Как защищать LLM приложения от PII leakage: Microsoft Presidio, AWS Comprehend, custom NER + regex, pre/post filtering?

PII утекает по 4 каналам: (1) memorization из training corpus (GPT-2/Carlini, ChatGPT NYT lawsuit), (2) RAG-документы с чувствительным контентом, (3) user prompts → logs/traces/embeddings, (4) cross-tenant smear в multi-tenant RAG. Защита — dual filtering: pre-filter на input + RAG ingest (PII не попадает в vector DB), post-filter на output (scan response, redact/block). Tools: Microsoft Presidio (open-source NER + regex для PERSON/EMAIL/PHONE/IBAN/SSN, custom recognizers), AWS Comprehend DetectPiiEntities, Google Cloud DLP InfoTypes. Reversible redaction — replace на placeholder <PII_email_1>, restore для авторизованного пользователя. GDPR data minimization + right-to-be-forgotten требует purge из embeddings и training corpora, не только из исходной БД.