EDPB《第03/2026号指引：生成式人工智能背景下的网络爬取》公开征求意见至10月30日：同意原则上难以作为大规模爬取的合法基础，合法利益成为主要路径

指引确认同意通常不是大规模爬取的可行合法基础，合法利益因此成为主要路径，但必须通过真正的目的、必要性与利益平衡测试；目的不能简单表述为“训练AI”，须具体到个人、监管机关与内部团队都能理解。

指引同时提出操作要求：仅从可靠来源爬取、尊重robots.txt与ai.txt信号、记录时间戳、在使用前验证数据、采取措施限制个人信息的收集范围。特殊类别数据须在GDPR第6条合法基础之外另行满足第9条条件。

指引还回应了模型开发阶段个人数据被非法处理的情形，并建议排除在结构上必然包含敏感个人数据的网站类别，仅将附带性收集特殊类别数据按搜索引擎类推处理。对使用第三方模型、训练数据来源不明的机构，这一部分尤具参考价值。

EDPB同时提示三项其自身承认的局限：控制者可能并不知晓自己实际收集了哪些个人数据；依当前技术水平无法从已训练模型中删除个人数据；部分评估职责属于其他监管机关。因此实务中的合规落点在于“可记录的勤勉”——记录筛选标准、排除清单、过滤器与持续监测，而非证明实际降低了损害。

该指引与EDPB《第02/2026号匿名化指引》草案（咨询同样截至10月30日）构成AI训练数据合法性的两条主线。后者确立匿名数据的三个判据——无法孤立识别记录、无法跨数据集关联、无法据以推断个人，并依据欧盟法院C-413/23 P案确认匿名性须从各相关主体自身视角评估，且以个人数据训练的模型不自动具有匿名性。