🌐 También en: English · Deutsch · Français
Antes de nada: esto es un relato de experiencia, no asesoramiento jurídico. Soy administrador, no abogado. Ante la duda, pregunta a alguien que se dedique a ello.
Un blog técnico privado en Alemania no es tierra de nadie en lo legal. Aviso legal, protección de datos, derechos de autor de las imágenes: todo ello conlleva el riesgo de un requerimiento formal, y cuanto más tiempo lleva un blog, más se acumula. Por eso en octubre revisé mi blog de forma sistemática: ¿dónde podría pisar a alguien, dónde revelo más de lo necesario y dónde soy vulnerable? Este artículo resume lo que encontré y lo que cambié.
🖼️ Imágenes que no son mías
El bloque más grande fueron las imágenes. Con los años se habían ido acumulando cosas que no había hecho yo:
- Fotos de producto de fabricantes: dos fotos de dispositivos y un gráfico comparativo con logotipos de apps de otras empresas. Sustituidos por ilustraciones propias.
- Logotipos oficiales: varios archivos de logotipos de proyectos de software estaban en la biblioteca de medios sin usarse en ningún sitio. Eliminados.
- Imágenes de IA con personajes ajenos: algunas imágenes destacadas mostraban personajes y motivos reconocibles de películas y videojuegos. Aunque las haya generado una IA, siguen siendo marcas y personajes de otros. Difuminadas, con una nota breve debajo.
- Capturas de pantalla con personas: una captura antigua de la página de inicio de sesión contenía fotos de ejemplo de personas reales, entre ellas un niño. También difuminada.
- Una portada de libro: primero con mención de la fuente y después retirada por completo del artículo.
A eso se sumaban dos elementos incrustados desde servidores ajenos: una imagen cargada directamente desde GitHub y un reproductor de vídeo de otra plataforma. Ambos descargan datos de terceros al cargar la página y, de paso, envían la dirección IP del visitante. La imagen está ahora en mi propio servidor; el reproductor se ha sustituido por una imagen de vista previa con un enlace.
Lo que queda: «solo es una imagen destacada» no protege. Lo que no es propio, no tiene una licencia libre expresa o no está claramente citado no tiene sitio en la web, tampoco en la biblioteca de medios si ya no se usa en ninguna parte.
📷 Lo que revelan las fotos
Las fotos del móvil llevan metadatos: modelo del dispositivo, hora de la toma, un identificador único de la imagen y, a menudo, la posición GPS. Al revisar las cerca de 1.200 imágenes, aún aparecieron estos datos en algunas fotos; por suerte, los campos GPS estaban vacíos. Eliminé los metadatos sin pérdida: la imagen quedó idéntica, píxel a píxel.
También los nombres de archivo dicen cosas: dos imágenes conservaban el nombre que les había puesto la herramienta de IA. Ahora tienen nombres descriptivos.
Desde octubre, un pequeño plugin convierte cada imagen nueva al subirla: WebP, como máximo 1.536 píxeles de ancho y menos de 280 KB. El motivo del límite fue un hallazgo colateral: WhatsApp mostraba una vista previa equivocada al compartir enlaces, porque ignora sin más las imágenes de vista previa de más de unos 300 KB. Estaban afectados 128 de 468 artículos.
Lo que queda: una imagen es más que sus píxeles. Hay que revisar metadatos y nombres de archivo antes de subirla, o dejar que se limpien automáticamente al subirla.
📜 Una política de privacidad que se ajuste a la realidad
Mi política de privacidad salió en su día de un generador. Describía un formulario de contacto que nunca existió y un análisis del comportamiento que nunca funcionó, y no decía ni una palabra de lo que pasa de verdad.
Así que reescribí la parte sobre el funcionamiento:
- Registros del servidor: qué campos deja una petición en el registro y cuánto tiempo se conservan.
- Protección frente a ataques: que fail2ban bloquea temporalmente las direcciones tras varios intentos fallidos.
- Estadísticas de visitas: que cuento visitantes sin rastreadores ni cookies, solo de forma agregada a partir de los registros.
- Lo que no hay: ni fuentes externas, ni scripts de terceros, ni cookies de publicidad o análisis.
Lo que queda: una política de privacidad hecha de plantillas es errónea justo cuando importa. Tiene que describir lo que hace de verdad el propio servidor, y eso solo lo sabe quien lo administra.
🤖 El aviso sobre la IA y unas citas que nunca existieron
Muchos de mis textos e imágenes se crean con ayuda de la IA; un aviso propio en el blog lo indica. Pero había una cosa que no era del todo honesta: decía que las capturas de pantalla no estaban editadas, y muchas tienen partes tapadas. Ya está corregido.
Más grave fue un hallazgo en un artículo antiguo: tres frases presentadas como cita de una persona conocida que nunca las dijo así. Un modelo de lenguaje las había «completado» de forma verosímil. Ahora el artículo contiene una única cita verificable con su fuente, y mi propia interpretación está marcada como tal.
Lo que queda: la IA escribe citas creíbles. Cada cita necesita una fuente que uno haya leído por sí mismo; si no, no es una cita.
🏷️ El aviso legal: obligatorio, pero no en Google
Una web alemana necesita un aviso legal (§ 5 DDG), además del nombre de quien responde de los contenidos. Tiene que ser fácil de encontrar desde la web, pero no tiene por qué aparecer en todos los buscadores. El mío contiene mi dirección postal, y no quiero que salga como resultado al buscar mi nombre.
Por eso el aviso legal y la política de privacidad llevan noindex en los cuatro idiomas: los buscadores no los indexan, pero los visitantes llegan a ellos por el enlace del pie de cada página. Desde hace poco, el pie de página incluye también una frase de exención de responsabilidad, en el idioma del visitante y enlazada con la sección correspondiente del aviso legal: todo es mi opinión personal, nada de ello es asesoramiento jurídico, profesional ni de seguridad, y quien adopte algo debería probarlo antes.
Y luego estaba el aviso legal en modo oscuro. Venía de un bloque HTML ya hecho a partir de una plantilla clara, con los colores fijados: texto gris oscuro y un recuadro gris claro alrededor de la huella PGP. Sobre el fondo oscuro del blog apenas se leía. La solución fue sencilla: quitar los colores fijos para que se apliquen los del tema.
Lo que queda: la información obligatoria tiene que estar accesible, no ser encontrable. Y el HTML copiado trae consigo su diseño, también donde no encaja.
Una segunda pasada. Después de escribir este artículo volví a comparar todo el blog con él, y valió la pena. El plugin de traducción ponía durante un año una cookie de idioma que mi política de privacidad no mencionaba; ahora está desactivada. Algunas capturas de pantalla aún mostraban direcciones IP públicas, el nombre de pila de una familiar y un número de serie de servidor, y un registro aún contenía una dirección IP. Todo eso está tapado o sustituido. Ocho imágenes sin usar salieron de la biblioteca de medios, también esa portada de libro, y reescribí las descripciones de imagen poco claras.
🎯 Las lecciones
- Solo imágenes propias o con una licencia clara: también las imágenes de IA pueden vulnerar derechos ajenos.
- Revisar metadatos y nombres de archivo: lo ideal es que se haga automáticamente al subir.
- Alojar uno mismo el contenido ajeno o enlazarlo: cada elemento incrustado envía datos de los visitantes a otros.
- Ajustar la política de privacidad y el aviso sobre la IA a la realidad: las plantillas y los avisos maquillados son vulnerables.
- Comprobar uno mismo cada cita: un modelo de lenguaje las inventa de forma convincente.
