Entrenar un modelo de IA generativa exige toneladas de texto, imágenes y audio, y buena parte de ese material sale de páginas web rastreadas sin que el propietario dé permiso expreso. La técnica se llama web scraping y, aplicada a gran escala para alimentar modelos de lenguaje o generadores de imagen, choca de lleno con el artículo 5 del RGPD.
Cómo funciona el web scraping
Un scraper es un programa que simula la navegación de una persona: pide páginas HTML a un servidor, las recibe y extrae de ahí los datos que le interesan. El proceso suele seguir el mismo guion, identificar el sitio y qué se quiere sacar de él, analizar cómo está montada la página, programar el script que lo extrae y lanzarlo a gran escala, muchas veces contra miles de dominios a la vez.
Se usa para estudios de mercado, análisis de precios de la competencia o, cada vez más, para juntar el corpus con el que se entrena un modelo generativo. El problema llega cuando entre ese material se cuelan nombres, correos, teléfonos o cualquier otro dato que identifique a una persona.
Por qué preocupa a la protección de datos
Si un modelo se entrena con datos personales y luego los reproduce, aunque sea de forma parcial o mezclada con otro contenido, hay un riesgo real de infringir el RGPD. No hace falta que el dato salga tal cual: basta con que el modelo pueda asociar un nombre a una dirección o un teléfono para que se considere tratamiento de datos personales, y ese tratamiento necesita una base legal que el scraping masivo casi nunca tiene.
Aquí no solo se juega el cumplimiento normativo. Un usuario que descubre que sus datos han acabado en el corpus de entrenamiento de un modelo sin haberlo consentido pierde confianza en la web de origen, aunque esta no tenga culpa directa del scraping.
Medidas frente al web scraping (artículo 5 RGPD)
Para los responsables de tratamiento que quieren frenar el scraping de datos personales en su web, estas son las medidas que se recomiendan:
- Restringir el acceso mediante registro previo: mover la información sensible detrás de un login controla quién la ve sin necesidad de tratar más datos de los imprescindibles.
- Retirar datos de los avisos legales públicos: tiene un efecto disuasorio claro, aunque solo protege lo que se publique de ahí en adelante, no lo que ya esté indexado.
- Limitar el tráfico y las peticiones por IP: filtrar solo las direcciones que tienen motivo legítimo para acceder corta de raíz el rastreo masivo automatizado.
- Poner barreras a los bots: CAPTCHA, un robots.txt bien configurado y contenido multimedia protegido frenan buena parte de la recopilación automática, aunque ningún bot malicioso está obligado a respetarlas.
Ejemplo de robots.txt para frenar scrapers
El archivo robots.txt le dice a los bots qué zonas de la web no deben tocar. No es una barrera técnica infranqueable, un bot mal educado puede ignorarlo sin problema, pero sirve como primera línea de defensa y deja constancia de la intención del propietario del sitio:
User-agent: *
Disallow: /private/
Disallow: /confidential/
Disallow: /admin/
User-agent: BadBot
Disallow: /
User-agent: Googlebot
Allow: /public/
Disallow: /private/
Disallow: /confidential/
Disallow: /admin/
En este ejemplo se cierran los directorios sensibles a todos los bots, se bloquea por completo a uno identificado como problemático y se deja pasar a Googlebot solo por la zona pública. Cada web necesita su propia configuración, no hay una plantilla universal que sirva para todos los casos.
Qué puedes hacer en tu proyecto WordPress
Si gestionas una web con datos de clientes, formularios o áreas privadas, revisa primero qué información es accesible sin login y saca de ahí lo que no necesite estar público. El mismo cuidado que aplicas a un banner de cookies legal o al consentimiento real de los usuarios tiene que extenderse a cómo proteges los datos frente a un rastreo automatizado que ni siquiera pasa por tu formulario de contacto.
Con la inteligencia artificial ya integrada en la mayoría de proyectos WordPress, esta conversación va a más: cuanto más contenido generas, más interesante te vuelves para un scraper que busca material fresco con el que entrenar modelos.
Preguntas frecuentes
¿El web scraping es ilegal en España?
No lo es por sí mismo. El problema aparece cuando lo que se extrae incluye datos personales tratados sin base legal, ahí sí entra en juego el RGPD y la Ley Orgánica de Protección de Datos.
¿El robots.txt impide de verdad que me hagan scraping?
Solo es una petición educada. Los bots que cumplen el estándar lo respetan, pero cualquier scraper diseñado para saltárselo lo hará sin más. Hay que combinarlo con otras medidas técnicas.
¿Cómo sé si mi web está siendo scrapeada?
Un pico de tráfico desde una misma IP o rango, patrones de navegación que no encajan con un humano (peticiones a toda velocidad, recorrido secuencial de URLs) o un user-agent desconocido en tus logs son las señales más habituales.
¿Puedo bloquear solo a los bots de entrenamiento de IA?
Sí, varios modelos publican su user-agent (GPTBot, Google-Extended, CCBot, entre otros) y puedes añadirlos de forma explícita al robots.txt con una regla Disallow propia para cada uno.
¿Qué hago si detecto que mis datos ya se usaron para entrenar un modelo?
Puedes ejercer tus derechos de acceso, rectificación o supresión ante la empresa responsable del modelo y, si no responde, trasladar la reclamación a la Agencia Española de Protección de Datos.
