EU og reguleringPublisert 22. juli 2026

EDPB setter tre krav til anonymisering og krever dokumentert rettsgrunnlag for webscraping til AI-trening

Høringsfrist 30. oktober 2026: Nye retningslinjer fra EUs personvernråd treffer alle som bygger generative modeller på europeiske data

TIMUR AKTAS · Ansvarlig redaktør · 22. juli 2026
AI-generert · redaksjonelt kontrollert

EDPBs nye retningslinjer om webscraping og anonymisering legger konkrete plikter på alle som bruker offentlig tilgjengelige data til å trene generative AI-modeller i Europa. Illustrasjon.

EUs personvernråd (EDPB) vedtok 8. juli retningslinjer som slår fast at webscraping til trening av generative AI-modeller er underlagt GDPR, og at samtykke ikke er et gyldig rettsgrunnlag for storstilt innsamling. Retningslinjene introduserer samtidig et tremerkurstest for hva som teller som anonymiserte data.

Offentlig tilgjengelig betyr ikke fritt

EDPB — personvernrådet som koordinerer de nasjonale datatilsynene i EU og EØS — vedtok under sin siste plenumssesjon to sett retningslinjer: ett om anonymisering og ett om webscraping i kontekst av generativ AI. Begge er åpne for offentlig høring frem til 30. oktober 2026.

Retningslinjene for webscraping (Guidelines 03/2026) er eksplisitte: at data er offentlig tilgjengelig på nettet, er ikke det samme som samtykke til innsamling og gir heller ikke i seg selv rettsgrunnlag etter GDPR artikkel 6. EDPB konkluderer med at samtykke etter artikkel 6(1)(a) generelt ikke er brukbart ved storstilt webscraping.

Berettiget interesse etter artikkel 6(1)(f) er den realistiske veien, men forutsetter en tredelt kumulativ vurdering: et konkret og lovlig formål, en nødvendighetstest som viser at det ikke finnes like effektive og mindre inngripende alternativer, og en interesseavveining mot de registrertes personverninteresser. Det finnes ingen blankofullmakt — vurderingen må gjøres fra sak til sak.

Særlige kategorier krever to rettsgrunnlag

Kravene skjerpes ytterligere for særlige kategorier av personopplysninger — som helseopplysninger, etnisk opprinnelse og politiske meninger. Slik scraping er i utgangspunktet forbudt. Der innsamling involverer slike data, kreves det både et rettsgrunnlag etter artikkel 6 og et unntak etter artikkel 9(2).

Siden webscraping i praksis sjelden klarer å holde særlige kategorier helt unna datasettet, anvender EDPB EU-domstolens resonnement fra GC and Others (C-136/17): en behandlingsansvarlig er bare bundet av artikkel 9-forbudet innenfor rammen av sine egne ansvarsområder, fullmakter og kapasiteter. Rådet forutsetter at controlleren iverksetter tekniske og organisatoriske tiltak gjennom hele datalivssyklusen — fra filtrering før innsamling til umiddelbar sletting av særlige kategorier, oppdaterte outputfiltre og eventuelle bruksbegrensninger etter at modellen er satt i produksjon.

Transparensplikt gjelder selv ved storstilt innsamling. Controlleren må som et minimum publisere et personvernvarsel på sine nettsider om scraping-aktivitetene og etablere tilgjengelige kanaler for de registrertes rettighetsutøvelse.

Nytt trekriterie-rammeverk for anonymisering

Parallelt vedtok EDPB Guidelines 02/2026 om anonymisering — et rammeverk som erstatter standarden fra Artikkel 29-arbeidsgruppen fra 2014. Bakgrunnen er at moderne AI har gjort eldre antakelser om tilstrekkelig anonymisering juridisk upålitelige.

Retningslinjene inkorporerer EU-domstolens avgjørelse i C-413/23 P (EDPS mot SRB) av 4. september 2025, som presiserte identifiserbarhetskriteriet i GDPR: data er anonyme bare dersom de ikke relaterer seg til en identifisert eller identifiserbar fysisk person — og dette kan variere fra én behandlingsansvarlig til en annen.

Det operative verktøyet er en trekriteritest: ingen postavskillingsisolering (no record isolation), ingen kobling (no linkage) og ingen inferens (no inference). Alle tre kriterier må være oppfylt for at data trygt kan behandles som anonyme. Dersom ett kriterium ikke er oppfylt, krever retningslinjene ytterligere analyse — dette innebærer ikke automatisk at data er personopplysninger, men det er heller ikke tilstrekkelig å konkludere med anonymitet uten videre vurdering. Rammeverket gir to tilnærminger: en kontekstuell som speiler den fulle juridiske standarden, og en forenklet som kan kombineres med den kontekstuelle.

Norsk relevans: samme regler, samme konsekvenser

GDPR ble innlemmet i EØS-avtalen i 2018 og trådte i kraft i Norge 20. juli 2018 gjennom personopplysningsloven. Norske AI-selskaper som trener modeller på data om europeiske borgere forholder seg til nøyaktig den samme forordningsteksten som tyske eller franske aktører, med Datatilsynet som håndhevingsmyndighet.

Retningslinjene fra EDPB er formelt tolkningsveiledning, ikke ny lovgivning, men har direkte praktisk betydning for norske selskaper som bygger generative modeller på webscrapet data. Datatilsynet kan ilegge gebyr på inntil 20 millioner euro eller fire prosent av global omsetning ved brudd på GDPR.

Retningslinjene for webscraping gjelder alle som samler personopplysninger fra åpent nett for å utvikle, trene, finjustere eller evaluere generative AI-modeller — herunder kjøpere av ferdigskrapede datasett. Der en AI-utvikler kjøper et eksternt skrapet datasett, er hver part i utgangspunktet bare ansvarlig for sin egen behandling, med mindre de i realiteten bestemmer formål og midler i fellesskap, noe som utløser felles behandlingsansvar.

Høringsvindu og neste skritt

Begge retningslinjene er åpne for innspill frem til 30. oktober 2026. Kommentarer sendes via EDPBs elektroniske skjema; uten aktivt reservasjonsvalg publiseres innsendelsene med innsenderens navn, sektor og land.

Retningslinjene om blockchain-teknologi ble vedtatt i endelig versjon (v. 2.0) på samme plenumssesjon og er ikke lenger åpne for innspill. De anbefaler organisasjoner å holde personopplysninger utenfor kjeden der det er mulig og å bruke kjeden primært til å lagre kryptografiske referanser.

EDPB vil behandle innkomne kommentarer og vedta endelige versjoner av anonymiserings- og webscraping-retningslinjene. Ingen dato for dette er offentliggjort.

Hva du bør gjøre nå

Kartlegg alle datasett som brukes til å trene eller finjustere AI-modeller: identifiser hvilke som er webscrapet, og dokumenter eksplisitt hvilket rettsgrunnlag etter artikkel 6 som er brukt for hvert datasett — samtykke er ikke tilstrekkelig ved storstilt innsamling.
Gjennomfør en dokumentert interesseavveiningsvurdering (LIA — Legitimate Interest Assessment) for hvert scraping-prosjekt: beskriv formålet, nødvendigheten og resultatet av avveiningen mot de registrertes interesser, i tråd med EDPBs tredelte krav.
Test eksisterende anonymiserte datasett mot EDPBs trekriteritest (no record isolation, no linkage, no inference): der ett kriterium ikke er oppfylt, gjennomfør den utdypende analysen retningslinjene krever før datasettet brukes i trening.
Send inn høringssvar til EDPB innen 30. oktober 2026 dersom retningslinjene påvirker selskapets datapipeline — dette er det eneste vinduet for å påvirke den endelige teksten.

Ordforklaringer

EDPB: European Data Protection Board — EUs personvernråd, som koordinerer de nasjonale datatilsynene i EU og EØS og vedtar felles tolkningsveiledning under GDPR.

GDPR / personvernforordningen: EUs personvernforordning (General Data Protection Regulation), som gjelder som norsk lov gjennom EØS-avtalen og personopplysningsloven av 2018.

Webscraping: Automatisert, storstilt innsamling av data fra nettsider, ofte brukt til å bygge treningsdatasett for AI-modeller.

Artikkel 6 GDPR: Bestemmelsen som lister opp lovlige rettsgrunnlag for behandling av personopplysninger, blant annet samtykke og berettiget interesse.

Artikkel 9 GDPR: Bestemmelsen som forbyr behandling av særlige kategorier av personopplysninger (helse, etnisitet, politiske meninger m.m.) med mindre bestemte unntak i artikkel 9(2) er oppfylt.

Berettiget interesse (legitimate interest): Rettsgrunnlag etter artikkel 6(1)(f) som tillater behandling dersom controlleren har et reelt og lovlig formål, behandlingen er nødvendig og hensynet til den registrerte ikke veier tyngre.

Anonymisering: Prosessen med å gjøre data umulig å knytte til enkeltpersoner. GDPR gjelder ikke for ekte anonyme data, men kravene til hva som teller som anonymt, er skjerpet i de nye retningslinjene.

No record isolation / no linkage / no inference: EDPBs trekriteritest for anonymisering: data skal ikke la seg isolere til én person, kobles til andre datasett om samme person, eller danne grunnlag for spesifikke slutninger om enkeltpersoner.

Få dette rett i innboksen

De viktigste AI- og reguleringssakene, oversatt til hva de betyr for din virksomhet. Gratis.

Kun nyhetsbrevet, ingen spam. Meld deg av når som helst.

Kilde: https://www.edpb.europa.eu/news/news_en
Bakgrunnskilder: EDPB: Guidelines 03/2026 on web scraping in the context of generative AI (PDF) · EDPB: Guidelines 02/2026 on Anonymisation (PDF) · EDPB pressemelding 8. juli 2026 · Store norske leksikon: personvernforordningen (GDPR) · Legiscope: GDPR og personvern i Norge 2026