Kunstmatige intelligentie Met een watermerk is te ontdekken of een tekst door AI is gemaakt. Hoe komt zo’n watermerk tot stand? En wat is de invloed ervan op de inhoud?
Posters van AI-bedrijf Anthropic tijdens een conferentie in Londen, afgelopen mei.
AI-bedrijven moeten een watermerk geven aan de teksten en beelden die hun modellen genereren. Dat is sinds vorige maand een Europese verplichting, om misinformatie en manipulatie tegen te gaan.
In een blogpost gaat Anthropic, het Amerikaanse bedrijf dat chatbot Claude maakt, uitgebreid in op de watermerktechnologie voor AI-teksten. Volgens het bedrijf is het watermerk onzichtbaar voor lezers en zal het geen enkele invloed op de kwaliteit van de tekst hebben – een vrees die breed leeft onder AI-gebruikers. Een onzichtbaar watermerk, wat voor zin heeft dat? En hoe werkt het?
Claudes watermerktechnologie blijkt een variant op SynthID, een techniek die in 2024 door onderzoekers van Google DeepMind werd ontwikkeld. Hun eigen chatbot Gemini voegt al sinds november een watermerk toe, en ook OpenAI zegt bezig te zijn met implementatie voor teksten van ChatGPT.
Het ‘watermerk’ zit hem in de keuze van woorden. Een large language model (LLM) voorspelt welk woord het beste na de vorige woorden kan komen. Dat doet het op basis van de gestelde vraag (de ‘prompt’), de al gegenereerde tekst en heel veel andere variabelen. Meestal is er niet maar één goede optie – soms zijn er synoniemen, of kan een zin ook net anders geschreven worden, zonder dat het de kwaliteit of betekenis van de tekst verandert. Welke van de opties gekozen wordt is willekeurig, dus wanneer een chatbot vijf keer dezelfde vraag krijgt, genereert het vijf verschillende geschikte antwoorden. En precies die willekeur wordt gebruikt om een watermerk toe te voegen.
Een voorbeeld. Als je aan een chatbot vraagt wat voor weer het is, kan het de zin „de lucht is…” afmaken met zowel het woord ‘bewolkt’ als ‘grijs’. Als beide woorden volgens het LLM goed genoeg zijn voor het antwoord, kiest het er eentje door beide opties een willekeurige score toe te kennen en vervolgens op basis van kans het woord te kiezen – hogere score betekent hogere kans. Hoe het die willekeurige score toekent is bij LLM’s zonder watermerk totaal willekeurig; bij SynthID is die score net iets minder willekeurig, beïnvloed door een geheime sleutel. Het resultaat kan nog steeds beide woorden zijn, maar er is een lichte voorkeur voor een van de twee woorden. Niet omdat dat woord een betere optie is, maar omdat SynthID de willekeurige score een klein zetje geeft. En omdat het resultaat nog steeds niet deterministisch is – soms valt de keuze alsnog op een woord met lagere score – blijft de tekst gevarieerd.
„Dit is echt slim gedaan, want het staat met deze watermerkmethode mathematisch vast dat de kwaliteit van de output niet afneemt”, zegt Rik van Noord, AI-onderzoeker en LLM-expert aan de Rijksuniversiteit Groningen. Alle woorden komen nog steeds uit de lijst van woorden die het model goed genoeg vindt voor die context, waardoor de kwaliteit gewaarborgd blijft. Dat was ook de conclusie van de onderzoekers van Google Deepmind: ze analyseerden 20 miljoen door Gemini gegenereerde teksten en vergeleken die met teksten zonder watermerk, maar konden geen verschil in kwaliteit herkennen.
Omdat een keuze zoals in het voorbeeld hierboven in een gemiddelde gegenereerde tekst honderden keer voorkomt, is het patroon dat de watermerktechnologie veroorzaakt te herkennen. Mits je weet waar je naar moet kijken. De geheime sleutel deelt Anthropic niet, maar ze zeggen binnenkort met een detectietool te komen, waar je stukken tekst in kan plakken om te checken of ze door Claude gegenereerd zijn.
Voor de Europese regels voldoet dat, volgens van Noord: „De EU zegt eigenlijk: zo’n markering hoeft niet altijd voor lezers zichtbaar te zijn, zolang computers maar kunnen herkennen dat de inhoud met AI is gemaakt. Dat lijkt me logisch, het zou heel irritant zijn als je bij elke tekst iets van ‘gegenereerd door AI’ moet plaatsen. Bovendien kun je dat ook makkelijk weghalen.”
Ook in plaatjes en audio kan SynthID een watermerk verstoppen. Anders dan bij tekst gebeurt dat pas na het genereren, door in de pixels of geluidsgolven kleine veranderingen aan te brengen die het resultaat zeer minimaal wijzigen, maar niet detecteerbaar zijn door gebruikers zonder bijbehorende controlesoftware.
Daarnaast gebruiken Google, OpenAI en Anthropic voor audio, plaatjes en filmpjes ook een zogeheten C2PA-label (Coalition for Content Provenance and Authenticity). Dat is een open standaard voor door AI-modellen gegenereerde media, waarin in metadata (een bijgevoegd pakketje informatie over het stukje media) staat dat het door AI gegenereerd is. Nadeel hiervan is dat metadata makkelijk van een plaatje, filmpje of audiobestand te verwijderen is, dus is een extra methode als SynthID erg welkom.
„Het is een goede stap van de EU”, zegt Van Noord. „De grote bedrijven vinden dit minder leuk, want veel van hun gebruikers willen AI inzetten zonder dat mensen dat weten. Die zitten helemaal niet te wachten op een watermerk.”
Als docent aan de opleiding informatiekunde vallen zijn studenten ook onder die groep. Voorheen waren docenten afhankelijk van detectietools zoals Pangram, die zelf zeggen met 99,98 procent zekerheid kunnen detecteren of AI gebruikt is of niet. „Die algoritmes werken heel goed, maar zijn nog steeds niet goed genoeg om iemand op een juridisch houdbare manier te beschuldigen. Met een watermerk verwacht ik dat we dat wel kunnen doen.”
Van Noord waarschuwt dat ook SynthID niet helemaal waterdicht is, al is ermee knoeien veel gedoe: „Dan moet je echt veel gaan herschrijven, met een soort synoniemenwoordenboek erbij. Dat is veel werk. De studenten die hun verslagen graag door AI laten schrijven lijken me niet zo gemotiveerd om dat te gaan doen.”
Op de hoogte van kleine ontdekkingen, wilde theorieën, onverwachte inzichten en alles daar tussenin