כל ארגון שמבצע scraping לצורך פיתוח, אימון או שיפור מודלים של בינה מלאכותית צריך לבחון לא רק את ההיתכנות הטכנולוגית של האיסוף, אלא בעיקר את התאמתו לדיני הגנת הפרטיות האירופיים. כך מלמדת הנחיה חדשה של מועצת הרשויות הלאומיות להגנת מידע במדינות האיחוד האירופי (European Data Protection Board - EDPB) בנושא קציר מידע לצורך אימון מודלים של בינה מלאכותית יוצרת.
כבר בפתח הדברים מודגש כי ההנחיה אינה עוסקת בכל סוג של מידע, אלא במידע אישי בלבד, ולכן הרלוונטיות שלה נוגעת במיוחד לשירותים או למוצרים מבוססי AI שעושים שימוש במידע שנאסף ממקורות חיצוניים.
ההנחיה פותחת בשאלת זהות הצדדים המעורבים בפעילות האיסוף והעיבוד - האם מדובר בבעל שליטה (Controller), במעבד (Processor), בבעלי שליטה נפרדים או בבעלי שליטה משותפים. ההכרעה אינה פורמלית אלא תלויה בנסיבות: גוף שמבצע את הקציר בפועל לא ייחשב בהכרח לבעל שליטה אם הוא פועל לפי הוראות מתועדות של מפתח כלי ה-AI, ואז מעמדו עשוי להיות של מעבד בלבד. מנגד, כאשר ארגון מאמן מודל על בסיס מאגר שנאסף בידי גורם אחר, ייתכן שכל אחד מהם ייחשב כבעל שליטה עצמאי ביחס לפעילותו, או כבעלי שליטה משותפים אם קבעו יחד את מטרות האיסוף ואמצעיו.
בהמשך מפורטים עקרונות הליבה שחלים על עיבוד מידע במסגרת קציר. בעל השליטה נדרש לבדוק את חוקיות מקורות המידע ואת חוקיות מטרת השימוש בו, לוודא שהאיסוף נעשה רק למטרות מוגדרות וחוקיות, ולספק שקיפות לנושאי המידע. כאשר מסירת הודעה פרטנית אינה אפשרית או כרוכה במאמץ בלתי סביר, ניתן להסתפק בפרסום מדיניות פרטיות פומבית ומפורטת. נוסף לכך, יש לצמצם ככל האפשר את השימוש במידע אישי באמצעות קריטריונים מדויקים לאיסוף, שימוש בנתונים סינתטיים, סינון סוגי מידע מסוימים, והחרגת אתרים רגישים או כאלה האוסרים scraping. לבסוף, יש להבטיח שמידע ייאסף ממקורות אמינים, יסומן בחותמת זמן וייבדק מבחינת איכות לפני אימון המודל.
סוגיה מרכזית נוספת היא הבסיס החוקי לעיבוד. לפי המסמך, ברוב מקרי ה-scraping לא ניתן להסתמך על הסכמה, ולכן הבסיס השכיח ביותר הוא אינטרס לגיטימי. כדי להישען עליו, יש להראות אינטרס אמיתי וברור, להוכיח שהעיבוד נחוץ להשגת אותו אינטרס, ולבצע איזון מול הפגיעה האפשרית בזכויות נושאי המידע. במסגרת מבחן זה יש להתחשב בסוג המידע, בהקשר שבו נאסף, בתוצאות האפשריות של השימוש בו ובציפיות הסבירות של נושאי המידע. כאשר האיזון אינו חד-משמעי לטובת הארגון, יש לנקוט אמצעים להפחתת סיכון, כגון הגבלת האיסוף למידע פומבי, צמצום משך האיסוף, הגברת השקיפות, הקלה על מימוש זכויות, ואף מחיקה או אנונימיזציה מוקדמת.
לבסוף, המסמך מחדד את הרגישות המיוחדת של מידע רגיש. ככלל, עיבוד מידע מסוג זה אסור, אלא אם מתקיים גם חריג מתאים לפי סעיף 9(2) ל-GDPR. עם זאת, ההנחיה מכירה באפשרות של עיבוד אגבי ולא מכוון של מידע רגיש בהקשר של אימון AI, ובלבד שמי שאחראי לעיבוד מיישם מנגנוני צמצום סיכון לפני האיסוף, לאחריו, בשלב פיתוח המודל וגם לאחר פריסתו. לכן, המסר הכללי של ההנחיה הוא ש-scraping לצורכי GenAI אינו אסור כשלעצמו, אך מחייב משטר ציות קפדני, תיעוד, שקיפות וניהול סיכונים מתמשך.