OpenAI lança o Privacy Filter, um modelo open-weight de redação de PII sob a licença Apache 2.0

Um modelo discriminativo de uma empresa conhecida pelos generativos

A OpenAI lançou o Privacy Filter em 22 de abril de 2026 como um modelo open-weight para detectar e redigir informações pessoalmente identificáveis em textos. Ele está disponível sob a licença Apache 2.0 no Hugging Face e no GitHub, liberado para experimentação, customização e uso comercial.

O ponto que chama atenção é o tipo de modelo. A OpenAI descreve um modelo bidirecional de classificação de tokens com decodificação por trechos (span decoding). Ele parte de um checkpoint pré-treinado autoregressivo, substitui a cabeça de modelagem de linguagem por uma cabeça de classificação de tokens e passa por um pós-treinamento com um objetivo supervisionado de classificação. Em vez de gerar texto token por token, ele rotula cada token em uma única passagem direta e decodifica trechos coerentes com um procedimento Viterbi restrito.

Isso é um formato de produto bem diferente dos sistemas generativos que a OpenAI costuma lançar. O Privacy Filter não escreve nada; ele marca trechos em oito categorias — private_person, private_address, private_email, private_phone, private_url, private_date, account_number e secret — usando tags de span BIOES para gerar limites de mascaramento mais precisos.

Os números que a OpenAI realmente divulga

O modelo lançado tem 1,5B de parâmetros totais com 50M de parâmetros ativos, suporta até 128.000 tokens de contexto e expõe pontos operacionais configuráveis para que desenvolvedores possam equilibrar recall e precisão. Esse número de parâmetros ativos é o que dá credibilidade à afirmação de execução em passagem única e alto throughput em ambiente local.

No benchmark PII-Masking-300k, a OpenAI reporta um F1 de 96% (94,04% de precisão, 98,04% de recall). Numa versão corrigida do benchmark, que leva em conta problemas de anotação que a equipe diz ter identificado durante a revisão, o F1 sobe para 97,43% (96,79% de precisão, 98,08% de recall). Vale ler essa correção com atenção: é a OpenAI avaliando o modelo contra sua própria reanotação de um dataset público, então o número de destaque depende de aceitar essas correções.

Sobre adaptação, a OpenAI reporta que o fine-tuning com uma pequena quantidade de dados elevou o F1 de 54% para 96% num benchmark de adaptação de domínio, chegando perto da saturação. O ponto de partida de 54% mostra que domínios fora da distribuição original precisam de ajuste — não que o modelo base transfere bem para qualquer contexto.

Mantendo dados não filtrados na máquina

O design é centrado na execução local. O argumento da OpenAI é que dados ainda não filtrados podem permanecer no dispositivo em vez de serem enviados a um servidor para desidentificação — um modelo menor significa que a própria etapa de redação não se torna um novo ponto de exfiltração.

A OpenAI posiciona isso frente às ferramentas tradicionais de PII, que dependem de regras determinísticas para formatos como números de telefone e endereços de e-mail. Essas regras funcionam para casos específicos, mas deixam passar referências mais sutis. A proposta aqui é consciência de contexto: o conhecimento prévio da linguagem permite que o modelo diferencie informações que devem ser preservadas por serem públicas de informações que se referem a um indivíduo privado e devem ser mascaradas.

A OpenAI também afirma que usa internamente uma versão com fine-tuning em seus próprios fluxos de preservação de privacidade, e enquadra o lançamento dentro de um objetivo declarado: "Nosso objetivo é que os modelos aprendam sobre o mundo, não sobre indivíduos privados."

O que a OpenAI diz explicitamente que o modelo não é

A seção de limitações é incomumente direta. A OpenAI afirma que o Privacy Filter não é uma ferramenta de anonimização, não é uma certificação de conformidade e não substitui a revisão de políticas em contextos de alto risco. É um componente dentro de um sistema de privacidade por design.

O comportamento do modelo reflete a taxonomia usada no treinamento, e a OpenAI alerta que organizações diferentes vão querer políticas de mascaramento diferentes, que o desempenho varia entre idiomas, escritas e convenções de nomenclatura, e que o modelo pode redigir demais ou de menos quando o contexto é limitado, especialmente em sequências curtas. Para fluxos jurídicos, médicos e financeiros, a empresa afirma que a revisão humana e a avaliação específica do domínio continuam sendo importantes.

Esse enquadramento é, na prática, uma declaração sobre responsabilidade. Uma equipe que trata a saída do Privacy Filter como desidentificação certificada está usando o modelo contra a intenção declarada pela própria OpenAI.

A implicação: ferramentas de privacidade ganham uma base inspecionável e ajustável

Para equipes que constroem pipelines de treinamento, indexação, logging e revisão, a mudança concreta é que agora existe um redator de PII robusto e sensível ao contexto, com pesos abertos, licença Apache 2.0 e controles de decodificação documentados — algo que você pode rodar no seu próprio ambiente, testar e ajustar para a sua taxonomia.

O trabalho de fato não é adotar o modelo, mas validá-lo. Como os números fortes de benchmark se apoiam nas próprias correções de anotação da OpenAI, e como o salto de 54% para 96% mostra sensibilidade ao domínio, qualquer implantação séria exige montar um conjunto de avaliação específico do domínio e ajustar os pontos operacionais antes de confiar nos mascaramentos. O Privacy Filter reduz o custo de começar; ele não elimina a obrigação de verificar o que passa despercebido nos seus dados.