Claudes usynlige vandmærke er et provenienssignal – ikke et forfatterbevis

Nye Claude-modeller, der er lanceret fra skæringsdatoen 2. august, understøtter mærkning fra starten. Anthropic er samtidig i gang med at tilpasse ældre modeller i den relevante overgangsperiode. Derfor kan tilstedeværelsen af et mærke afhænge af både model og outputformat.

Hvad vandmærket kan – og ikke kan – vise

Anthropic oplyser, at vandmærket ikke indeholder identificerende oplysninger og ikke kan spores til en bestemt person, organisation eller chat. Et positivt signal er altså ikke en registrering af brugerens identitet eller en gengivelse af den prompt, der skabte teksten.

Endnu vigtigere afgør et Claude-signal ikke spørgsmålet om forfatterskab. Det kan antyde, at Claude har medvirket til at producere eller bearbejde materialet, men det fastslår ikke:

• hvem der leverede idéen eller instruktionerne;
• hvem der traf de redaktionelle beslutninger;
• hvem der ejer det færdige værk;
• om en person efterfølgende skrev teksten væsentligt om; eller
• hvem der juridisk er ansvarlig for publiceringen.

Forskellen er væsentlig, fordi AI-assisteret arbejde ofte går gennem flere led. En person kan bede Claude om et første udkast, redigere det grundigt, kombinere det med egen research eller kun bruge modellen til korrektur. Vandmærket kan indgå i en analyse af materialets proveniens, men kan ikke alene klassificere det færdige arbejde som udelukkende AI-skabt eller menneskeskabt.

Hvorfor udrulningen blev global

Artikel 50 i EU's AI-forordning kræver, at udbydere af generative AI-systemer mærker AI-genereret eller -manipuleret indhold i et maskinlæsbart format, så det kan genkendes som kunstigt genereret eller manipuleret. Kravet omfatter syntetisk tekst samt lyd, billeder og video.

Anthropic valgte en udrulning på modelniveau i stedet for en løsning, der kun gjaldt EU. Ifølge rapporter hænger den globale tilgang blandt andet sammen med vanskeligheden ved at opretholde en stabil regional afgrænsning på tværs af Claudes produkter og distributionskanaler. I praksis betyder det, at brugere uden for EU kan møde mærket, selv om den regulatoriske anledning var europæisk.

Loven beskriver det ønskede resultat – effektiv, pålidelig, robust og interoperabel detektion – men foreskriver ikke ét bestemt design af vandmærket. Udbyderne behøver derfor ikke bruge den samme statistiske metode, metadata-standard eller synlige etiket.

Værktøjer til fjernelse dukkede hurtigt op

Det mest synlige tidlige projekt var Guillaume Meyers MIT-licenserede watermarks-remover. Projektets repository beskriver et værktøj på tværs af flere leverandører, der skal fjerne proveniensmærker fra tekst og filer, som brugerne selv ejer. Det omfatter blandt andet skjulte Unicode-tegn, metadata og behandling baseret på omskrivning.

Andre projekter fulgte hurtigt efter. Omtale identificerede også et repository kaldet claude-watermark-cleaner samt et browserbaseret værktøj, der hævdede at kunne rense skjulte AI-mærker fra dokumenter og andre formater.

Ét repository nåede angiveligt 8.983 GitHub-stjerner på tre dage. Det er et markant mål for offentlig interesse, men ikke en test af, hvor effektivt vandmærket kan fjernes. Et værktøj, der fjerner usynlige Unicode-tegn eller metadata fra filer, behøver eksempelvis ikke at påvirke et statistisk signal, der ligger i ordvalget.

Hvorfor påstandene om fjernelse er svære at efterprøve

Et statistisk tekstvandmærke er ikke et permanent mærkat, der sidder fast på et dokument. Det afhænger af, at en tilstrækkelig del af modellens oprindelige ordvalgs-mønster overlever efterfølgende behandling. Kopiering, ændret formatering og mindre redigeringer kan bevare nok af mønsteret til, at det stadig kan opdages. Oversættelse, parafrasering, omfattende omskrivning eller store mængder menneskeskrevet tekst kan derimod svække eller ødelægge signalet. Anthropic erkender selv, at en væsentlig omskrivning kan fjerne det.

Det skaber et grundlæggende kontrolproblem. Uden Anthropics detektor og tekniske detaljer kan udenforstående ikke pålideligt afgøre, om et renseværktøj har besejret det statistiske lag, blot har fjernet uvedkommende metadata eller har ændret teksten så meget, at en test ikke længere kan konkludere noget. Tidlige påstande om, at et bestemt værktøj "virker" mod Claude, bør derfor betragtes som ubekræftede – ikke som dokumenterede tekniske resultater.

Begrænsningen er indbygget i teknologien. Hvis mennesker frit kan ændre sproget, kan et mønster, der bygger på sandsynligheder, forstyrres ved at ændre selve sproget. Et mere modstandsdygtigt vandmærke kan mindske risikoen for falske negative resultater efter almindelig håndtering, men det kan ikke gøre et foranderligt tekstsignal til en ubrudt og uforanderlig kæde af dokumentation.

Hvad artikel 50 kræver – og ikke forbyder

Artikel 50 placerer det primære krav om maskinlæsbar mærkning hos udbydere af relevante AI-systemer, mens yderligere forpligtelser gælder for brugere eller deployere i bestemte situationer. Kravet handler om, at syntetisk output skal mærkes og kunne opdages; det fastlægger ikke én universel teknologi.

Den tilgængelige EU-vejledning er heller ikke et generelt, selvstændigt forbud mod, at enhver tredjepart fjerner et mærke fra indhold. Vejledningen anerkender betydningen af almindelig redigering, der ikke ændrer inputdata eller deres semantik væsentligt, samtidig med at den beskriver rammen for maskinlæsbar mærkning.

Det betyder ikke, at fjernelse af et mærke er uden juridiske konsekvenser i enhver situation. Kontrakter, platformregler, ophavsret, regler om bedrageri og vildledning, arbejdspladsers eller uddannelsesinstitutioners politikker samt sektorspecifikke oplysningskrav kan ændre vurderingen. Den mere præcise konklusion er derfor, at artikel 50's krav til udbydernes mærkning ikke bør forveksles med en garanti for, at et tekstvandmærke teknisk set er permanent – eller med en universel regel, der afgør enhver senere anvendelse.

Den praktiske konklusion

Claudes vandmærke gør AI-medvirken lettere at opdage i visse tilfælde, især når mærket tekst kopieres eller kun redigeres let, og når filens proveniensmetadata stadig er intakt. Det skaber ikke et entydigt bevis på forfatterskab, identitet, ejerskab eller ansvar.

Kapløbet om værktøjer til fjernelse understreger netop denne forskel. Et repository kan få tusindvis af stjerner, før nogen uafhængigt kan teste påstandene – særligt når den underliggende detektor er privat. For udgivere, undervisere, virksomheder og platforme er det derfor ikke nok blot at spørge, om et vandmærke findes. Man bør også se på, hvilke andre beviser der er til rådighed, hvor meget materialet er blevet ændret, hvilke proveniensoplysninger der er bevaret, og hvilke oplysningsregler der gælder for den konkrete anvendelse.