AIで文章を作った人が、二人いる。
一人は、AIと下書きを作り、自分で根拠を確かめ、書き直し、AIを使った工程も隠さず公開する。文章には、生成元を示す機械可読の印が残る。
もう一人は、偽情報を大量に流したい。生成後の文章を別のモデルで言い換え、翻訳し、断片を混ぜ、印が消えるまで加工する。
検出器が見つけるのは、どちらだろう。
AI文章への透かしは、悪意ある利用を止める技術として期待されている。だが、印を守る動機があるのはルールを守る側であり、消す動機が強いのは欺こうとする側だ。
もしこの非対称を無視して、透かしを「AIが書いた証拠」や「信頼できない文章の印」として運用すれば、制度は危険な文章ではなく、正直にAIを使った人だけを見つける装置になりかねない。
消せる印は、悪意あるAI文章を止められるのか。透かしを信頼の補助線として活かしながら、出自だけで人や文章を裁かない設計は可能か。
Claudeが始めるのは、見えない「生成の癖」
Anthropicは2026年8月、EU AI Act Article 50(2)への対応として、Claudeが生成するtextへmachine-readableなmarkingを導入する方針を公開した。
Anthropicの説明では、対象となるClaude modelは、文章の中へ目に見える印を追加するのではなく、人には知覚できないwatermarkをtextそのものへ織り込む。一般的な生成時watermarkには、語やtokenの選択へ統計的なpatternを持たせる方式がある。ただし、Claudeが採用する検出方式の技術詳細は今後公開予定であり、現時点で特定のalgorithmまで断定はできない。copy and pasteで簡単に落ちるmetadataとは異なり、文字列と一緒にsignalを運ぶ設計だと説明されている。
一方、Claudeが生成する対応fileにはC2PAのContent Credentialsを使い、生成元や来歴を署名付きmetadataとして扱う。text watermarkとfile provenanceは、同じ「透かし」と呼ばれても仕組みが違う。
ここで、報道の見出しより慎重に読まなければならない点がある。
Anthropicの説明では、EUで2026年8月2日以降にlaunchされる新しいClaude modelは、launch時からmarkingへ対応する。既存modelへの対応は進行中だ。したがって、現時点のClaudeの全回答へ、すでに同じ透かしが入っているとは言えない。
また、検出方式の詳細や一般利用できるdetectorも、まだ十分には公開されていない。外部研究で別のwatermarkが破られたからといって、Claudeの実装がすでに破られたと断定することもできない。
そこは区別したうえで、なお大きな問題が残る。
Anthropic自身が認める、二つの限界
関与の可能性は示せても、真偽・品質・独自性・適法性・最終責任までは分からない。
- 対応modelが、生成・加工へ関与した可能性
- 内容の真偽
- 品質・独自性
- 適法性
- 最終責任
- 人間だけで書いたかどうか
第一の限界は、印が見つかっても、Claudeが原文の作者とは限らないことだ。
人が書いた文章をClaudeへ渡し、誤字を直した。翻訳した。要約した。構成を整えた。その処理でClaudeが新しいtextを生成すれば、出力にはmarkが入り得る。
つまり検出できるのは、せいぜい「対応するClaudeがこの文字列の生成または加工へ関与した可能性」である。それだけで、発想、主張、取材、事実確認、編集判断までClaudeが担ったとは分からない。
第二の限界は、印が見つからなくても、人間が書いた証明にはならないことだ。
Anthropicは、強い編集、paraphrase、translation、複数textの混合によってmarkが検出できなくなる場合があると説明している。短い文章は、統計的なsignalを判断する材料自体が足りないこともある。未対応のmodel、product、file typeで生成された可能性も残る。
これは細かな注意書きではない。透かしを社会でどう扱えるか、その権限の上限を決める条件である。
検出された：対応modelがtextの生成・加工へ関与した可能性がある。
検出されない：人間だけで書いたとは限らない。
どちらからも分からない：内容の真偽、品質、独自性、適法性、最終責任。
「悪い人は消す」は、感想ではなく技術上の圧力である
正直な利用ほど印が残り、欺く意図があるほど、通過するまで加工し直せる。
- 下書きとして公開
- 編集・要約・翻訳
- そのまま利用
- 別modelで言い換え
- 翻訳を往復
- 断片を混ぜて再生成
AI text watermarkの研究は、signalを入れる側と、品質を保ったままsignalを崩す側の競争を続けてきた。
ICML 2024で発表された「Watermarks in the Sand」は、文章品質を判定でき、意味を大きく壊さず変形できるという条件のもとでは、強いlanguage-model watermarkを成立させることが不可能になるという結果を示した。研究teamはgenericな攻撃を実装し、三つの方式で、測定上の品質低下を小さく抑えながらmarkを除去できたと報告している。
これは「世界中の全watermarkを必ず消せる」という証明ではない。定理には前提があり、実験対象も限られる。それでも、攻撃側が文章を何度も変形できる環境では、検出signalを永続させることが構造的に難しいと示す。
NeurIPS 2023のDIPPER研究では、contextを保った長文paraphraseにより、watermarkと複数のAI text detectorを回避できることが示された。ICML 2025でも、調査対象のwatermarkに対してadaptive attackが高い回避率を示した研究が複数報告されている。
重要なのは、攻撃に高度な専門知識が要り続けるとは限らない点だ。
文章は画像や音声と違い、同じ意味を別の語順、語彙、文体、言語で表せる。別のLLMへ「意味を保って書き直して」と頼む。translationを往復する。人が段落ごとに編集する。複数のoutputを混ぜる。生成技術が普及するほど、透かしを崩すための変形手段も安価になる。
悪意あるactorは、detectorへ通して失敗すれば再生成できる。守る側が一度markを入れて終わるのに対し、攻撃側は通過するまで試せる。このretryの非対称も大きい。
それでも、透かしを「無意味」と切り捨てない
ここまで読むと、透かしは役に立たないように見える。しかし、それも正確ではない。
Google DeepMindのSynthID-Textは、token選択へsignalを埋め込む方式をGeminiへ実装した。Natureに掲載された研究では、約2,000万responseを用いたlive experimentで、利用者が感じるqualityへの有意な悪化をほぼ生じさせずに運用できたと報告されている。
長く、多様な語を選べる文章ではsignalを持たせやすく、copy and pasteや一部の穏やかな編集にも耐えられる。platformが自社model由来の大量投稿を調査する、誤ってAI outputを人間の原文として扱うのを防ぐ、制作履歴へ戻る入口を作る。そうした協力的または非敵対的な環境では、markingは有用なsignalになり得る。
Googleも、徹底したrewriteやtranslationでconfidenceが下がり、事実回答のように語の選択肢が少ないtextでは効果が弱くなると説明している。
つまり、研究が示しているのは「使えるか、使えないか」の二択ではない。
通常のcopy and pasteや軽い編集をまたいで、origin signalを残す用途
意図的にsignalを消そうとするactorを、最後まで捕捉する用途
前者には現実的な価値がある。後者を保証するには、現在のtext watermark単独では荷が重い。
EUの調査も「多層防御」を求めている
EU AI Act Article 50(2)は、syntheticなaudio、image、video、textを生成するproviderへ、machine-readableかつdetectableなmarkingを求める。
ただし条文は、effectiveness、interoperability、robustness、reliabilityを、technical feasibility、content modalityの限界、cost、state of the artを考慮して確保するよう定めている。通常のeditingを補助するだけで、inputや意味を大きく変えないsystemには例外もある。
EUのPublications Officeが2026年5月に公開したtext markingの技術調査は、watermarkingだけでなく、structural marking、metadata、logging、AI-text detectionを比較した。その結論は、万能な一方式の採用ではない。general-purpose textには複数の防御線が必要で、すべてのAI textを自動検出するという目的に対して、現在の方式にはなお限界があるとする。
制度を作る側も、透かし一枚ですべてが解けるとは見ていないのである。
OpenAIも、いずれtextへ進む可能性は高い
OpenAIは現在、対応するimageへC2PAとSynthID、audioへSynthIDを使うprovenance施策を公開している。公開されているcoverageには、現時点でtextは含まれていない。
一方でOpenAIは、EUのTransparency Codeへのcommitmentに沿い、textを含む全modalityへprovenance signalを広げることを目標としている。したがって、OpenAIも将来text markingへ進む可能性は高いが、方式や時期はまだ公表されていない。
GoogleはすでにSynthID-Textを実装し、Anthropicは新しいClaude modelでの対応方針を明らかにした。大手providerの出力へ、何らかの機械可読signalを持たせる流れは強まっている。
だからこそ、今の段階で「markを何の証拠として使ってよいか」を決めておく必要がある。
正直な利用者だけが残る印
印の有無を「AIか人間か」の判決として使えば、評価は逆転しうる。
- 01大手providerが対応marking ruleを守る
- 02通常利用でmarkが残る正直な利用者ほど検出
- 03回避者はrewrite・翻訳・混合markを崩すまで試せる
- 04社会がmarkの有無を判決化AIか人間かだけで判断
- 05遵守者が疑われ、回避者が信じられる評価が逆転する
AIによる偽情報を減らしたい。選挙、詐欺、なりすまし、偽の専門情報から人を守りたい。その目的には同意できる。
しかし、目的が正しくても、signalの意味を取り違えれば結果は逆転する。
大手providerと責任ある事業者は、marking ruleへ対応する
通常利用ではmarkが残り、検出される
欺く意思のあるactorは、未対応model、rewrite、translation、mixingで回避を試みる
社会がmarkの有無を「AIか人間か」の判決として扱う
遵守した文章ほど疑われ、回避した文章ほど人間作に見える
これは、speed limitを守った車だけに目立つstickerを貼り、stickerがない車を安全だと判断するようなものだ。
透かしは出所のsignalであって、善悪のsignalではない。にもかかわらず、学校、採用、出版、platform moderationが、検出結果を懲戒や排除へ直結させれば、誤った権限を与えることになる。
とりわけ、proofreadingやtranslationだけでmarkが入り得るなら、「AI検出」と「本人が考えていない」を同じ意味にしてはいけない。
必要なのは、文章の出自ではなく「信頼のchain」を見ること
model signalから公開責任まで、五層が揃って初めて意味のある透明性になる。
- 01MODEL SIGNAL対応modelが生成・加工した可能性を示す
- 02SIGNED PROVENANCE誰が、どのtoolで、どのassetを作ったか
- 03SOURCE & AUDIT LOG引用元、検証時刻、生成と編集の履歴
- 04HUMAN EDITORIAL CONTROL人が主張・構成・fact・権利をreview
- 05ACCOUNTABLE PUBLISHER公開主体が訂正と説明の責任を引き受ける
誰が、何を使い、どこを確認したか。消せる印ひとつに信頼を預けず、制作の履歴を積み上げる。
信頼したいのは、その文章が人間の指だけで入力されたことではない。
何を根拠にし、誰が編集し、どこまでAIが関与し、誰が公開判断を行い、間違った時に誰が訂正するのか。そのchainである。
text watermarkは、そのchainの一層として置けばよい。
Model signal──対応modelが生成・加工した可能性を示す
Signed provenance──誰が、どのtoolで、どのassetを作ったかを改ざん検知可能にする
Source and audit log──引用元、検証時刻、生成と編集の履歴を残す
Human editorial control──人が主張、構成、fact、権利をreviewする
Accountable publisher──公開主体が訂正と説明の責任を引き受ける
high-riskな場面では、さらに強い開示が必要だ。実在人物の発言を装う。医療や金融の判断を誤らせる。選挙へ介入する。そうしたcontentは、AI利用の有無ではなく、誤認とharmの大きさに応じて厳しく扱うべきである。
反対に、文章の整理、翻訳、共同執筆、表現の改善まで一律に危険表示すれば、透明性は説明ではなく烙印になる。
透かしは「AIだから疑う」ためではなく、来歴へ戻る入口として使う。規制と審査が強く見るべきなのは、AIの使用そのものではなく、欺瞞、権利侵害、なりすまし、根拠の欠落、訂正責任の不在である。
AI文章はなくならない。ならば、責任を見えるようにする
生成AIで作られた文章は、もう社会から消えない。
AIだけで書く文章も、人とAIが共同で作る文章も、人の文章をAIが整える場面も増える。そこへ一律の印を押し、「AIか、人間か」だけを判定しようとしても、制作実態は捉えられない。
しかも、本当に悪意を持つ人ほど、その二択から逃れるために加工する。
透かしを導入するなら、その限界まで一緒に社会へ実装しなければならない。
見つかった印は、関与のsignalであって、罪の証拠ではない。見つからない印は、人間性の証明ではない。
文章の価値を決めるのは、誰の指が何文字打ったかではない。何を伝え、何に基づき、どのように検証され、誰が責任を持つかである。
AI時代の透明性が守るべきなのは、「人間だけが作った世界」ではない。
AIを使うことが当たり前になった世界で、欺かれず、出所へ戻れ、責任の所在を確かめられることだ。
