Wasserzeichen (KI-Modelle)

Programme, die auf Knopfdruck Texte schreiben oder Bilder malen, liefern Ergebnisse, die man kaum noch von menschlicher Arbeit unterscheiden kann. Ein Wasserzeichen ist der Versuch, diese Unterscheidbarkeit künstlich wiederherzustellen. Dabei baut das erzeugende Programm ein verstecktes Muster in sein Ergebnis ein, eine Art unsichtbaren Stempel. Wer das Ergebnis liest oder ansieht, merkt davon nichts. Wer dagegen das passende Prüfprogramm besitzt, kann das Muster nachweisen. Der Name kommt vom Wasserzeichen im Geldschein: Es fällt erst auf, wenn man gezielt danach sucht.

Was auf dem Spiel steht: Beweislast bei Fälschungen

Gefälschte Fotos und Videos von echten Personen sind heute in Minuten gemacht. Solche Fälschungen nennt man Deepfakes. Sie können Wahlen beeinflussen, Aktienkurse bewegen oder Menschen ruinieren. Ein Wasserzeichen soll die Prüfung erleichtern: Redaktionen, Gerichte und Plattformen könnten maschinell erzeugte Inhalte schneller erkennen.

Auch die Politik interessiert sich dafür. Die KI-Verordnung der Europäischen Union, oft AI Act genannt, verlangt von Anbietern, dass maschinell erzeugte Inhalte maschinenlesbar gekennzeichnet werden. Wasserzeichen sind eine mögliche Umsetzung dieser Pflicht. Für Unternehmen ist das kein reines Technikthema mehr, sondern eine rechtliche Anforderung.

Ein zweiter Grund betrifft die KI selbst. Modelle lernen aus Texten und Bildern aus dem Internet. Wenn dort immer mehr maschinell erzeugtes Material landet, lernen neue Modelle aus den Ergebnissen alter Modelle. Fachleute befürchten dadurch einen Qualitätsverlust. Wasserzeichen helfen, solche Inhalte beim Sammeln der Trainingsdaten auszusortieren.

Der versteckte Stempel im Detail

Bei Bildern verändert man einzelne Bildpunkte minimal, nach einem festen, geheimen Schema. Diese Änderungen liegen unter der Wahrnehmungsschwelle des Auges. Das Prüfprogramm kennt das Schema und rechnet nach, ob es im Bild steckt. Bei Tönen funktioniert es ähnlich, dort sitzt das Muster in Frequenzen, die man nicht hört.

Bei Text ist es raffinierter. Ein Sprachmodell wählt jedes Wort aus vielen ähnlich passenden Möglichkeiten aus. Beim Wasserzeichen teilt man den Wortschatz vorher heimlich in zwei Gruppen ein, oft « grün » und « rot » genannt. Das Modell bevorzugt dann leicht die grünen Wörter. Ein einzelner Satz verrät nichts, weil grüne Wörter auch zufällig vorkommen. Über hundert Wörter hinweg wird der Überschuss aber statistisch auffällig.

Der Haken liegt in der Haltbarkeit. Wer einen Text umformuliert oder durch ein Übersetzungsprogramm schickt, zerstört das Muster oft. Bei Bildern reichen manchmal starkes Komprimieren, Zuschneiden oder ein Screenshot. Und Modelle, die jeder frei herunterladen und verändern kann, lassen sich so umbauen, dass sie gar kein Wasserzeichen mehr setzen. Ein Wasserzeichen ist deshalb ein Hinweis, kein Beweis.

Wasserzeichen in Suchmaschinen, Schulen und Kameras

Google kennzeichnet Bilder aus seinen eigenen Systemen mit einem Verfahren namens SynthID und zeigt bei Suchergebnissen an, ob ein Bild maschinell erzeugt wurde. Plattformen wie YouTube, TikTok und Instagram verlangen bei realistisch wirkenden Inhalten eine Kennzeichnung. Teilweise erkennen sie solche Inhalte selbst und setzen den Hinweis automatisch.

Ein verwandter Ansatz arbeitet nicht mit versteckten Mustern, sondern mit Herkunftsdaten. Beim Industriestandard C2PA wird an eine Datei eine kryptografisch gesicherte Historie angehängt: Womit entstand sie, was wurde bearbeitet? Manche Kameras schreiben das schon beim Auslösen mit. Wasserzeichen und Herkunftsdaten ergänzen sich, weil Herkunftsdaten beim Kopieren leicht verloren gehen.

In Schulen und Hochschulen wird das Thema oft mit KI-Detektoren verwechselt. Diese Werkzeuge raten anhand von Stilmerkmalen, ob ein Text von einer Maschine stammt, und irren sich häufig. Ein Wasserzeichen ist etwas anderes: Es muss beim Erzeugen absichtlich eingebaut worden sein. Fehlt es, beweist das nichts.