Wasserzeichen für KI-Texte

Programme wie ChatGPT schreiben Texte, die von Menschen kaum zu unterscheiden sind. Ein Wasserzeichen soll diese Unterscheidung trotzdem möglich machen. Dabei baut das Programm beim Schreiben ein verstecktes Muster in den Text ein. Für Leserinnen und Leser bleibt der Text völlig normal. Wer aber weiß, wonach er suchen muss, kann das Muster mit einem Prüfprogramm wieder herausrechnen. Der Name stammt vom Wasserzeichen im Geldschein: Es ist da, man sieht es nur bei genauem Hinsehen.

Der Kampf gegen Textfluten und Fälschungen

Texte aus Maschinen kosten fast nichts mehr. Das macht bestimmte Probleme plötzlich sehr groß. Falschmeldungen lassen sich in Minuten hundertfach neu formulieren. Werbetexte überschwemmen Suchmaschinen. Und in der Schule ist unklar, wer eine Hausarbeit wirklich geschrieben hat.

Ein Wasserzeichen verspricht hier einen technischen Ausweg. Es soll eine verlässliche Antwort auf die Frage geben: Mensch oder Maschine? Genau das fordern auch Gesetzgeber. Die KI-Verordnung der Europäischen Union verlangt, dass künstlich erzeugte Inhalte maschinenlesbar gekennzeichnet werden. Anbieter großer KI-Systeme müssen sich also mit dem Thema beschäftigen, ob sie wollen oder nicht.

Es gibt aber auch ein Eigeninteresse der Firmen. Wenn KI-Texte massenhaft ins Internet fließen, trainieren spätere Modelle auf dem Output ihrer Vorgänger. Fachleute nennen das Modellkollaps. Die Qualität sinkt dabei über die Generationen hinweg. Ein Wasserzeichen hilft, solche Texte vorher auszusortieren.

Wie das Muster in die Wortwahl kommt

Ein Sprachmodell schreibt Wort für Wort. Bei jedem Schritt berechnet es für tausende mögliche nächste Wörter eine Wahrscheinlichkeit. Meistens gibt es mehrere passende Fortsetzungen. Nach „Das Wetter ist heute“ wären „schön“, „gut“, „warm“ oder „mies“ alle sinnvoll. Genau in dieser Freiheit versteckt sich das Wasserzeichen.

Das gängigste Verfahren teilt den Wortschatz vor jedem Schritt zufällig in zwei Hälften. Die eine Hälfte nennt man die grüne Liste, die andere die rote. Welche Wörter grün sind, bestimmt ein geheimer Schlüssel zusammen mit dem vorherigen Wort. Das Modell bevorzugt dann leicht die grünen Wörter. Es zwingt sich nichts ab, es schiebt nur ein wenig.

Bei einem einzelnen Wort bedeutet das nichts. Ein Mensch würde rein zufällig etwa die Hälfte grüne Wörter treffen. Über hundert Wörter hinweg entsteht daraus aber ein deutliches Ungleichgewicht. Ein Prüfprogramm mit demselben Schlüssel zählt einfach die grünen Treffer. Liegt der Anteil weit über der Hälfte, stammt der Text mit hoher Wahrscheinlichkeit aus der Maschine. Das Verfahren braucht dafür kein Archiv aller je erzeugten Texte.

Der Schwachpunkt liegt im Umschreiben. Wer den Text durch ein zweites KI-Programm jagt oder viele Wörter austauscht, zerstört das Muster Stück für Stück. Kurze Texte sind ohnehin unsicher, weil zu wenige Wörter für eine Statistik da sind. Ein Wasserzeichen ist deshalb ein Hinweis, kein Beweis.

Bilder sind schon markiert, Texte kaum

Bei Bildern und Videos ist die Kennzeichnung bereits Alltag. Google markiert Bilder aus seinen Modellen mit dem Verfahren SynthID. Viele Kameras und Programme unterstützen den Standard C2PA, der Herkunftsdaten an die Datei hängt. Bilder haben Millionen Bildpunkte, in denen sich ein Muster gut verstecken lässt.

Bei Texten ist die Lage anders. OpenAI hat ein funktionierendes Verfahren entwickelt, aber jahrelang nicht freigeschaltet. Der Grund ist geschäftlich: Nutzer könnten zur Konkurrenz ohne Wasserzeichen abwandern. Google hat SynthID für Texte immerhin als offenen Quellcode veröffentlicht.

Ein häufiger Irrtum betrifft die Detektoren, die Schulen und Hochschulen einsetzen. Diese Werkzeuge raten anhand von Stilmerkmalen und kennen keinen Schlüssel. Sie liegen regelmäßig falsch und benachteiligen besonders Menschen, die in einer Fremdsprache schreiben. Ein echtes Wasserzeichen arbeitet völlig anders, ist aber nur nutzbar, wenn der Anbieter es überhaupt einbaut.