La IA mantiene al día la política de privacidad de una app a partir de su código, y cumplir el RGPD se vuelve casi divertido
"Integración continua" para el RGPD
Estoy desarrollando una app web para consumidores europeos, y el RGPD obliga a explicar con transparencia todas las formas en que se tratan sus datos personales.
Ceder cualquier dato personal a terceros, aunque cumplan el RGPD (un proveedor de newsletter, uno de analítica o incluso un centro de datos para las copias de seguridad), obliga a mencionarlo en la política de privacidad.
Cederlos a terceros de fuera de la UE que no cumplan el RGPD requiere el consentimiento del usuario (así que, si se puede, mejor evitarlo).
Si te lo tomas en serio, la cosa se complica muchísimo enseguida.
En este proyecto quise tomármelo en serio y que la IA me echara una mano. Monté un flujo de trabajo de desarrollo experimental con IA que incluye un paso nuevo:
- Planificar la funcionalidad
- Generar y revisar el código nuevo
- Pasar pruebas de seguridad al código nuevo
- Escribir tests para el código nuevo
... y ahora también actualizar la política de privacidad, si el cambio lo requiere, automáticamente y siguiendo unas directrices bien redactadas.
El objetivo: que cuando una funcionalidad se publique, la política de privacidad actualizada salga con ella, en vez de quedarse como tarea pendiente para más adelante... y todos sabemos qué pasa con esas.
Opus y Fable, los modelos más avanzados de Claude, lo hacen de maravilla y me han ayudado a detectar omisiones sutiles en código nuevo y existente que a una persona se le podrían haber escapado fácilmente. Algo parecido a una revisión de seguridad, pero de protección de datos.
Por ejemplo, no sabía que, si usas un servicio externo de monitorización de errores como Sentry, cada informe de error envía por defecto todo el cuerpo de la petición de la página donde se produjo... incluido lo que haya escrito el usuario... ¡que, claro, pueden ser datos personales! O lo desactivas, o tienes que documentarlo como es debido.
Como siempre, hay que vigilar de cerca lo que produce la IA. Con las multas que pueden imponer las autoridades de protección de datos, que se cuelen tonterías en la política de privacidad puede ser más peligroso que la mayoría de los bugs.
Y hay que afinar constantemente los límites y las reglas con las que trabaja la IA: no intuye, como una persona, cuándo sobra detalle, y toca pedirle una y otra vez que no se enrolle y que, en vez de describir varias docenas de procesos con todo lujo de detalles, se centre en lo que *de verdad* le importa a un usuario razonable en materia de privacidad. 🙄
Pero, en general, los resultados son... bastante buenos.
Y diría que de mucha más calidad de lo que suele conseguir en este terreno quien trabaja por su cuenta o un equipo pequeño.
Pronto podrás verlo en marcha en la app web; iré contando por aquí.