8 يوليو 2026 في اجتماع الجمعية العامة في بروكسل، اعتمد المجلس الأوروبي لحماية البيانات (EDPB) "الدليل 03/2026 حول استخراج البيانات في سياق الذكاء الاصطناعي التوليدي" - وهو أول وثيقة أوروبية عامة تجيب بشكل مباشر على سؤال كان يلوح في الأفق لسنوات فوق صناعة جمع البيانات: هل ينطبق استخراج البيانات على اللائحة العامة لحماية البيانات (GDPR) إذا كانت البيانات متاحة للجمهور؟ إجابة EDPB واضحة وغير مريحة للعديد: نعم، ينطبق - و"العامة" لم تعد تعني "يمكن أخذها بحرية". الوثيقة مفتوحة للتشاور العام حتى 30 أكتوبر 2026، لكنها بالفعل تحدد الإطار الذي ستقيم به الهيئات التنظيمية الأوروبية أي جمع للبيانات الشخصية.
ما الذي قرره EDPB بالضبط
النقطة الرئيسية في الدليل بسيطة. تنطبق GDPR كلما كان استخراج البيانات يتضمن بيانات شخصية - أي أي عمليات جمع، تخزين، تنظيم واستخراج المعلومات التي يمكن من خلالها التعرف على الشخص بشكل مباشر أو غير مباشر. والنقطة الأساسية - لا يهم ما إذا كانت هذه المعلومات مرئية للجمهور. EDPB يرفض بشكل قاطع الافتراض الشائع في الصناعة بأن "إذا كانت البيانات موجودة في ملف شخصي عام، فهي خارج نطاق التنظيم". لا ينبغي للمنظمات أن تتوقع أن تعتبر الهيئات الأوروبية هذه البيانات خارج نطاق GDPR.
هذا يغير المنطق المعتاد. لسنوات، اعتمد جامعو البيانات على الربط بين "المتاح للجمهور + بروكسي مقيم = ممكن تقنيًا، مقبول قانونيًا". EDPB يفرق بين سؤالين كانا يندمجان في واحد: التوافر التقني للبيانات والأساس القانوني لمعالجتها - ليسا نفس الشيء. الأول يتم حله من خلال البنية التحتية. الثاني - فقط من خلال القانون.
اختبار "المصلحة القانونية": لم يعد افتراضيًا
تستند معظم أدوات استخراج البيانات الشخصية إلى "المصلحة القانونية" (legitimate interest، المادة 6(1)(f) من GDPR). يؤكد EDPB أن هذا الأساس يمكن تطبيقه بشكل مبدئي على استخراج البيانات لتدريب الذكاء الاصطناعي، لكنه يفرض شروطًا صارمة. لا يمكن أن يكون هناك تقييم "جملة" - يتم إجراء الاختبار لكل حالة على حدة ويتكون من ثلاث خطوات:
- مصلحة حقيقية. يجب صياغة مصلحة محددة، قانونية وملائمة - وليس "نحن بحاجة إلى البيانات" بشكل مجرد.
- الضرورة. إثبات أن الهدف لا يمكن تحقيقه بطريقة أقل إلحاحًا من جمع البيانات الشخصية بشكل جماعي.
- التوازن. وزن مصلحتك مقابل الحقوق الأساسية والتوقعات المعقولة للأشخاص الذين يتم جمع بياناتهم - وإظهار أنها لا تفوقها.
ويجب أن تكون الوثيقة موجودة مسبقًا، وليس أن تُولد بعد الحدث. كما يشير براين هينغيسبو، رئيس الممارسة العالمية للبيانات والأمن السيبراني في بايكر ماكنزي، عند التحقيق في شكوى، ستطلب الهيئة التنظيمية في المقام الأول تقييم المصلحة القانونية والوثائق المؤكدة. لا توجد ورقة - لا توجد حماية.
تقليل البيانات: تصفية قبل الجمع، وليس بعده
يتطلب EDPB دمج الحماية في مرحلة التصميم، قبل الطلب الأول. يجب على المراقب:
- تحديد معايير دقيقة للجمع، وليس جمع كل شيء بشكل عشوائي؛
- تطبيق فلاتر تستبعد الفئات الحساسة من البيانات؛
- استبعاد مواقع معينة - وخاصة الموارد الموجهة للقاصرين، والمواقع التي تحتوي على حماية ضد استخراج البيانات؛
- بعد الجمع، تطبيق المعالجة اللاحقة: تصفية نحوية وإخفاء الهوية.
يجب قراءة النقطة المتعلقة بـ "المواقع التي تحتوي على حماية ضد استخراج البيانات" مرتين. يقول EDPB فعليًا: إذا كانت المورد قد وضعت بوضوح حواجز مضادة للروبوتات، فإن تجاوزها هو إشارة على أنك تعمل ضد إرادة المالك وتوقعات المستخدمين المعقولة. هذا ليس عن CFAA أو الاختراق، بل عن توازن المصالح داخل GDPR.
فئات البيانات الخاصة - شبه محظورة
البيانات المتعلقة بالصحة، الآراء السياسية، الدين، التوجه الجنسي (المادة 9 من GDPR) محظورة بشكل عام من الجمع - وحتى الالتقاط غير المقصود لها (على سبيل المثال، من منشور عام على وسائل التواصل الاجتماعي) يطلق حظرًا صارمًا. تحتاج المعالجة القانونية إلى وجود أساس بموجب المادة 6 واستثناء بموجب المادة 9(2)، والتي عادةً ما لا يمتلكها جامع البيانات الجماعي. يتطلب EDPB الرقابة على مدى دورة الحياة بالكامل - حتى فلاتر على مخرجات النموذج والقيود على المطالبات بعد النشر.
لماذا ظهرت الوثيقة الموحدة الآن
حتى الآن، كانت أوروبا تستجيب لاستخراج البيانات للذكاء الاصطناعي بشكل متقطع، من خلال الهيئات الوطنية - وكانت النتائج متناقضة. فرضت هيئة Garante الإيطالية في ديسمبر 2024 غرامة على OpenAI قدرها 15 مليون يورو لتدريب ChatGPT دون أساس قانوني مناسب وخرق متطلبات الشفافية. ولكن في مارس 2026، ألغت محكمة روما هذه العقوبة بشكل واضح - وهو توضيح واضح لمدى هشاشة الأساس القانوني. حصلت هيئة DPC الأيرلندية في عام 2024 من خلال التماس إلى المحكمة العليا على قرار بأن X توقف نهائيًا عن تدريب روبوت الدردشة Grok على المنشورات العامة للمستخدمين الأوروبيين خلال الفترة من 7 مايو إلى 1 أغسطس 2024. بالإضافة إلى إجراءات منفصلة من الهيئات التنظيمية الهولندية والفرنسية.
خلق هذا المشهد المتقطع عدم اليقين لكل من الشركات والمواطنين. يطور الدليل 03/2026 "الرأي 28/2024" السابق حول الذكاء الاصطناعي ويحدد لأول مرة معيارًا موحدًا لجميع الدول الـ 27. في نفس اليوم، اعتمد EDPB أيضًا دليلًا موازٍ حول إخفاء الهوية، حيث أكد معيارًا من ثلاثة شروط: تعتبر البيانات مجهولة الهوية فقط إذا لم يكن من الممكن تحديد سجل معين منها، أو ربط السجلات معًا، أو استخراج معلومات جديدة عن الشخص. كما عبرت رئيسة EDPB، أنو تالوس، عن أن الوثائق "تحدد معايير واضحة تسهل استخدام البيانات، بينما تحمي الحقوق الأساسية للأشخاص".
ماذا يعني هذا لجمع البيانات
أولاً وقبل كل شيء: يتعلق الأمر بالنطاق الإقليمي لـ GDPR. إذا كانت عينتك تحتوي على بيانات شخصية لمقيمين في الاتحاد الأوروبي - فإن اللائحة تنطبق بغض النظر عن مكان وجودك. وهذا لا ينطبق فقط على مختبرات LLM: تشمل المتطلبات أي منظمة تقوم باستخراج البيانات مباشرة أو من خلال مقاولين - سواء لتدريب النموذج أو لتحليل المشاعر.
ثانيًا - يمر الحد الفاصل العملي عبر نوع البيانات، وليس عبر طريقة الوصول:
- البيانات غير الشخصية - الأسعار، توفر السلع، الخصائص، النصوص العامة دون ارتباط بالشخصية، التحليل السوقي - تبقى منطقة منخفضة المخاطر. مراقبة الأسعار، تحليل الفهارس، جمع هيكل SERP بموجب GDPR للبيانات الشخصية لا يؤثر.
- البيانات الشخصية - الملفات الشخصية، جهات الاتصال، سلوك الأشخاص المحددين - الآن تحت GDPR الكامل، حتى لو كانت متاحة للجمهور. هنا تحتاج إلى أساس قانوني، اختبار موثق للمصلحة القانونية، تقليل البيانات وإخفاء الهوية مبكرًا.
ثالثًا - نظافة الجمع، التي جعلها EDPB فعليًا إلزامية: معايير ضيقة للاختيار، تصفية البيانات الشخصية والحساسة عند المدخل، إخفاء الهوية في أقرب وقت ممكن، الاحترام للحواجز المضادة للاستخراج والمواقع المخصصة للقاصرين، سياسة خصوصية عامة تصف عملية الاستخراج.
أين توجد البروكسي - وأين لا توجد
من المهم فصل بين مستويين، حيث فصل EDPB بينهما أولاً. اختيار البنية التحتية - بروكسي مقيم، موبايل أو بروكسي مركز البيانات - يحدد موثوقية، جغرافية ومعدل النجاح في الطلبات، أي الجانب التقني للجمع. لكن هذا لا يغير أساسك القانوني. عنوان IP المقيم لا يحول المعالجة غير القانونية للبيانات الشخصية إلى قانونية - الالتزام يعتمد على ما تجمعه ولماذا، وليس على العنوان الذي يخرج منه الطلب. وهذه، بالمناسبة، أخبار جيدة للمشاريع النزيهة: إذا كنت تقوم بتحليل بيانات غير شخصية أو تصفية البيانات الشخصية بشكل صحيح وإخفاء هويتها، فإن بنية البروكسي الجيدة تغلق المهمة التقنية، وتبقى في المجال القانوني من حيث الجوهر.
تنطبق نفس المنطق على استخراج البيانات الوكيلة، حيث تكتب الوكلاء الذكاء الاصطناعي بنفسهم أدوات التحليل: الأداة أصبحت أكثر ذكاءً، لكن قواعد معالجة البيانات لم تتخفف نتيجة لذلك - على العكس، يوسع EDPB المتطلبات لتشمل مثل هذه الأنابيب.
الاستنتاج
لا يمنع الدليل 03/2026 استخراج البيانات من الويب - بل يغلق الوهم المريح بأن انفتاح البيانات يزيل السؤال عن معالجتها. في الاتحاد الأوروبي، انتهت حقبة "العامة تعني مجانية" للبيانات الشخصية في 8 يوليو 2026. بالنسبة لجمع البيانات، ليس هذا حكمًا بالإعدام، بل تغيير في الانضباط: فصل البيانات الشخصية عن غير الشخصية، تصفية عند المدخل، إخفاء الهوية مبكرًا، توثيق المصلحة القانونية قبل، وليس بعد، طلب الهيئة التنظيمية. لا تزال التقنية تحددها البروكسيات ومضادات الكشف؛ الآن تحدد القانونية ما الذي تضعه في قاعدتك.