Hoe de tekstwatermerken van Claude werken

Toekomstige Claude-modellen zullen tekst genereren die een watermerk bevat. Dit is een manier om de waarschijnlijkheid te bepalen of Claude betrokken was bij het schrijven van de tekst. Wij, samen met enkele andere grote AI-providers, voeren deze wijziging door om te voldoen aan de EU AI Act.

In dit artikel geven we antwoord op enkele vragen die we hebben ontvangen over de werking van de door ons gekozen watermerkmethode, of dit de output van Claude beïnvloedt en waarom we deze wijziging doorvoeren. Samengevat:

• We gebruiken een methode voor watermerken die geen praktische impact heeft op de kwaliteit of inhoud van de output van Claude.
• Het verschil tussen tekst met en zonder watermerk zal voor lezers niet merkbaar zijn.
• Er wordt niets aan de tekst toegevoegd en er zijn geen verborgen tekens.
• Watermarking vereist geen extra tokens en zal niet duurder zijn.
• Watermarking bevat geen identificerende informatie en kan niet worden herleid naar een specifiek persoon, organisatie of gesprek.
• Watermarking zal niet specifiek zijn voor Claude. Sinds 2 augustus vereist de EU dat AI-providers die op haar markt actief zijn, AI-gegenereerde inhoud markeren. Andere grote modelontwikkelaars hebben dezelfde Code of Practice ondertekend en zullen hun eigen watermerken implementeren.

Wat is watermarking?

Grote taalmodellen zoals Claude werken door één woord tegelijk te genereren. Elke keer dat het model beslist over het volgende woord, kiest het uit een lijst met potentiële kandidaten en selecteert uiteindelijk het meest zinvolle of waarschijnlijke woord op basis van de voorafgaande tekst.

Neem bijvoorbeeld de zin: "Het weer vandaag was koud en...". Het volgende woord is zeer onwaarschijnlijk "suikerachtig". Maar het is zeer waarschijnlijk "bewolkt" of "grijs". In de meeste gevallen maakt het voor de lezer niet veel uit welk van deze laatste twee woorden het model uiteindelijk kiest; de betekenis van de zin blijft grotendeels hetzelfde. In zulke gevallen wordt de keuze bepaald door een willekeurig getal.

Watermarking maakt gebruik van dit soort keuzes met lage inzet — die vele malen voorkomen in een stuk gegenereerde tekst — om een patroon achter te laten in de reacties van Claude. Dat patroon is ondetecteerbaar voor de lezer, maar wel detecteerbaar voor iedereen die over een sleutel beschikt die het patroon codeert. Wanneer watermarking wordt gebruikt, worden keuzes nog steeds willekeurig gemaakt, maar de bron van de willekeur is anders. In plaats van een willekeurige getallengenerator te gebruiken om het volgende woord te kiezen, gebruikt watermarking de sleutel en een paar voorafgaande woorden om te bepalen welk woord het model moet kiezen.

Dat wil zeggen dat de woorden die Claude kiest nog steeds willekeurig zijn, maar dat men nu de reeks woorden kan controleren om te zien of deze consistent is met de keuzes die Claude zou maken als hij de sleutel zou gebruiken. Als dat het geval is, kan men een waarschijnlijkheid toekennen dat de tekst door Claude is gegenereerd.

Belangrijk is dat het model niet plotseling altijd een voorkeur zal hebben voor "bewolkt" of "grijs". Net als bij tekst zonder watermerk kan "bewolkt" in de ene zin worden gekozen en "grijs" in de volgende, afhankelijk van de woorden die eraan voorafgingen. Ook is het niet zo dat de watermerkmethode Claude dwingt om een woord te kiezen dat hij anders niet zou hebben overwogen (bijvoorbeeld zou het Claude niet dwingen om een woord als "nubilous"¹ te kiezen — een obscure synoniem voor bewolkt of grijs die Claude onder normale omstandigheden vrijwel zeker niet zou gebruiken).

Welke invloed heeft dit op de output van Claude?

Watermarking heeft geen invloed op de kwaliteit van de output van Claude. Voor een lezer is een antwoord met watermerk niet te onderscheiden van een antwoord zonder watermerk (op deze manier verschillen AI-watermerken wezenlijk van hun naamgenoten op bankbiljetten, andere fysieke objecten en sommige digitale documenten, die met het blote oog zichtbaar zijn).

In interne tests hebben we geen impact van watermarking gezien op de inhoud, het creativiteitsniveau of de leesbaarheid van de tekst van Claude. In het SynthID-Text paper, waarin de techniek die wij gebruiken werd geïntroduceerd, testte Google DeepMind deze impact door een model met watermarking aan te bieden aan een deel van hun Gemini-verkeer en de 'thumbs-up' en 'thumbs-down' beoordelingen te vergelijken. Ze vonden geen statistisch significante verschillen met het model zonder watermerk. Bovendien zagen menselijke beoordelaars in een gecontroleerde studie geen verschil in kwaliteit wanneer ze antwoorden met en zonder watermerk zij aan zij vergeleken.

Een nuttige analogie is om je voor te stellen dat je een spel zoals Monopoly speelt. Bij elke beurt verplaatst elke speler een willekeurig aantal vakjes op het bord op basis van de worp van een dobbelsteen. Stel dat we, in plaats van de dobbelsteen te werpen voor deze willekeur, besluiten een boek met de cijfers van pi² te gebruiken. We beginnen bij een willekeurig gekozen cijfer (bijvoorbeeld het 1.012.845ste cijfer na de komma, wat toevallig een 6 is), en vanaf dat punt gebruikt elke speler simpelweg het volgende cijfer in de reeks als zijn volgende "worp".

Voor alle praktische doeleinden zijn de zetten nog steeds willekeurig: het maakt voor de spelers — of voor de uitkomst van het spel — niet uit of de willekeur komt van pi of van dobbelsteenworpen. Maar als we na het spel de reeks van alle zetten konden zien (en we de waarde van pi kenden), zouden we kunnen uitrekenen of dit waarschijnlijk een spel was waarbij pi werd gebruikt om de zetten te bepalen. Het spel dat pi gebruikte is, in zekere zin, "watermarked".

Hetzelfde geldt voor door Claude gegenereerde tekst. Watermarking verandert de betekenis of de ervaring voor de persoon die het leest niet, maar als je achteraf wilt controleren of de tekst waarschijnlijk door Claude is gegenereerd, stelt het watermerk je in staat om dat te doen.

Welke specifieke methode van watermarking wordt gebruikt?

Het tekstwatermerk van Claude is een versie van de SynthID-Text benadering, gepubliceerd door Google DeepMind in een Nature-artikel in 2024. Het behoort tot een familie van benaderingen die teruggaan tot een voorstel van Scott Aaronson in 2022, die allemaal hetzelfde ontwerpprincipe delen zoals hierboven beschreven: het watermerk verandert alleen de bron van de willekeur die wordt gebruikt om tussen woorden te kiezen.

Er zijn beperkingen aan de effectiviteit van watermarking. Met onze sleutel kan men alleen de vraag beantwoorden: "Wat is de waarschijnlijkheid dat dit gedeeltelijk is geschreven door Claude?". Het bevestigt niet of de tekst door een mens is geschreven, en het kan niet vertellen of de tekst is geschreven door een andere AI (zelfs als die andere AI watermarking gebruikt, zou deze een andere sleutel hebben; het zou zelfs een geheel andere watermerkmethode kunnen gebruiken).

Het detecteren van een watermerk werkt ook niet goed bij kleine samples, waar minder woordkeuzes zijn en dus minder informatie om op terug te vallen. Naarmate een passage in lengte toeneemt, neemt het vertrouwen over de betrokkenheid van Claude ook toe.

Watermarking is minder aanwezig in feitelijke passages waar minder keuzes gemaakt kunnen worden zonder de nauwkeurigheid van de tekst te verminderen. Neem bijvoorbeeld de zin: "Het beroemdste werk van Isaac Newton heette Principia...". Het is hier essentieel of het volgende woord "Mathematica" is (het is het enige juiste antwoord), dus het watermerk heeft hier geen ruimte om te opereren. Hetzelfde geldt voor het nalezen van teksten. Als je Claude een stuk tekst geeft en vraagt om alleen de grammatica en interpunctie te bewerken en niets anders, kan het watermerk alleen in de weinige correcties zitten, wat mogelijk te weinig is om geregistreerd te worden.

Hoe zit het met gevallen waarin Claude menselijke tekst heeft nagelezen of bewerkt?

Het watermerk is alleen van toepassing op woorden die Claude kiest. Wanneer Claude tekst naleest die door een persoon is geschreven, is het resultaat over het algemeen slechts licht bewerkt. Omdat bijna alle woorden van de persoon zijn, is er zeer weinig (zo niet niets) waaraan het watermerk zich kan hechten. Afhankelijk van de lengte van de tekst en hoe zwaar Claude deze heeft bewerkt, zijn die wijzigingen mogelijk niet voldoende om de betrokkenheid van Claude detecteerbaar te maken. Hoe meer Claude schrijft, hoe meer beslissingen hij moet nemen en hoe meer ruimte er is voor een watermerk.

Hoe zit het met code?

Zoals we hierboven opmerkten, maakt AI-watermarking gebruik van beslissingen waarbij beide keuzes voor een woord even goed zouden zijn. Waar een exacte output vereist is — waar er geen keuze is, en waar iets feitelijk onjuist zou zijn of een stuk code zou breken als er een andere term werd gekozen — wordt het watermerk niet toegepast.

Bijvoorbeeld, zodra het model heeft geschreven "2 + 2 =", is er een zeer duidelijke beste keuze voor het volgende token (als het model de som voltooit, is er geen antwoord dat net zo goed is als "4"; als het spreekt over Nineteen Eighty-Four van George Orwell, is er geen antwoord dat net zo goed is als "5"). De "sturing" van het watermerk zou hier niet worden toegepast. Om dezelfde reden bevat code — die in zeer veel gevallen exact moet zijn — over het algemeen minder watermarking dan sommige andere vormen van tekst.

Dat gezegd hebbende: in delen waar er een willekeurige keuze is tussen specifieke woorden of termen binnen de code, kan het watermerk wel worden gebruikt, zoals in commentaren binnen de code. Maar per definitie zal dit een verwaarloosbaar effect hebben op de daadwerkelijk geproduceerde code.

Wat betekent dit voor gebruikers?

Vertraagt dit het model, of maakt het het duurder?

Nee. Watermarking heeft een verwaarloosbare impact op de snelheid van modellen, en omdat het geen extra tokens produceert, blijft de prijs voor het aanbieden en gebruiken van het model gelijk.

Kan een watermerk naar mij of mijn organisatie worden herleid?

Nee. Het watermerk is van toepassing op Claude en zijn outputs. Het identificeert niets dat te maken heeft met individuele gebruikers. Er zit niets in het watermerk, of de sleutel ervan, waardoor iemand informatie over de gebruiker, hun organisatie of hun gesprekken met Claude zou kunnen herstellen.

Waarom voorzien jullie de outputs van Claude van watermerken?

We implementeren watermarking om te voldoen aan de EU AI Act. Anthropic heeft, samen met enkele andere grote AI-modelproviders en in totaal ongeveer 190 ondertekenaars, in juli 2026 de EU Code of Practice on Transparency of AI-Generated Content ondertekend. Dit vereist dat providers van AI-systemen methoden gebruiken voor het "markeren" van AI-gegenereerde tekst. We passen watermarking bij de lancering wereldwijd toe, omdat we nog geen duurzame manier hebben om dit per regio te beperken. We zullen echter verschillende benaderingen blijven evalueren en updates delen zodra we die hebben.

Overige vragen

Hoe kan ik controleren of een stuk tekst door Claude is geschreven? We zullen binnenkort een API voor het detecteren van watermerken aanbieden. We zijn momenteel bezig met het uitwerken van de details van de implementatie.

Hoe zit het met afbeeldingen en andere bestanden? Wanneer Claude een bestand van een ondersteund type produceert (zoals .png, .jpg of .svg), voegt hij een content credential toe in de vorm van een kleine, cryptografisch ondertekende notitie in de metadata van het bestand, waarin staat dat het bestand is gemaakt of verwerkt met Claude. Dit is een open industriestandaard genaamd C2PA — dezelfde standaard die wordt gebruikt door camerafabrikanten en in fotobewerkingssoftware om vast te leggen waar een afbeelding vandaan komt. Elk C2PA-bewuste hulpmiddel kan dit lezen; we zullen onze eigen tool aanbieden waar je een bestand kunt uploaden en controleren.

Dit metadata-label is zeer verschillend van een watermerk. Er verandert niets aan het bestand — het is niet ingebed of verborgen. Net als bij tekst zegt de credential alleen dat Claude betrokken was bij het produceren van het bestand; het bevat geen identificerende informatie.

Kan iemand niet gewoon de tekst bewerken om het watermerk te omzeilen? Tot op zekere hoogte wel. Lichte bewerkingen zullen het watermerk waarschijnlijk niet volledig verwijderen; een volledige herschrijving waarbij elk woord wordt vervangen, wel. In dat laatste geval is het overigens discutabel of de tekst nog wel als AI-gegenereerd kan worden beschreven.

Wat bewijst een watermerk nu eigenlijk? Een watermerk kan alleen bepalen dat Claude waarschijnlijk op een bepaald moment betrokken was bij de inhoud. Het kan niet onderscheiden of "Claude dit schreef" of "Claude dit zwaar heeft bewerkt".

Zijn watermerken van toepassing op vertalingen? Ja. Een vertaling geproduceerd door Claude bevat een watermerk, omdat in dit geval elk woord door Claude wordt gekozen.

Hoe zit het met oudere Claude-modellen? De EU-wetgeving bevat een overgangsperiode voor Anthropic-modellen die vóór 2 augustus 2026 zijn gelanceerd, en we werken eraan om ook voor die modellen watermarking toe te voegen. Dit zal in de komende maanden worden uitgerold.

Hoe verschilt dit van AI-detectiesoftware, zoals Pangram? AI-detectiesoftware gebruikt een andere methode, omdat de bedrijven die dit aanbieden niet over onze sleutel beschikken. Deze diensten kijken onder andere naar aspecten van de tekst zoals de subtiele (en minder subtiele) "kenmerken" die vaak voorkomen in de formuleringen van AI. AI-modellen lijken bijvoorbeeld dol te zijn op de constructie "dit is niet [X], het is [Y]", en gebruiken het woord "quietly" veel vaker dan je zou verwachten. Het herkennen van deze patronen is fundamenteel anders dan het controleren op een watermerk.

Verandert dit wie de eigenaar is van een bepaalde output, of wie er wettelijk verantwoordelijk voor is? Nee. Een watermerk helpt alleen bij het testen of Claude de inhoud mogelijk heeft geproduceerd of verwerkt. Het zegt niets over eigendom of auteurschap, en verandert de rechten van een gebruiker onder onze voorwaarden niet. We passen het watermerk alleen toe wanneer Claude betrokken was bij het verwerken van de inhoud of het bestand.

***

Voetnoten ¹ Of men zou kunnen zeggen, nubilous — wat ook een synoniem is voor "obscuur". ² Pi is technisch gezien voorspelbaar, maar elke reeks cijfers uit het midden van pi is ononderscheidbaar van een reeks worpen met een tienzijdige dobbelsteen. Daarnaast moeten we negeren dat de dobbelstenen in Monopoly van 1 tot 6 gaan, terwijl een cijfer van pi van 0 tot 9 kan zijn; de analogie is niet perfect.