SynthID-Text draait in Gemini en Claude. Een detectie-API is er nog steeds niet.

Twee van de drie grootste aanbieders van taalmodellen voorzien de tekst die ze genereren inmiddels van een watermerk. Google doet dat in Gemini sinds 2024. Anthropic zette het op 14 augustus 2026 aan voor Claude. Beide gebruiken dezelfde methode, SynthID-Text, door Google DeepMind gepubliceerd in Nature.

Wilt u controleren of een bepaalde alinea een van die watermerken draagt, dan kan dat niet. Niet via een API, niet via een portaal, niet met een opensourcetool. Het merkteken zit erin, het is in principe machineleesbaar, en de enige machines die het kunnen lezen zijn eigendom van de twee bedrijven die het erin hebben gezet.

Dat gat weegt zwaarder dan een jaar geleden, want de AI-verordening heeft nu een markeringsdeadline met een datum eraan, en een flink aantal mensen is tools gaan kopen die het gat zouden dichten en dat niet doen.

Wat SynthID-Text werkelijk doet

Precisie loont hier, want vrijwel alles wat over AI-tekstwatermerken wordt geschreven, is op dezelfde manier onjuist.

SynthID-Text voegt niets aan de tekst toe. Geen tekens met nulbreedte, geen ongebruikelijke Unicode, geen onzichtbare markeringen, geen verraderlijke interpunctie, geen extra tokens. Anthropic zegt dat met zoveel woorden, en het geldt voor de methode in het algemeen. Hebt u ooit het advies gelezen om onzichtbare tekens te verwijderen om een AI-watermerk te omzeilen, dan richt dat advies zich op iets wat hier niet bestaat.

Wat de methode wel doet, is veranderen hoe het model woorden kiest.

Wanneer een taalmodel tekst genereert, produceert het een kansverdeling over het volgende token en trekt daar een steekproef uit. SynthID-Text grijpt precies op dat moment in. Een schuivend venster over de laatste tokens, doorgaans vier, wordt samen met een geheime watermerksleutel gehasht tot een seed. Die seed stuurt een reeks pseudowillekeurige scorefuncties aan, de g-functies. Het algoritme trekt kandidaat-tokens en stuurt ze door een aantal toernooilagen: elke laag scoort de concurrerende kandidaten met een g-functie en de winnaar gaat door. Het token dat het toernooi wint, is het token dat naar buiten komt.

Het gevolg is dat de uitgegeven tokens over een voldoende lange passage correleren met de g-waarden, op een manier die menselijke woordkeuze niet zou opleveren. Detectie is dan een statistische toets: herbereken de g-waarden over de tekst en vraag of het gemiddelde hoger ligt dan het toeval toestaat. De gepubliceerde detectoren komen in drie smaken, een gewoon gemiddelde, een gewogen gemiddelde en een bayesiaanse detector die getraind is op gemerkte en ongemerkte voorbeelden, de sterkste van de drie.

Uit dit ontwerp volgen twee eigenschappen die vrijwel al het overige verklaren.

Ten eerste heeft detectie het model niet nodig. U hoeft Gemini niet te draaien om Gemini-tekst te controleren. Dat maakt het schema goedkoop genoeg om uit te rollen, en het is een echte vooruitgang ten opzichte van classificatoren achteraf.

Ten tweede heeft detectie de sleutel wel nodig. De g-functies worden erdoor geseed. Zonder de watermerksleutel houden de g-waarden die u berekent geen verband met die van de generatie, en levert de toets ruis op. Dit is geen implementatiegat dat iemand ooit dicht. Het is de beveiligingseigenschap die verhindert dat iemand het watermerk van Google vervalst op tekst die Google nooit schreef.

Het hele detectieprobleem zit in die tweede eigenschap.

Wie tekst vandaag van een watermerk voorziet

De stand van zaken in augustus 2026, beperkt tot wat de aanbieders zelf bevestigen:

Google Gemini. Voorzien van een watermerk sinds het Nature-artikel dat de eerste grootschalige uitrol beschreef, voor Gemini en Gemini Advanced. Medewerkers van Google bevestigden op het officiële ontwikkelaarsforum dat ook tekst die via de Gemini API, Google AI Studio en Antigravity wordt gegenereerd een watermerk draagt. Dat antwoord kwam na een eerste, onjuist antwoord in tegenovergestelde zin, wat een eerlijke indicatie is van hoe dun dit is gedocumenteerd.

Anthropic Claude. Wereldwijd actief sinds 14 augustus 2026, op Claude-modellen die op of na 2 augustus 2026 zijn uitgebracht, met oudere modellen die nog volgen. Anthropic beschrijft het als een variant van de SynthID-Text-aanpak en voert het idee terug op een voorstel van Scott Aaronson uit 2022. Daarnaast hangt Anthropic ondertekende C2PA-credentials aan gegenereerde afbeeldingsbestanden, wat een apart mechanisme is.

OpenAI. Geen tekstwatermerk. OpenAI bouwde er een, volgens de Wall Street Journal in 2024 zeer nauwkeurig, en liet het in de la liggen. De genoemde bezwaren: het hield slecht stand tegen vertaling en volledig herschrijven, en het zou mensen voor wie Engels niet de moedertaal is onevenredig kunnen markeren. OpenAI hangt wel C2PA Content Credentials aan gegenereerde afbeeldingen.

Alle anderen. Modellen met open gewichten dragen geen watermerk, tenzij degene die ze draait er een toevoegt, en niets weerhoudt hem ervan het te verwijderen. Dit is het structurele gat dat het Nature-artikel zelf benoemt: watermerken werkt alleen waar aanbieders meewerken, en open modellen kun je niet tot meewerken dwingen.

Dat beide uitrollen op 2 augustus 2026 uitkomen is geen toeval. Dat is de datum waarop artikel 50 van de AI-verordening van toepassing werd.

De tools die bestaan, en waar elk voor deugt

Dit deel is het waard om goed te doen, want de zoekresultaten over dit onderwerp zijn zwaar vervuild.

google-deepmind/synthid-text op GitHub. De referentie-implementatie uit het Nature-artikel, Apache 2.0. Ze merkt en detecteert, en bevat de trainingscode voor de bayesiaanse detector. Ondersteund worden Gemma en GPT-2 via mixin-klassen. De README zegt expliciet dat dit voor reproduceerbaarheid van onderzoek is, dat de mixins niet voor productie zijn ontworpen en dat de hashfunctie geen enkele cryptografische garantie biedt. Nuttig, eerlijk, en geen detector voor andermans tekst.

Hugging Face Transformers. De productiewaardige route waar Google naar verwijst. Met SynthIDTextWatermarkingConfig en SynthIDTextWatermarkLogitsProcessor genereert u gemerkte tekst uit een model dat u zelf beheert, door een lijst sleutels en een n-gramlengte mee te geven. Wie de sleutels heeft, kan detecteren. Dit is de enige weg waarlangs een gewoon engineeringteam vandaag een werkend tekstwatermerk van begin tot eind krijgt, en die dekt alleen tekst die uw eigen systeem heeft gegenereerd.

MarkLLM. Een academische toolkit van THU-BPM die veel watermerkalgoritmen achter één interface implementeert, waaronder KGW, Unigram, EXP en SynthID-Text met de detectoren gemiddelde, gewogen gemiddelde en bayesiaans. Vergelijkt u schema's in plaats van er een uit te rollen, dan begint u hier.

Het SynthID Detector-portaal. Googles uploaden-en-controleren-tool, tijdens I/O in mei 2026 opengesteld voor vroege testers via een wachtlijst voor journalisten, onderzoekers en mediaprofessionals. Googles eigen helpdocumentatie over verificatie noemt afbeeldingen, video en audio. Tekst staat niet in die lijst, en de forumdraad over API-watermerken stelt onomwonden dat het portaal tekst niet aanneemt.

Googles Content Detection API. In 2026 als preview op het Gemini Enterprise-platform aangeboden aan met naam genoemde partners, waaronder Shutterstock, Snap, Canva en Fox Sports. Alleen afbeeldingen, JPEG, PNG en WebP. Geen tekst, geen datum voor algemene beschikbaarheid, geen gepubliceerde prijzen.

Anthropics detectie-API. Aangekondigd als komend, zonder tijdlijn en zonder implementatiedetails. Als die er is, zal ze vermoedelijk uitsluitsel geven over Claude-tekst en over niets anders.

C2PA Content Credentials. Helemaal geen watermerk, en aanvullend in plaats van concurrerend. Het zijn cryptografisch ondertekende herkomstmetagegevens: wie heeft dit gemaakt, met welk gereedschap, wanneer, en was er een AI-systeem bij betrokken, vastgelegd in een veld digitalSourceType. Versie 2.3 voegde manifesten voor platte tekstdocumenten toe, wat nieuw en relevant is. De zwakte is het spiegelbeeld van die van het watermerk: metagegevens verdwijnen bij kopiëren en plakken, en zo reist tekst nu eenmaal.

En dan is er wat geen tool is.

Een groot aantal sites scoort op «SynthID detection API» en beschrijft een product dat u in de Google Cloud Console zou inschakelen, met een prijs per verzoek en tekstlatentie onder de seconde. Zo'n product komt in de documentatie van Google Cloud nergens voor. Minstens één van die sites is contentmarketing voor een dienst die watermerken verwijdert. Los daarvan: sites die aanbieden tekst op SynthID te controleren, draaien statistische AI-detectoren. Die lezen het watermerk niet en kunnen dat niet, omdat ze de sleutel missen. Ze beoordelen schrijfsel op voorspelbaarheid en ritme. Dat is iets anders in dezelfde jas.

Hoe goed werkt het

Het eerlijke antwoord is dat het goed werkt op lange, onbewerkte tekst met hoge entropie, en daarbuiten snel terugvalt. De cijfers zijn openbaar en ze zijn niet vleiend.

Lengte. Detectie is een statistische toets, dus bewijs stapelt zich op met de tokens. Een theoretische analyse van SynthID-Text uit 2026 legt de detectie op ongeveer 0,3 echt-positieftarief bij 1 procent vals-positieftarief voor teksten van 50 tokens, en voert de eigen experimenten uit op reeksen van 100 tot 400 tokens. Een social post, een productomschrijving of een supportantwoord is niet genoeg tekst.

Entropie. Het watermerk leeft van de vrijheid van het model om te kiezen. Waar maar één antwoord juist is, is er geen ruimte om iets te coderen. Anthropic zegt het rechtstreeks: het merk is dunner in feitelijke passages en in code, waar syntaxis en rekenwerk exact moeten kloppen. Laat een model uw grammatica corrigeren en het watermerk kan alleen in die handvol correcties wonen, wat te weinig kan zijn om aan te slaan.

Parafraseren. Dit is het zwakke punt. Een robuustheidsonderzoek zag het echt-positieftarief van SynthID dalen van 0,998 op schone tekst naar 0,498 bij matige parafrase. Het SRI Lab van ETH Zürich rapporteert meer dan 90 procent succes bij verwijdering via gewone parafrase, oplopend tot bijna 100 procent met hulp van watermark stealing, en merkt op dat toernooisampling, bedoeld als beveiligingsmaatregel, de tokenversterking gevoeliger maakt voor herschrijvingen en daarmee minder robuust dan eenvoudiger schema's. Een evaluatie uit 2026 tegen forensische normen mat 98,3 procent verwijdering bij betekenisbehoudende parafrase, terwijl de semantische gelijkenis rond 0,83 bleef.

Vals-positieven. Diezelfde forensische evaluatie mat een vals-positieftarief van 5,4 procent op schone menselijke tekst, met 93,6 procent instabiliteit van het oordeel bij kleine wijzigingen in de detectiedrempel, en zag een standaardzin uit een typtest de drempel overschrijden. De conclusie: geen van de drie geteste methoden, KGW, Unigram en SynthID-Text, voldoet aan meer dan twee van de vijf Daubert-factoren voor deskundigenbewijs.

Vervalsing. Hier houdt SynthID-Text beter stand dan de alternatieven. Het werk van het SRI Lab meldt 4 procent succes bij vervalsing met standaardparameters, tegen 80 procent of meer bij rood-groenschema's, al steeg het succes naar 15 procent toen de zoekopdrachten van de aanvaller van 30.000 naar 90.000 gingen. Datzelfde werk liet ook zien dat de aanwezigheid van het watermerk zelf uit blackbox-bevragingen valt af te leiden, dus de uitrol geheimhouden is geen optie.

Bij elkaar: een positieve uitslag op een lange passage is betekenisvol bewijs. Een negatieve uitslag zegt vrijwel niets, want die past even goed bij menselijk schrijven, bij een model zonder watermerk, bij een korte steekproef of bij een parafrase. Wie hier een werkstroom op bouwt, moet die asymmetrie doorhebben voordat hij de interface tekent.

Wat de wet vraagt

Drie regimes eisen inmiddels iets op dit terrein, en geen ervan sluit precies aan op wat er is uitgerold.

AI-verordening, artikel 50, lid 2. Aanbieders van AI-systemen die synthetische audio, beeld, video of tekst genereren, moeten de uitvoer markeren in een machineleesbaar formaat waarmee die als kunstmatig gegenereerd te detecteren is. De markering moet doeltreffend, interoperabel, robuust en betrouwbaar zijn voor zover technisch haalbaar. Artikel 50 werd op 2 augustus 2026 van toepassing, en de markerings- en etiketteringseisen landen op 2 december 2026, de datum waarop ook de overgangsperiode afloopt voor systemen die al vóór 2 augustus 2026 op de markt waren. De praktijkcode wijst op een gelaagde aanpak van metagegevens, watermerken en logging. C2PA wordt niet genoemd, maar de eigenschappen ervan worden zo dicht beschreven dat waarnemers opmerken dat C2PA op dit moment de enige uitgerolde technologie is die past. Het bredere beeld van artikel 50 behandelden we in onze gids over transparantie onder de AI-verordening.

Let op het woord interoperabel. Een watermerk dat alleen de maker kan lezen, past merkwaardig bij die eis, en die spanning is niet opgelost.

China. De Maatregelen voor het labelen van door AI gegenereerde synthetische inhoud gelden sinds 1 september 2025 en zijn de concreetste van de drie. Ze eisen zowel een expliciet label, zichtbaar voor de gebruiker, als een impliciet label in de metagegevens van het bestand. Tekst valt eronder. Platforms moeten labelfuncties aanbieden, en wie door AI gegenereerde inhoud publiceert, moet dat melden.

Californië. De AI Transparency Act, SB 942 zoals gewijzigd door AB 853, geldt sinds 2 augustus 2026 voor aanbieders met meer dan een miljoen maandelijkse gebruikers. Vereist zijn een gratis detectietool, een zichtbare vermelding en een ingebedde latente vermelding met naam van de aanbieder, naam en versie van het systeem, tijdstempel en een unieke identificatie. Lees de reikwijdte goed: de latente vermelding geldt voor beeld, video en audio. Tekst staat er niet in. Vanaf 1 januari 2027 moeten grote onlineplatforms herkomstgegevens tonen en mogen zij die niet bewust verwijderen.

Het patroon is overal hetzelfde. De wet vraagt om merktekens die detecteerbaar zijn, en de uitgerolde tekstmerken zijn alleen detecteerbaar door hun makers. Ofwel gaat detectie open, ofwel worden de tekstverplichtingen ingevuld met C2PA-achtige metagegevens die een kopieer- en plakactie vrijwel nooit overleven.

Wat dit betekent als u software bouwt

Het meeste hiervan is geen complianceproject. Het is een handvol technische beslissingen die nu goedkoop zijn en later duur om alsnog in te bouwen.

Koop geen detector als oordeel. Beweert een leverancier SynthID in willekeurige tekst te detecteren, dan kan hij dat niet, en u zou om de sleutel moeten vragen. Draait u al AI-detectie op wat gebruikers insturen, behandel de score dan als triage die naar een mens leidt, nooit als vaststelling. Het bewijs tegen gebruik met gevolgen is sterk: een Stanford-studie vond dat detectoren meer dan de helft van de TOEFL-opstellen van niet-moedertaalsprekers ten onrechte als AI-gegenereerd bestempelden, en een groeiende lijst universiteiten heeft deze tools uitgezet nadat ze menselijk werk met 100 procent zekerheid markeerden. Daar beleid op bouwen is aansprakelijkheid, geen beheersmaatregel.

Stop met het strippen van herkomstmetagegevens. Dit is de meest voorkomende zelfgeslagen wond. Beeldpipelines hercoderen, schalen en normaliseren standaard, en de meeste gooien onderweg C2PA-manifesten en XMP weg. Onder artikel 50, lid 2, bent u daarmee degene die de markering weghaalt die de wet bewaard wil zien, en vanaf januari 2027 is het in Californië een platformverplichting. Controleer de pipeline, behoud het manifest of onderteken opnieuw na bewerking. Nu C2PA 2.3 platte tekstdocumenten ondersteunt, gaat dezelfde discipline ook voor tekst gelden.

Houd uw eigen herkomstregistratie bij. Dit is het deel dat echt werkt. Wat het watermerk ook doet, uw systeem weet welk model wat heeft gegenereerd, wanneer, met welke prompt, en wie het heeft nagekeken. Sla dat op als veld bij het record. Het is het bewijs voor de uitzondering voor menselijke controle in artikel 50, het is wat u een toezichthouder of klant overhandigt, en het hangt er niet van af of iemand een API uitbrengt.

Wie zelf host, heeft de hele cirkel. Een team dat zijn eigen model op Hugging Face Transformers draait, kan bij generatie merken en later detecteren, want het heeft de sleutels. Genereert u inhoud op schaal en moet u uw eigen uitvoer later herkennen, dan kan dat vandaag en verkoopt niemand het u.

Stel leveranciers de juiste vraag. Niet «merkt u met een watermerk», waarop het antwoord tegenwoordig meestal ja is en niets zegt. Vraag of het merk door u leesbaar is of alleen door hen, wat ermee gebeurt bij bewerking en vertaling, of er C2PA-metagegevens meekomen en aan welke formaten, en wat zij contractueel willen verklaren over artikel 50, lid 2, na 2 december 2026.

Waar dit heen gaat

De techniek is echt en het Nature-resultaat is degelijk ingenieurswerk: een watermerk dat een halve procent latentie kost, een beoordeling over zo'n 20 miljoen echte Gemini-antwoorden doorstaat zonder de gebruikerstevredenheid meetbaar te veranderen, en dat detecteert zonder het model aan te raken. Dat is niet niets.

De uitrol is voorlopig ook gesloten. Twee aanbieders merken tekst, geen van beide laat een ander het merk lezen, de derde bouwde er een en legde die weg, en open modellen staan volledig buiten het systeem. Het gat tussen wat de markeringsregels vragen en wat iemand buiten die bedrijven werkelijk kan verifiëren is het interessante probleem, en het is geen technisch probleem.

Ons advies aan klanten is: niets uitgeven aan detectie en iets aan herkomst. Detectie die u niet kunt draaien en niet kunt vertrouwen, is geen beheersmaatregel. Een zuivere registratie van wat uw eigen systemen hebben gegenereerd, en een assetpipeline die ophoudt de al aanwezige metagegevens te vernietigen, is werk dat u zelf in de hand hebt, en het is waar de deadline van 2 december 2026 daadwerkelijk aan raakt. Voor de plek hiervan tussen alles wat er tot 2028 aankomt, zie onze gids EU-digitale compliance 2026.

Wij bouwen AI-functies in producten van bedrijven die in Europa actief zijn, wat betekent dat herkomstvelden, assetpipelines die credentials behouden en audittrails onderdeel zijn van normale oplevering en niet van een aparte exercitie. Wilt u zien waar AI-gegenereerde inhoud uw product binnenkomt en wat er onderweg naar buiten met de herkomst gebeurt, schrijf dan naar office@c9group.dev.

Wij zijn ingenieurs, geen juristen. Of een specifieke verplichting u als aanbieder of als gebruiksverantwoordelijke raakt, hoort bij uw advocaat. Wij zorgen dat het systeem aansluit op het antwoord.