Web scraping para treinar IA não fica fora das regras de proteção de dados só porque a informação está publicamente acessível. As diretrizes 03/2026 do Comitê Europeu para a Proteção de Dados tratam coleta, limpeza, organização e armazenamento de dados pessoais como operações sujeitas ao GDPR. Para uma empresa, o caminho prático é definir uma finalidade específica, mapear fontes e responsabilidades, minimizar a coleta, documentar a base legal, informar as pessoas quando aplicável e oferecer meios efetivos para exercer direitos e excluir dados.
Distinga acesso público de uso irrestrito
Uma página aberta pode conter nome, foto, contato, opinião, histórico profissional e outras informações ligadas direta ou indiretamente a uma pessoa. A possibilidade técnica de baixar o conteúdo não define, sozinha, se o tratamento é necessário, justo ou compatível com a finalidade original da publicação. Termos de uso, propriedade intelectual, segredo e regras setoriais também precisam de análise própria.
As diretrizes foram adotadas para consulta em 7 de julho de 2026 e tratam entidades privadas que coletam dados externos para treinar ou ajustar IA generativa. Elas estão em consulta pública até 30 de outubro de 2026. O texto é europeu e não substitui uma avaliação da LGPD no Brasil, mas oferece controles úteis para fornecedores, exportadores e empresas que atendem pessoas na Europa.
Defina finalidade, fontes e papéis antes da coleta
Escreva o que o modelo precisa aprender, por que os dados da web são necessários, quais categorias serão coletadas, por quanto tempo e com qual resultado esperado. Termos como melhorar a IA ou coletar conteúdo público são amplos demais para orientar filtros, retenção e revisão. Um objetivo delimitado permite provar o que é necessário e excluir o restante.
Mapeie quem escolhe finalidade e meios, quem executa o scraper, quem fornece um conjunto já coletado e quem treina o modelo. Contratar um fornecedor não transfere automaticamente responsabilidade. O EDPB orienta analisar controlador, controladores conjuntos e operador conforme os fatos, as instruções e a influência real de cada participante.
Minimize antes e depois de coletar
Antes da execução, considere dados sintéticos, critérios precisos, inventário de fontes, filtros de categorias e exclusão de sites que concentram dados sensíveis ou se opõem claramente à coleta. Diferencie scraping direcionado de varredura ampla. Quanto mais livre o crawler estiver para seguir links, menor tende a ser o conhecimento sobre o que entrou no conjunto.
Depois da coleta, remova duplicatas, códigos, campos desnecessários e dados que não atendem à finalidade. Quando possível, anonimize, pseudonimize ou substitua dados reais por sintéticos. Registre o filtro aplicado e a quantidade excluída. Um processo que só descobre dados pessoais no final cria retrabalho e aumenta o tempo de exposição.
Documente base legal e teste de necessidade
O interesse legítimo é uma base citada com frequência no contexto europeu, mas exige três condições cumulativas: interesse legítimo, necessidade do tratamento e ponderação que não seja superada pelos direitos e liberdades das pessoas. Uma justificativa genérica de inovação não comprova nenhuma delas. Registre alternativas menos invasivas e por que não atendem ao objetivo.
Dados de categorias especiais têm proteção adicional e, em princípio, o tratamento é proibido sem uma exceção aplicável. Filtros precisam tentar impedir a coleta e a disseminação incidental. Para alto risco, faça avaliação de impacto, envolva privacidade e segurança e estabeleça critérios de parada. No Brasil, valide base legal, princípios, direitos e transferências conforme a LGPD e o contexto real.
Torne fontes, período e crawler transparentes
Quando informar cada pessoa for impossível ou exigir esforço desproporcional, isso não elimina transparência automaticamente. As diretrizes apontam a publicação de aviso acessível com categorias de dados, finalidade, base, fontes e características do crawler. Sempre que viável, inclua domínios, URLs e período de coleta em formato pesquisável.
Disponibilize contato, procedimento de oposição e canais para acesso, correção e exclusão. Se o conjunto veio de terceiro, identifique o fornecedor, as condições de coleta e como exercer direitos. Evite uma política genérica escondida no rodapé que não permite descobrir se uma fonte foi coletada nem como contestar o uso.
Garanta qualidade, atualização e exclusão rastreável
Colete de fontes confiáveis, registre data e valide antes do treinamento. Conteúdo antigo, irônico, atribuído à pessoa errada ou removido da origem pode produzir inferências incorretas. Mantenha proveniência suficiente para investigar uma saída e corrigir o conjunto sem reconstruir toda a coleta.
Planeje exclusão desde o início. Uma solicitação precisa alcançar cópias, índices, conjuntos derivados e estágios posteriores quando aplicável. Meça prazo de localização, percentual de registros removidos e falhas de propagação. Avalie também memorização e reprodução, pois retirar um arquivo do armazenamento não prova que o modelo deixou de expor a informação.
Use um checklist antes de contratar ou liberar o scraper
Peça inventário de fontes, finalidade, base legal, critérios de inclusão e exclusão, respeito a sinais do site, controles de dados sensíveis, segurança, suboperadores, transferências, retenção, registros de coleta, atendimento de direitos e testes de memorização. Inclua obrigação de informar mudança material e evidência de exclusão.
A consulta pública pode alterar o texto final, portanto acompanhe a versão adotada e reavalie contratos e processos. Não trate robots.txt, CAPTCHA ou um aviso de privacidade como solução isolada. O controle confiável combina decisão jurídica, filtros técnicos, governança de fornecedores, monitoramento e um caminho que permite parar e apagar.
Para levar daqui
Scraping responsável para IA começa antes do crawler. Defina finalidade e papéis, minimize fontes e campos, documente base legal, publique transparência útil, preserve proveniência e garanta exclusão verificável em todo o ciclo.
