A marca de água instala-se: a IA aprende a assinar o que escreve

A 14 de agosto, a Anthropic publicou um artigo destinado a apagar um incêndio que ela própria tinha ateado dias antes, ao anunciar que todos os textos produzidos pelos seus modelos Claude passariam a ter uma marca de água invisível. A contestação foi imediata: no Reddit, um utilizador via nisso uma conspiração contra os utilizadores, outro respondia que a única razão para recusar essa marcação era querer mentir. A Business Insider relata que dezenas de mensagens a anunciar o cancelamento de subscrições circularam no X. A medida não tem, no entanto, nada de capricho: responde ao código de boas práticas associado ao regulamento europeu sobre a inteligência artificial, cujas obrigações de transparência entraram em vigor a 2 de agosto. As sanções previstas podem chegar aos 15 milhões de euros ou 3% do volume de negócios mundial.

Um dado viciado no lugar do acaso

O método escolhido pela Anthropic chama-se SynthID-Text e vem de um concorrente direto: foi desenvolvido pela Google DeepMind, publicado na Nature no final de 2024, e herda uma intuição do investigador Scott Aaronson formulada já em 2022. O princípio toca na própria fabricação do texto. Quando um modelo escolhe a palavra seguinte, escolhe entre vários candidatos igualmente plausíveis — «encoberto» ou «cinzento» para descrever um céu — e essa escolha comporta uma parte de acaso. A marca de água substitui esse acaso por uma sequência derivada de uma chave secreta. A Anthropic propõe a sua própria analogia: uma partida de Monopólio em que os dados seriam substituídos pelas casas decimais de pi. As jogadas continuam imprevisíveis para os jogadores; quem detiver a chave pode verificar, a posteriori, que a partida tem essa assinatura.

A marca de água não afeta a qualidade das respostas do Claude. Para um leitor, uma resposta marcada é indistinguível de uma resposta que não o é.

O mapeamento dos usos, detalhado pela empresa, reserva algumas surpresas úteis de conhecer. Uma tradução sai marcada, uma vez que cada palavra é escolhida pelo modelo. Uma revisão ligeira da sua própria prosa deixa poucos vestígios: se quase todas as palavras continuam a ser suas, a marca de água não tem a que se agarrar. O código marca-se muito mal, porque um programa que tem de funcionar raramente deixa várias formulações equivalentes — a marca recai então sobre os comentários, com um efeito negligenciável no próprio código. Quanto ao apagamento, a Anthropic reconhece que uma reescrita completa, palavra a palavra, elimina a assinatura; a empresa acrescenta que, nesse ponto, a própria qualificação de texto gerado por IA se torna discutível.

O que a marca não diz

Três limites merecem ser postos a preto e branco, porque são eles que decidem o valor prático da ferramenta. A deteção é coletiva: assinala a passagem de um modelo, nunca uma conta nem um indivíduo. A ausência de marca não prova nada, uma vez que um texto curto ou fortemente reformulado dilui o sinal até o apagar. Por fim, a implementação é mundial e não europeia, admitindo a Anthropic não dispor de um meio fiável de restringir o dispositivo ao território que o impõe.

O historial do setor convida, aliás, à prudência. A OpenAI tinha lançado o seu próprio detetor de textos em janeiro de 2023, antes de o desligar seis meses depois: identificava corretamente 26% dos textos gerados e acusava erradamente humanos em 9% dos casos. As duas referências comerciais da área, GPTZero e Pangram, rastreiam os tiques estilísticos dos modelos — a Anthropic cita como exemplo a construção «não é X, é Y», autocrítica incluída. Esses falsos positivos atingem sobretudo as pessoas que escrevem inglês como segunda língua. A marca de água joga noutra categoria: onde um detetor adivinha a posteriori, a marca é aposta na origem e verifica-se com uma chave. A DeepMind afirma ter aplicado o SynthID a quase vinte milhões de respostas do Gemini sem degradação mensurável da satisfação — número a considerar com a devida reserva, uma vez que provém do próprio criador do método.

A Google, ao mesmo tempo, retira as suas marcas de água visíveis

O movimento inverso deu-se na mesma semana na Google. A empresa passa agora a permitir desativar a marca de água visível — a pequena estrela aposta no canto das imagens, vídeos e músicas produzidos pelos seus modelos Nano Banana e Omni — através de uma definição «Media watermark» no Gemini e no seu gerador de vídeo Flow. Josh Woodward, vice-presidente da Google Labs, Gemini e AI Studio, esclarece que as marcações invisíveis SynthID e os metadados C2PA continuam incorporados: continua a ser possível perguntar ao Gemini, ou à pesquisa, se um conteúdo foi gerado. A definição não será disponibilizada nos países que impõem uma marca de água visível.

A justificação resume-se a uma observação: muitos utilizadores já apagavam estas marcas manualmente, e os principais concorrentes não as aplicavam. A OpenAI apoia-se no SynthID e no C2PA, a Meta lançou o seu próprio padrão Content Seal. Por outras palavras, a marca visível já não era um sinal fiável, apenas um incómodo estético para quem jogava pelas regras.

• Marcado: os textos gerados pelos modelos Claude lançados desde 2 de agosto, incluindo as traduções.
• Pouco ou nada marcado: uma revisão ligeira do seu próprio texto, e o código-fonte fora dos comentários.
• Apagado: através de uma reescrita completa, palavra a palavra, do texto produzido.
• Invisível mas presente: na Google, o SynthID e o C2PA subsistem mesmo quando a estrela desaparece.

O que isto muda para as empresas

Para uma empresa portuguesa que produza conteúdo com apoio de IA, a consequência é concreta. Enquanto Estado-membro da União Europeia, Portugal está diretamente abrangido por esta obrigação: já não é o utilizador que decide declarar ou não o uso de um modelo, é o próprio fornecedor que apõe essa declaração na origem, por força de uma obrigação regulamentar europeia. A Anthropic indica que os restantes grandes laboratórios signatários do mesmo código de boas práticas vão implementar as suas próprias marcas de água. A questão deixará assim, em breve, de ser saber se um texto está marcado, para passar a ser saber quem detém a chave que permite verificá-lo — e o que essa chave permitirá provar perante um empregador, um júri de exame ou um tribunal português. Uma API de deteção é prometida pela Anthropic; é pela sua fiabilidade, e não pelas declarações de intenção, que todo o dispositivo terá de ser avaliado.