Das Wasserzeichen setzt sich durch: Wie KI lernt, ihre Texte zu signieren

Am 14. August veröffentlichte Anthropic einen Blogbeitrag, der einen selbst entfachten Brand löschen sollte: Wenige Tage zuvor hatte das Unternehmen angekündigt, dass sämtliche von seinen Claude-Modellen erzeugten Texte künftig ein unsichtbares Wasserzeichen tragen würden. Der Widerstand ließ nicht lange auf sich warten: Auf Reddit sah ein Nutzer darin eine Verschwörung gegen die Anwender, ein anderer entgegnete, der einzige Grund, eine solche Kennzeichnung abzulehnen, sei der Wunsch zu lügen. Business Insider berichtet, dass Dutzende Nachrichten mit angekündigten Abo-Kündigungen auf X kursierten. Die Maßnahme ist jedoch keine Laune: Sie setzt den Verhaltenskodex um, der an die europäische KI-Verordnung angelehnt ist und deren Transparenzpflichten seit dem 2. August gelten. Die vorgesehenen Sanktionen erreichen 15 Millionen Euro oder 3 Prozent des weltweiten Jahresumsatzes.

Ein gezinkter Würfel statt des Zufalls

Das von Anthropic gewählte Verfahren heißt SynthID-Text und stammt von einem direkten Konkurrenten: Entwickelt wurde es von Google DeepMind, Ende 2024 in Nature veröffentlicht, und es baut auf einer Idee des Forschers Scott Aaronson auf, die dieser bereits 2022 formuliert hatte. Das Prinzip setzt an der eigentlichen Texterzeugung an. Wählt ein Modell das nächste Wort, greift es aus mehreren gleichermaßen plausiblen Kandidaten — „bedeckt“ oder „grau“, um einen Himmel zu beschreiben — und diese Wahl enthält ein Element des Zufalls. Das Wasserzeichen ersetzt diesen Zufall durch eine Sequenz, die aus einem geheimen Schlüssel abgeleitet wird. Anthropic bietet dazu einen eigenen Vergleich an: eine Partie Monopoly, bei der die Würfel durch die Nachkommastellen von Pi ersetzt würden. Die Züge bleiben für die Spieler unvorhersehbar; wer den Schlüssel besitzt, kann im Nachhinein prüfen, dass die Partie diese Signatur trägt.

Das Wasserzeichen beeinträchtigt nicht die Qualität der Antworten von Claude. Für einen Leser ist eine markierte Antwort nicht von einer unmarkierten zu unterscheiden.

Die von Anthropic detailliert beschriebene Übersicht der Anwendungsfälle hält einige wissenswerte Überraschungen bereit. Eine Übersetzung wird durchgängig markiert, da hier jedes Wort vom Modell gewählt wird. Ein leichtes Lektorat der eigenen Prosa hinterlässt dagegen kaum Spuren: Bleiben fast alle Wörter die eigenen, hat das Wasserzeichen nichts, woran es sich festmachen könnte. Code lässt sich nur sehr schlecht markieren, weil ein Programm, das funktionieren muss, selten mehrere gleichwertige Formulierungen zulässt — die Markierung weicht dann auf die Kommentare aus, mit vernachlässigbarer Wirkung auf den Code selbst. Was die Tilgung betrifft, räumt Anthropic ein, dass eine vollständige, Wort-für-Wort-Neufassung die Signatur entfernt; das Unternehmen fügt hinzu, dass an diesem Punkt die Einstufung als KI-generierter Text selbst fragwürdig wird.

Was die Kennzeichnung nicht verrät

Drei Einschränkungen sollten klar benannt werden, denn sie entscheiden darüber, was das Instrument in der Praxis wert ist. Die Erkennung ist kollektiv: Sie zeigt an, dass ein Modell im Spiel war, niemals ein Konto oder eine Person. Das Fehlen einer Markierung beweist nichts, da ein kurzer oder stark überarbeiteter Text das Signal so weit verwässert, dass es verschwindet. Und schließlich erfolgt der Einsatz weltweit und nicht auf Europa beschränkt — Anthropic räumt ein, über kein verlässliches Mittel zu verfügen, um das System auf das Gebiet zu begrenzen, das es vorschreibt.

Die Vorgeschichte der Branche mahnt ohnehin zur Vorsicht. OpenAI hatte im Januar 2023 einen eigenen Text-Detektor gestartet, bevor er sechs Monate später wieder abgeschaltet wurde: Er identifizierte korrekt 26 Prozent der generierten Texte und bezichtigte in 9 Prozent der Fälle fälschlich Menschen. Die beiden kommerziellen Referenzen der Branche, GPTZero und Pangram, spüren stilistische Eigenheiten der Modelle auf — Anthropic nennt als Beispiel die Konstruktion „es ist nicht X, sondern Y“, Selbstkritik inbegriffen. Diese Fehlalarme treffen vor allem Menschen, die Englisch als Zweitsprache schreiben. Das Wasserzeichen spielt in einer anderen Liga: Wo ein Detektor im Nachhinein rät, wird die Markierung an der Quelle angebracht und lässt sich mit einem Schlüssel überprüfen. DeepMind erklärt, SynthID auf knapp zwanzig Millionen Gemini-Antworten angewendet zu haben, ohne messbare Einbußen bei der Zufriedenheit — eine Zahl, die mit der gebotenen Zurückhaltung zu betrachten ist, da sie vom Entwickler des Verfahrens selbst stammt.

Google entfernt zur gleichen Zeit seine sichtbaren Wasserzeichen

Die gegenläufige Bewegung fand in derselben Woche bei Google statt. Das Unternehmen erlaubt es nun, das sichtbare Wasserzeichen — den kleinen Stern in der Ecke von Bildern, Videos und Musikstücken, die von seinen Modellen Nano Banana und Omni erzeugt werden — über eine Einstellung namens „Media watermark“ in Gemini und im Videogenerator Flow zu deaktivieren. Josh Woodward, Vizepräsident für Google Labs, Gemini und AI Studio, stellt klar, dass die unsichtbaren SynthID-Markierungen und die C2PA-Metadaten weiterhin eingebettet bleiben: Es ist weiterhin möglich, Gemini oder die Suche zu fragen, ob ein Inhalt generiert wurde. Die Einstellung wird in Ländern, die ein sichtbares Wasserzeichen vorschreiben, nicht angeboten.

Die Begründung stützt sich auf eine Beobachtung: Viele Nutzer entfernten diese Markierungen ohnehin schon von Hand, und die wichtigsten Konkurrenten wendeten sie gar nicht erst an. OpenAI setzt auf SynthID und C2PA, Meta hat mit Content Seal einen eigenen Standard eingeführt. Anders gesagt: Die sichtbare Markierung war kein verlässliches Signal mehr, sondern nur noch eine ästhetische Belastung für jene, die sich an die Regeln hielten.

• Markiert: Texte, die von den seit dem 2. August eingeführten Claude-Modellen generiert werden, einschließlich Übersetzungen.
• Kaum oder nicht markiert: ein leichtes Lektorat des eigenen Textes sowie Quellcode außerhalb der Kommentare.
• Getilgt: durch eine vollständige, Wort-für-Wort-Neufassung des erzeugten Textes.
• Unsichtbar, aber vorhanden: Bei Google bleiben SynthID und C2PA bestehen, auch wenn der Stern verschwindet.

Was sich für Unternehmen ändert

Für ein Unternehmen, das KI-gestützte Inhalte produziert, ist die Konsequenz ganz konkret — auch und gerade in Deutschland, wo der AI Act als EU-Verordnung unmittelbar gilt. Es ist nicht mehr der Nutzer, der entscheidet, ob die Verwendung eines Modells offengelegt wird: Die Kennzeichnung wird vom Anbieter selbst an der Quelle angebracht, aufgrund einer europäischen Regulierungspflicht. Anthropic gibt an, dass auch die anderen großen Labore, die denselben Verhaltenskodex unterzeichnet haben, eigene Wasserzeichen einführen werden. Für deutsche Unternehmen, Kanzleien, Prüfungsämter oder Personalabteilungen wird die Frage also schon bald nicht mehr lauten, ob ein Text markiert ist, sondern wer den Schlüssel zu seiner Überprüfung besitzt — und was sich damit vor einem Arbeitgeber, einem Prüfungsausschuss oder einem deutschen Gericht beweisen lässt. Anthropic verspricht eine Detektions-API; an deren Zuverlässigkeit, nicht an Absichtserklärungen, wird sich das gesamte System messen lassen müssen.