SynthID-Text kører i Gemini og Claude. Der er stadig ingen detektions-API.

To af de tre største udbydere af sprogmodeller vandmærker nu den tekst, de genererer. Google har gjort det i Gemini siden 2024. Anthropic slog det til for Claude den 14. august 2026. Begge bruger samme metode, SynthID-Text, offentliggjort i Nature af Google DeepMind.

Vil du tjekke, om et bestemt afsnit bærer et af de vandmærker, kan du ikke. Ikke via et API, ikke via en portal, ikke med et open source-værktøj. Mærket er der, det er i princippet maskinlæsbart, og de eneste maskiner, der kan læse det, tilhører de to virksomheder, der satte det.

Det hul vejer tungere end for et år siden, for AI-forordningen har nu en mærkningsfrist med en dato på, og en del mennesker er begyndt at købe værktøjer, der påstår at lukke hullet og ikke gør det.

Hvad SynthID-Text faktisk gør

Det er værd at være præcis her, for det meste af det, der skrives om AI-tekstvandmærker, er forkert på præcis samme måde.

SynthID-Text tilføjer ikke noget til teksten. Ingen tegn med nulbredde, ingen mærkelig Unicode, ingen usynlige markører, ingen afslørende tegnsætning, ingen ekstra tokens. Anthropic siger det ordret, og det gælder metoden generelt. Har du nogensinde set rådet om at fjerne usynlige tegn for at slippe uden om et AI-vandmærke, sigter det råd efter noget, der ikke findes her.

Det, metoden gør, er at ændre, hvordan modellen vælger ord.

Når en sprogmodel genererer tekst, danner den en sandsynlighedsfordeling over det næste token og trækker en stikprøve fra den. SynthID-Text griber ind netop dér. Et glidende vindue over de sidste tokens, typisk fire, hashes sammen med en hemmelig vandmærkenøgle og giver et frø. Det frø driver et sæt pseudotilfældige scorefunktioner, g-funktionerne. Algoritmen trækker kandidattokens og sender dem gennem en række turneringslag: hvert lag scorer de konkurrerende kandidater med en g-funktion, og vinderen går videre. Det token, der vinder turneringen, er det, der bliver skrevet ud.

Resultatet er, at de udskrevne tokens over et tilstrækkeligt langt stykke korrelerer med g-værdierne på en måde, som menneskeligt ordvalg ikke ville frembringe. Detektion er så en statistisk test: genberegn g-værdierne hen over teksten, og spørg, om gennemsnittet ligger højere, end tilfældet tillader. De offentliggjorte detektorer findes i tre varianter, et almindeligt gennemsnit, et vægtet gennemsnit og en bayesiansk detektor trænet på vandmærkede og ikke-vandmærkede eksempler, den stærkeste af de tre.

To egenskaber følger af dette design, og de forklarer næsten alt det øvrige.

For det første kræver detektion ikke modellen. Du behøver ikke køre Gemini for at tjekke Gemini-tekst. Det er dét, der gør ordningen billig nok til at rulle ud, og det er et reelt fremskridt i forhold til efterfølgende klassifikatorer.

For det andet kræver detektion nøglen. g-funktionerne bliver seedet af den. Uden vandmærkenøglen har de g-værdier, du beregner, ingen forbindelse til dem, der blev brugt ved genereringen, og testen returnerer støj. Det er ikke et implementeringshul, som nogen lukker på et tidspunkt. Det er den sikkerhedsegenskab, der forhindrer nogen i at forfalske Googles vandmærke på tekst, Google aldrig har skrevet.

Hele detektionsproblemet ligger i den anden egenskab.

Hvem vandmærker tekst i dag

Billedet i august 2026, begrænset til det, udbyderne selv bekræfter:

Google Gemini. Vandmærket siden Nature-artiklen, der beskrev den første udrulning i stor skala, for Gemini og Gemini Advanced. Google-medarbejdere bekræftede på det officielle udviklerforum, at tekst genereret via Gemini API, Google AI Studio og Antigravity også er vandmærket. Det svar kom efter et første, forkert svar i den modsatte retning, hvilket er et rimeligt mål for, hvor tyndt det er dokumenteret.

Anthropic Claude. Aktivt globalt fra den 14. august 2026 på Claude-modeller udgivet den 2. august 2026 eller senere, med ældre modeller på vej. Anthropic beskriver det som en udgave af SynthID-Text-tilgangen og fører idéen tilbage til Scott Aaronsons forslag fra 2022. Anthropic vedhæfter desuden signerede C2PA-credentials til genererede billedfiler, hvilket er en selvstændig mekanisme.

OpenAI. Intet tekstvandmærke. OpenAI byggede ét, ifølge Wall Street Journal i 2024 meget præcist, og lod det ligge i skuffen. De anførte forbehold var, at det klarede sig dårligt mod oversættelse og gennemgribende omskrivning, og at det kunne ramme skævt over for skribenter, der ikke har engelsk som modersmål. OpenAI vedhæfter til gengæld C2PA Content Credentials til genererede billeder.

Alle andre. Modeller med åbne vægte bærer intet vandmærke, medmindre den, der kører dem, tilføjer ét, og intet forhindrer vedkommende i at fjerne det igen. Det er det strukturelle hul, som Nature-artiklen selv sætter navn på: vandmærkning virker kun, hvor udbyderne samarbejder, og åbne modeller kan ikke tvinges til at samarbejde.

At begge udrulninger flugter med den 2. august 2026 er ikke tilfældigt. Det er datoen, hvor artikel 50 i AI-forordningen blev gældende.

De værktøjer, der findes, og hvad hvert af dem duer til

Denne del er værd at få rigtig, for søgeresultaterne på emnet er stærkt forurenede.

google-deepmind/synthid-text på GitHub. Referenceimplementeringen fra Nature-artiklen, Apache 2.0. Den vandmærker og detekterer og indeholder træningskoden til den bayesianske detektor. Den understøtter Gemma og GPT-2 gennem mixin-klasser. README siger udtrykkeligt, at dette er til reproducerbarhed i forskning, at mixins ikke er beregnet til produktion, og at hashfunktionen ikke giver nogen kryptografiske sikkerhedsgarantier. Nyttigt, ærligt, og det er ikke en detektor for andres tekst.

Hugging Face Transformers. Den produktionsegnede vej, Google peger på. SynthIDTextWatermarkingConfig og SynthIDTextWatermarkLogitsProcessor lader dig generere vandmærket tekst fra en model, du selv styrer, ved at give en liste af nøgler og en n-gramlængde med. Har du nøglerne, kan du detektere. Det er den eneste vej, ad hvilken et almindeligt udviklingsteam i dag får vandmærkning af tekst til at virke hele vejen, og den dækker kun tekst, dit eget system har genereret.

MarkLLM. Et akademisk værktøjssæt fra THU-BPM, der implementerer mange vandmærkealgoritmer bag én grænseflade, heriblandt KGW, Unigram, EXP og SynthID-Text med detektorerne gennemsnit, vægtet gennemsnit og bayesiansk. Vurderer du ordninger frem for at udrulle én, starter du her.

SynthID Detector-portalen. Googles upload-og-tjek-værktøj, åbnet for tidlige testere ved I/O i maj 2026 gennem en venteliste for journalister, forskere og mediefolk. Googles egen hjælpedokumentation om verifikation nævner billeder, video og lyd. Tekst står ikke på listen, og udviklerforumtråden om vandmærkning via API siger rent ud, at portalen ikke tager imod den.

Googles Content Detection API. I preview i 2026 på Gemini Enterprise-platformen for navngivne partnere, herunder Shutterstock, Snap, Canva og Fox Sports. Kun billeder, JPEG, PNG og WebP. Ingen tekst, ingen dato for almindelig tilgængelighed, ingen offentliggjorte priser.

Anthropics detektions-API. Annonceret som på vej, uden tidsplan og uden implementeringsdetaljer. Når den kommer, svarer den formentlig for Claude-tekst og for intet andet.

C2PA Content Credentials. Slet ikke et vandmærke, og et supplement snarere end en konkurrent. Det er kryptografisk signerede herkomstmetadata: hvem lavede dette, med hvilket værktøj, hvornår, og var et AI-system involveret, noteret i feltet digitalSourceType. Version 2.3 tilføjede manifester for rene tekstdokumenter, hvilket er nyt og relevant. Svagheden er spejlbilledet af vandmærkets: metadata forsvinder ved kopier og indsæt, og det er præcis sådan, tekst rejser.

Og så er der det, der ikke er et værktøj.

Et stort antal sider rangerer på »SynthID detection API« og beskriver et produkt, man slår til i Google Cloud Console, med pris pr. forespørgsel og tekstlatens under et sekund. Et sådant produkt optræder ikke i Google Clouds dokumentation. Mindst én af disse sider er content marketing for en tjeneste, der fjerner vandmærker. Derudover: sider, der tilbyder at tjekke tekst for SynthID, kører statistiske AI-detektorer, som ikke læser vandmærket og ikke kan, fordi de mangler nøglen. De vurderer skrift på forudsigelighed og rytme. Det er noget andet i samme ord.

Hvor godt virker det

Det ærlige svar er, at det virker godt på lang, urørt tekst med høj entropi og forringes hurtigt uden for de betingelser. Tallene er offentlige, og de er ikke flatterende.

Længde. Detektion er en statistisk test, så beviserne hober sig op med antallet af tokens. En teoretisk analyse af SynthID-Text offentliggjort i 2026 sætter detektionen til omkring 0,3 sand positiv-rate ved 1 procent falsk positiv-rate på tekster på 50 tokens og kører sine egne forsøg på sekvenser på 100 til 400 tokens. Et opslag på sociale medier, en produktbeskrivelse eller et supportsvar er ikke tekst nok.

Entropi. Vandmærket lever af modellens frihed til at vælge. Hvor der kun er ét rigtigt svar, er der ingen plads til at kode noget. Anthropic siger det ligeud: mærket er tyndere i faktuelle passager og i kode, hvor syntaks og aritmetik skal være præcise. Beder du en model rette din grammatik, kan vandmærket kun bo i den håndfuld rettelser, og det kan være for lidt til at slå ud.

Omskrivning. Det er det svage punkt. En robusthedsvurdering fandt SynthIDs sand positiv-rate falde fra 0,998 på ren tekst til 0,498 ved moderat parafrasering. SRI Lab på ETH Zürich rapporterer over 90 procents succes med fjernelse ved almindelig parafrasering, stigende til næsten 100 procent med hjælp fra tyveri af vandmærket, og bemærker, at turneringssampling, tænkt som en sikkerhedsforanstaltning, gør tokenforstærkningen mere følsom over for omskrivninger og dermed mindre robust end enklere ordninger. En vurdering fra 2026 op mod retstekniske standarder målte 98,3 procents fjernelse ved betydningsbevarende parafrasering, mens den semantiske lighed forblev omkring 0,83.

Falske positiver. Samme retstekniske vurdering målte en falsk positiv-rate på 5,4 procent på ren menneskeskrevet tekst, med 93,6 procents ustabilitet i afgørelsen ved små ændringer af detektionstærsklen, og fandt en standardsætning fra en maskinskrivningstest, der kom over tærsklen. Konklusionen: ingen af de tre undersøgte metoder, KGW, Unigram og SynthID-Text, opfylder mere end to af de fem Daubert-faktorer for sagkyndigt bevis.

Forfalskning. Her holder SynthID-Text bedre end alternativerne. SRI Labs arbejde rapporterer 4 procents succes med forfalskning ved standardparametre mod 80 procent eller mere for rød-grønne ordninger, om end succesen steg til 15 procent, da angriberens forespørgsler gik fra 30.000 til 90.000. Samme arbejde viste også, at selve vandmærkets tilstedeværelse kan afsløres med black box-forespørgsler, så at holde udrulningen hemmelig er ikke en mulighed.

Samlet set: et positivt resultat på et langt stykke er et meningsfuldt bevis. Et negativt resultat betyder næsten intet, for det passer lige så godt til menneskeskrevet tekst, til en model uden vandmærke, til en kort stikprøve eller til en parafrase. Bygger man en arbejdsgang på det, skal den asymmetri sidde på rygraden, før man tegner brugerfladen.

Hvad loven beder om

Tre regelsæt kræver nu noget på dette område, og ingen af dem passer helt til det, der er udrullet.

AI-forordningen, artikel 50, stk. 2. Udbydere af AI-systemer, der genererer syntetisk lyd, billede, video eller tekst, skal mærke output i et maskinlæsbart format, så det kan detekteres som kunstigt genereret. Mærkningen skal være effektiv, interoperabel, robust og pålidelig, i det omfang det er teknisk muligt. Artikel 50 blev gældende den 2. august 2026, og mærknings- og etiketteringskravene lander den 2. december 2026, hvor også overgangsperioden udløber for systemer, der allerede var bragt i omsætning før den 2. august 2026. Adfærdskodeksen peger på en lagdelt tilgang, der kombinerer metadata, vandmærkning og logning. Den nævner ikke C2PA ved navn, men beskriver standardens egenskaber så tæt, at iagttagere har bemærket, at C2PA i dag er den eneste udrullede teknologi, der passer. Det bredere billede af artikel 50 tog vi i vores guide til AI-forordningens gennemsigtighedskrav.

Læg mærke til ordet interoperabel. Et vandmærke, som kun ophavsmanden kan læse, passer besynderligt til det krav, og den spænding er uafklaret.

Kina. Reglerne om mærkning af AI-genereret syntetisk indhold trådte i kraft den 1. september 2025 og er de mest konkrete af de tre. De kræver både en eksplicit mærkning, synlig for brugeren, og en implicit mærkning i filens metadata. Tekst er omfattet. Platforme skal stille mærkningsfunktioner til rådighed, og brugere, der udgiver AI-genereret indhold, skal oplyse det.

Californien. AI Transparency Act, SB 942 som ændret ved AB 853, har virkning fra den 2. august 2026 for udbydere med over en million månedlige brugere. Den kræver et gratis detektionsværktøj, en synlig oplysning og en indlejret latent oplysning med udbyderens navn, systemets navn og version, tidsstempel og en unik identifikator. Læs anvendelsesområdet nøje: pligten til latent oplysning gælder billede, video og lyd. Tekst er ikke med. Fra den 1. januar 2027 skal store onlineplatforme vise herkomstdata og må ikke bevidst fjerne dem.

Mønstret er det samme alle tre steder. Loven beder om mærker, der kan detekteres, og de udrullede tekstmærker kan kun detekteres af deres ophavsmænd. Enten åbner detektionen sig, eller også bliver tekstpligterne opfyldt med C2PA-lignende metadata, der stort set aldrig overlever en kopiering.

Hvad det betyder, hvis du bygger software

Det meste af dette er ikke et complianceprojekt. Det er en håndfuld tekniske beslutninger, der er billige nu og dyre at eftermontere.

Køb ikke en detektor som en afgørelse. Hævder en leverandør at kunne detektere SynthID i vilkårlig tekst, kan de det ikke, og du bør bede dem om nøglen. Kører du allerede AI-detektion på brugerindsendelser, så behandl scoren som triage, der sender sagen videre til et menneske, aldrig som en konstatering. Beviserne mod indgribende brug er stærke: et Stanford-studie fandt, at detektorer fejlklassificerede mere end halvdelen af TOEFL-essays fra skribenter uden engelsk som modersmål som AI-genererede, og en voksende liste af universiteter har slået værktøjerne fra, efter at de markerede menneskeskrevet arbejde med 100 procents sikkerhed. At bygge en politik oven på det er en risiko, ikke en kontrol.

Hold op med at fjerne herkomstmetadata. Det er det mest almindelige selvpåførte sår. Billedpipelines omkoder, skalerer og normaliserer rutinemæssigt, og de fleste smider C2PA-manifester og XMP væk undervejs. Efter artikel 50, stk. 2, er det dig, der fjerner den mærkning, loven vil have bevaret, og fra januar 2027 er det en platformspligt i Californien. Gennemgå pipelinen, bevar manifestet, eller signér igen efter transformationen. Nu hvor C2PA 2.3 understøtter rene tekstdokumenter, er den samme disciplin på vej til at gælde tekst.

Før din egen herkomstregistrering. Det er den del, der faktisk virker. Uanset hvad vandmærket gør, ved dit system, hvilken model der genererede hvad, hvornår, med hvilken prompt, og hvem der gennemgik det. Gem det som et felt på posten. Det er dokumentationen for artikel 50-undtagelsen om menneskelig gennemgang, det er det, du rækker en tilsynsmyndighed eller en kunde, og det afhænger ikke af, at nogen udgiver et API.

Hoster du selv, har du hele kredsløbet. Et team, der kører sin egen model på Hugging Face Transformers, kan vandmærke ved generering og detektere bagefter, fordi det har nøglerne. Genererer du indhold i mængde og skal genkende dit eget output senere, findes det i dag, og ingen sælger dig det.

Stil leverandøren det rigtige spørgsmål. Ikke »vandmærker I«, som nu oftest besvares med ja og ikke siger noget. Spørg, om mærket kan læses af dig eller kun af dem, hvad der sker med det ved redigering og oversættelse, om der følger C2PA-metadata med og til hvilke formater, og hvad de kontraktligt vil skrive under på om artikel 50, stk. 2, efter den 2. december 2026.

Hvor det bevæger sig hen

Teknologien er reel, og Nature-resultatet er et ordentligt stykke ingeniørarbejde: et vandmærke, der koster en halv procent i latens, klarer en vurdering hen over omkring 20 millioner rigtige Gemini-svar uden målbart at ændre brugertilfredsheden, og som detekteres uden at røre modellen. Det er ikke ingenting.

Udrulningen er indtil videre også lukket. To udbydere vandmærker tekst, ingen af dem lader andre læse mærket, den tredje byggede ét og lagde det væk, og åbne modeller står helt uden for systemet. Afstanden mellem det, mærkningsreglerne beder om, og det, en person uden for de virksomheder rent faktisk kan verificere, er det interessante problem, og det er ikke et teknisk et.

Vores råd til kunder er at bruge nul på detektion og noget på herkomst. En detektion, du hverken kan køre eller stole på, er ikke en kontrol. En ren registrering af, hvad dine egne systemer har genereret, og en pipeline, der holder op med at ødelægge de metadata, der allerede er vedhæftet, er arbejde, du selv styrer, og det er dét, fristen den 2. december 2026 faktisk rører ved. For hvor det ligger blandt alt det andet frem mod 2028, se vores guide til EU-digital compliance 2026.

Vi bygger AI-funktioner ind i produkter for virksomheder, der opererer i Europa, hvilket betyder, at herkomstfelter, pipelines der bevarer credentials, og revisionsspor er en del af almindelig levering og ikke en særskilt øvelse. Vil du have et kig på, hvor AI-genereret indhold kommer ind i dit produkt, og hvad der sker med herkomsten på vej ud, så skriv til office@c9group.dev.

Vi er ingeniører, ikke jurister. Om en konkret pligt rammer dig som udbyder eller som idriftsætter, hører hjemme hos din advokat. Vi sørger for, at systemet passer til svaret.