En teknologibedrift henter bloggposter, nyhetsartikler og forumdiskusjoner fra det åpne nettet for å finjustere sin generative AI-modell. Alle kildene er offentlig tilgjengelige, ingen passord er brutt, og bedriften har konkludert med at GDPR ikke krever et rettslig grunnlag fordi dataene er offentlige. Den konklusjonen er nå eksplisitt avvist av EDPB — personvernrådet som samler tilsynsmyndighetene i EØS.

Under plenumssesjonen 8. juli vedtok EDPB to utkast til retningslinjer: Guidelines 02/2026 om anonymisering og Guidelines 03/2026 om webskraping i kontekst av generativ AI. Begge er åpne for høring frem til 30. oktober 2026. Retningslinjene er ikke ny lovgivning, men en autoritativ tolkning av gjeldende GDPR-forpliktelser. I Norge er det Datatilsynet som håndhever dem.

Offentlig publisert er ikke det samme som fritt tilgjengelig

EDPB slår fast at GDPR gjelder hver gang webskraping involverer behandling av personopplysninger — innsamling, lagring, organisering og gjenfinning — uavhengig av om innholdet er offentlig synlig. Enhver pipeline som henter nettinnhold for å trene eller finjustere en generativ modell, krever dermed et dokumentert rettslig grunnlag etter GDPR artikkel 6.

Samtykke er ifølge EDPB i praksis ikke et brukbart grunnlag for storskalaskraping. De fleste private aktører må bruke artikkel 6(1)(f) om berettiget interesse, men det krever en tredelt test: en genuint reell interesse, nødvendighet, og en avveining der den behandlingsansvarliges interesse ikke overstyrer den registrertes rettigheter.

For å styrke posisjonen i avveiningen peker EDPB på konkrete tiltak: utelukke særlige kategorier av persondata fra innsamlingen, begrense skrapingen til faktisk fritt tilgjengelig informasjon, øke transparensen om aktivitetene, legge til rette for at enkeltpersoner kan utøve sine rettigheter, og slette, anonymisere eller pseudonymisere data så tidlig som mulig. Data om helse, religion, politisk overbevisning eller seksuell orientering krever i tillegg et unntak etter artikkel 9(2) — det finnes ingen generelt unntak, og hvert tilfelle må vurderes individuelt.

Anonymiseringstesten som erstatter tolv år gammel standard

Parallelt vedtok EDPB det som er den første fullstendige revisjonen av anonymiseringsstandarden siden Artikkel 29-arbeidsgruppen publiserte sin veiledning i 2014. Den gang eksisterte ikke store språkmodeller, og AI-drevne re-identifiseringsangrep var udemonsterte i praksis. Guidelines 02/2026 erstatter det gamle rammeverket med en tredelt teknisk test.

Data er kun anonym dersom den består alle tre kriteriene: ingen isolering av enkeltposter (det skal ikke være mulig å skille ut en persons opplysninger fra datasettet), ingen kobling (opplysninger om samme person kan ikke lenkes på tvers av datasett), og ingen inferens (ingen meningsfull slutning om en person kan trekkes med høy sannsynlighet). Dersom ett kriterium ikke er oppfylt, kreves ytterligere analyse før dataene kan behandles som om de faller utenfor GDPR.

Konsekvensen er vesentlig: datasett der navn og identifikasjonsnumre er fjernet, vil i mange tilfeller ikke bestå testen. Moderne AI-systemer er nettopp gode til å trekke slutninger og koble fragmenterte opplysninger, og retningslinjene krever at anonymiseringsvurderingen tar høyde for nåtidens re-identifiseringsteknikker. EDPB skiller mellom en kontekstuell tilnærming, som vurderer hvem som faktisk har tilgang til re-identifiseringsverktøy, og en forenklet tilnærming som stiller strengere krav og gir større sikkerhet.

Norsk rettslig stilling

GDPR gjelder i Norge gjennom EØS-avtalen og er gjort til norsk lov ved personopplysningsloven av 2018. Datatilsynet er tilsynsmyndighet og kan ilegge overtredelsesgebyr på inntil 20 millioner euro eller 4 prosent av global omsetning. EDPB-retningslinjene er ikke direkte bindende vedtak, men legger premissene for hvordan Datatilsynet — som EDPB-medlem — vil tolke og håndheve loven.

EU AI-forordningen er under EØS-innlemmelse og ventes å bli norsk lov i løpet av 2026, men er ennå ikke formelt vedtatt i norsk rett. GDPR gjelder fullt ut allerede, noe som betyr at en norsk virksomhet som bygger generative AI-modeller på skrapte norske eller europeiske webdata, er underlagt de nye retningslinjenes tolkning av gjeldende rett.

Retningslinjene er foreløpig i konsultasjonsfase. Advokatfirmaer som har analysert utkastet, vurderer det som lite sannsynlig at de arkitektoniske hovedgrepene endres, selv om presiseringer kan komme. Endelig versjon ventes ikke før etter utgangen av 2026.

Krav til datapipelines

Samlet tegner de to retningslinjene et konkret bilde av hva som forventes av en lovlig treningsdatapipeline: dokumentert rettslig grunnlag etter artikkel 6, en gjennomført og loggført legitim-interesse-avveining, kildetidsstempling og validering av kildene, transparenstiltak overfor de registrerte, og et filter som stopper særlige kategorier persondata fra å nå treningssettet. Data som skal behandles som anonyme, må gjennom den tredelte testen — og kontrollen må oppdateres etterhvert som re-identifiseringsteknikker utvikler seg.

Det første pan-europeiske rammeverket som direkte adresserer innsamling av AI-treningsdata foreligger nå som utkast. Virksomheter som ønsker å påvirke det endelige innholdet, har frem til 30. oktober 2026 på å levere høringssvar til EDPB.