De European Data Protection Board (EDPB) heeft een duidelijke lijn getrokken: webscraping voor het trainen van generatieve AI valt onder de Algemene Verordening Gegevensbescherming (GDPR) zodra er persoonsgegevens in het spel zijn. In een persbericht van 8 juli 2026 licht de EDPB de nieuwe Guidelines 03/2026 toe, die zich specifiek richten op het scrapen van persoonsgegevens uit publiek toegankelijke bronnen voor AI-training. De kernboodschap is nuchter maar ingrijpend: AI-trainingsdata zijn geen aparte, ongereguleerde categorie.
Wat de EDPB-richtsnoeren zeggen
Volgens de EDPB gelden de kernbeginselen van de GDPR — rechtmatigheid, doelbinding, transparantie, dataminimalisatie en juistheid — onverkort voor datasets die worden gebruikt om generatieve AI te trainen. De consultatiepagina van de EDPB bij Guidelines 03/2026 maakt de reikwijdte concreet: de richtsnoeren zijn gericht op private partijen die zelf persoonsgegevens scrapen of dit via contractanten laten doen, en op organisaties die door derden gescrapete datasets hergebruiken voor AI-training. Bepaalde partijen, zoals publieke instanties, vallen erbuiten. Belangrijk detail: de tekst is een ontwerpversie en staat open voor publieke consultatie tot 30 oktober 2026.
Een terugkerend punt in de analyses is dat publieke zichtbaarheid geen zelfstandige juridische grondslag oplevert. Het juridische commentaar van Licentium (22 juli 2026) benadrukt dat data niet buiten de bescherming van de GDPR vallen alleen omdat ze openbaar op internet staan. Als werkbare grondslag voor scraping ten behoeve van AI wijst Licentium op het gerechtvaardigd belang uit artikel 6(1)(f), onderworpen aan een toets in drie stappen. Toestemming op grote schaal vragen is volgens diezelfde analyse in de praktijk meestal niet realistisch.
De hele levenscyclus komt in beeld
De IAPP wees er in een bijdrage van 13 juli 2026 op dat de richtsnoeren de volledige levenscyclus van webscraping doorlopen — verzameling, opslag, training, inzet en verwijdering — en elke fase koppelen aan specifieke GDPR-bepalingen, waaronder de artikelen 5, 6, 9, 10, 14 en 89. De boodschap is dat webscraping voor generatieve AI onder de GDPR valt zodra het gaat om geïdentificeerde of identificeerbare personen.
TechTimes vatte de praktische impact op 9 juli 2026 samen voor AI-labs en ontwikkelaars: de GDPR is van toepassing wanneer het gaat om persoonsgegevens van inwoners van de EU, ongeacht de publieke zichtbaarheid. Volgens dat bericht moet de belangenafweging in drie stappen plaatsvinden vóór het scrapen, en moet dataminimalisatie al bij de verzamelingsfase gebeuren — niet pas achteraf. Ook transparantie- en juistheidsverplichtingen gelden voor de datapipeline die AI-modellen voedt.
Wat opvalt in de verschillende bronnen is dat er geen sprake is van nieuwe regels, maar van een interpretatie van bestaande verplichtingen die specifiek is toegespitst op AI-training. Voor organisaties betekent dit dat verplichtingen die zij al kennen — een aantoonbare grondslag, een gedocumenteerde belangenafweging, filtering aan de bron, duidelijke privacy-informatie en mechanismen voor rechtenuitoefening — nu expliciet worden verbonden aan hun AI-praktijk.
AI-datastromen als verifieerbare verwerkingen
De rode draad door alle bronnen is dat AI-datastromen moeten worden behandeld als verwerkingsoperaties die je kunt onderbouwen en aantonen. Een legal basis alleen benoemen is niet genoeg; de EDPB en de bijbehorende analyses leggen de nadruk op aantoonbaarheid. Wie een gerechtvaardigd belang inroept, moet de driedelige toets kunnen laten zien. Wie dataminimalisatie claimt, moet kunnen aantonen dat filtering al bij de verzameling plaatsvindt. Wie transparantie belooft, moet duidelijke privacy-informatie en opt-outmogelijkheden bieden, zoals Licentium beschrijft.
Voor professionals die met vertrouwelijke informatie werken — advocaten, notarissen, bedrijfsartsen, journalisten, onderzoekers en compliance-teams — verschuift het accent daarmee van "mag dit?" naar "kan ik dit aantonen?". Dat is precies het punt waarop een verificatielaag ondersteuning kan bieden. I am Vera is een privacy-gerichte AI-verificatieconsole en geen chatbot of eigen taalmodel; het doel is om controlestappen zichtbaar te maken.
Concreet: de Semantic Privacy Shield is zo opgezet dat voorbewerking en anonimisering plaatsvinden op EU-infrastructuur, en de workflow is ontworpen om alleen geanonimiseerde inhoud naar de geselecteerde AI-modellen te sturen. Als een privacycontrole mislukt, wordt niets doorgestuurd. Dat sluit aan bij het EDPB-principe dat dataminimalisatie en filtering aan de bron horen te gebeuren. Meer daarover leest u op de pagina over de Privacy Shield.
Daarnaast maakt multi-model verificatie het mogelijk om AI-antwoorden naast elkaar te leggen en de onderliggende stappen inzichtelijk te maken. Vera garandeert geen correctheid of waarheid en elimineert geen fouten; wat het wél doet, is de controle zichtbaar maken, zodat het professionele eindoordeel bij de gebruiker blijft. Wie documenten wil bekijken en bewerken binnen dezelfde beveiligde omgeving, kan terecht bij Vera Office.
Wat organisaties nu kunnen doen
De richtsnoeren zijn nog een ontwerpversie en de consultatie loopt tot 30 oktober 2026. Toch is de richting helder genoeg om nu al werk te maken van de eigen AI-datastromen. Denk aan het documenteren van de grondslag en de belangenafweging, het inbouwen van filtering vóór data een model bereiken, het opstellen van heldere privacy-informatie en het inrichten van rechtenuitoefening. Wie zijn AI-praktijk als een reguliere, aantoonbare verwerking behandelt, is beter voorbereid op de definitieve versie van de EDPB-richtsnoeren.
De boodschap van de EDPB, Licentium, IAPP en TechTimes komt op hetzelfde neer: AI en GDPR overlappen niet gedeeltelijk maar volledig zodra persoonsgegevens in het spel zijn. Het onderscheid tussen "AI-project" en "gegevensverwerking" bestaat juridisch gezien niet. Dat maakt verifieerbaarheid — het kunnen tonen van elke stap — de kern van verantwoord AI-gebruik.