Overcoming Language Barriers: Multilingual Analysis of the 2023 Swiss Privacy Law's Impact

Resumen Técnico: Superando las barreras lingüísticas: Análisis multilingüe del impacto de la ley de privacidad suiza de 2023

Planteamiento del problema
Si bien la investigación empírica ha medido extensamente el impacto real de las regulaciones de privacidad en la UE (RGPD) y en EE. UU. (California), existe una notable escasez de evidencia respecto a la implementación de las leyes de privacidad en las más de 140 otras jurisdicciones que las han promulgado. Una barrera principal para esta investigación es el desafío de medición que plantea el entorno multilingüe, donde los métodos tradicionales de análisis automatizado suelen estar sesgados hacia el inglés o requieren una re-anotación exhaustiva para otros idiomas. Este artículo aborda esta brecha evaluando la revisión de 2023 de la Ley Federal sobre la Protección de Datos (LPD) de Suiza. La revisión alinea la ley suiza estrechamente con el RGPD, pero difiere notablemente en que no exige la mención explícita de los derechos de los interesados en las políticas de privacidad. Esta distinción ofrece una oportunidad única para determinar si los sitios web suizos extendieron voluntariamente las divulgaciones más allá de las obligaciones nacionales (un potencial "Efecto Bruselas") y para analizar cómo los cambios regulatorios impactan el contenido de las políticas en un entorno multilingüe.

Metodología
Para superar las barreras lingüísticas sin depender de la traducción, los autores desarrollaron un novedoso flujo de trabajo (pipeline) basado en Modelos de Lenguaje de Gran Escala (LLM) diseñado para la inferencia de documentos a nivel multilingüe.

• Diseño del flujo de trabajo: El sistema utiliza modelos de OpenAI (específicamente GPT-5) para procesar políticas de privacidad en alemán, francés, italiano e inglés simultáneamente. En lugar de traducir los documentos o utilizar clasificadores separados para cada idioma, el flujo de trabajo emite una única solicitud de inferencia por política. El modelo es instruido con un libro de códigos estructurado que contiene nueve dimensiones legalmente relevantes (por ejemplo, identidad del controlador, finalidades del tratamiento, derechos de los interesados) y se le requiere devolver un objeto JSON que cumpla con un esquema predefinido. Este enfoque impone una salida estructurada, evitando alucinaciones y garantizando la consistencia entre idiomas.
• Recolección de datos: Los autores extrajeron (scraped) políticas de privacidad de aproximadamente 35,000 sitios web con orientación suiza y de la UE en dos momentos temporales: agosto de 2023 (pre-revisión) y octubre de 2023 (post-revisión). El conjunto de datos fue filtrado para incluir solo políticas válidas en los cuatro idiomas objetivo.
• Evaluación comparativa (Benchmarking): Para validar el flujo de trabajo, los autores construyeron un conjunto de datos de referencia anotado por expertos de 120 políticas (30 por idioma). Las anotaciones fueron realizadas por expertos legales e ingenieros de privacidad utilizando un libro de códigos refinado iterativamente. El rendimiento del flujo de trabajo se evaluó frente a esta verdad de terreno (ground truth) anotada por humanos.
• Análisis estadístico: El estudio emplea un modelo de diferencia en diferencias (DiD) sobre un panel equilibrado de sitios web observados en ambos periodos. Esto aísla los cambios temporales en las tasas de divulgación para los sitios web orientados a Suiza (grupos CH y CH & EU) en relación con un grupo de control cuasi-experimental de sitios web de la UE, controlando la popularidad del sitio web y el idioma.
• Detección de generadores: El estudio también investiga el papel de los generadores de políticas automatizados. Una consulta exploratoria de LLM identificó el uso potencial de generadores, que posteriormente se refinó en un conjunto conservador de patrones de Expresiones Regulares (RegEx) para detectar reconocimientos explícitos de herramientas de generación en el texto de la política.

Resultados clave

• Rendimiento del flujo de trabajo: El flujo de trabajo multilingüe alcanzó puntuaciones F1 superiores a 0.90 para la mayoría de los pares de idiomas y las divulgaciones legalmente relevantes (por ejemplo, derechos de acceso, rectificación, supresión y portabilidad). El modelo demostró una alta fiabilidad en alemán, francés, italiano e inglés sin necesidad de traducción, aunque el rendimiento varió ligeramente para la "decisión automatizada" debido a la baja prevalencia de casos positivos en el benchmark.
• Impacto de la revisión de 2023: El análisis revela incrementos significativos tanto en las divulgaciones obligatorias como en las voluntarias entre los sitios web orientados a Suiza tras la revisión de la ley. Específicamente, las tasas de divulgación de los derechos de los interesados (como la portabilidad y el derecho a presentar una reclamación) aumentaron entre 4 y 6 puntos porcentuales en los grupos suizos, mientras que el grupo de control de la UE se mantuvo estable. Esto sugiere que los sitios web suizos adoptaron voluntariamente estándares de transparencia de nivel RGPD a pesar de que la LPD revisada no los exige explícitamente.
• Papel de los generadores de políticas: El estudio encontró que el 18.2% de las políticas orientadas a Suiza en octubre de 2023 fueron generadas por herramientas automatizadas. El uso de estos generadores está correlacionado con tasas de divulgación que son hasta 15 puntos porcentuales más altas que las de las políticas no generadas. Los autores hipotetizan que estas herramientas, a menudo utilizadas por empresas más pequeñas para evitar costos legales, estandarizan y mejoran eficazmente las divulgaciones de transparencia.

Contribuciones clave

1. Evidencia empírica: El artículo proporciona evidencia empírica a gran escala de los efectos reales de la reforma de la ley de privacidad suiza de 2023, demostrando un cambio mensurable en el contenido de las políticas y sugiriendo un "Efecto Bruselas" donde los estándares de la UE influyen en jurisdicciones no pertenecientes a la UE.
2. Metodología multilingüe: Los autores desarrollaron, validaron y publicaron un novedoso flujo de trabajo basado en LLM para evaluar políticas de privacidad en cuatro idiomas sin traducción. Esto viene acompañado de un conjunto de datos de referencia, anotado por expertos y de acceso público, que aborda la falta de recursos multilingües en la investigación de la privacidad.
3. Análisis de generadores: El estudio informa sobre la proliferación de generadores de políticas automatizados en un entorno multilingüe, proporcionando evidencia de que su uso está asociado con tasas de divulgación significativamente más altas, desafiando el escepticismo previo sobre su eficacia.

Significancia y afirmaciones
El artículo afirma ofrecer un marco robusto para evaluar el cumplimiento de las leyes de privacidad en entornos multilingües, superando el "sesgo anglófono" de las herramientas de análisis automatizado anteriores. Al demostrar que los cambios regulatorios pueden impulsar la alineación voluntaria con los estándares internacionales (RGPD) incluso cuando no son estrictamente obligatorios, el trabajo destaca la naturaleza dinámica del cumplimiento de la privacidad global. Además, los hallazgos sugieren que las tecnologías de redacción automatizada pueden desempeñar un papel constructivo al mejorar la transparencia para las organizaciones que carecen de acceso a asesoría legal. Los autores mantienen una postura modesta, señalando que, si bien los resultados son consistentes con un Efecto Bruselas, no constituyen una prueba causal directa, y que el estudio se centra en las divulgaciones observadas más que en la validez legal subyacente o la ejecución de las políticas.