OpenAI veröffentlicht Privacy Filter für lokale PII-Redaktion

OpenAI hat am 22. April 2026 Privacy Filter vorgestellt, ein Open-Weight-Modell für das Erkennen und Redigieren personenbezogener Daten in Texten. Klassische PII-Scanner suchen nach festen Mustern: Telefonnummern, E-Mail-Adressen, Ausweisformate. Privacy Filter zielt auf den schwierigeren Teil, nämlich sensible Angaben in freiem, unstrukturiertem Text.

Genau dort entstehen in Agenten-Workflows viele Risiken. Personenbezogene Daten landen in Notizen, Logs, Tickets, Gesprächsverläufen und frei geschriebenen Support-Anfragen. Wer diese Daten später speichert, indiziert oder an ein weiteres Tool weitergibt, braucht eine Schutzschicht vor dem nächsten Verarbeitungsschritt.

Was freigegeben wird

Privacy Filter ist ein kleines Modell für kontextbewusste PII-Erkennung mit hohem Durchsatz, vorgesehen für Training-, Indexing-, Logging- und Review-Pipelines.¹ Das trifft die Datenpfade, in denen sensible Informationen in Agenten-Systemen nebenbei auftauchen, ohne vorher in einem Formular markiert worden zu sein. Eine feinabgestimmte Variante läuft dem Anbieter zufolge bereits intern in datenschutzschonenden Workflows. Das zeigt die vorgesehene Einsatzart, ersetzt aber keinen unabhängigen Wirksamkeitsnachweis.

Die Bereitstellungsform erweitert den Spielraum. Privacy Filter kommt als Open-Weight-Modell statt ausschließlich als API-Feature, und damit lässt es sich in einer lokalen Pipeline oder einer abgeschotteten Umgebung betreiben, sofern Infrastruktur und rechtliche Voraussetzungen stimmen. Der Text muss vor der Redaktion keinen externen Dienst passieren.

Vor Speicher und Tool-Aufruf redigieren

PII entsteht selten an einer einzigen Stelle. Ein Browser-Tool übernimmt eine Adresse aus einer Seite, ein Support-Export enthält Namen und Vertragsdetails, und das Langzeitgedächtnis sammelt Gesprächskontext über Wochen.

Ein brauchbarer Schutzpfad setzt deshalb früh an: Eingabe erfassen, sensible Stellen markieren oder ersetzen, Ergebnis protokollieren, erst dann speichern oder weitergeben. So bleibt nachvollziehbar, was die Redaktion verändert hat und welcher Rohtext nie in den Vektorspeicher, das Review-Set oder den nächsten Tool-Aufruf gelangen sollte.

Für RAG-Systeme ist das besonders relevant. Interne Dokumente, Tickets und Chat-Protokolle enthalten häufig Kombinationen aus Angaben, die einzeln harmlos wirken, zusammen aber eine Person erkennbar machen. Bei einer E-Mail-Adresse kann eine Regex-Regel oft greifen. Bei der Beschreibung einer familiären Beziehung, eines Orts und einer seltenen beruflichen Rolle wird es deutlich schwieriger.

Privacy Filter kann hier als vorgeschaltete Schicht dienen. Ob es im konkreten Bestand zuverlässig genug arbeitet, muss das zuständige Security- oder Plattformteam mit eigenen Beispielen prüfen. Falsch positive Treffer beschädigen Inhalte; übersehene Angaben beschädigen Vertrauen und können Compliance-Folgen haben.

Der Benchmark beantwortet nicht jede Betriebsfrage

Auf dem Benchmark PII-Masking-300k soll die veröffentlichte Version nach einer vom Anbieter korrigierten Auswertung den Stand der Technik erreichen.¹ Diese Einschränkung gehört zum Claim. Sie macht das Ergebnis nicht wertlos, ersetzt aber keine eigene Evaluation auf den Daten, die tatsächlich verarbeitet werden.

Für die Einführung zählen drei Prüfungen stärker als eine Platzierung:

• Wie viele falsche Treffer entstehen in echten Tickets und Notizen?
• Erkennt das Modell zusammengesetzte Hinweise in langen Texten?
• Bleibt die Pipeline schnell genug, ohne Daten ungeschützt weiterzureichen?

Ein kleiner Testbestand mit absichtlich eingefügten Adressen, Rollenbezeichnungen und indirekten Personenhinweisen liefert dafür mehr als jedes Benchmark-Logo. Dazu gehört ein Review-Pfad für die Fälle, in denen die Redaktion unsicher ist.

Eine nützliche Schutzschicht, keine Abkürzung

Der Markt für Privacy-Tools bestand lange aus regelbasierten Filtern, proprietären APIs und schwer anpassbaren Enterprise-Produkten. Ein kleines Open-Weight-Modell erweitert den Handlungsspielraum: Es bringt PII-Redaktion näher an die eigene Verarbeitung und lässt sich, wenn Lizenz und Betrieb es erlauben, an den eigenen Datenpfad anpassen.

Agenten werden im Unternehmen nicht allein an Reasoning gemessen. Sie müssen mit Logs, Suchindizes und Speicher sauber umgehen.

Privacy Filter ist deshalb keine Modellshow, sondern Infrastruktur. Die Mindestregel lautet: Redaktion vor Speicher, Suche und Review, und zwar erst nach einer Prüfung auf eigenen Daten. An genau diesen Stellen richtet ein unredigierter Text später erheblichen Schaden an.

Footnotes

1. OpenAI, „Introducing OpenAI Privacy Filter“, 22. April 2026. https://openai.com/index/introducing-openai-privacy-filter/ ↩ ↩²