Web-Scraping generative KI: EU-Rahmen im Check

Web-Scraping^?Das automatisierte Auslesen von Inhalten aus Webseiten, oft um große Datenmengen für das Training von KI-Modellen zu sammeln. für generative KI bleibt rechtlich heikel, und die oft erwartete Entlastung durch neue EU-Leitlinien ist noch nicht verbindlich da. Der Europäische Datenschutzausschuss (EDSA^?Europäischer Datenschutzausschuss, das Gremium der nationalen Datenschutzbehörden, das die einheitliche Auslegung der DSGVO fördert.) hat weitere Leitlinien zum Web-Scraping zwar angekündigt, doch in öffentlich zugänglichen Quellen fehlen sie als verabschiedete Dokumente. Wer heute Trainingsdaten aus dem Netz zieht, arbeitet weiter im Rahmen der DSGVO^?Datenschutz-Grundverordnung der EU, die den Umgang mit personenbezogenen Daten regelt. und der EDSA-Stellungnahme 28/2024.

Was sagt der Europäische Datenschutzausschuss aktuell zu Web-Scraping für generative KI?

Der EDSA hat spezifischere Leitlinien zum Web-Scraping angekündigt, aber noch nicht verabschiedet. Maßgeblich bleibt die Stellungnahme 28/2024 zu Datenschutzaspekten bei KI-Modellen. Darin verweist der Ausschuss ausdrücklich darauf, dass er an weiteren Leitlinien arbeite, die Fragen wie das Web-Scraping abdecken sollen.

Das ist ein wichtiger Unterschied. Eine angekündigte Leitlinie ist kein anwendbares Recht. Bis ein Dokument im offiziellen Verfahren verabschiedet und veröffentlicht ist, bleibt der bestehende Rahmen gültig. Kursieren Meldungen über „neue Leitlinien“, lohnt vor jeder Anpassung Ihrer Prozesse der Blick auf Datum und Status: Entwurf oder verabschiedete Fassung.

Gilt ein KI-Modell nach DSGVO als anonym?

Nein, nicht automatisch. Der EDSA stellt in seiner Pressemitteilung vom 18. Dezember 2024 klar, dass mit personenbezogenen Daten trainierte Modelle nicht pauschal als anonym gelten. Die Anonymität ist im Einzelfall zu prüfen, auf Grundlage spezifischer Kriterien und der Umstände jedes Modells.

Als anonym gilt ein Modell nur, wenn zwei Wahrscheinlichkeiten sehr gering sind:

• die Wahrscheinlichkeit, betroffene Personen zu identifizieren, deren Daten in das Training geflossen sind,

• die Wahrscheinlichkeit, personenbezogene Daten durch gezielte Abfragen aus dem Modell zu extrahieren.

Der EDSA verlangt dabei, alle Mittel zu berücksichtigen, die nach allgemeinem Ermessen wahrscheinlich genutzt werden, um eine Person wiederzuerkennen. Das ist ein realistischer Maßstab, kein theoretischer. Wer sein Modell für anonym erklärt, muss das begründen können.

Was bedeutet das für Ihre Trainingsdaten und Compliance?

Konkret heißt das: Über die Zulässigkeit entscheiden die Herkunft der Daten und die Rechtsgrundlage, nicht die Beteuerung, das Modell sei ohnehin anonym. Der EDSA behandelt in der Stellungnahme 28/2024 auch, wie mit rechtswidrig erhobenen Trainingsdaten umzugehen ist. Ein fehlerhaft aufgebauter Datensatz kann den späteren Einsatz des Modells belasten.

Aus meiner Beratungspraxis sehe ich ein wiederkehrendes Muster: Unternehmen scrapen erst, dokumentieren später, und beim ersten Auskunftsersuchen fehlt die Grundlage. Wer die folgenden Punkte früh klärt, spart sich teure Nachbesserungen:

1. Woher stammen die Daten, und mit welchem Verfahren wurden sie erhoben?

2. Auf welche Rechtsgrundlage stützt sich die Verarbeitung, etwa berechtigtes Interesse^?Eine Rechtsgrundlage nach Artikel 6 DSGVO, die eine Datenverarbeitung erlaubt, wenn die Interessen des Verantwortlichen die Rechte der Betroffenen überwiegen. nach Artikel 6 DSGVO?

3. Wie lässt sich der Bezug zu betroffenen Personen begründet als sehr gering einstufen?

4. Wie reagieren Sie auf Lösch- und Auskunftsansprüche, wenn Daten bereits im Modell stecken?

Wenn in Ihrem Team die Grundlagen zu diesen Fragen fehlen, hilft eine strukturierte Schulung zur KI-Kompetenz nach EU AI Act, die Datenherkunft und Rechtsgrundlagen praxisnah durchgeht, vor allem Verantwortlichen in Recht, IT und Geschäftsführung. Häuser mit tieferem juristischem Beratungsbedarf zu Haftung und Urheberrecht führt die dreitägige Masterclass zu KI-Recht in Österreich deutlich weiter. Wer nur einen ersten Überblick braucht, ist damit überversorgt.

Wie sollten Unternehmen jetzt vorgehen, ohne auf die finale Leitlinie zu warten?

Behandeln Sie die angekündigte Leitlinie als Frühwarnung, nicht als Startsignal. Der bestehende Rahmen aus DSGVO und Stellungnahme 28/2024 trägt bereits die entscheidenden Anforderungen. Wer jetzt sauber dokumentiert, muss später weniger anpassen.

Ein Blick auf die praktische Bedeutung fürs eigene Haus lohnt sich. Wie viel wirklich in Produktion läuft und nicht nur in Pilotprojekten, zeigt unsere Auswertung zu KI im Mittelstand und den echten Zahlen für 2026. Der nüchterne Befund dort passt zur Lage bei den Trainingsdaten: Vieles ist angekündigt, weniger ist geklärt.

Was bedeutet das für Ihr Unternehmen? Legen Sie ein Verzeichnis Ihrer Trainingsdatenquellen an, notieren Sie zu jeder Quelle die Rechtsgrundlage und prüfen Sie, wo personenbezogene Daten enthalten sein könnten. Der nächste Schritt heißt nicht Warten auf Brüssel, sondern ehrliche Bestandsaufnahme, was Sie heute schon belegen können.

Zurück zur Ausgangsfrage

Bringen neue EU-Leitlinien Klarheit beim Web-Scraping für generative KI? Angekündigt sind sie, verabschiedet nach den öffentlich zugänglichen Quellen noch nicht. Bis dahin gilt: KI-Modelle sind nicht automatisch anonym, die Datenherkunft muss stimmen, und die Beweislast liegt bei Ihnen. Wer das früh regelt, steht bei der finalen Leitlinie nicht am Anfang, sondern hat die Hausaufgaben gemacht.