EDPB abre consulta sobre dados pessoais raspados para treinar IA

O que aconteceu

Em 7 de julho de 2026, o Comitê Europeu para a Proteção de Dados (EDPB) adotou a versão 1.0 das Orientações 03/2026, dedicada à raspagem de dados na internet para desenvolver sistemas de IA generativa. A consulta pública foi aberta em 8 de julho e aceita contribuições até 30 de outubro de 2026, às 23h59 no horário da Europa Central.

O documento considera dois cenários: organizações que fazem a coleta diretamente ou contratam terceiros para fazê-la; e organizações que compram ou reutilizam conjuntos de dados já raspados por outra empresa. O foco é o tratamento de dados pessoais no contexto do GDPR.

O que mudou

A minuta organiza como princípios e obrigações existentes do GDPR podem ser aplicados a esse tipo de coleta. Entre os pontos detalhados estão a identificação de controlador e operador em cada etapa, a escolha e documentação da base legal, a minimização dos dados, a transparência, a precisão e o tratamento de dados sensíveis.

O EDPB afirma que o interesse legítimo, frequentemente usado como base para raspagem destinada ao treinamento, depende de três condições cumulativas: existir um interesse legítimo; o tratamento ser necessário para alcançá-lo; e os direitos e interesses das pessoas não prevalecerem sobre esse interesse. A falta de robots.txt em um site não constitui consentimento para usar dados pessoais.

Para quem importa

Desenvolvedores de modelos, equipes de dados, empresas que contratam coleta automatizada, intermediários que vendem bases e organizações que incorporam conjuntos de terceiros ao treinamento estão diretamente no campo de atenção da minuta.

Também interessa a empresas brasileiras quando o tratamento de dados estiver sujeito ao GDPR, por exemplo, conforme o caso, por oferta de serviços a pessoas na União Europeia ou monitoramento de seu comportamento. A aplicação depende do escopo territorial e dos fatos concretos; a simples leitura da orientação não significa que toda empresa brasileira esteja automaticamente submetida ao GDPR.

Impacto prático

Na prática, a minuta recomenda tratar dados de treinamento como parte de uma cadeia de responsabilidade. Isso exige visibilidade sobre fontes, fornecedores, critérios de seleção, etapas de filtragem e formas de uso posterior. Uma declaração contratual genérica do fornecedor não substitui a avaliação da organização que decide reutilizar a base.

Para produtos já em operação, a questão não se limita à etapa de ingestão. As orientações abordam também medidas para evitar que dados pessoais, em especial categorias sensíveis, sejam extraídos do modelo ou expostos nas respostas. O nível de esforço depende do tipo de dado, escala, propósito, riscos e funções exercidas por cada organização.

O que testar

1. Faça o inventário dos conjuntos usados no treinamento ou ajuste de modelos e identifique quais contêm dados pessoais. 2. Registre a origem, a data de coleta, o fornecedor, o propósito declarado e as condições de reutilização de cada conjunto. 3. Separe a avaliação de bases coletadas diretamente da avaliação de bases adquiridas de terceiros.

4. Se a empresa se apoiar em interesse legítimo, documente o interesse, a necessidade do tratamento e a ponderação dos direitos das pessoas, com medidas mitigadoras. 5. Teste filtros de exclusão e detecção de dados sensíveis antes e depois da coleta. 6. Teste se o modelo reproduz, infere ou revela dados pessoais e mantenha um processo de remoção e resposta a solicitações.

7. Se a organização opera sob o GDPR, avalie enviar uma contribuição à consulta pública antes de 30 de outubro de 2026. O EDPB informa que as contribuições recebidas podem ser publicadas.

O que observar

A versão publicada é uma minuta em consulta, não uma lei nova nem uma versão final das orientações. O prazo para contribuições termina em 30 de outubro de 2026; depois da consulta, o EDPB pode revisar o texto.

Acompanhe a versão final e a forma como autoridades de proteção de dados a usarão na interpretação do GDPR. Para cada projeto, observe também a função de cada participante da cadeia, a origem dos dados, a base legal, a expectativa razoável das pessoas e as salvaguardas técnicas e organizacionais.