Watermerken in AI-tekst: werking en beperkingen
De snelle verspreiding van grote taalmodellen heeft geleid tot een groeiende behoefte aan methoden om synthetische content te identificeren. Of het nu gaat om academische integriteit, het voorkomen van grootschalige beïnvloedingscampagnes of het handhaven van journalistieke standaarden: de vraag wie of wat een tekst heeft geschreven, is actueler dan ooit. Een van de meest besproken technische oplossingen hiervoor is het aanbrengen van een zogenaamd watermerk in de gegenereerde tekst. In tegenstelling tot traditionele methoden om authenticiteit te controleren, werkt een tekstwatermerk op het niveau van kansberekening en wiskundige patronen.
Dit artikel analyseert de achterliggende technologie van watermerken in gegenereerde tekst. We kijken naar het verschil met visuele media, de wiskundige werking van token-niveau beïnvloeding en de inherente afruil tussen tekstkwaliteit en detecteerbaarheid. Daarnaast behandelen we de manieren waarop kwaadwillenden deze systemen kunnen omzeilen en waarom organisaties er verstandig aan doen om hun beleid te baseren op processen in plaats van louter op technische detectietools.
Wat is een synthetisch tekstwatermerk?
Een watermerk in door AI gegenereerde tekst is niet fysiek zichtbaar. Het is geen verborgen karakterreeks, geen specifieke set onzichtbare Unicode-tekens en ook geen gecodeerde spatie. Dit soort oppervlakkige wijzigingen is immers direct te verwijderen door tekst simpelweg als platte tekst te kopiëren of de opmaak te wissen. In plaats daarvan is een modern tekstwatermerk een subtiele, statistische afwijking in de selectie van woorden die door het model worden gegenereerd.
Wanneer een taalmodel tekst produceert, gebeurt dit stap voor stap. Het model voorspelt telkens het volgende tekendeel (token) op basis van de reeds gegenereerde geschiedenis. Voor elk volgend token berekent het model een waarschijnlijkheidsverdeling over zijn gehele vocabulaire. Een watermerk grijpt direct in op dit keuzeproces door bepaalde tokens systematisch een fractie populairder te maken dan ze op basis van de pure context zouden zijn. Deze aanpassing is voor een menselijke lezer onwaarneembaar, maar laat voor een statistische detector een duidelijk en herkenbaar patroon achter.
Het verschil met beeld en video
Om te begrijpen waarom tekstwatermerken zo complex zijn, is een vergelijking met andere mediavormen verhelderend. Bij afbeeldingen, audio en video is er sprake van een enorme hoeveelheid overtollige informatie (redundantie). Een afbeelding bestaat uit miljoenen pixels, en een video uit tientallen frames per seconde. Binnen die enorme datastructuur kunnen subtiele wijzigingen in het frequentiedomein of in de minst significante bits van pixels worden aangebracht zonder dat de menselijke waarnemer dit merkt. Dit sluit aan bij standaarden zoals C2PA, die zich richten op cryptografische herkomst-metadata in mediabestanden.
In tegenstelling tot het bestrijden van deepfakes en desinformatie in visuele media, kent tekst deze redundantie nauwelijks. Tekst is discreet van aard: een woord is er wel of niet. Elke verandering van een letter of een woord heeft direct invloed op de betekenis, de grammatica en de leesbaarheid van de zin. Waar men bij een afbeelding enkele pixels kan aanpassen zonder dat de compositie verandert, kan men in een zin niet willekeurig woorden vervangen zonder de structuur aan te tasten. Dit maakt het invoegen van een robuust watermerk in tekst een veel grotere uitdaging.
| Eigenschap | Watermerken bij Beeld/Video | Watermerken bij Tekst |
|---|---|---|
| Redundantie van data | Zeer hoog (miljoenen pixels/samples) | Zeer laag (discrete woorden en tokens) |
| Modificatieniveau | Pixelwaarden, frequentiedomein | Sampling-verdeling van tokens (logits) |
| Zichtbaarheid | Onzichtbaar voor het menselijk oog | Onopgemerkt bij natuurlijk taalverloop |
| Kwetsbaarheid voor bewerking | Robuust tegen compressie en schaling | Zeer kwetsbaar voor parafraseren en redactie |
Hoe token-niveau watermerken technisch werken
De meest gangbare methode voor tekstwatermerking is gebaseerd op het concept van een 'groene' en een 'rode' lijst van tokens. Dit principe werkt tijdens de sampling-fase van het taalmodel. Het algoritme maakt gebruik van een cryptografische hash-functie en een pseudorandom getallengenerator (PRNG) om het vocabulaire van het model bij elke stap op te splitsen.
De stapsgewijze verdeling
Tijdens het genereren van een token $T_n$ kijkt het watermerkalgoritme naar het direct voorafgaande token $T_{n-1}$ (of een reeks voorafgaande tokens). De unieke waarde van dit voorgaande token wordt gebruikt als invoer voor de hash-functie. Deze hash dient vervolgens als de 'seed' voor de pseudorandom generator. Op basis van deze seed wordt het volledige vocabulaire van het model opgesplitst in twee groepen:
- De groene lijst: Tokens die de voorkeur krijgen tijdens de generatie.
- De rode lijst: Tokens die worden ontmoedigd of uitgesloten.
De omvang van de groene lijst is meestal vastgesteld op een bepaald percentage van het totale vocabulaire, bijvoorbeeld de helft. Omdat de indeling bij elke stap afhankelijk is van het voorgaande token, verandert de samenstelling van de groene en rode lijst voortdurend en op een schijnbaar willekeurige manier. Dit voorkomt dat een menselijke lezer of een eenvoudig algoritme zonder de juiste sleutel een patroon kan ontdekken.
Het toevoegen van bias
Voordat het model daadwerkelijk een token selecteert uit de waarschijnlijkheidsverdeling (de zogenaamde logits), past het watermerksysteem een correctiefactor toe. Aan alle tokens die op de groene lijst staan, wordt een constante waarde $\delta$ (delta) toegevoegd. Hierdoor verschuift de kansverdeling: de kans dat het model een token uit de groene lijst kiest, neemt toe, terwijl de kans op een token uit de rode lijst afneemt.
Als het model zeer zeker is van een specifiek woord dat grammaticaal noodzakelijk is (bijvoorbeeld het lidwoord 'het' in een specifieke context), dan zal dat woord, zelfs als het op de rode lijst staat, vaak alsnog gekozen worden omdat de oorspronkelijke waarschijnlijkheid extreem hoog was. Maar in gevallen waarin er meerdere synoniemen of zinsopbouwopties zijn met vergelijkbare waarschijnlijkheden, zorgt de toegevoegde $\delta$ ervoor dat het model systematisch kiest voor een optie uit de groene lijst.
Het detectieproces: statistische toetsing
Het detecteren van een watermerk vereist geen toegang tot het oorspronkelijke taalmodel, maar wel tot de gebruikte hash-functie en de specifieke parameters waarmee de groene en rode lijsten zijn gegenereerd. De detector analyseert de verdachte tekst en voert dezelfde stappen uit als het model tijdens de generatie.
Voor elk opeenvolgend paar tokens in de te onderzoeken tekst berekent de detector op basis van het eerste token welke woorden op de groene lijst stonden voor het tweede token. Vervolgens telt de detector hoeveel tokens in de gehele tekst daadwerkelijk uit de bijbehorende groene lijsten afkomstig zijn. Dit aantal wordt vergeleken met de theoretische verwachting.
De statistische nulhypothese: Een menselijke auteur schrijft zonder kennis van de groene lijst. De kans dat een menselijk gekozen token op de groene lijst valt, is puur op basis van toeval ongeveer gelijk aan de omvang van die groene lijst (bijvoorbeeld 50%). Als een tekst echter een significant hoger aandeel groene tokens bevat, kan de nulhypothese worden verworpen.
De detector berekent een z-score om te bepalen hoe waarschijnlijk het is dat de verdeling in de tekst op toeval berust. Wanneer deze z-score een bepaalde drempelwaarde overschrijdt, is de statistische zekerheid dat de tekst door het specifieke taalmodel is gegenereerd nagenoeg sluitend. Dit maakt het detectieproces in theorie zeer betrouwbaar, mits de tekst lang genoeg is en niet ingrijpend is aangepast.
De trilemma van tekstwatermarking
De implementatie van een watermerk dwingt ontwikkelaars tot het maken van strategische afwegingen. Er is sprake van een trilemma tussen drie conflicterende eigenschappen:
- Detecteerbaarheid: Hoe korter de tekst kan zijn om het watermerk met hoge zekerheid aan te tonen.
- Tekstkwaliteit: De mate waarin de tekst natuurlijk, grammaticaal correct en inhoudelijk coherent blijft.
- Robuustheid: De mate waarin het watermerk bestand is tegen handmatige aanpassingen, parafraseren of vertalen.
Als men de waarde van $\delta$ zeer hoog kiest, wordt het watermerk extreem makkelijk detecteerbaar, zelfs in zeer korte teksten. De prijs die hiervoor wordt betaald is echter een vermindering van de tekstkwaliteit. Het model wordt immers gedwongen om woorden te kiezen die weliswaar groen zijn, maar statistisch gezien minder passend zijn in de context. Dit kan leiden tot een verhoogde perplexiteit, wat zich uit in onnatuurlijk taalgebruik, repetitieve zinsstructuren of subtiele semantische fouten. Dit is met name problematisch bij taken die een hoge precisie vereisen, waarbij methoden zoals hallucinaties meten aantonen dat elke verstoring van de natuurlijke output de betrouwbaarheid van de antwoorden kan verslechteren.
Aanvallen en kwetsbaarheden
Hoewel de wiskundige basis van watermerken solide is, zijn er in de praktijk diverse manieren waarop deze systemen kunnen worden omzeild of onbruikbaar gemaakt. Dit maakt het blind vertrouwen op de aanwezigheid van een watermerk riskant.
Parafraseren en tekstuele bewerking
De meest voor de hand liggende aanval op een tekstwatermerk is het parafraseren van de gegenereerde tekst. Omdat het watermerk afhankelijk is van de exacte opeenvolging van tokens (het voorgaande token bepaalt immers de groene lijst voor het volgende), verstoort elke wijziging in de tekst de hash-keten. Als een gebruiker synoniemen introduceert, zinnen omdraait of simpelweg om de paar woorden een aanpassing doet, raakt de detector de draad kwijt. De statistische significantie van de groene tokens daalt daardoor snel tot onder de detectiedrempel.
Vertalen als omleidingsroute
Een andere effectieve methode is het vertalen van de tekst. Door een AI-gegenereerde Nederlandse tekst naar het Duits te vertalen en vervolgens weer terug naar het Nederlands, verdwijnt het oorspronkelijke watermerk volledig. De structuur van de zinnen wordt tijdens dit proces opnieuw opgebouwd door een ander model (of hetzelfde model zonder actieve watermerksleutel), waardoor de specifieke token-opeenvolgingen die het watermerk vormden, verloren gaan.
Mengen van bronnen en handmatige ruis
Het combineren van menselijke tekst met AI-gegenereerde fragmenten verzwakt de detecteerbaarheid eveneens. Als een document voor de helft bestaat uit authentieke menselijke input en voor de helft uit gewatermerkte AI-tekst, vlakt de statistische afwijking af. De detector heeft dan een veel langere tekst nodig om met voldoende wiskundige zekerheid te kunnen vaststellen dat er sprake is van synthetische invloeden.
De uitdaging van open-gewichtenmodellen
Een fundamenteel probleem voor de brede handhaving van watermerken is het bestaan van open-gewichtenmodellen. Een ontwikkelaar kan ervoor kiezen om watermerkinfrastructuur te implementeren in een gesloten API-dienst. Gebruikers die echter lokaal een model draaien waarvan de gewichten openbaar toegankelijk zijn, kunnen de code die de sampling-verdeling aanpast eenvoudig uitschakelen of omzeilen. Zolang er krachtige modellen beschikbaar zijn zonder ingebouwde watermerkrestricties, blijft de effectiviteit van deze technologie beperkt tot de platformen van specifieke commerciële aanbieders.
Post-hoc classifiers versus actieve watermerken
Het is belangrijk om onderscheid te maken tussen actieve watermerksystemen en passieve, achteraf toegepaste detectoren (post-hoc classifiers). Waar een watermerk tijdens de creatie actief patronen in de tekst weeft, probeert een post-hoc classifier achteraf te raden of een tekst door een machine is geschreven op basis van statistische kenmerken zoals 'perplexity' (hoe voorspelbaar is de tekst) en 'burstiness' (de variatie in zinlengte en structuur).
Post-hoc classifiers zijn over het algemeen een veel zwakker instrument. Ze zijn gevoelig voor valse positieven: teksten die door mensen zijn geschreven, maar per ongeluk als AI worden aangemerkt. Dit treft met name schrijvers die een zeer gestructureerde, eenvoudige stijl hanteren, zoals non-native speakers of professionals die formele, juridische documenten opstellen. Omdat de patronen die zij gebruiken dicht bij de gemiddelde voorspelbaarheid van een taalmodel liggen, slaan passieve detectoren hier vaak onterecht op aan. Watermerken hebben dit probleem in theorie niet, omdat de kans op een fout-positieve detectie wiskundig kan worden begrensd door de z-score drempelwaarde extreem streng in te stellen.
Herkomst-metadata en content-credentials
Naast de wiskundige beïnvloeding van tekstpatronen wordt er gekeken naar herkomst-metadata als aanvullende route. Hierbij wordt gebruikgemaakt van cryptografische handtekeningen die in de bestandskop (metadata) worden opgeslagen op het moment dat een document wordt geëxporteerd. Dit systeem is vergelijkbaar met digitale certificaten.
Hoewel dit een betrouwbare methode is om de keten van eigendom en bewerking aan te tonen, lost het de uitdagingen van platte tekst niet op. Zodra een gebruiker de tekst kopieert via het klembord (Ctrl+C en Ctrl+V) en plakt in een nieuwe editor, gaat alle metadata verloren. Herkomst-metadata werkt daarom alleen in gesloten ecosystemen of bij specifieke bestandsformaten (zoals ondertekende PDF's), maar is ongeschikt voor de miljarden informele tekstuitwisselingen die dagelijks plaatsvinden.
Maatschappelijke en praktische implicaties in Nederland
De discussie over het herkennen van synthetische tekst raakt verschillende domeinen in de Nederlandse samenleving. De toepasbaarheid van detectietechnologie verschilt sterk per sector.
Onderwijs en academische toetsing
In het onderwijs is de angst voor fraude met AI-gegenereerde essays groot. Veel onderwijsinstellingen hebben geëxperimenteerd met passieve detectietools, maar lopen aan tegen de onbetrouwbaarheid en de juridische risico's van valse beschuldigingen. Het ontbreken van een universele watermerkstandaard betekent dat scholen studenten niet zomaar kunnen beschuldigen op basis van een statistische score. Bovendien zorgt de eenvoud waarmee studenten een tekst kunnen parafraseren ervoor dat actieve watermerken in deze context weinig bescherming bieden.
Journalistiek en media-integriteit
Binnen de journalistiek ligt de nadruk op transparantie en het verifiëren van bronnen. Hoewel redacties baat kunnen hebben bij systemen die helpen bij het controleren van ingezonden stukken, is het handmatig controleren en AI-antwoorden factchecken nog altijd de belangrijkste verdedigingslinie. Een technisch watermerk kan ondersteunend werken, maar mag nooit de journalistieke plicht tot hoor en wederhoor en bronverificatie vervangen.
Sollicitatieprocedures en bewijsvoering
Bedrijven die grote hoeveelheden sollicitatiebrieven ontvangen, zoeken soms naar manieren om de authenticiteit van deze brieven te beoordelen. Ook hier geldt dat een kandidaat die een brief laat genereren en deze vervolgens licht aanpast, het watermerk al snel onherkenbaar maakt. In juridische contexten en bewijsvoering is de bewijskracht van een gedetecteerd watermerk eveneens beperkt: het kan dienen als ondersteunend statistisch bewijs, maar het is zelden sluitend omdat de invoergeschiedenis en mogelijke bewerkingen van de tekst achteraf moeilijk te reconstrueren zijn.
Op Europees niveau stelt wetgeving zoals de EU AI Act regels vast voor de transparantie van AI-systemen. Aanbieders van modellen die synthetische content genereren, worden verplicht om hun outputs op een machineleesbare manier te labelen. Dit stimuleert de verdere ontwikkeling en standaardisatie van watermerktechnieken, al blijft de technische handhaafbaarheid een complex vraagstuk.
Beleidsmatige afwegingen voor organisaties
Gezien de technische beperkingen en de kwetsbaarheid van watermerken voor actieve omzeiling, doen organisaties er goed aan om hun beleid niet op te hangen aan de hoop op een perfecte detectietool. Een strategische benadering richt zich in plaats daarvan op procesinrichting en verantwoorde integratie.
Organisaties kunnen bijvoorbeeld duidelijke afspraken maken over het loggen van AI-gebruik. Door werknemers of externe partners te verplichten om te declareren welke hulpmiddelen zij hebben gebruikt tijdens het schrijfproces, verschuift de focus van controle achteraf naar transparantie vooraf. Hierbij kunnen interne filtersystemen en moderatie- en veiligheidsmodellen worden ingezet om te garanderen dat de gegenereerde content aan de kwalitatieve en ethische normen van de organisatie voldoet.
Bovendien is het zinvol om de nadruk te leggen op de kwaliteit en de feitelijke juistheid van de uiteindelijke output, ongeacht de ontstaansgeschiedenis. Als een tekst inhoudelijk klopt, geen plagiaat bevat en de lezer correct informeert, is de exacte methode van totstandkoming in veel zakelijke contexten van secundair belang. Het bouwen van een cultuur waarin kritisch denken en handmatige redactie centraal staan, blijkt in de praktijk een stuk robuuster dan het najagen van een watermerkdetector die door een simpele parafraseeractie kan worden misleid.
