OpenAI lança o Privacy Filter, um modelo open-weight de redação de dados pessoais sob licença Apache 2.0

Um modelo discriminativo de uma empresa conhecida pelos seus modelos generativos

A OpenAI lançou o Privacy Filter a 22 de abril de 2026, um modelo open-weight para detetar e ocultar informação pessoalmente identificável em texto. Está disponível sob licença Apache 2.0 no Hugging Face e no GitHub, autorizado para experimentação, personalização e implementação comercial.

O aspeto mais notável é o tipo de modelo que é. A OpenAI descreve-o como um modelo bidirecional de classificação de tokens com decodificação de segmentos. Parte de um checkpoint pré-treinado autorregressivo, substitui depois a cabeça de modelação de linguagem por uma cabeça de classificação de tokens e é pós-treinado com um objetivo de classificação supervisionada. Em vez de gerar texto token a token, atribui uma etiqueta a cada token numa única passagem direta e decodifica segmentos coerentes através de um procedimento de Viterbi restrito.

Trata-se de um tipo de produto diferente dos sistemas generativos que a OpenAI costuma lançar. O Privacy Filter não escreve nada; identifica segmentos em oito categorias — private_person, private_address, private_email, private_phone, private_url, private_date, account_number e secret — usando etiquetas de segmento BIOES para produzir fronteiras de mascaramento mais precisas.

Os números que a OpenAI de facto reporta

O modelo lançado tem 1,5 mil milhões de parâmetros totais, com 50 milhões de parâmetros ativos, suporta até 128 000 tokens de contexto e expõe pontos de operação configuráveis para que os desenvolvedores possam equilibrar recall e precisão. É esse número de parâmetros ativos que torna plausível a afirmação de execução local de passagem única e alto rendimento.

No benchmark PII-Masking-300k, a OpenAI reporta um F1 de 96% (94,04% de precisão, 98,04% de recall). Numa versão corrigida do benchmark, que tem em conta problemas de anotação que a equipa afirma ter identificado durante a revisão, o F1 sobe para 97,43% (96,79% de precisão, 98,08% de recall). A correção merece uma leitura atenta: trata-se da OpenAI a avaliar face à sua própria reanotação de um conjunto de dados público, pelo que o número de destaque depende de se aceitarem essas correções.

Quanto à adaptação, a OpenAI reporta que um ajuste fino com uma pequena quantidade de dados fez o F1 subir de 54% para 96% num benchmark de adaptação de domínio, aproximando-se da saturação. O ponto de partida de 54% indica que domínios fora da distribuição original precisam de ajuste, não que o modelo base transfere de forma limpa para qualquer contexto.

Manter os dados não filtrados na máquina

O design centra-se na execução local. O argumento da OpenAI é que os dados ainda não filtrados podem permanecer no dispositivo em vez de serem enviados para um servidor para desidentificação — um modelo mais pequeno significa que o próprio passo de redação não se torna um novo ponto de exfiltração.

A OpenAI posiciona esta abordagem em contraste com as ferramentas tradicionais de deteção de dados pessoais, que dependem de regras determinísticas para formatos como números de telefone e endereços de email. Essas regras funcionam em casos restritos, mas falham em referências mais subtis. A proposta aqui é a consciência de contexto: o conhecimento prévio de linguagem permite ao modelo distinguir informação que deve ser preservada por ser pública de informação relativa a um indivíduo privado que deve ser mascarada.

A OpenAI afirma ainda que usa internamente uma versão ajustada nos seus próprios fluxos de trabalho de preservação de privacidade, e enquadra o lançamento num objetivo declarado: "O nosso objetivo é que os modelos aprendam sobre o mundo, não sobre indivíduos privados."

O que a OpenAI diz explicitamente que não é

A secção de limitações é inusitadamente direta. A OpenAI afirma que o Privacy Filter não é uma ferramenta de anonimização, não é uma certificação de conformidade e não substitui a revisão de políticas em contextos de risco elevado. É um componente dentro de um sistema de privacidade desde a conceção.

O comportamento do modelo reflete a taxonomia com que foi treinado, e a OpenAI adverte que diferentes organizações vão querer políticas de mascaramento diferentes, que o desempenho varia entre línguas, sistemas de escrita e convenções de nomenclatura, e que o modelo pode mascarar em excesso ou em defeito quando o contexto é limitado, sobretudo em sequências curtas. Para fluxos de trabalho jurídicos, médicos e financeiros, afirma que a revisão humana e a avaliação específica do domínio continuam a ser importantes.

Este enquadramento é, no fundo, uma afirmação sobre responsabilização. Uma equipa que trate o resultado do Privacy Filter como desidentificação certificada está a usá-lo contra a intenção declarada pela OpenAI.

A implicação: as ferramentas de privacidade ganham uma base inspecionável e ajustável

Para equipas que constroem pipelines de treino, indexação, registo e revisão, a mudança concreta é que já existe um redator de dados pessoais robusto e sensível ao contexto, com pesos abertos, licença Apache 2.0 e controlos de decodificação documentados — algo que se pode executar no próprio ambiente, avaliar por benchmark e ajustar à taxonomia própria.

O trabalho prático não é adotar o modelo, mas validá-lo. Como os fortes resultados de benchmark se apoiam nas próprias correções de anotação da OpenAI, e como o salto de 54% para 96% revela sensibilidade ao domínio, qualquer implementação séria exige construir um conjunto de avaliação específico do domínio e ajustar os pontos de operação antes de confiar nas máscaras. O Privacy Filter reduz o custo de começar; não elimina a obrigação de verificar o que falha nos seus próprios dados.