedu svoje crawlere, razdoblje prikupljanja i popišu prvih 10 % prikupljenih domena (za mala i srednja poduzeća prvih 5 % ili 1000 domena, što je manje). Jedan dobar inventar izvora može služiti objema zakonima.

🧭
GDPRGard alat
Niste sigurni koje se obveze GDPR-a primjenjuju na vaše prikupljanje podataka?

Odgovorite na nekoliko pitanja u našem GDPR stablu odlučivanja i saznajte koje se obveze primjenjuju na određenu uporabu osobnih podataka ili UI-ja.

Otvori stablo odlučivanja →

Smanjenje količine podataka i točnost: odlučite prije crawlanja

Smanjenje količine podataka ne zabranjuje treniranje na velikim količinama podataka, naglašava EDPB. Zabranjuje prikupljanje osobnih podataka koji vam nisu potrebni, a ta se procjena mora provesti prije početka scrapinga:

Što se tiče točnosti, EDPB preporučuje pouzdane izvore poput službenih registara, vremensko označavanje prikupljenog i provjeru uzoraka prije treniranja.

Osjetljivi podaci: put „tražilice” i njegove granice

Posebne kategorije podataka, poput zdravlja, političkih mišljenja ili spolne orijentacije, trebaju pravnu osnovu iz članka 6. i iznimku iz članka 9. stavka 2. Scraping gotovo neizbježno pokupi poneki takav podatak.

Nacrt EDPB-a predlaže uski put za podatke prikupljene usputno i rezidualno, unatoč nastojanjima da se to izbjegne. Oslanja se na presudu Suda Europske unije u predmetu GC i drugi (C-136/17, 24. rujna 2019.), prema kojoj su operateri tražilica vezani pravilima o osjetljivim podacima „u okviru svojih odgovornosti, ovlasti i mogućnosti”. EDPB kaže da se to obrazloženje može primijeniti na scraping za UI ako možete dokazati da:

Te su mjere zahtjevne: filtri i isključivanje stranica prije prikupljanja, brisanje čim se osjetljivi podaci prepoznaju (uključujući na uvjerljiv zahtjev), testiranje izvlačenja i izlazni filtri tijekom razvoja te kontinuirano praćenje izlaza nakon lansiranja. Odbor jasno kaže da to nije opća iznimka od članka 9.

ICO je skeptičniji. Smatra da iznimka za podatke koje je osoba „očito objavila” vjerojatno ne pokriva osjetljive podatke prikupljene scrapingom, jer razvojni programeri ne mogu provjeriti je li osoba htjela da budu javni, te da uvjet znanstvenog istraživanja vjerojatno ne pokriva sav razvoj modela. ICO otvoreno priznaje da to „ograničava mogućnost razvojnih programera da zakonito treniraju svoje modele na posebnim kategorijama podataka” i o tome razgovara s britanskom vladom.

I sam model može biti osobni podatak

Rizici scrapinga ne završavaju kad završi treniranje. ICO ponavlja da modeli mogu sadržavati osobne podatke jer se podaci za treniranje mogu iz njih izvući, što je u skladu s Mišljenjem 28/2024 EDPB-a. Upozorava da podaci za treniranje s weba mogu uključivati potpise e-pošte, API ključeve i lozinke te očekuje da razvojni programeri testiraju modele na „izdvajanje pojedinca” (singling out) i „povezivost”. Ističe i dobru praksu u pogledu prava: Apple, primjerice, svakome omogućuje da prijavi web-stranice koje se ne bi trebale koristiti za treniranje te vlasnicima stranica objašnjava kako blokirati njegov crawler za treniranje, a istodobno dopustiti indeksiranje za pretraživanje.

Kamo bi pravo moglo ići

Digitalni omnibus Komisije, predstavljen u studenome 2025., predlaže izmjene GDPR-a relevantne za treniranje UI-ja. Prema procurjelom kompromisnom tekstu Vijeća od 3. rujna 2026. (dokument 12535/26), o kojem su izvijestili GDPR Local i organizacija za privatnost noyb, jedna bi uvodna izjava navodila da se obrada osobnih podataka za razvoj i primjenu UI-ja „može smatrati” legitimnim interesom, osim ako prevladaju prava osobe. Druga bi uvodna izjava u ograničenim okolnostima dopuštala osjetljive podatke koji završe u skupovima za treniranje „usputno i rezidualno”. noyb se snažno protivi prijedlogu, a njegov predsjednik Max Schrems nazvao ga je „digitalnom eksproprijacijom Europljana”. Tekst Vijeća razrađujemo u članku o Digitalnom omnibusu i legitimnom interesu za UI.

Dosje je daleko od riješenog. Veleposlanici EU-a nisu uspjeli dogovoriti pregovaračko stajalište Vijeća 7. listopada 2026., ponajviše zbog poslovnih tajni u dijelu paketa koji se odnosi na Akt o podacima. Prema MLex-u, točka je potom skinuta s dnevnog reda njihova sastanka 11. listopada, bez novog datuma. Europski parlament u kolovozu je podnio otprilike 1840 amandmana. Na dan 12. listopada 2026. ništa od toga nije zakon, a GDPR se primjenjuje u cijelosti.

Izvan EU-a: Japan i Brazil

Japan. Japan je izmijenio zakon o privatnosti (APPI) kako bi omogućio korištenje podataka bez privole, uključujući javno dostupne osjetljive podatke, u statističke svrhe, što može obuhvatiti razvoj UI-ja organiziran kao izrada statistike. Nacrt dokumenta tajništva regulatora, objavljen 1. listopada 2026., predlaže da tvrtke koje se oslanjaju na taj put objave potrebne podatke na jednoj web-stranici koju crawleri mogu čitati. To je nacrt, a ne konačna pravila.

Brazil. LGPD (Zakon 13.709/2018) uključuje legitimni interes među pravnim osnovama, ali ne i na popisu osnova za osjetljive podatke u članku 11. Govoreći na FGV Direito Rio 29. travnja 2026., Iagê Miola, član odbora ANPD-a, rekao je da tijelo još nema konačno stajalište o legitimnom interesu za treniranje UI-ja. Naveo je da sudionici savjetovanja nisu smatrali da je on nevaljan, da su mišljenja o scrapingu podijeljena te da je glavna zabrinutost nepostojanje osnove legitimnog interesa za osjetljive podatke. Ako se koristi, zahtijevao bi čvrsta odvagivanja i smislenu transparentnost. Brazilske tvrtke koje nude robu ili usluge osobama u EU-u već su obuhvaćene GDPR-om putem njegova članka 3. stavka 2., pa se smjernice EDPB-a na njih izravno primjenjuju.

Za globalne tvrtke „zakonit scraping” značit će različite stvari na različitim tržištima. Gradnja prema strožem standardu EU-a i UK-a najsigurniji je zadani izbor.

Praktični kontrolni popis za tvrtke koje prikupljaju ili kupuju prikupljene podatke

Zaključak

Poruka iz Bruxellesa i Londona je dosljedna: otvoreni web nije slobodan za sve, ali nije ni zabranjen. Scraping osobnih podataka za treniranje UI-ja može biti zakonit kada je ciljan, minimiziran, transparentan i potkrijepljen zaštitama za koje možete pokazati da stvarno rade. Teško će proći tvrtke koje ne mogu reći odakle su im podaci, zašto su im trebali i što su učinile da zaštite ljude u njima. Smjernice EDPB-a još su nacrt, a Digitalni omnibus još može promijeniti raspravu, ali mapiranje izvora, filtriranje podataka, objavljivanje obavijesti i testiranje modela isplatit će se uz bilo koju verziju pravila.

Rezervirajte besplatnu konzultaciju s GDPRGardom → i pomoći ćemo vam provjeriti vaše izvore podataka i obavijesti o treniranju.

Izvori

Podijeli ovaj članak

Pročitajte i:

⚠️ Ovaj članak služi isključivo u informativne svrhe i ne predstavlja pravni savjet. Za složene situacije usklađenosti obratite se kvalificiranom stručnjaku za zaštitu podataka. Zahtjevi GDPR-a i EU Akta o umjetnoj inteligenciji podliježu smjernicama koje se razvijaju — svoje aktualne obveze provjerite sa svojim pravnim savjetnikom.