blog
La marca de agua invisible que llevan los textos de IA (y por qué nadie puede verla aún)
Imagina que alguien te manda un texto y te dice que lo escribió una IA. No puedes comprobarlo. Los detectores de IA que existen ahora mismo tienen tasas de error tan altas que los profesores que los usan para pillar alumnos están suspendiendo a estudiantes que escribieron sus trabajos a mano. No son fiables.
Pero hay una solución técnica que sí funcionaría: el watermark. Una firma invisible incrustada en el propio texto durante la generación. No cambia lo que dice. No se ve. Pero si tienes la llave adecuada, puedes leerla.
El problema es que esa llave, en la mayoría de los casos, no existe todavía. O existe y no es pública. Y eso lo cambia todo.
Cómo se firma un texto sin que se note
Un watermark de texto no es un sello. No hay ningún [generado por IA] al final del párrafo. La firma se incrusta en cómo se eligen las palabras.
Cuando una IA genera texto, en realidad está eligiendo tokens —palabras o fragmentos de palabras— uno a uno. Para cada posición, el modelo calcula una distribución de probabilidad sobre todo su vocabulario: esta palabra tiene un 34% de probabilidad, esta otra un 12%, esta otra un 9%… y así con decenas de miles de opciones. Luego elige.
El watermarking manipula ese paso de elección de forma imperceptible. El sistema más estudiado divide el vocabulario en dos listas —verde y roja— de forma pseudoaleatoria usando una clave secreta. Durante la generación, el modelo sesga su selección hacia los tokens de la lista verde. No siempre, y no de forma que cambie el significado, porque hay muchos sinónimos y equivalentes distribuidos entre ambas listas. Pero lo hace sistemáticamente.
El resultado: un texto que cualquier lector humano encuentra perfectamente normal, pero que lleva una firma estadística que, con la clave adecuada, delata su origen.
La firma no es perfecta. Textos muy cortos pueden no tener señal suficiente. Y si alguien reescribe el texto de forma extensiva, borra la firma. Pero en condiciones normales, funciona.
SynthID: el único sistema que tiene las dos piezas
Google DeepMind lanzó SynthID en 2023, primero para imágenes generadas por sus modelos, y lo extendió al texto de Gemini en 2024. Es, hasta ahora, el único sistema de watermarking de texto que tiene tanto la firma como el detector disponibles públicamente.
El detector de SynthID está integrado en las herramientas de Google y permite verificar si un fragmento de texto fue generado por Gemini. No es infalible —el parafraseo extenso puede engañarlo— pero existe y funciona para el propósito que tiene.
Eso suena razonable hasta que piensas en lo que implica: SynthID solo detecta texto de Google. Un texto generado por cualquier otra IA pasa desapercibido. Y ahí es donde la cosa se complica.
OpenAI: lo tenían y decidieron no usarlo
En agosto de 2023, Scott Aaronson, investigador de OpenAI, confirmó en público algo que muchos sospechaban: OpenAI había desarrollado un sistema de watermarking para ChatGPT que funcionaba. Tenían la firma. Tenían el detector. Y habían decidido no lanzarlo.
Las razones oficiales: que los usuarios lo evitarían fácilmente con parafraseo, que podría perjudicar a hablantes no nativos de inglés cuya escritura podría confundirse con patrones de IA, y que solo detectaría ChatGPT, no otras IAs.
Todas son razones reales. Ninguna explica del todo por qué enterraron un sistema que funcionaba.
Un watermark imperfecto que existe es más útil que un sistema perfecto que no se lanza.
La decisión fue y sigue siendo polémica. Hay una lectura más cínica: identificar de forma fiable el contenido de ChatGPT tiene un coste de reputación para OpenAI que no tienen si nadie puede comprobarlo. No es que estén mintiendo. Es que no están facilitando que nadie compruebe la verdad.
Claude y el silencio de Anthropic
Anthropic no ha confirmado públicamente si Claude tiene watermarking. No existe un detector público para textos generados por Claude.
Esto crea una asimetría curiosa:
- Si generas texto con Gemini, es verificable. Hay un detector.
- Si generas texto con Claude, no es verificable. No hay detector público.
- Si generas texto con GPT-4, tampoco es verificable. OpenAI enterró el suyo.
Y aquí llega la parte que más me interesa de todo esto.
La paradoja: el watermark que no puedes ver hasta que alguien construye la llave
Supongamos que Claude tiene watermarking. Anthropic lo implementó, funciona, pero no han publicado el detector. En ese caso, el watermark existe en cada texto que Claude genera. Está ahí, invisible, en millones de conversaciones, documentos, artículos.
Nadie puede leerlo. Ni tú, ni yo, ni los académicos que estudian contenido generado por IA, ni los periodistas que verifican fuentes.
Hasta que alguien construya la llave.
En el momento en que aparezca un detector para Claude —ya sea porque Anthropic lo publica, porque alguien lo reverse-engineering, o porque algún regulador lo exige—, todo el contenido generado por Claude desde que existe el watermark se vuelve retroactivamente identificable. Todo. No solo el futuro: también el pasado.
Y construir ese detector implica, necesariamente, acceder al algoritmo y a la clave que usa Claude para sesgar la selección de tokens. Revelar eso tiene consecuencias que van más allá de la detección de contenido: expone los patrones internos de generación del modelo, los sesgos que el sistema introduce deliberadamente, y potencialmente información sobre cómo funciona la arquitectura por dentro.
Hay un incentivo de negocio muy claro para mantener el estado actual: watermark sin detector público significa contenido opaco para todos. Incluidos competidores, reguladores e investigadores.
No digo que sea la razón. Digo que el incentivo existe.
Qué puedes hacer para reducir la firma (si es que está ahí)
Si te preocupa que tu texto lleve una firma que en el futuro pueda identificarte, estas son las técnicas que debilitan o eliminan el watermark estadístico:
Reescritura extensiva — No parafraseo superficial. Reescribir cambiando la estructura de las frases, el orden de las ideas y el vocabulario borra la distribución de tokens originales. Es la técnica más efectiva.
Traducción y vuelta al idioma original — Traducir a otro idioma y volver al español cambia completamente qué tokens se usan. Pierde matices pero elimina la firma de forma casi completa.
Mezcla con texto propio — Intercalar párrafos propios entre los generados por IA diluye la señal estadística. Un texto 50% humano y 50% IA es mucho más difícil de detectar que uno 100% generado.
Usar varios modelos — Generar secciones con distintos modelos y combinarlas mezcla firmas diferentes. Un detector entrenado para un modelo no detectará los patrones de otro.
La limitación de todo esto: son técnicas útiles contra watermarks actuales. Si el sistema evoluciona hacia firmas más robustas al parafraseo —que es la dirección en la que va la investigación—, la efectividad de estas técnicas se reduce.
La pregunta que nadie responde bien
Los fabricantes de IA dicen que el watermarking protege contra la desinformación y el fraude académico. Es verdad. También es verdad que un sistema de watermarking sin detector público no protege contra nada: es inútil para verificar contenido porque nadie puede usarlo.
El único estado del watermarking que tiene utilidad real para el objetivo declarado —identificar contenido generado por IA— es el de SynthID: firma más detector público. Todo lo demás es un sistema opaco cuyo único beneficiario real es la empresa que lo controla.
Puede que eso cambie. Los reguladores europeos están empezando a exigir transparencia sobre el marcado de contenido generado por IA. Si llega una obligación legal de proporcionar detectores públicos, el tablero cambia de forma bastante radical.
Hasta entonces, el watermark sigue siendo una firma que nadie puede leer. Invisible para todos, incluyendo para quien querría usarla para verificar algo.