OpenAI versieht Text mit Wasserzeichen – standardmäßig nur dort, wo das Gesetz es verlangt

Die Ankündigung stammt vom 5. Oktober 2026, der Rahmen ist Artikel 50 des AI Act, der EU-Verordnung 2024/1689, die seit dem 2. August 2026 von Anbietern generativer KI verlangt, synthetische Inhalte in einem maschinenlesbaren Format zu kennzeichnen. OpenAI schrieb in seiner Developer Community, man werde in von ChatGPT und Codex erzeugten Text ein unsichtbares Wasserzeichen einbetten, das „in den kommenden Wochen“ für berechtigte Nutzer aller Tarife kommt – und nur in der Europäischen Union. Bei der API ist es umgekehrt: Kunden weltweit können es für einige Modelle sofort aktivieren, doch die Funktion ist standardmäßig ausgeschaltet und wird, so das Unternehmen, „beim Start keine globale Standardeinstellung“. Bisher betrafen Wasserzeichen vor allem Bilder und Videos; beim Text ist das Gelände feindlicher, denn Umschreiben oder Übersetzen genügt, um das Signal zu schwächen, und manchmal, um es zu löschen.

Die Technik heißt textGrain und fügt weder versteckte Zeichen noch unsichtbare Leerzeichen oder seltsame Satzzeichen ein: Laut Hilfecenter und technischem Bericht verändert sie statistisch die Wahl der Tokens, während das Modell generiert. Der Bericht vom 5. Oktober trägt neun Namen – fünf von OpenAI (Arzav Jain, Florent Joly, Mike Lam, Qingquan Song und Weijie Su als korrespondierender Autor) und vier Wissenschaftler der University of Pennsylvania (Xiang Li, Qi Long) und von Yale (Garrett Wen, Xiaohong Chen). Die Methode wendet optimalen Transport auf Blöcke des Vokabulars an und führt ein „Budget“ ein, das begrenzt, wie viel Zufälligkeit beim Sampling für das Signal geopfert werden darf: ein offen erklärter Kompromiss, kein nachträglich entdeckter Nebeneffekt. Zur Prüfung eines Textes braucht man nur den Text und den geheimen Schlüssel; der Bericht hält aber auch fest, dass die theoretische Falsch-Positiv-Rate unter idealisierten Annahmen gilt und ein fester Schlüssel im Produktivbetrieb empirische Kalibrierungsprüfungen erfordert (Abschnitt 3.2).

Die Zahlen zeigen, wie fragil das Signal ist, und sie sind mit einem Vorbehalt zu lesen: Ich konnte sie nicht im Originalbeitrag von OpenAI prüfen, sondern nur über die Medien, die sie wiedergeben. Bei Passagen von 400 Tokens wird das Wasserzeichen laut den von 9to5Mac und ActuIA zitierten OpenAI-Daten in etwa 92 % der Fälle erkannt; werden 10 % der Wörter durch Synonyme ersetzt, sinkt der Wert auf 66 %, bei 25 % Ersetzungen auf 17 %. ActuIA ergänzt, dass die Messungen eine Falsch-Positiv-Schwelle von 1 % verwenden, dass Passagen von 200 Tokens auf etwa 80 % kommen und mathematische Inhalte auf etwa 60 %; in den 24 EU-Amtssprachen reicht die Erkennung von 42,2 % im Rumänischen bis 69,0 % im Spanischen. Den Wert für Italienisch habe ich nicht gefunden. OpenAI benennt die Grenzen ohne Umschweife – kurze Texte, Bereiche mit wenig sprachlichem Spielraum, Übersetzungen und umfangreiche Paraphrasen senken die Erkennbarkeit – und stellt klar, dass das Wasserzeichen weder den Nutzer identifiziert noch den menschlichen Anteil misst, keine Urheberschaft begründet und nichts darüber aussagt, ob der Text korrekt ist. „The absence of a detected watermark does not prove human authorship“, heißt es in der Ankündigung: Wird kein Wasserzeichen erkannt, beweist das nicht, dass ein Mensch den Text geschrieben hat.

Der Detektor geht zunächst nur an „zugelassene Forschende und Fachorganisationen“, Bewerbungen sind offen; ActuIA nennt unter den ersten Partnern Cornell, die ETH Zürich und das slowakische Institut KInIT. Das Unternehmen begründet die Zurückhaltung ausgerechnet mit den technischen Grenzen: „These limitations contribute to our decision to provide initial detector access only to approved researchers and expert organizations.“ Es hat außerdem angekündigt, textGrain als Open Source veröffentlichen zu wollen, ohne zu sagen, wann. Wir wissen nicht, welche API-Modelle einbezogen sind, wann die Aktivierung in der EU erfolgt und nach welchen Kriterien der Detektor zugänglich wird; unabhängige Bewertungen der Wirksamkeit gibt es bislang nicht.

Was mir bleibt, ist die Geografie dieser Entscheidung. Derselbe Text, vom selben Modell geschrieben, trägt ein Signal, wenn die schreibende Person in der Europäischen Union ist, und anderswo nicht: Die Herkunft eines Inhalts wird zu einer Funktion der Rechtsordnung, nicht zu einer Eigenschaft des Inhalts. Das ist eine legitime Lesart einer Pflicht, die in einem bestimmten Gebiet gilt, und über die API kann die ganze Welt sie auf Wunsch aktivieren. Doch wer einen Text ohne Wasserzeichen erhält, wird weiterhin nichts wissen – und bei einer Erkennung von 42 % im Rumänischen (ActuIA-Wert bei 1 % Falsch-Positiv-Schwelle) und einem Signal, das auf 17 % fällt, sobald ein Viertel der Wörter durch Synonyme ersetzt ist, wird selbst wer den Schlüssel hat weniger wissen, als das Wort „Wasserzeichen“ hoffen lässt.

— Olya