Was ist passiert?
In einer Erklärung vom 14. August 2026 sagte Anthropic, dass zukünftige Claude-Modelle Text mit einem statistischen Wasserzeichen generieren werden, das als Version von Google DeepMinds SynthID-Text implementiert wird, um die Transparenzregeln des EU-KI-Gesetzes zu erfüllen. Der Beitrag beschreibt die Methode und ihre Grenzen, nennt aber weder die Modelle, noch gibt sie ein Startdatum an oder startet einen Detektor.
Anthropic hat am 14. August 2026 eine Erklärung veröffentlicht, die beschreibt, wie ein Textwasserzeichen in zukünftigen Claude-Modellen funktionieren wird. Das Unternehmen stellt die Änderung als Einhaltung des EU-KI-Gesetzes dar: Darin heißt es, dass Anbieter, die den EU-Markt bedienen, ab dem 2. August 2026 KI-generierte Inhalte kennzeichnen müssen, und dass Anthropic im Juli 2026 zu den rund 190 Unterzeichnern des EU-Verhaltenskodex zur Transparenz von KI-generierten Inhalten gehörte. Der Beitrag ist eher eine Dokumentation eines Ansatzes als eine Markteinführungsankündigung. Es wird nicht genannt, welche Modelle das Wasserzeichen tragen werden, es wird kein Datum angegeben, wann mit der Kennzeichnung begonnen wird, und es wird auch nicht gesagt, ob es heute in irgendeinem Produkt aktiv ist.
Die Methode wird als eine Version von SynthID-Text beschrieben, dem Schema Google DeepMind, das 2024 in Nature veröffentlicht wurde und das der Beitrag in eine Designfamilie einordnet, die auf einen Vorschlag von Scott Aaronson aus dem Jahr 2022 zurückgeht. Sprachmodelle wählen jeden nächsten Token teilweise zufällig aus Kandidaten aus, die ungefähr gleich gut sind. Beim Wasserzeichen wird diese willkürliche Zufallsquelle durch eine pseudozufällige Quelle ersetzt, die aus einem geheimen Schlüssel und den vorangehenden Wörtern abgeleitet wird, sodass eine Folge von Auswahlmöglichkeiten später auf Konsistenz mit dem Schlüssel getestet werden kann. Anthropic besagt, dass nichts in den Text eingefügt wird, es keine versteckten Zeichen gibt, keine zusätzlichen Token produziert werden und Preis und Geschwindigkeit unverändert bleiben. Es heißt auch, dass das Wasserzeichen keine identifizierenden Informationen enthält und nicht auf eine Person, Organisation oder Konversation zurückgeführt werden kann.
Anthropic geht explizit auf Grenzwerte ein. Ein Erkennungsergebnis schätzt nur die Wahrscheinlichkeit, dass Claude an der Herstellung einer Passage beteiligt war. Es kann nicht nachweisen, dass der Text von Menschen geschrieben wurde, und es kann keine anderen KI-Systeme identifizieren, die andere Schlüssel oder völlig andere Methoden verwenden würden. Die Erkennung funktioniert bei kurzen Beispielen schlecht, und die Markierung ist dort spärlicher, wo der Wortlaut eingeschränkt ist – sachliche Aussagen mit einer korrekten Vervollständigung, Arithmetik und einem korrekten Code, bei denen im Beitrag angegeben wird, dass die Auswirkungen auf den Code selbst vernachlässigbar sind und das Wasserzeichen hauptsächlich in Kommentaren vorhanden ist. Bei einem leichten Korrekturlesen menschlicher Texte können möglicherweise zu wenige Claude-gewählte Wörter registriert werden. Bei einer vollständigen Neufassung wird die Markierung entfernt; Leichte Bearbeitung, sagt das Unternehmen, wird dies wahrscheinlich nicht tun. In dem Beitrag heißt es außerdem, dass ein Wasserzeichen nichts über Eigentum, Urheberschaft oder rechtliche Verantwortung für eine Ausgabe aussagt.
Anthropic sagt, dass Dateien, die Claude in unterstützten Formaten wie .png, .jpg und .svg erstellt, neben Text auch C2PA-Inhaltsanmeldeinformationen enthalten werden – eine kryptografisch signierte Notiz in Dateimetadaten, Teil eines offenen Industriestandards, die aufzeichnet, dass Claude beteiligt war, ohne die Datei selbst zu verändern. Das Unternehmen gibt bekannt, dass eine API zur Wasserzeichenerkennung in Kürze verfügbar sein wird, die Implementierungsdetails jedoch noch ausgearbeitet werden und dass ein eigenes Tool zur Überprüfung von C2PA-Anmeldeinformationen bereitgestellt wird. Das Wasserzeichen wird beim Start global angewendet, da es laut Anthropic keine dauerhafte Möglichkeit gibt, es nach Region zu grenzen. Claude Modelle, die vor dem 2. August 2026 veröffentlicht wurden, unterliegen einer Übergangsfrist im EU-Recht und sollen in den kommenden Monaten abgedeckt werden.
Lesen Sie die Primärquelle: anthropic.com ↗
Warum es wichtig ist
Schlüsselbasierte Wasserzeichen sind ein stärkerer Beweis als stilbasierte KI-Detektoren, sie beantworten jedoch nur eine eng gefasste Frage: ob die Modelle eines Anbieters wahrscheinlich eine ausreichend lange Passage berührt haben. Ein negatives Ergebnis beweist nichts, und die Technik ist genau dort am schwächsten, wo es häufig zu Streitigkeiten kommt – Code, kurzer Text und leicht bearbeitete menschliche Schrift.
Die Provenienz ist zu einem praktischen Problem für Schulen, Gerichte, Verlage, Personalbeschaffung und Plattformmoderation geworden, und die meisten heute verwendeten Tools sind statistische Detektoren, die aus stilistischen Angaben auf die Urheberschaft schließen – ein Ansatz mit gut dokumentierten falsch-positiven Problemen. Ein schlüsselbasiertes Wasserzeichen ist eine andere Art von Beweisen: Die Partei, die den Schlüssel innehat, testet ein Muster, das sie absichtlich platziert hat, anstatt es anhand des Stils zu erraten. Das ist im Prinzip eine echte Verbesserung, aber nur für die enge Frage, die es beantwortet.
Die Asymmetrie ist für jeden von Bedeutung, der versucht ist, dies in einem disziplinarischen oder rechtlichen Umfeld zu nutzen. Ein positives Ergebnis deutet auf eine Beteiligung von Claude hin; Ein negatives Ergebnis beweist nichts, da der Text möglicherweise von einem anderen Modell stammt, von einem älteren Claude-Modell, das sich noch in der Übergangsphase befindet, von einem stark redigierten Entwurf oder von einer Passage, die zu kurz oder zu eingeschränkt ist, um eine Markierung zu halten. Anthropic sagt, dass das Wasserzeichen „Claude hat dies geschrieben“ und „Claude hat dies stark bearbeitet“ nicht trennen kann. Institutionen, die eine Detektorausgabe als Beweis für Fehlverhalten betrachten, würden auf einem Signal aufbauen, das ihr eigener Hersteller als probabilistisch bezeichnet.
Die Belege für die Aussage „keine Auswirkungen auf die Qualität“ sind in einer erwähnenswerten Weise uneinheitlich. Anthropic zitiert interne Tests, die nicht veröffentlicht wurden, sowie das SynthID-Text-Papier, in dem DeepMind keinen statistisch signifikanten Unterschied in den „Daumen hoch“- und „Daumen runter“-Bewertungen meldete, wenn ein mit Wasserzeichen versehenes Modell einen Teil des Gemini-Verkehrs bediente, und keinen wahrgenommenen Unterschied in einer kontrollierten, nebeneinander durchgeführten menschlichen Bewertungsstudie. Das ist ein echter externer Beweis, aber es betrifft das Modell und den Verkehr eines anderen Unternehmens. Für Claude wurden keine Messungen der Wasserzeichenstärke, der Falsch-Positiv-Rate oder der Mindestpassagelänge veröffentlicht.
Die Regulierungsmechanismen reichen auch über Europa hinaus. Da Anthropic angibt, dass es das Wasserzeichen noch nicht nach Regionen eingrenzen kann, wird eine EU-Transparenzverpflichtung durch geänderte Ausgaben für Benutzer weltweit erfüllt. Der Code of Practice bindet viele Anbieter, sodass von anderen Entwicklern vergleichbare Marken erwartet werden, jeder mit seinem eigenen Schlüssel und möglicherweise seiner eigenen Methode. Das deutet auf eine fragmentierte Verifizierungslandschaft hin: Kein einzelner Detektor, der alle Modelle abdeckt, Prüfungen, die über herstellerkontrollierte Endpunkte laufen, und Open-Weight-Modelle – bei denen die Stichprobe von demjenigen kontrolliert wird, der das Modell betreibt –, die weitgehend außerhalb des Schemas liegen.
Was Sie als nächstes sehen sollten
Die unveröffentlichte Erkennungs-API wird entscheiden, ob dies in der Praxis anwendbar ist: Zugriffsbedingungen, Konfidenzwerte, Falsch-Positiv-Optimierung und Mindesttextlänge sind allesamt nicht spezifiziert. Offen ist auch, welche Modelle damit ausgeliefert werden, wie schnell Modelle vor August 2026 nachgerüstet werden und ob sich die weltweite Anwendung später auf die EU beschränkt.
Die Erkennungs-API bestimmt, ob etwas davon verwendbar ist. Ungelöst: Wer erhält Zugriff, ob kostenlos oder gebührenpflichtig, welche Konfidenzwerte es zurückgibt, auf welche Falsch-Positiv-Rate es abgestimmt ist und welche Mindesttextlänge es erfordert. Diese Entscheidungen entscheiden darüber, ob das Wasserzeichen zu einem sorgfältigen forensischen Hilfsmittel oder zu einem stumpfen Instrument im Unterricht und bei Personalermittlungen wird. Anthropic hat kein Veröffentlichungsdatum angegeben.
Zweitens: Berichterstattung. Der Beitrag gibt nicht an, welche kommenden Modelle das Wasserzeichen tragen oder wann sie ausgeliefert werden, und die Einführung von Nachrüstmodellen, die vor dem 2. August 2026 auf den Markt kommen, wird nur als in den kommenden Monaten beschrieben beschrieben. Bis dies abgeschlossen ist, bleibt ein großer Teil der vorhandenen Claude-Ausgabe unmarkiert, und jeder Detektor wird blinde Flecken aufweisen, über die nachgeschaltete Benutzer nicht ohne weiteres nachdenken können.
Drittens Robustheit. Forscher haben wiederholt Wasserzeichenschemata mit Paraphrasierung, modellübergreifender Übersetzung und Bearbeitungen auf Token-Ebene untersucht, und der eigene Bericht von Anthropic räumt ein, dass eine vollständige Neufassung das Zeichen zunichte macht. Erwarten Sie veröffentlichte Angriffe – und, sobald die Erkennungs-API vorhanden ist, unabhängige falsch-positive Analysen. Diese Ergebnisse und nicht die Herstellerdokumentation geben Aufschluss darüber, wie viel Gewicht das Signal aushalten kann.
Beobachten Sie abschließend, ob die globale Anwendung eingeschränkt wird. Anthropic sagt, dass es weiterhin regionale Scoping- und Freigabeaktualisierungen evaluieren wird. Es lohnt sich auch zu verfolgen, wie andere Unterzeichner des Verhaltenskodex ihre eigenen Markierungen implementieren, ob eine gemeinsame Verifizierungsebene entsteht und ob EU-Regulierungsbehörden Leitlinien dazu herausgeben, was als angemessene Markierung für Code, kurze Ausgaben und leicht bearbeiteten menschlichen Text gilt – die Fälle, in denen diese Technik konstruktionsbedingt am schwächsten ist.
