BV-PRGA: la puerta de privacidad, por dentro

Cada prompt que sale hacia un modelo externo es una exportación de datos. La mayoría de las veces, exporta más de lo que la tarea necesita: el nombre del cliente cuando bastaba un cliente, el IBAN completo cuando el modelo solo tenía que redactar un recordatorio, una clave de API pegada por accidente. BV-PRGA es la puerta que se coloca antes de esa salida — como extensión de navegador para personas, como gateway autoalojado para equipos — y garantiza una propiedad simple de enunciar: lo sensible se queda en tu sistema; fuera viaja solo lo necesario para resolver la tarea.

El viaje de ida y vuelta, formalizado

El corazón de BV-PRGA es un enmascaramiento reversible cuya clave nunca sale. A la ida, la petición $x$ se transforma en un par

$$m(x) \;=\; (\tilde{x},\; \kappa)$$

donde $\tilde{x}$ es la versión protegida que viaja al proveedor y $\kappa$ es el mapa de correspondencias — qué token sustituye a qué valor — que se queda en tu entorno. Cada dato detectado se sustituye por un marcador estable del tipo [BV:PERSON:a1b2c3], [BV:IBAN:2e5d8c]: consistente dentro de la petición (el modelo puede razonar sobre «la misma persona») y opaco fuera de ella. A la vuelta, la respuesta $\tilde{r}$ del proveedor se reconstruye localmente:

$$r \;=\; \kappa^{-1}(\tilde{r})$$

La propiedad clave es dónde vive cada pieza: el proveedor externo solo ve $\tilde{x}$ y produce $\tilde{r}$; el par $(\kappa, r)$ no abandona tu infraestructura en ningún punto del ciclo. La reversibilidad es local por construcción, no por promesa.

Secretos: bloquear, no pseudonimizar

No todo lo sensible admite el mismo tratamiento. Un nombre o un IBAN pseudonimizados siguen permitiendo resolver la tarea; una clave de API no pinta nada en un prompt bajo ninguna forma — ni en claro ni enmascarada, porque un marcador reversible de un secreto sigue siendo un secreto con un paso de indirección. Por eso la política distingue dos verbos:

• Pseudonimizar lo que la tarea necesita referenciar: personas, identificadores, cuentas, correos.
• Bloquear lo que jamás debería viajar: credenciales, claves, tokens de sesión. La petición se detiene con una decisión explícita — DENY — y el contador de la puerta lo registra: qué se pseudonimizó, qué se bloqueó y por qué la petición no salió.

Fail-closed: la puerta falla cerrada

La detección es un problema de etiquetado de secuencias, y ningún detector es perfecto. La pregunta de diseño honesta no es «¿cuánto acierta?» sino «¿qué pasa cuando duda?». En BV-PRGA la respuesta es estructural: ante la duda, la puerta se cierra. Si el análisis de una petición no puede completarse con confianza — el clasificador no converge, el gateway no responde, el formato desborda lo esperado — el valor por defecto es no enviar. Formalmente, la política es un retículo donde DENY domina: ningún fallo de un componente puede degradar silenciosamente hacia «enviar en claro».

Ese sesgo tiene un precio (a veces se bloquea de más) y es un precio que elegimos con gusto: el coste de un falso positivo es un reintento; el de un falso negativo es una exportación de datos que ya no se puede deshacer.

Lo que esta puerta no es

La honestidad forma parte de la especificación. BV-PRGA reduce la superficie de exposición y de cumplimiento — menos datos personales viajando a terceros, menos copias fuera de tu perímetro — pero no es un sustituto de tu marco legal de protección de datos: las bases jurídicas, los contratos de encargado y las evaluaciones de impacto siguen siendo tuyos. La puerta te da un hecho técnico verificable sobre el que apoyar ese marco: lo sensible no salió.

Dónde está esto hoy

BV-PRGA está productivizado como producto independiente en privacy.bivelio.com, en dos formas: una extensión de navegador gratuita (Chrome, Edge y Brave) que protege a las personas en ChatGPT y Claude antes de que el texto salga del dispositivo, y un gateway autoalojado para desarrolladores y equipos, publicado en PyPI, que aplica la misma política delante de cualquier API de IA — OpenAI, Anthropic, DeepSeek y muchas otras. Dentro de BiVelio es la capa Protect: la misma puerta, delante de cada interacción con un modelo.