BV-PRGA: la porta de privadesa, per dins

Cada prompt que surt cap a un model extern és una exportació de dades. La majoria de vegades, exporta més del que la tasca necessita: el nom del client quan n'hi havia prou amb un client, l'IBAN complet quan el model només havia de redactar un recordatori, una clau d'API enganxada per accident. BV-PRGA és la porta que es col·loca abans d'aquesta sortida — com a extensió de navegador per a persones, com a gateway autoallotjat per a equips — i garanteix una propietat simple d'enunciar: el que és sensible es queda al teu sistema; a fora només viatja el necessari per resoldre la tasca.

El viatge d'anada i tornada, formalitzat

El cor de BV-PRGA és un emmascarament reversible la clau del qual mai no surt. A l'anada, la petició $x$ es transforma en un parell

on $\tilde{x}$ és la versió protegida que viatja al proveïdor i $\kappa$ és el mapa de correspondències — quin marcador substitueix quin valor — que es queda al teu entorn. Cada dada detectada se substitueix per un marcador estable del tipus [BV:PERSON:a1b2c3], [BV:IBAN:2e5d8c]: consistent dins de la petició (el model pot raonar sobre «la mateixa persona») i opac fora d'ella. A la tornada, la resposta $\tilde{r}$ del proveïdor es reconstrueix localment:

La propietat clau és on viu cada peça: el proveïdor extern només veu $\tilde{x}$ i produeix $\tilde{r}$; el parell $(\kappa, r)$ no abandona la teva infraestructura en cap punt del cicle. La reversibilitat és local per construcció, no per promesa.

Secrets: bloquejar, no pseudonimitzar

No tot el que és sensible admet el mateix tractament. Un nom o un IBAN pseudonimitzats continuen permetent resoldre la tasca; una clau d'API no pinta res en un prompt sota cap forma — ni en clar ni emmascarada, perquè un marcador reversible d'un secret continua sent un secret amb un pas d'indirecció. Per això la política distingeix dos verbs:

• Pseudonimitzar el que la tasca necessita referenciar: persones, identificadors, comptes, correus.
• Bloquejar el que mai no hauria de viatjar: credencials, claus, tokens de sessió. La petició s'atura amb una decisió explícita — DENY — i el comptador de la porta ho registra: què es va pseudonimitzar, què es va bloquejar i per què la petició no va sortir.

Fail-closed: la porta falla tancada

La detecció és un problema d'etiquetatge de seqüències, i cap detector és perfecte. La pregunta de disseny honesta no és «quant encerta?» sinó «què passa quan dubta?». A BV-PRGA la resposta és estructural: davant del dubte, la porta es tanca. Si l'anàlisi d'una petició no es pot completar amb confiança — el classificador no convergeix, el gateway no respon, el format desborda l'esperat — el valor per defecte és no enviar. Formalment, la política és un reticle on DENY domina: cap fallada d'un component pot degradar silenciosament cap a «enviar en clar».

Aquest biaix té un preu (de vegades es bloqueja de més) i és un preu que triem de gust: el cost d'un fals positiu és un reintent; el d'un fals negatiu és una exportació de dades que ja no es pot desfer.

El que aquesta porta no és

L'honestedat forma part de l'especificació. BV-PRGA redueix la superfície d'exposició i de compliment — menys dades personals viatjant a tercers, menys còpies fora del teu perímetre — però no és un substitut del teu marc legal de protecció de dades: les bases jurídiques, els contractes d'encarregat i les avaluacions d'impacte continuen sent teus. La porta et dona un fet tècnic verificable sobre el qual recolzar aquest marc: el que és sensible no va sortir.

On se situa en la literatura

La detecció de PII com a etiquetatge de seqüències té un llinatge llarg, i ve de la clínica: el shared task i2b2/UTHealth de 2014 va fixar el motlle experimental — corpus anotat, precision/recall, sistemes híbrids — i el seu resultat clau: els millors sistemes van rondar F1 0,90, i cap no va assolir la detecció perfecta (Stubbs et al., 2015). Aquella tecnologia es va industrialitzar en eines com Presidio, la documentació de la qual adverteix que no hi ha garantia de trobar tota la informació sensible (Microsoft / Data Privacy Stack community, 2026). La crítica acadèmica va arribar després: etiquetar entitats no és mesurar risc de divulgació (Lison et al., 2021), i el benchmark TAB va convertir aquesta crítica en programa d'avaluació, amb mètriques separades per a protecció i utilitat (Pilán et al., 2022). BV-PRGA s'hi insereix sense pretendre un detector millor: el que canvia és la semàntica de l'error — si el detector dubta, el text no surt. Es paga en utilitat, que és la moneda barata segons la mateixa asimetria que TAB formalitza.

L'amenaça que ho motiva tot està quantificada. El que entra en un model pot sortir-ne: l'extracció verbatim de dades d'entrenament està demostrada (Carlini et al., 2021) i la memorització creix amb l'escala del model — «likely to get worse», en paraules dels seus autors (Carlini et al., 2022). I les sortides fàcils, les tanca la mateixa literatura: demanar-li discreció al model no funciona — GPT-4 revela informació en contextos on un humà no ho faria un 39 % de les vegades, i la fuita persisteix amb privacy prompts i cadena de raonament (Mireshghallah et al., 2024) — i treure identificadors tampoc no basta, perquè els LLM infereixen atributs personals del text restant amb fins a un 85 % d'encert (Staab et al., 2024). La conclusió compartida és estructural: la protecció ha de passar abans del proveïdor, dins de l'entorn del client.

Els gateways reversibles ja existeixen, i cal citar-los. Hide and Seek (HaS) proposa explícitament el patró: anonimitzar el prompt localment, consultar el LLM remot, des-anonimitzar la resposta localment (Chen et al., 2023); PAPILLON n'és la variant moderna per conjunt local/remot, amb el compromís quantificat — 85,5 % de qualitat mantinguda amb la fuita restringida al 7,5 % (Siyan et al., 2025). Davant de tots dos, la diferència de BV-PRGA és triple: reconstrucció determinista $r=\kappa^{-1}(\tilde{r})$ per mapa de marcadors estables — no un segon model local que reintrodueix error probabilístic a la tornada —, la distinció pseudonimitzar-vs-bloquejar — un secret no se substitueix: es denega — i la semàntica fail-closed, absent en ambdós precedents, que tracten la fuita residual com a mètrica a optimitzar i no com a esdeveniment a impedir. La privadesa diferencial per a text és el pol metodològic oposat (Feyisetan et al., 2020): garantia formal $\epsilon$ contra adversaris arbitraris, al preu de la fidelitat — el mateix camp admet que els seus mecanismes de sanitització «still provide low utility» (Yue et al., 2021) — i de la reversibilitat exacta, que la DP exclou per construcció.

L'àncora regulatòria tanca el cercle amb una simetria notable. La definició de pseudonimització de l'art. 4(5) del RGPD descriu $m(x)=(\tilde{x},\kappa)$ gairebé literalment: dades que ja no poden atribuir-se a un interessat «sense utilitzar informació addicional», sempre que aquesta informació «figuri per separat» sota mesures tècniques i organitzatives (European Parliament and Council of the European Union, 2016). Les directrius 01/2025 de l'EDPB beneeixen específicament la pseudonimització dissenyada per revertir-se, amb taules pseudònim-valor o claus criptogràfiques com a aquesta informació addicional (European Data Protection Board, 2025) — la descripció regulatòria de $\kappa$ —, i ENISA aporta l'enginyeria dels pseudònims i els seus atacs: els marcadors aleatoris estables (no hashos del valor substituït) esquiven precisament els atacs de diccionari que el seu informe analitza (ENISA (European Union Agency for Cybersecurity), 2019). El recordatori honest ve del mateix EDPB: la dada pseudonimitzada segueix sent dada personal; BV-PRGA redueix el risc davant del proveïdor, no eximeix del RGPD.

Problemes oberts

1. De l'etiquetatge al risc de divulgació. El camp no té mètodes que incorporin mesures explícites de risc de reidentificació al procés (Lison et al., 2021); com un gateway estima aquest risc en línia segueix obert.
2. La inferència d'atributs derrota l'anonimització actual. Amb les mitigacions comunes declarades «currently ineffective» i fins a un 85 % d'encert inferint atributs del text residual (Staab et al., 2024), queda obert com protegir el senyal contextual i estilístic que cap substituïdor d'entitats no toca. És la frontera declarada d'aquesta porta.
3. La fuita contextual no s'arregla amb prompting. La fuita persisteix fins i tot amb instruccions de privadesa i cadena de raonament (Mireshghallah et al., 2024); mentre els models no respectin una noció operativa d'integritat contextual, només valen solucions estructurals.
4. Memorització creixent sense mitigació activa. La memorització creixerà amb l'escala «at least without active mitigations» (Carlini et al., 2022) — i aquestes mitigacions són exògenes a qualsevol client del proveïdor.
5. Avaluació específica de gateway. TAB existeix perquè les mètriques estàndard no capturen alhora protecció i utilitat (Pilán et al., 2022); falta consens en mètriques — i corpus no clínics ni jurídics — que capturin l'asimetria fals-negatiu-irreversible vs fals-positiu-barat en escenaris de gateway.
6. Garantia formal + fidelitat + reversibilitat. La DP dona la primera renunciant a les altres dues (Feyisetan et al., 2020; Yue et al., 2021); els gateways reversibles donen les segones renunciant a la primera (Chen et al., 2023; Siyan et al., 2025). Conciliar les tres segueix sent el problema obert del camp.

Nota: les xifres d'aquesta secció (F1 del shared task, 39 %/57 %, 85 %, 85,5 %/7,5 %...) provenen de la literatura citada i descriuen aquells treballs, no mesuraments de BV-PRGA.

On és això avui

BV-PRGA està productivitzat com a producte independent a privacy.bivelio.com, en dues formes: una extensió de navegador gratuïta (Chrome, Edge i Brave) que protegeix les persones a ChatGPT i Claude abans que el text surti del dispositiu, i un gateway autoallotjat per a desenvolupadors i equips, publicat a PyPI, que aplica la mateixa política davant de qualsevol API d'IA — OpenAI, Anthropic, DeepSeek i moltes altres. Dins de BiVelio és la capa Protect: la mateixa porta, davant de cada interacció amb un model.

Referències