Openbaar is niet vogelvrij: nieuwe EDPB-richtlijnen over webscraping voor generatieve AI onder de AVG

Voor de ontwikkeling van generatieve AI zijn grote hoeveelheden data nodig. Veel AI-ontwikkelaars verzamelen die data door middel van webscraping: het geautomatiseerd ophalen van informatie van het openbare internet. Gescrapete bronnen bevatten niet alleen teksten en afbeeldingen, maar vaak ook persoonsgegevens. Tegen die achtergrond heeft de European Data Protection Board (EDPB) richtlijnen vastgesteld. Deze geven een volledig beeld van de AVG-verplichtingen die gelden bij het verzamelen en gebruiken van online data voor het trainen en verfijnen van generatieve AI-modellen. Het betreft een ‘eerste versie’. De richtlijnen staan open voor publieke consultatie en kunnen naar aanleiding daarvan nog worden aangepast.

De richtlijnen beperken zich nadrukkelijk tot webscraping (i) door private partijen en (ii) van bronnen buiten de eigen organisatie. Zij zien zowel op situaties waarin een AI-ontwikkelaar zelf data scrapet of laat scrapen, als op situaties waarin een door een andere partij samengestelde dataset wordt hergebruikt. Dus niet op datahandelaren die datasets samenstellen en beschikbaar stellen, zonder zelf een AI-model te ontwikkelen.

De EDPB bespreekt wanneer de AVG van toepassing is, welke partijen als verwerker of verwerkingsverantwoordelijke kwalificeren, hoe beginselen als transparantie, dataminimalisatie en juistheid moeten worden toegepast en onder welke voorwaarden gerechtvaardigd belang als grondslag kan dienen. Ook besteedt de EDPB uitgebreid aandacht aan de verwerking van bijzondere persoonsgegevens. De centrale boodschap is helder: het enkele feit dat informatie openbaar op internet staat, betekent niet dat deze zomaar voor AI-training mag worden verzameld en gebruikt.

In dit artikel worden de richtlijnen en hun juridische betekenis uiteengezet.

Wat verstaat de EDPB onder webscraping?

De EDPB omschrijft webscraping als het met geautomatiseerde hulpmiddelen verzamelen en opslaan van informatie uit publiek beschikbare internetdiensten, waaronder nieuwswebsites, fora en sociale media. Veel van deze bronnen bevatten persoonsgegevens, waardoor de AVG in beginsel van toepassing is.

De EDPB maakt onderscheid tussen gerichte en ongerichte scraping. Bij gerichte scraping worden vooraf selectiecriteria vastgesteld, zoals bepaalde domeinen, talen, onderwerpen of typen websites. Bij ongerichte scraping volgt software steeds nieuwe links die tijdens het proces worden ontdekt. Een beperkte lijst met URL’s kan daardoor uitgroeien tot een groot deel van het internet. Dit onderscheid is juridisch relevant. Hoe ongerichter de scraping plaatsvindt, hoe minder zicht de scraper heeft op de persoonsgegevens die worden verzameld en op de personen waarop deze betrekking hebben.

Daarnaast maakt de EDPB onderscheid tussen statische en dynamische inhoud. Statische inhoud is rechtstreeks opgenomen in de HTML van een webpagina, en kan simpelweg worden gekopieerd. Dynamische inhoud verschijnt pas nadat een gebruiker een bepaalde handeling verricht, bijvoorbeeld door te scrollen of ergens op te klikken. Een scraper moet in dat geval de interactie van een menselijke gebruiker nabootsen om aanvullende gegevens zichtbaar te maken en te verzamelen.

Volgens de EDPB bestaat webscraping doorgaans uit vier opeenvolgende fasen. Eerst worden de selectiecriteria en bronnen vastgesteld. Vervolgens worden de gegevens geëxtraheerd en naar een opslaglocatie overgebracht. Daarna worden de gegevens opgeschoond, bijvoorbeeld door irrelevante informatie te verwijderen. Ten slotte worden de gegevens verder gestructureerd en opgeslagen in een bruikbaar formaat.

Wanneer is de AVG van toepassing?

Als hoofdregel geldt: de AVG is van toepassing zodra tijdens het webscrapen persoonsgegevens worden verwerkt. Het begrip ‘verwerking’ moet breed worden uitgelegd (art. 4 onder 2 AVG) en omvat in ieder geval de verzameling van gegevens. Niet alleen gegevens die iemand rechtstreeks identificeren, zoals een naam, foto of e-mailadres, maar ook gegevens die indirect aan een persoon kunnen worden gekoppeld. Bevat een dataset zowel persoonlijke als niet-persoonlijke gegevens, dan blijft de AVG van toepassing op de verwerking van het persoonlijke gedeelte.

De EDPB erkent dat naleving van de AVG bij grootschalige webscraping ingewikkeld kan zijn. Ontwikkelaars weten bij omvangrijke datasets niet precies welke persoonsgegevens zijn verzameld, van welke personen die gegevens afkomstig zijn en of zich daaronder bijzondere of anderszins gevoelige gegevens bevinden. Maar die beperkte kennis ontslaat de organisatie niet van haar verplichtingen. De verwerkingsverantwoordelijke moet kunnen aantonen dat de AVG wordt nageleefd. Dat volgt uit de verantwoordingsplicht van artikel 5, tweede lid AVG, die onverkort geldt. Hoe dat eruit ziet in de praktijk, volgt uit de richtlijnen.

Volgens de EDPB is toepassing van de AVG juist in deze context van groot belang, want de risico’s zijn vergaand. Zij gaan voorbij de oorspronkelijke verzameling. Een model kan trainingsdata memoriseren en later reproduceren. Ook kan het model op basis van verschillende gegevens nieuwe informatie over een persoon afleiden. 

Wie is verantwoordelijk onder de AVG?

Bij de samenstelling van een trainingsdataset kunnen verschillende partijen betrokken zijn. De kwalificatie van die partijen als verwerker of verwerkingsverantwoordelijke moet volgens de EDPB steeds worden bepaald aan de hand van de feitelijke omstandigheden (zie de definities in art. 4 AVG).

Van belang is het volgende. De partij die de scraping uitvoert, is niet automatisch de verwerkingsverantwoordelijke. Doorslaggevend is welke partij het doel en de essentiële middelen van de verwerking bepaalt. Wanneer een AI-ontwikkelaar een andere partij opdracht geeft om volgens gedetailleerde instructies een trainingsdataset samen te stellen, kwalificeert de ontwikkelaar als verwerkingsverantwoordelijke en de scraper als verwerker. Andersom geldt dat, wanneer een ontwikkelaar een bestaande, eerder gescrapete dataset verkrijgt, de scraper en de ontwikkelaar in beginsel ieder verantwoordelijk zijn voor hun eigen verwerking. De scraper is dan verantwoordelijk voor de oorspronkelijke verzameling en samenstelling van de dataset. De ontwikkelaar is verantwoordelijk voor het verdere gebruik van de gegevens voor de ontwikkeling van het model. Gezamenlijke verantwoordelijkheid is pas aan de orde wanneer de scraper en de AI-ontwikkelaar gezamenlijk het doel en de essentiële middelen van eenzelfde verwerking bepalen.

Kortom, een AI-ontwikkelaar kan zijn verantwoordelijkheid onder de AVG niet ontlopen door de scraping uit te besteden of een bestaande dataset in te kopen. Voor iedere afzonderlijke verwerking moet worden onderzocht welke partij feitelijk de beslissende invloed uitoefent.

Hoe worden de AVG-beginselen toegepast?

Rechtmatigheid en doelbinding

Persoonsgegevens moeten rechtmatig, behoorlijk en transparant worden verwerkt (art. 5 lid 1(a) AVG). De ontwikkelaar moet vooraf beoordelen welke datasets worden gebruikt, welke websites worden gescrapet en voor welk doel de gegevens worden verzameld. Dit doel moet rechtmatig, specifiek en expliciet zijn. Persoonsgegevens mogen vervolgens niet op een met dat oorspronkelijke doel onverenigbare manier verder worden verwerkt. In dit kader verwijst de EDPB naar zijn eerdere Opinie 28/2024.

Transparantie

De AVG verplicht een verwerkingsverantwoordelijke in beginsel om betrokkenen te informeren wanneer hun persoonsgegevens zijn verwerkt. Bij webscraping is dat vaak moeilijk of praktisch onmogelijk, omdat grote aantallen personen worden geraakt. Artikel 14, vijfde lid onder b AVG maakt het mogelijk om individuele transparantie achterwege te laten wanneer het verstrekken daarvan onmogelijk blijkt of een onevenredige inspanning vergt. Volgens de EDPB mag deze uitzondering niet routinematig worden ingeroepen.

Voordat een ontwikkelaar zich op deze uitzondering kan beroepen, moet hij een afweging maken tussen de inspanning die nodig is om betrokkenen te informeren en de gevolgen die het uitblijven van die informatie voor hen heeft. Daarbij moeten het aantal betrokkenen, de ouderdom van de gegevens en de getroffen waarborgen een rol spelen. De beoordeling mag volgens de EDPB op het niveau van de dataset als geheel worden gemaakt en hoeft niet voor ieder afzonderlijk gegeven te worden herhaald. 

Ook wanneer individuele transparantie achterwege mag blijven, moet de ontwikkelaar passende maatregelen nemen om de rechten en vrijheden van betrokkenen te beschermen. De vereiste informatie uit artikel 14 AVG moet in ieder geval openbaar beschikbaar worden gemaakt, bijvoorbeeld in een privacyverklaring. Deze omvat onder meer de categorieën persoonsgegevens, de doeleinden en grondslag van de verwerking en de gebruikte bronnen. De ontwikkelaar moet met name aangeven of de gegevens afkomstig zijn uit vrij toegankelijke of juist afgeschermde bronnen. Ook moet informatie worden verstrekt over de kenmerken van de gebruikte crawler. Wanneer een volledige lijst van bronnen onmogelijk of onevenredig belastend is, moeten de bronnen zo volledig mogelijk worden weergegeven, en moet worden aangeven welke typen bronnen niet in de lijst zijn opgenomen en waarom. Tot slot moeten betrokkenen gemakkelijk kunnen vinden welke AVG-rechten zij hebben en hoe zij die kunnen uitoefenen. De EDPB noemt een reeks goede praktijken, zoals het publiceren van specifieke domeinnamen en URL’s van gescrapete webpagina’s (par. 31-34).

Dataminimalisatie

De AVG vereist dat persoonsgegevens toereikend, relevant en beperkt zijn tot wat noodzakelijk is voor het beoogde doel. Volgens de EDPB betekent dit niet dat een AI-model nooit met grote hoeveelheden data mag worden getraind. Het beginsel verbiedt niet de omvang van een dataset als zodanig, maar wel de verwerking van persoonsgegevens die niet noodzakelijk, relevant of toereikend zijn.

De beoordeling moet al plaatsvinden vóórdat de scraping begint. Voorafgaand aan de verzameling moet de ontwikkelaar bijvoorbeeld overwegen of synthetische data kunnen worden gebruikt in plaats van persoonsgegevens. Ook moeten nauwkeurige selectiecriteria worden opgesteld en moet een inventarisatie plaatsvinden van de verwachte gegevens en bronnen. Daarnaast zijn filters nodig om bepaalde categorieën persoonsgegevens uit te sluiten, zoals financiële gegevens, locatiegegevens, identificatienummers en andere gegevens die niet noodzakelijk zijn voor het beoogde doel. Hetzelfde geldt ten aanzien van bepaalde (categorieën) websites, waaronder websites die scraping verbieden.

Tijdens en na de verzameling zijn weer andere maatregelen nodig. De EDPB noemt syntax-gebaseerde filters om persoonsgegevens met een herkenbaar format te verwijderen, zoals telefoonnummers of identificatienummers. Waar mogelijk kunnen echte gegevens worden vervangen door synthetische gegevens. Ook anonimisering en pseudonimisering kunnen worden ingezet.

Juistheid

Persoonsgegevens moeten juist en actueel zijn met betrekking tot het doel waarvoor zij worden verwerkt. Dit beginsel kan bij webscraping moeilijk toepasbaar zijn wanneer gegevens afkomstig zijn uit onbetrouwbare, verouderde of tegenstrijdige bronnen, hetgeen gelet op de omvang van de scraping vaak het geval is.

De EDPB benadrukt dat dit beginsel niet alleen ziet op de verzamelde trainingsdata. Wanneer het uiteindelijke model persoonsgegevens als output kan genereren, moet ook rekening worden gehouden met het risico dat die output onjuist of verouderd is. De ontwikkelaar moet daarom zoveel mogelijk betrouwbare bronnen gebruiken, bijvoorbeeld officiële registers of geverifieerde profielen. Ook beveelt de EDPB aan om vast te leggen wanneer gegevens zijn verzameld en om de gegevens vóór de training te valideren. Daarbij kunnen steekproeven worden gebruikt.

Beperking van de hoeveelheid persoonsgegevens (zie onder dataminimalisatie) draagt volgens de EDPB bovendien bij aan de juistheid. Hoe beter de gegevens in kaart zijn gebracht, hoe beter de ontwikkelaar kan beoordelen of zij nog actueel en correct zijn.

Wat is de grondslag voor verwerking?

De verwerking van persoonsgegevens is alleen rechtmatig op basis van een wettelijke grondslag (art. 6 AVG).

Toestemming ligt niet voor de hand

Bij grootschalige scraping bestaat doorgaans geen rechtstreekse relatie met de betrokkenen en is het praktisch niet mogelijk om van iedere persoon geldige, voorafgaande toestemming te verkrijgen. Volgens de EDPB betekent het enkele feit dat persoonsgegevens publiek toegankelijk zijn bovendien niet dat de betrokkene toestemming heeft gegeven voor verwerking. Ook het ontbreken van een robots.txt-bestand of een andere technische beperking tegen scraping kan niet als toestemming in de zin van de AVG worden aangemerkt.

Gerechtvaardigd belang

Private partijen beroepen zich bij webscraping voor generatieve AI veelal op het gerechtvaardigde belang als bedoeld in artikel 6, eerste lid onder f AVG. Daarvoor gelden drie cumulatieve voorwaarden. Er moet (i) sprake zijn van een gerechtvaardigd belang, (ii) de verwerking moet noodzakelijk zijn voor dat belang en (iii) de belangen of grondrechten van betrokkenen mogen niet zwaarder wegen.

(i) Er moet sprake zijn van een gerechtvaardigd belang

Een belang kan alleen gerechtvaardigd zijn wanneer het rechtmatig, duidelijk en nauwkeurig omschreven, werkelijk en actueel is. Een louter hypothetisch of speculatief belang is onvoldoende. Of een belang gerechtvaardigd is hangt uiteindelijk af van de omstandigheden van het geval. De EDPB noemt als voorbeelden de ontwikkeling van een chatbot ter ondersteuning van gebruikers, het opsporen van frauduleuze inhoud of gedragingen en het verbeteren van cybersecurity. Ook bij een AI-model voor algemene doeleinden moet het nagestreefde belang concreet worden gemaakt. Wanneer precieze toepassingen nog niet vaststaan, moet ten minste worden omschreven welk doel wordt nagestreefd en of dit bijvoorbeeld commercieel, publiek of wetenschappelijk van aard is.

(ii) De verwerking moet noodzakelijk zijn voor dat belang

Vervolgens moet worden beoordeeld of de verwerking van persoonsgegevens noodzakelijk is om het gerechtvaardigde belang te realiseren. Daarvoor moet ten eerste worden vastgesteld of de verwerking daadwerkelijk kan bijdragen aan het nagestreefde doel. Ten tweede moet worden onderzocht of hetzelfde doel kan worden bereikt met een even effectief, maar minder ingrijpend middel. Bij generatieve AI kan dat betekenen dat brede en ongerichte scraping niet noodzakelijk is wanneer het doel ook kan worden bereikt met afgebakende bronnen en selectiecriteria. Ook het gebruik van gepseudonimiseerde of synthetische gegevens kan een minder ingrijpend alternatief vormen.

(iii) de belangen of grondrechten van betrokkenen mogen niet zwaarder wegen

In de belangenafweging moeten de belangen van de ontwikkelaar worden afgezet tegen de belangen, rechten en vrijheden van betrokkenen. Volgens de EDPB kan webscraping het recht op zelfbeschikking en controle over persoonsgegevens aantasten. Grootschalige en ongerichte gegevensverzameling kan bovendien een gevoel van permanente surveillance veroorzaken. Dat kan een afschrikkend effect hebben op de vrijheid van meningsuiting, omdat personen zichzelf mogelijk minder vrij uiten wanneer zij weten dat hun bijdragen kunnen worden verzameld en verwerkt voor AI-training. De EDPB noemt daarnaast het risico dat AI-modellen worden gebruikt om personen te identificeren die zich online anoniem wilden uiten. Ook profilering, deepfakes en aantasting van de menselijke waardigheid kunnen in de belangenafweging een rol spelen.

De aard van de verwerkte gegevens is van groot belang. Als vuistregel geldt: naarmate de gegevens gevoeliger of persoonlijker zijn, is de negatieve impact op betrokkenen groter en wegen hun belangen zwaarder. Denk hierbij aan strafrechtelijke data en financiële details. Ook de context van de verwerking is relevant. De combinatie van zeer grote hoeveelheden gegevens, grote aantallen betrokkenen en ongerichte verzameling kan leiden tot een aanzienlijke inmenging in de persoonlijke levenssfeer. Hierbij geldt telkens: hoe groter de mogelijke gevolgen van de verwerking, hoe minder waarschijnlijk het is dat gerechtvaardigd belang als grondslag kan dienen. In dit kader wijst de EDPB erop dat gegevens die eenmaal in een model zijn verwerkt, meestal niet zomaar meer uit een model worden verwijderd.

Tot slot vormen de redelijke verwachtingen van betrokkenen een belangrijk onderdeel van de belangenafweging. De EDPB erkent dat veel personen inmiddels weten dat gegevens die zij online publiceren door derden kunnen worden verzameld en hergebruikt. Maar daaruit volgt niet dat zij moeten verwachten dat die gegevens in alle situaties, voor alle doeleinden, door iedere organisatie en voor ieder type AI-training worden verwerkt. Relevant zijn het type website, de aard van de publicatie en de mate waarin de gegevens publiek toegankelijk zijn. De auteur van een openbare blog heeft andere verwachtingen dan degene binnen een afgeschermd sociaal netwerk. Ook technische beperkingen zijn van belang. Wanneer een website scraping verbiedt, bijvoorbeeld door middel van een robots.txt-bestand, is het minder waarschijnlijk dat betrokkenen verwachten dat hun gegevens worden verzameld. Verder spelen de kenmerken van de betrokkene een rol. Bij minderjarigen en andere kwetsbare groepen is volgens de EDPB meer bescherming aangewezen.

Risicobeperkende maatregelen

Wanneer de belangen van betrokkenen in beginsel zwaarder wegen, kan de ontwikkelaar aanvullende maatregelen treffen om de impact van de verwerking te beperken. De EDPB noemt hierbij het uitsluiten van bronnen die risicovolle data bevatten. Ook kunnen bepaalde categorieën websites en gegevens standaard worden uitgesloten. Persoonsgegevens achter een login moeten in beginsel niet worden verzameld. Hetzelfde geldt voor gegevens die via een scraper uitgebreider beschikbaar zijn dan voor een gewone gebruiker. Andere maatregelen zijn publicatie van een actuele bronnenlijst, het vereenvoudigen van de uitoefening van AVG-rechten en het bieden van uitgebreide transparantie.

De EDPB noemt ook het opstellen van een voorafgaande opt-out waarmee personen kunnen aangeven dat hun gegevens niet mogen worden verzameld. Verder kunnen onnodige persoonsgegevens zo snel mogelijk worden verwijderd of geanonimiseerd. Ook maatregelen in latere fasen van de ontwikkeling kunnen relevant zijn, zoals het beperken van memorisatie en reproductie. De EDPB benadrukt wel dat dergelijke mitigerende maatregelen niet mogen worden verward met maatregelen die op grond van de AVG sowieso verplicht zijn. 

Wanneer de belangen van betrokkenen zwaarder wegen en onvoldoende aanvullende waarborgen zijn getroffen, kan een beroep op het gerechtvaardigde belang niet slagen.

Bijzondere persoonsgegevens

Artikel 9 AVG blijft van toepassing

De verwerking van bijzondere categorieën persoonsgegevens is in beginsel verboden. Het gaat onder meer om gegevens over ras of etnische afkomst, politieke opvattingen, gezondheid, religie en seksuele gerichtheid. Wanneer een organisatie dergelijke gegevens bewust wil scrapen, is naast een grondslag uit artikel 6 AVG ook een uitzondering uit artikel 9, tweede lid AVG vereist.

De EDPB erkent dat een ontwikkelaar bij grootschalige scraping in de praktijk niet altijd vooraf kan vaststellen of bijzondere persoonsgegevens worden verzameld. Dat wordt soms pas duidelijk nadat de gegevens al zijn opgehaald en de verwerking dus al heeft plaatsgevonden. Volgens de EDPB is een dergelijke verzameling, ook wanneer deze onbedoeld plaatsvindt, in beginsel onrechtmatig.

Betekenis van het arrest GC & Others (C-136/17)

De EDPB stelt voorop dat het GC-arrest van het Hof van Justitie niet als algemene uitzondering geldt op het verbod van de verzameling van bijzondere categorieën persoonsgegevens. Maar, als aan vier cumulatieve voorwaarden wordt voldaan, kunnen AI-ontwikkelaars zich wel op het arrest beroepen. De voorwaarden zijn als volgt:

1. De verwerking vertoont relevante gelijkenissen met die van een zoekmachine;
   
   

2. Bijzondere persoonsgegevens worden alleen incidenteel en residueel verwerkt en nooit bewust verzameld;
   
   

3. Het is vooraf moeilijk of onmogelijk vast te stellen of bijzondere persoonsgegevens zullen worden verzameld;
   
   

4. Binnen de verantwoordelijkheden, bevoegdheden en mogelijkheden van de verwerkingsverantwoordelijke worden effectieve maatregelen getroffen om verzameling en verspreiding te voorkomen.

Voor zover het GC-arrest van toepassing is, verwacht de EDPB maatregelen gedurende de volledige levenscyclus van het model.

Voorafgaand aan de verzameling moeten precieze selectiecriteria en filters worden gebruikt om de verzameling van bijzondere persoonsgegevens te voorkomen. Websites die structureel dergelijke gegevens bevatten, moeten worden uitgesloten. Na de verzameling moeten bijzondere persoonsgegevens die ondanks deze maatregelen zijn verwerkt, onmiddellijk of zo snel mogelijk worden verwijderd. Tijdens de ontwikkeling van het AI-model moet worden voorkomen dat bijzondere persoonsgegevens uit het model kunnen worden gehackt. De ontwikkelaar moet bescherming bieden tegen privacy-aanvallen en het model trainen en testen op het risico van reproductie. Na ingebruikname moet de output voortdurend worden gemonitord. Wanneer bijzondere persoonsgegevens toch worden geproduceerd, moeten onmiddellijk aanvullende maatregelen worden getroffen. Op langere termijn kan ook machine unlearning relevant worden. Wanneer technologische ontwikkelingen het mogelijk maken specifieke gegevens betrouwbaar uit een model te verwijderen, kan dat een alternatief vormen voor voortdurende filtering.

De ontwikkelaar moet kunnen aantonen dat de gekozen maatregelen daadwerkelijk geschikt en effectief zijn. Regelmatige controle en actualisering zijn noodzakelijk, mede omdat de stand van de techniek zich blijft ontwikkelen.

In het kort

De richtlijnen maken duidelijk dat webscraping voor generatieve AI niet als een enkele handeling kan worden beoordeeld. Vanaf de selectie van bronnen en de instructies aan de crawler tot de training en monitoring van het uiteindelijke model gelden verschillende verplichtingen onder de AVG.

Publieke toegankelijkheid vormt geen zelfstandige grondslag voor verwerking. Een ontwikkelaar moet vooraf bepalen welke persoonsgegevens daadwerkelijk noodzakelijk zijn, betrokkenen zo veel mogelijk informeren en concreet motiveren waarom een beroep op gerechtvaardigd belang in een bepaald geval daadwerkelijk gerechtvaardigd is. Bij beoordeling moet niet alleen worden gekeken naar de inhoud van de gegevens, maar ook naar de context waarin zij zijn gepubliceerd, de technische beperkingen van websites, de redelijke verwachtingen van betrokkenen en het risico dat gegevens door het model worden gememoriseerd of gereproduceerd.

Bijzondere persoonsgegevens vragen om aanvullende voorzichtigheid. De beperkte ruimte die de EDPB ziet voor incidentele verwerking vormt geen algemene uitzondering op artikel 9 AVG en vereist vergaande maatregelen gedurende de volledige levenscyclus van het model.

De eerste versie van de richtlijnen staat nog open voor publieke consultatie. Toch geven zij nu al een gedetailleerd beeld van de wijze waarop de EDPB de AVG wil toepassen op webscraping voor generatieve AI. Mochten zich verdere ontwikkelingen voordoen, dan leest u daarover zoals gewoonlijk op AI-Forum.