OpenAI rilascia Privacy Filter, un modello open-weight per l'oscuramento dei dati personali con licenza Apache 2.0

Un modello discriminativo da un'azienda nota per quelli generativi

OpenAI ha rilasciato Privacy Filter il 22 aprile 2026 come modello open-weight per individuare e oscurare le informazioni personali identificabili nel testo. È disponibile con licenza Apache 2.0 su Hugging Face e GitHub, utilizzabile liberamente per sperimentazione, personalizzazione e implementazione commerciale.

L'aspetto degno di nota è la tipologia di modello. OpenAI descrive un modello bidirezionale di classificazione a livello di token con decodifica di span. Parte da un checkpoint pre-addestrato autoregressivo, poi sostituisce la testa di modellazione linguistica con una testa di classificazione a livello di token ed è post-addestrato con un obiettivo di classificazione supervisionata. Invece di generare testo token per token, etichetta ogni token in un unico passaggio in avanti e decodifica span coerenti con una procedura di Viterbi vincolata.

Si tratta di un prodotto di natura diversa rispetto ai sistemi generativi che OpenAI rilascia di solito. Privacy Filter non scrive nulla: etichetta porzioni di testo in otto categorie — private_person, private_address, private_email, private_phone, private_url, private_date, account_number e secret — usando i tag di span BIOES per ottenere confini di mascheramento più precisi.

I numeri effettivamente riportati da OpenAI

Il modello rilasciato ha 1,5 miliardi di parametri totali con 50 milioni di parametri attivi, supporta un contesto fino a 128.000 token ed espone punti operativi configurabili così gli sviluppatori possono bilanciare recall e precisione. Quella cifra di parametri attivi è ciò che rende plausibile la dichiarazione di elaborazione a passaggio singolo e ad alto throughput per l'esecuzione locale.

Sul benchmark PII-Masking-300k, OpenAI riporta un F1 del 96% (94,04% di precisione, 98,04% di recall). Su una versione corretta del benchmark, che tiene conto di problemi di annotazione che il team dichiara di aver individuato durante la revisione, l'F1 sale al 97,43% (96,79% di precisione, 98,08% di recall). La correzione va letta con attenzione: si tratta di OpenAI che valuta i propri risultati rispetto a una propria ri-annotazione di un dataset pubblico, quindi il dato principale dipende dall'accettazione di quelle correzioni.

Sull'adattamento, OpenAI riporta che un fine-tuning su una piccola quantità di dati ha portato l'F1 dal 54% al 96% su un benchmark di adattamento di dominio, arrivando quasi a saturazione. Il punto di partenza del 54% indica che i domini fuori distribuzione richiedono un tuning, non che il modello base si trasferisca in modo pulito ovunque.

Tenere i dati non filtrati sulla macchina

Il design è incentrato sull'esecuzione locale. L'argomentazione di OpenAI è che i dati non ancora filtrati possano restare sul dispositivo invece di essere inviati a un server per la de-identificazione: un modello più piccolo significa che il passaggio di oscuramento stesso non diventa un nuovo punto di esfiltrazione.

OpenAI si posiziona rispetto agli strumenti tradizionali per i dati personali, che si basano su regole deterministiche per formati come numeri di telefono e indirizzi email. Queste regole funzionano per casi limitati ma non colgono i riferimenti più sottili. La proposta qui è la consapevolezza del contesto: il prior linguistico permette al modello di distinguere le informazioni da preservare perché pubbliche da quelle relative a un individuo privato che dovrebbero essere mascherate.

OpenAI dichiara inoltre di utilizzare internamente una versione con fine-tuning nei propri flussi di lavoro orientati alla tutela della privacy, e inserisce il rilascio all'interno di un obiettivo dichiarato: "Il nostro obiettivo è che i modelli imparino a conoscere il mondo, non gli individui privati."

Cosa OpenAI dichiara esplicitamente che non è

La sezione sui limiti è insolitamente diretta. OpenAI dichiara che Privacy Filter non è uno strumento di anonimizzazione, non è una certificazione di conformità e non sostituisce una revisione delle policy in contesti ad alto rischio. È una componente di un sistema più ampio basato sul principio di privacy by design.

Il comportamento riflette la taxonomy su cui è stato addestrato, e OpenAI avvisa che organizzazioni diverse vorranno politiche di mascheramento diverse, che le prestazioni variano tra lingue, alfabeti e convenzioni di denominazione, e che il modello può oscurare troppo o troppo poco quando il contesto è limitato, specialmente in sequenze brevi. Per i flussi di lavoro legali, medici e finanziari, dichiara che la revisione umana e la valutazione specifica per dominio restano importanti.

Questa impostazione è una dichiarazione di responsabilità. Un team che considera l'output di Privacy Filter come una de-identificazione certificata lo sta usando contro l'intento dichiarato da OpenAI.

L'implicazione: gli strumenti per la privacy ottengono una base ispezionabile e personalizzabile con fine-tuning

Per i team che costruiscono pipeline di addestramento, indicizzazione, logging e revisione, il cambiamento concreto è che ora esiste un robusto redattore di dati personali sensibile al contesto, con pesi aperti, licenza Apache 2.0 e controlli di decodifica documentati — qualcosa che puoi eseguire nel tuo ambiente, sottoporre a benchmark e personalizzare con fine-tuning secondo la tua taxonomy.

Il lavoro pratico non è adottare il modello, ma validarlo. Poiché i solidi numeri di benchmark si basano sulle correzioni di annotazione fatte da OpenAI stessa, e poiché il salto dal 54% al 96% mostra una forte sensibilità al dominio, qualsiasi implementazione seria richiede la costruzione di un set di valutazione specifico per dominio e la calibrazione dei punti operativi prima di fidarsi dei mascheramenti. Privacy Filter riduce il costo di partenza; non elimina l'obbligo di verificare cosa non riesce a cogliere sui tuoi dati.