EU‑tekstwatermerken blijven eenvoudig te verwijderen ondanks nieuwe wettelijke eisen

Artikel 50 van de Europese AI‑verordening, dat in augustus 2026 van kracht wordt, verplicht aanbieders van generatieve AI‑systemen om detecteerbare signalen in AI‑gegenereerde content te embedden, "voor zover technisch mogelijk". Deze bepaling was bedoeld om autoriteiten een forensisch houvast te geven tegen onontdekte synthetische tekst.

In de praktijk botst de eis met de aard van tekst als een sterk comprimeerbaar medium. Het wijzigen van een woord terwijl betekenis, stijl en leesbaarheid behouden blijven, laat zeer weinig onzichtbare ruimte over voor een verborgen patroon, in tegenstelling tot afbeeldingen waar subtiele pixelwijzigingen compressie kunnen overleven.

Token‑gebaseerde statistische watermerken

Google’s SynthID is een voorbeeld van een probabilistische token‑selectie‑aanpak. Door bepaalde tokens tijdens de generatie te bevoordelen, creëert het systeem een statistische vingerafdruk die kan worden gedetecteerd door een getrainde classifier zonder zichtbare markering.

De betrouwbaarheid van de methode hangt af van de exacte volgorde van woordkeuzes. Wanneer een eindgebruiker de output herschrijft of parafraseert, valt de vingerafdruk uiteen omdat de gewijzigde tokenvolgorde niet langer overeenkomt met de verwachte distributie.

Unicode‑homoglyph watermerken

Een andere voorgestelde techniek voegt Unicode‑homoglyphen in – tekens die er identiek uitzien als standaardtekens maar een ander codepunt hebben, zoals een non‑breaking space dat eruitziet als een gewone spatie. Door deze onzichtbare tekens door een document te verspreiden, kan een goedkope patroon worden ingebed.

De technische haalbaarheid van de door de EU voorgeschreven tekstwatermerken wordt sterk beperkt door de inherente compressie‑eigenschappen van natuurlijke taal. Terwijl een afbeelding duizenden onzichtbare pixels kan bevatten die subtiel kunnen worden aangepast zonder visueel verschil, biedt een tekstuele representatie slechts een beperkt aantal onzichtbare tekens of statistische variaties. Deze beperkte ruimte betekent dat elke poging om een permanent signaal in te sluiten een trade‑off veroorzaakt tussen detecteerbaarheid en leesbaarheid. De huidige methoden, zoals token‑bias watermerken, exploiteren kleine probabilistische afwijkingen die slechts onder gecontroleerde omstandigheden consistent blijven, waardoor ze kwetsbaar zijn voor zelfs minimale bewerkingen door eindgebruikers.

De robuustheid van token‑gebaseerde watermerken wordt verder ondermijnd door de dynamiek van menselijke interactie met tekst. Zodra een gebruiker een gegenereerde passage herschrijft, parafraseert of zelfs slechts enkele woorden vervangt, wordt de onderliggende token‑distributie drastisch gewijzigd. Dit effect wordt versterkt door de aanwezigheid van automatische correctie‑ en vertaaltools die vaak de oorspronkelijke tokenvolgorde transformeren. Hierdoor vervalt de statistische vingerafdruk, waardoor de classifier die het watermerk zou moeten detecteren geen betrouwbare signalen meer ontvangt. De consequentie is dat de beoogde forensische traceerbaarheid alleen werkt in een strikt gecontroleerde omgeving, wat praktisch gezien zelden voorkomt.

Unicode‑homoglyph watermerken lijken op het eerste gezicht een eenvoudige oplossing te bieden doordat onzichtbare of visueel identieke tekens worden ingevoegd. In de praktijk echter kan elke vorm van normalisatie – bijvoorbeeld het verwijderen van niet‑breekbare spaties of het standaardiseren van Unicode‑representaties – deze verborgen tekens volledig elimineren. Bovendien is het toevoegen van dergelijke tekens gevoelig voor tekstverwerkers en platformen die automatisch ongeldige of overbodige Unicode‑codepunten strippen. Deze automatische schoonmaakprocessen, die vaak onopgemerkt blijven voor de gebruiker, vormen een onvoorziene zwakte die de watermerken gemakkelijk onbruikbaar maakt.

Een bijkomende beperking van beide benaderingen is de afhankelijkheid van externe metadata, zoals C2PA‑informatie, die losgekoppeld kan worden bij het kopiëren of exporteren van tekst. Zodra de metadata wordt verwijderd of niet wordt overgedragen, blijft er geen technische aanwijzing meer aanwezig om de herkomst van de content te verifiëren. Deze scheiding tussen de tekst zelf en de bijbehorende metadata ondermijnt de effectiviteit van de wettelijke verplichting, omdat de praktische detectie van een watermerk in de tekst zelf vrijwel onmogelijk wordt zonder aanvullende contextuele data.

De verificatieprocessen die momenteel worden voorgesteld, vertrouwen op geavanceerde machine‑learning‑modellen die getraind zijn op specifieke watermerk‑patronen. Deze modellen presteren echter slechts onder ideale omstandigheden waarin de originele, onaangepaste tekst beschikbaar is. In realistische scenario’s, waarin tekst wordt gekopieerd, geplakt, bewerkt of via verschillende platformen wordt verspreid, degradeert de nauwkeurigheid aanzienlijk. Deze degradatie betekent dat de autoriteiten, die afhankelijk zijn van betrouwbare detectie, geconfronteerd worden met een hoog risico op zowel valse negatieven als valse positieven, waardoor de juridische bruikbaarheid van de watermerken in twijfel wordt getrokken.

De praktische consequenties van deze technische beperkingen zijn tweeledig. Enerzijds ondermijnt het de intentie van de EU‑wet om transparantie en verantwoording in AI‑gegenereerde content te waarborgen, omdat de beoogde detectiemechanismen gemakkelijk kunnen worden omzeild. Anderzijds creëert het een risico op een valse gevoel van veiligheid bij aanbieders die denken dat hun watermerken voldoende bescherming bieden, terwijl in werkelijkheid kwaadwillenden eenvoudigweg de eenvoudige parafrase‑ of normalisatie‑methoden kunnen toepassen om de sporen te wissen. Deze discrepantie tussen regelgeving en technische realiteit vraagt om een heroverweging van de vereisten, mogelijk richting meer robuuste, multimodale benaderingen die niet uitsluitend op tekstuele signalen vertrouwen.

• Token‑bias watermerken (bijv. SynthID) vertrouwen op statistische token‑distributie
• Homoglyph‑invoeging gebruikt visueel identieke Unicode‑tekens
• Beide technieken kunnen worden verwijderd door parafraseren of Unicode‑normalisatie
• C2PA‑metadata wordt losgekoppeld bij kopiëren van tekst en kan worden weggegooid