EU maakt AI-watermerken verplicht, maar niet waterdicht

Watermerk

AI-diensten moeten hun gegenereerde teksten sinds kort voorzien van een onzichtbaar watermerk. Daarmee moet achteraf te controleren zijn of een tekst door AI is gemaakt, maar de techniek is verre van waterdicht. Hoe werken die watermerken, wat merk je ervan en maken ze AI-teksten inderdaad slechter?

Dit was een lastige opgave. Het is namelijk onmogelijk om een AI-watermerk te integreren in een door een mens geschreven tekst. Maar in een verhaal over watermerken in AI-teksten is het te verleidelijk om te beginnen met een alinea die een watermerk bevat. Kun jij het watermerk in deze alinea spotten?

Sinds een paar maanden bevatten steeds meer AI-diensten ingebouwde watermerken in hun teksten. Die zouden voor mensen onzichtbaar, maar voor detectietools wel waarneembaar moeten zijn. Dat is niet vrijwillig, want de Europese AI-wet schrijft dat voor.

Die AI-watermerken zóuden voor mensen onzichtbaar moeten zijn, maar toch lijkt er wel enig effect te zijn. Veel mensen klagen al maanden over rare woordkeuzes van AI-diensten en wijten dat aan de watermerken.

Watermerk in AI-tekst

Waarom een watermerk?

Kun jij het verschil zien tussen een AI-tekst en een menselijke tekst? De eerste jaren na het verschijnen van tekstgenerator ChatGPT eind 2022 was dat nog wel te doen, maar de veronderstelling is dat het steeds lastiger wordt om een menselijke tekst van een AI-tekst te onderscheiden.

De regel zit in artikel 50 van de Europese AI Act. "Aanbieders van AI-systemen, met inbegrip van AI-systemen voor algemene doeleinden, die synthetische audio-, beeld-, video- of tekstinhoud genereren, zorgen ervoor dat de outputs van het AI-systeem worden gemarkeerd in een machineleesbaar formaat en detecteerbaar zijn als kunstmatig gegenereerd of gemanipuleerd."

EU-vlaggen voor het Berlaymont-gebouw. Bron: Europese Commissie

Aanbieders van AI wisten al een paar jaar dat de AI Act eraan kwam. De tekst is al jaren definitief en de regels gaan stapsgewijs in. Deze regel werd in augustus dit jaar van kracht.

De regel geldt niet altijd en overal. "Deze verplichting is niet van toepassing voor zover de AI-systemen een ondersteunende functie voor standaardbewerking vervullen of de door de gebruiksverantwoordelijke of de semantiek daarvan verstrekte inputdata niet substantieel wijzigen, of wanneer het bij wet is toegestaan strafbare feiten op te sporen, te voorkomen, te onderzoeken of te vervolgen."

Een watermerk is dus alleen verplicht bij het genereren van teksten, maar als de AI-dienst de input niet enorm wijzigt, dan hoeft het niet. Ook AI van bijvoorbeeld politiediensten is dus uitgezonderd van de regel. De gedachte is dat het watermerk de opsporing in de weg zou kunnen zitten.

Er is nog een uitzondering: als het geen AI-dienst is. Dat geldt bijvoorbeeld voor modellen die mensen thuis lokaal draaien. De gebruiker zelf is geen aanbieder van een AI-dienst en hoeft dus niet aan de wet te voldoen.

Volgens de Europese Commissie moet het watermerk erin zitten, zodat gebruikers kunnen zien of AI een tekst heeft gemaakt. De wet schrijft voor dat het 'machineleesbaar' is, dus het moet controleerbaar zijn. De regels moeten transparantie over het gebruik van AI bevorderen en daardoor het vertrouwen van mensen in AI versterken, zo redeneert de Commissie. De handhaving van de AI Act is inmiddels begonnen.

Hoe werken de watermerken?

Het menselijke watermerk in de eerste alinea is simpel. Ik heb de woordkeuze en woordvolgorde van de zinnen zo aangepast dat, als je het eerste woord van de eerste zin, het tweede woord van de tweede zin, het derde woord van de derde zin en het vierde woord van de vierde zin achter elkaar zet, de zin 'dit is een watermerk' ontstaat.

De watermerken voor AI zijn ingewikkelder en werken anders, maar het idee is hetzelfde. Als je precies weet hoe je moet kijken en de sleutel hebt, kun je het patroon ontdekken in de tekst en detecteren dat er een watermerk in zit.

Google DeepMind was pionier op dit gebied met SynthID, een detectiemethode die nu ook in Gemini zit. Het werk is te lezen in een paper die in het gezaghebbende blad Nature is gepubliceerd.

Google SynthID

Het systeem werkt met woordenlijsten als sleutel. Bepaalde willekeurige woorden krijgen een kleine boost in het AI-model, waardoor de kans groter is dat het AI-model die kiest in een lopende zin. Detectiesoftware kan zien welke woorden die boost hebben gehad en kan dus nagaan of die woorden vaker voorkomen in de tekst. Het idee is dat mensen niets merken van SynthID, omdat beide mogelijke woorden even logisch klinken. Dat heet toernooisampling, of tournament sampling in het Engels.

Google SynthID tournament sampling

Anthropic gebruikt voor Claude een variant van SynthID. Welk synoniem Claude als output geeft, wordt dan bepaald door een random number generator. Die rng is ontworpen door Anthropic zelf en werkt met een sleutel. Het watermerk gebruikt die sleutel en een aantal voorspellingen in de tekst om te kijken of de gegeven woorden daar inderdaad zijn gekozen door de rng. Hoe vaker dat gebeurt, hoe groter de zekerheid dat de tekst inderdaad door Claude is geschreven.

OpenAI heeft textGrain gemaakt voor ChatGPT. Het systeem heeft dezelfde uitwerking, maar het algoritme is anders. Het gebruikt geen toernooisampling, maar optimaal transport, of optimal transport. Dat algoritme kijkt niet naar individuele woorden, maar naar grotere blokken als geheel. Het systeem bekijkt de output zonder watermerk en met een watermerk en probeert de tekst optimaal om te zetten zonder ingrijpende wijzigingen.

OpenAI textGrain

Een ander verschil is het entropiebudget. OpenAI lijkt veel bezorgder dan Google over het risico dat een tekst onmogelijk om te zetten is. Bij heel feitelijke prompts is het daarom niet wenselijk om een watermerk aan te brengen. Een feitelijke vraag als 'Wat is de hoofdstad van Groningen?' vereist een feitelijk antwoord. Met het entropiebudget kiest het algoritme er dus voor om vaker geen watermerk aan te brengen als de output te feitelijk of te kort is.

De systemen werken net anders. Belangrijker is dat ze aparte detectors nodig hebben. Een detector voor SynthID werkt daardoor niet automatisch voor teksten van Claude of ChatGPT. Dat maakt het gebruik natuurlijk onhandig, want als je wil weten of AI een tekst heeft gegenereerd, moet je hem door meerdere detectors halen. Hier komen vast oplossingen voor, maar een keuze voor één watermerksysteem was makkelijker geweest.

Een opvallende afwezige is Mistral. De Europese maker van AI-modellen heeft de regels nog niet geïmplementeerd. Of en wanneer dat gaat gebeuren, is onbekend. Het bedrijf zal dat op een gegeven moment natuurlijk wel moeten doen.

Watermerken komen ook voor in foto's en video's. Daarin zijn ze om verschillende redenen eenvoudiger toe te passen. Zo kun je beelden makkelijker onzichtbaar aanpassen dan tekst.

SynthID, dat de meeste AI-diensten gebruiken voor beeld en audio, werkt met het toevoegen van een specifiek ruispatroon in het beeld. Dat gebeurt met een versleuteling na het genereren van het beeld, waardoor SynthID met alle modellen kan werken. Het systeem bevat ook een ingebouwde decoder om te zien of het watermerk er inderdaad zit. Door de vele pixels in de meeste beelden is het watermerk nog te achterhalen als gebruikers het beeld bijsnijden, bewerken of opslaan in een ander bestandsformaat.

Google SynthID

Watermerken hebben gebreken

Alle systemen hebben gebreken. Het belangrijkste is dat er een lap tekst nodig is om het watermerk aan te brengen. In een korte alinea werkt het niet. Daardoor bevatten veel teksten geen of een zwak watermerk. Bovendien is er alleen de vrijheid om een watermerk te plaatsen als het AI-model uit meerdere passende woorden kan kiezen. Als een tekst strakker is, is het watermerk niet of nauwelijks aanwezig. Dat geldt bijvoorbeeld ook voor code.

Daarnaast zijn detectors zelden honderd procent zeker. Een tekst is vaak 'waarschijnlijk AI' of 'waarschijnlijk menselijk', maar er blijft door de opzet van het systeem altijd een minieme kans op valsnegatieven of valspositieven. Daar komt bij dat lang niet alle AI-teksten wereldwijd een watermerk hebben. OpenAI past het alleen toe in de EU en via de api is het vooralsnog optioneel. Mistral heeft het niet, net als Chinese modellen zoals DeepSeek en Kimi. Dat maakt detectie al minder nuttig.

Bezwaarschrift van Pangram. Pangram is een detector die niet per se werkt met watermerken

Een watermerk in beeld is lastig te verwijderen, maar vertalen vernietigt het watermerk in AI-teksten in veel gevallen al. Omdat vertaalsoftware, of dat nu een AI-model is of niet, ook woordkeuzes maakt, is niet meer te achterhalen wat de originele keuzes waren.

Tot slot is er een zachter, nog nauwelijks gemeten effect. De watermerksystemen zouden geen merkbare gevolgen moeten hebben, maar veel gebruikers melden toch dat de kwaliteit van de teksten sinds de invoering van watermerken achteruit is gegaan.

Dit is dus een imperfecte oplossing. Het is in elk geval wel een eerste stap om AI-content makkelijker herkenbaar te maken. AI-diensten gaan een interessante tijd tegemoet als de Europese Commissie overgaat tot handhaving van de AI Act, omdat ze lang niet allemaal voldoen. AI-output met een watermerk zal in elk geval steeds normaler worden, of wij het nu kunnen opmerken of niet.

_{Redactie: Arnoud Wokke • Eindredactie: Monique van den Boomen}

Reacties (17)

[eheijnen]

Er kan toch geen enkele garantie zijn dat een mens nooit een soort gelijke tekst produceert....?

Wordt dan nog interessant om te zien hoeveel "false positives" dit gaat opleveren.

[lutenist]

Ik kan me bovendien voorstellen dat men steeds meer blootgesteld wordt aan AI-teksten. Op TV, in school, op het werk, in de krant... Je zou dan het woordgebruik en de zinsstructuren kunnen overnemen.

[zyberteq]

ik heb al meerdere keren meegemaakt dat mensen bij hoog en laag beweerden dat ze de tekst zelf geschreven hadden, maar dat ik zelf vond dat het doordrenkt was van AI (ChatGPT) stijl.

Maar het kan natuurlijk dat je al zoveel wordt blootgesteld aan AI gegenereerde teksten (schrift of gesproken), dat je het gaat emuleren, want zo werkt het menselijk brein nou eenmaal.

Ik krijg vooral de kriebels als ik "and honestly" hoor.

[Eusebius]

AI legt veel uit. Mensen lezen dat en kunnen die manier overnemen. Schrijven dan zelf een stuk met dezelfde kenmerken:

Hierbij volgt een reactie op jouw commentaar. Want eerlijk, ik moet hier toch even op reageren. Niet om je dwars te zitten, maar om onze discussie dieper, creatiever en vooral ook kleurrijker te maken. Je geeft aan dat je meerdere keren al teksten hebt gelezen waarvan mensen zeggen dat ze niet met AI zijn geschreven. Ik kan me voorstellen dat je dat vervelend vindt. Beeld je eens in wat het met de schrijver doet.

<< nou ja dat dus en dat heb ik zonder AI geschreven maar wel met uitleg en drieslag erin. De em-dash heb ik niet op mijn PC ;-)

[DaanR.]

Het gaat uiteraard om statistische waarschijnlijkheid. Als in een paragraaf van 4 regels al 8 of 9 woorden specifiek voor een watermerk zijn, dan is bij langere teksten de betrouwbaarheid aanzienlijk.

[eheijnen]

Interessant om te zien hoe lang het duurt voor er tools komen die dit weer opheffen....

[Silentek]

In de begin dagen van LLM, waren er regelmatig vals positieve, voornamelijk geschreven door autistische mensen.
De vaste structuur in tekst en schrijfstijl, die veel autisten zichzelf hebben aangeleerd, komt overeen met patronen die LLMs laten zien.

Als voorbeeld: https://arxiv.org/html/2607.14729v1
Hier hebben ze Reddit gebruikt als bron. Posts in autisme gerelateerde onderwerpen, werden significant vaker gezien als AI, tegenover algemene Reddit posts.

Ook zie ik voor me, dat mensen die opgroeien met dit type teksten, ook makkelijker soortgelijke schrijfstijlen ontwikkelen, want het is makkelijker na te doen wat je kent, dan een eigen stijl ontwikkelen.

[jaquesparblue]

Dat werkt natuurlijk alleen als je de teksten copy pasta'd direct van de prompter.

[sanscorp]

Nee, als jij het letterlijk woord voor woord over zou typen is het watermerk gelijk gebleven.

[dreamone4]

Bizarre ontwikkeling. Het zorgt voor lagere kwaliteit teksten, is niet fool-proof, en niet alle modellen zullen zich hieraan houden, dus wat is het punt?

Tevens denk ik dat men het gewoon begint te accepteren dat iedereen AI als hulpmiddel gebruikt bij het schrijven. Uiteindelijk is het toch degene die iets publiceert of deelt die accountable blijft voor zijn teksten

[swhnld]

De techniek van de AI detectie lijkt ook op de kopieerbeveiliging die sommige uitgevers van boeken gebruiken in plaats van DRM. Dus er us wel ervaring mee van voor de AI tijd. Echter ik lees nooit over handhaving daarop, dus ben benieuwd of het bij boeken werkt, als bewijs of het ook hier kan werken.

[TheDudez]

Ben benieuwd als je het laat herschrijven door een andere ai of het nog werkt en je geeft aan dat op bepaalde manier wordt geschreven.

[SalexSun]

Mijn grootste zorg is dat straks mijn ambachtelijk geschreven tekst voor ai wordt aangezien

[x] alle teksten geschreven door ai hebben een watermerk

[ ] alle teksten met een watermerk zijn door ai geschreven

[DaanR.]

Ik vind het toch wel fijn om te kunnen weten wanneer een bank of overheidsinstantie met mij communiceert door middel van AI (met mogelijk geautomatiseerde besluitvorming en in elk geval geautomatiseerde onderbouwing erachter), of dat er een mens naar mijn case heeft gekeken. Daarmee is dit ook een bescherming tegen de overheid zelf.

[Janusch]

Maar dit betreft toch ook Claude en ChatGPT neem ik aan?

[Draconian]

Ja maar let op. Er is nog een uitzondering: als het geen AI-dienst is. Dat geldt bijvoorbeeld voor modellen die mensen thuis lokaal draaien. De gebruiker zelf is geen aanbieder van een AI-dienst en hoeft dus niet aan de wet te voldoen.

[Reactie gewijzigd door Draconian op 29 oktober 2026 06:55]