Wie leicht sich Wasserzeichen in KI-Texten entfernen lassen

Wasserzeichen in KI Texten könnten sich durch einfache Bearbeitung oder Umformulierungen leicht entfernen lassen. Zu diesem Schluss kommt eine Analyse mit Blick auf die Transparenzpflichten des EU AI Act. Sean Goedecke schreibt in seinem Blog, dass dies Anbieter vor ein grundlegendes Problem stellt.

Artikel 50 des Gesetzes wird nach dieser Lesart Anbieter dazu verpflichten, KI-Inhalte erkennbar zu machen. Denkbar sind verborgene Kennzeichnungen im erzeugten Text sowie Prüfwerkzeuge, mit denen Nutzer solche Kennzeichnungen suchen können. Anthropic hatte dies gerade für Claude angekündigt. Andere Anbieter werden vermutlich folgen.

Zwei Verfahren, eine zentrale Schwäche

Google hat mit SynthID bereits ein Verfahren für Text beschrieben. Es beeinflusst bei der Ausgabe unauffällig, welche der wahrscheinlichen nächsten Wort- oder Wortteil-Optionen ein Sprachmodell auswählt. Ein Prüfprogramm kann anschließend messen, ob es im Text ein auffälliges statistisches Muster gibt. Das Verfahren soll die Lesbarkeit erhalten und zugleich eine günstige Prüfung ermöglichen.

Goedecke nennt außerdem eine einfachere Methode: Normale Leerzeichen oder Satzzeichen werden in diesem Fall durch ähnlich aussehende Unicode-Zeichen ersetzt. So lässt sich ein Muster integrieren, ohne dass Leser den Unterschied erkennen. In Outputs großer KI-Dienste seien solche Zeichen bereits aufgefallen. Dies belege jedoch nicht, dass sie als Wasserzeichen eingesetzt werden.

Beide Ansätze lassen sich nach seiner Einschätzung umgehen. Unicode-Zeichen lassen sich durch eine Zeichennormalisierung ersetzen. Statistische Wasserzeichen wie SynthID verlieren ihre Aussagekraft, wenn Menschen oder andere KI-Systeme den Inhalt neu formulieren. Dafür könne bereits ein kleines lokal betriebenes Modell reichen.

Für die Regulierung entsteht daraus ein Zielkonflikt. Die begleitenden EU-Leitlinien verlangen Kennzeichnungen, die sich nicht leicht vom Inhalt trennen lassen. Zugleich soll Interoperabilität technisch möglich sein. Offen gelegte oder vereinheitlichte Verfahren könnten aber leichter umgangen werden.

Signierte Metadaten wie C2PA können bei Dateien helfen, etwa bei Bildern, Videos, PDFs oder verpackten Dokumenten. Für gewöhnlichen Text, der aus einem Chat kopiert und weitergegeben wird, bieten sie jedoch keine einfache Lösung.