Anthropic: Kontroverse Wasserzeichen in Texten als Mittel gegen KI-Kannibalismus
Trending Topics auf Google als bevorzugte Nachrichtenquelle festlegen.
Anthropic hat in einem ausführlichen Blogpost nachgeschärft, wie das neue Wasserzeichen in den Textausgaben seines KI-Modells Claude technisch funktioniert. Das Unternehmen reagiert damit auf teils heftige Reaktionen aus der eigenen Nutzerschaft: Nachdem die Ankündigung über eine aktualisierte Support-Seite bekannt geworden war, kündigten auf X und Reddit zahlreiche zahlende Kundinnen und Kunden an, ihr Abo zu beenden (TechCrunch). Besonders laut war der Widerspruch von zwei Gruppen: Menschen, die Claude nur zum Lektorieren eigener Texte nutzen, und Entwicklerinnen und Entwicklern, die eine Verschlechterung des generierten Codes befürchteten.
Das Wasserzeichen steckt in der Wahl zwischen Synonymen
Der Kern der Erklärung: Ein Sprachmodell schreibt Wort für Wort und hat an vielen Stellen die Wahl zwischen mehreren Synonymen, die den Satz gleich gut fortsetzen. Bei einem Satzanfang wie „Das Wetter war heute kalt und …“ ist es weitgehend egal, ob „bewölkt“ oder „grau“ folgt – der Sinn bleibt derselbe, entschieden wird normalerweise per Zufallszahl. Genau an diesen austauschbaren Synonymen setzt das Wasserzeichen an: Statt eines beliebigen Zufallsgenerators bestimmen ein geheimer Schlüssel und die jeweils vorangegangenen Wörter, welches der gleichwertigen Wörter genommen wird. Über einen längeren Text summieren sich diese Entscheidungen zu einem Muster. Wer den Schlüssel hat, kann prüfen, ob eine Wortfolge dazu passt, und daraus eine Wahrscheinlichkeit ableiten, dass Claude beteiligt war.
Die Wortwahl bleibt dabei laut Anthropic unauffällig: Das Modell wird nicht dauerhaft in Richtung „bewölkt“ oder „grau“ gedrängt, sondern entscheidet je nach vorangegangenem Text weiterhin unterschiedlich. Und es greift auch nicht zu exotischen Synonymen, die es sonst nie verwenden würde – zur Auswahl stehen nur jene Varianten, die ohnehin in Frage gekommen wären.
Dem Text selbst wird dabei nichts hinzugefügt – keine versteckten Zeichen, keine zusätzlichen Tokens, entsprechend auch keine höheren Kosten und kein spürbarer Geschwindigkeitsverlust. Auch Rückschlüsse auf einzelne Personen, Organisationen oder Chats sind laut Anthropic nicht möglich. Das Verfahren ist eine Variante von SynthID-Text, das Google DeepMind entwickelt und in einem Nature-Paper veröffentlicht hat. In einem Live-Test mit einem Teil des Gemini-Traffics fanden sich keine statistisch signifikanten Qualitätsunterschiede zwischen markierten und unmarkierten Antworten.
Grenzen: Lektorat, Fakten, Code
Anthropic räumt selbst deutliche Lücken ein. Das Wasserzeichen wirkt nur dort, wo es echte Wahlfreiheit gibt. Bei Faktenpassagen, bei denen nur eine Formulierung richtig ist, bleibt nichts hängen. Ähnliches gilt für Code, der exakt sein muss – dort kann das Muster praktisch nur in Kommentaren sitzen und hat auf den eigentlichen Code keine Auswirkung. Und wer Claude einen selbst geschriebenen Text nur zur Korrektur von Grammatik und Zeichensetzung vorlegt, hinterlässt so wenige KI-gewählte Wörter, dass eine Erkennung oft scheitert. Umgekehrt gilt: Je mehr Claude schreibt, desto stärker ist das Signal. Übersetzungen tragen das Wasserzeichen vollständig, weil dabei jedes Wort vom Modell stammt. Ein vollständiges Umschreiben entfernt die Markierung wieder, leichtes Redigieren in der Regel nicht.
Für Dateien wie .png, .jpg oder .svg setzt Anthropic nicht auf ein Wasserzeichen, sondern auf signierte Metadaten nach dem offenen C2PA-Standard, den auch Kamerahersteller und Bildbearbeitungssoftware nutzen. Eine Detection-API, mit der sich Texte auf das Wasserzeichen prüfen lassen, ist angekündigt, aber noch nicht verfügbar.
Regulatorischer Anlass, wirtschaftlicher Nutzen
Als Grund nennt Anthropic den EU AI Act: Das Unternehmen hat wie rund 190 weitere Unterzeichner den EU Code of Practice zur Transparenz KI-generierter Inhalte unterschrieben, der eine maschinenlesbare Markierung solcher Inhalte verlangt. Weil es derzeit keine belastbare Möglichkeit gibt, das Feature regional zu begrenzen, wird es weltweit ausgerollt. Andere große Modellanbieter haben denselben Kodex unterzeichnet und arbeiten an eigenen Wasserzeichen.
Neben der Compliance gibt es allerdings auch handfeste Eigeninteressen. Ein zuverlässiger Marker erlaubt es Anthropic, eigene Ausgaben im offenen Web wiederzuerkennen und aus den Trainingsdaten künftiger Modelle herauszufiltern. Das adressiert ein Problem, das unter den Stichworten KI-Kannibalismus und Modell-Kollaps diskutiert wird.
Gemeint ist damit Folgendes: Große Sprachmodelle werden zu einem erheblichen Teil mit Texten trainiert, die aus dem offenen Web stammen. Dieses Web füllt sich aber zunehmend mit Inhalten, die selbst von KI erzeugt wurden. Wer heute Trainingsdaten sammelt, verfüttert einem Modell also immer öfter die Ausgaben anderer Modelle – die KI frisst gewissermaßen ihre eigenen Erzeugnisse. Dieses Phänomen wird als KI-Kannibalismus bezeichnet.
KI-Kannibalismus kann Modell-Kollaps verursachen
Der Modell-Kollaps ist die Folge davon. Eine Nature-Studie eines Teams um Ilia Shumailov hat gezeigt, dass Modelle degenerieren, wenn sie über mehrere Generationen hinweg unkontrolliert auf solchen synthetischen Daten trainiert werden. Zuerst verschwinden die Ränder der Verteilung – also seltene Formulierungen, Ausnahmen, ungewöhnliche Fakten, weil sie in KI-Ausgaben ohnehin unterrepräsentiert sind. Mit jeder Generation verstärkt sich dieser Effekt, bis das Modell ein immer engeres, fehlerhafteres Abbild der Wirklichkeit produziert. Die Autoren beschreiben den Prozess als irreversibel und sehen ihn bei allen generativen Modellen angelegt, nicht nur bei Sprachmodellen. Je mehr KI-Text im Netz kursiert, desto wertvoller wird deshalb die Fähigkeit, ihn zu markieren und beim Zusammenstellen von Trainingsdaten wieder auszusortieren.
Dazu kommt ein möglicher Geschäftszweig: Die angekündigte Detection-API lässt sich vergebühren. Wer künftig prüfen will, ob ein Text von Claude stammt – Verlage, Universitäten, Plattformen, Personalabteilungen –, würde damit für die Kontrolle eines Outputs zahlen, für dessen Erzeugung ohnehin schon gezahlt wurde. Genau dieser Punkt sorgt in der Debatte für Kritik: Ein kostenloser Detektor wäre zugleich ein Werkzeug zur Umgehung, weil sich damit so lange am Text feilen ließe, bis das Wasserzeichen verschwindet. Ein kostenpflichtiger wiederum erschwert unabhängige Überprüfung. Wie Anthropic den Zugang gestaltet und was er kosten soll, ist bislang offen.
