Claudes usynlige vannmerke: Dette kan det avsløre – og dette kan det ikke bevise

Anthropics nye vannmerke i Claude bør først og fremst forstås som et signal om innholdets opprinnelse – ikke som en digital signatur på hvem som har skrevet teksten. Modeller lansert 2. august 2026 eller senere legger et usynlig, statistisk mønster i generert tekst. Støttede filer kan samtidig få digitalt signerte metadata om opprinnelse. Anthropic har innført ordningen globalt som svar på kravene om åpenhet i EUs AI-forordning, ikke bare for brukere i Europa.

Nesten umiddelbart kom motreaksjonen: Utviklere publiserte åpen kildekode og nettleserbaserte verktøy som hevder å kunne rense bort AI-spor. Men et viktig poeng forsvinner lett i oppstyret: Anthropic har foreløpig ikke publisert en full teknisk spesifikasjon eller en offentlig detektor som uavhengig kan teste påstandene.

Slik merkes Claude-innhold

I tekst bygges merket inn i selve genereringen. Det er ikke en synlig etikett, en ekstra setning eller et enkelt skjult tegn. I stedet påvirkes modellens ordvalg svakt, slik at sannsynlighetsfordelingen i teksten senere kan analyseres statistisk. Anthropic sier at metoden er utformet slik at den ikke skal endre betydningen, kvaliteten eller lesbarheten i svaret.

For støttede filer – blant annet SVG-, PNG- og JPG-filer – brukes digitalt signerte metadata om opprinnelse. Det er en annen mekanisme enn tekstvannmerket: Metadata kan gi en strukturert historikk om en fil, mens tekstsignalet er vevd inn i språket.

Nye Claude-modeller som lanseres fra skjæringsdatoen, støtter merking fra første dag. Anthropic arbeider også med å oppdatere eldre modeller i overgangsperioden. Derfor kan det avhenge av både modell og filformat om et bestemt resultat er merket eller ikke.

Hva vannmerket kan – og ikke kan – vise

Anthropic sier at vannmerket ikke inneholder identifiserende opplysninger og ikke kan spores til en bestemt person, organisasjon eller chat. Et positivt funn er dermed ikke en logg over brukerens identitet eller en kopi av instruksjonene som skapte teksten.

Enda viktigere er at et påvist Claude-signal ikke avgjør spørsmålet om forfatterskap. Det kan tyde på at Claude har bidratt til å lage eller bearbeide materialet, men beviser ikke:

• hvem som kom med ideen eller instruksjonene;
• hvem som tok de redaksjonelle avgjørelsene;
• hvem som eier det ferdige verket;
• om en person skrev teksten betydelig om; eller
• hvem som har det juridiske ansvaret for publiseringen.

Skillet er viktig fordi AI-assistert arbeid ofte går gjennom flere ledd. En person kan be Claude om et utkast, skrive det kraftig om, kombinere det med egen research eller bare bruke modellen til språkvask. Vannmerket kan inngå i en vurdering av opprinnelse, men kan ikke alene klassifisere sluttproduktet som utelukkende menneskeskapt eller KI-skapt.

Hvorfor ordningen ble innført over hele verden

Artikkel 50 i EUs AI-forordning krever at leverandører av generative KI-systemer merker KI-generert eller KI-manipulert innhold i et maskinlesbart format, slik at det kan oppdages som kunstig generert eller endret. Kravet omfatter syntetisk tekst, lyd, bilder og video.

Anthropic valgte å rulle ut funksjonen på modellnivå i stedet for å lage en bryter som bare gjelder EU. Ifølge omtaler skyldes dette blant annet at det er vanskelig å opprettholde et robust regionalt skille på tvers av Claudes produkter og distribusjonskanaler. I praksis betyr det at brukere utenfor EU også kan møte merket, selv om den regulatoriske utløsende faktoren var europeisk.

Regelverket beskriver resultatet som skal oppnås – effektiv, pålitelig, robust og interoperabel deteksjon – men krever ikke én bestemt vannmerketeknologi. Leverandørene må altså ikke bruke samme statistiske metode, metadataformat eller synlige etikett.

Verktøy for fjerning dukket opp nesten umiddelbart

Det mest synlige tidlige prosjektet var Guillaume Meyers MIT-lisensierte watermarks-remover. Repositoryet beskriver et verktøy på tvers av leverandører som skal fjerne opprinnelsesmerker fra tekst og filer brukeren selv eier. Det omfatter blant annet skjulte Unicode-tegn, metadata og behandling som skriver teksten om.

Flere prosjekter fulgte etter. Omtaler beskrev også repositoryet claude-watermark-cleaner og et nettleserbasert verktøy som hevdet å kunne rense skjulte AI-merker fra dokumenter og andre formater.

Ett repository skal ha nådd 8 983 GitHub-stjerner på tre dager. Det er et tydelig mål på offentlig interesse, men ikke en test av hvor godt vannmerket faktisk fjernes. Et verktøy som sletter usynlige Unicode-tegn eller metadata, trenger for eksempel ikke å påvirke et statistisk signal som ligger i ordvalgene.

Hvorfor påstandene om fjerning er vanskelige å kontrollere

Et statistisk tekstvannmerke er ikke en permanent etikett som sitter fast på dokumentet. Det avhenger av at nok av modellens opprinnelige mønster for ordvalg overlever videre behandling. Kopiering, konvertering og lett redigering kan bevare tilstrekkelig av mønsteret til at det fortsatt kan oppdages. Oversettelse, parafrasering, omfattende omskriving eller innblanding av mye menneskeskrevet tekst kan derimot svekke eller ødelegge signalet. Anthropic erkjenner selv at omfattende omskriving kan fjerne det.

Det skaper et kontrollproblem. Uten Anthropics detektor og tekniske detaljer kan utenforstående ikke pålitelig vite om et renseverktøy har beseiret det statistiske laget, bare har fjernet urelaterte metadata, eller har endret teksten så mye at en eventuell deteksjon blir uklar. Tidlige påstander om at et bestemt verktøy «virker» mot Claude bør derfor behandles som ubekreftede – ikke som dokumenterte tekniske resultater.

Begrensningen er i stor grad innebygd i teknologien. Når mennesker fritt kan endre språk, kan de også forstyrre et mønster som bygger på sannsynlighetsberegninger. Et mer motstandsdyktig vannmerke kan redusere antallet falske negative funn etter vanlig håndtering, men kan ikke gjøre et foranderlig tekstsignal om til en ubrutt kjede av dokumentasjon.

Hva artikkel 50 krever – og ikke forbyr

Artikkel 50 legger den viktigste plikten til maskinlesbar merking på leverandørene av relevante KI-systemer, med ytterligere krav til brukere og virksomheter i bestemte situasjoner. Kravet handler om at syntetisk innhold skal merkes og kunne oppdages; det fastsetter ikke én universell teknologi.

Den tilgjengelige EU-veiledningen er heller ikke et generelt, frittstående forbud mot at tredjeparter fjerner alle typer merker fra innhold. Veiledningen tar høyde for vanlig redigering som ikke vesentlig endrer inndataene eller betydningen, samtidig som den beskriver rammene for maskinlesbar merking.

Det betyr likevel ikke at det alltid er juridisk uproblematisk å fjerne et merke. Kontrakter, plattformregler, opphavsrett, regler mot bedrageri og villedning, arbeids- og studiekrav samt bransjespesifikke plikter til å opplyse om KI-bruk kan få betydning i den konkrete situasjonen. Den tryggeste konklusjonen er derfor mer avgrenset: Artikkel 50s plikt for leverandører til å merke innhold må ikke forveksles med en garanti for at et tekstvannmerke forblir teknisk permanent, eller med en universell regel som avgjør all videre bruk.

Kort oppsummert

Claudes vannmerke kan gjøre KI-involvering lettere å oppdage i enkelte tilfeller – særlig når merket tekst kopieres eller bare redigeres lett, og når metadata om filens opprinnelse fortsatt er intakt. Det gir ikke et sikkert bevis på forfatterskap, identitet, eierskap eller ansvar.

Kappløpet om verktøy for å fjerne merkene understreker nettopp dette. Et repository kan få tusenvis av stjerner før noen har mulighet til å teste påstandene uavhengig, særlig når den underliggende detektoren er privat. For forlag, skoler, bedrifter og plattformer er spørsmålet derfor ikke bare om et vannmerke finnes. Man må også se på hvilke bevis som foreligger, hvor mye materialet er endret, hvilke opprinnelsesdata som er bevart, og hvilke regler som gjelder for den konkrete bruken.