SynthID-Text kjører i Gemini og Claude. Det finnes fortsatt ingen deteksjons-API.

To av de tre største leverandørene av språkmodeller vannmerker nå teksten de genererer. Google har gjort det i Gemini siden 2024. Anthropic slo det på for Claude 14. august 2026. Begge bruker samme metode, SynthID-Text, publisert i Nature av Google DeepMind.

Vil du sjekke om et bestemt avsnitt bærer et av vannmerkene, kan du ikke. Ikke via et API, ikke via en portal, ikke med et åpen kildekode-verktøy. Merket er der, det er i prinsippet maskinlesbart, og de eneste maskinene som kan lese det, tilhører de to selskapene som satte det.

Det gapet veier tyngre enn for et år siden, for AI-forordningen har nå en merkefrist med en dato på, og en god del folk har begynt å kjøpe verktøy som påstår å lukke gapet og ikke gjør det.

Hva SynthID-Text faktisk gjør

Det lønner seg å være presis her, for det meste som skrives om AI-tekstvannmerker, tar feil på nøyaktig samme måte.

SynthID-Text legger ikke noe til teksten. Ingen tegn med nullbredde, ingen uvanlig Unicode, ingen usynlige markører, ingen avslørende tegnsetting, ingen ekstra tokens. Anthropic sier det rett ut, og det gjelder metoden generelt. Har du sett rådet om å fjerne usynlige tegn for å omgå et AI-vannmerke, sikter det rådet mot noe som ikke finnes her.

Det metoden gjør, er å endre hvordan modellen velger ord.

Når en språkmodell genererer tekst, lager den en sannsynlighetsfordeling over neste token og trekker en prøve fra den. SynthID-Text griper inn nøyaktig der. Et glidende vindu over de siste tokenene, som regel fire, hashes sammen med en hemmelig vannmerkenøkkel og gir et frø. Det frøet driver et sett pseudotilfeldige poengfunksjoner, g-funksjonene. Algoritmen trekker kandidattokens og sender dem gjennom en rekke turneringslag: hvert lag gir de konkurrerende kandidatene poeng med en g-funksjon, og vinneren går videre. Tokenet som vinner turneringen, er det som skrives ut.

Resultatet er at de utskrevne tokenene over et tilstrekkelig langt stykke korrelerer med g-verdiene på en måte menneskelig ordvalg ikke ville frembringe. Deteksjon er da en statistisk test: regn ut g-verdiene på nytt over teksten, og spør om gjennomsnittet ligger høyere enn tilfeldigheter tillater. De publiserte detektorene finnes i tre varianter, et vanlig gjennomsnitt, et vektet gjennomsnitt og en bayesiansk detektor trent på vannmerkede og ikke-vannmerkede eksempler, den sterkeste av de tre.

To egenskaper følger av denne konstruksjonen, og de forklarer nesten alt det andre.

For det første trenger deteksjon ikke modellen. Du trenger ikke kjøre Gemini for å sjekke Gemini-tekst. Det er dette som gjør ordningen billig nok til å rulle ut, og det er et reelt fremskritt sammenlignet med klassifikatorer i etterkant.

For det andre trenger deteksjon nøkkelen. g-funksjonene seedes av den. Uten vannmerkenøkkelen har g-verdiene du regner ut ingen sammenheng med dem som ble brukt under genereringen, og testen gir støy. Dette er ikke et implementeringshull som noen lukker en gang. Det er sikkerhetsegenskapen som hindrer noen i å forfalske Googles vannmerke på tekst Google aldri skrev.

Hele deteksjonsproblemet ligger i den andre egenskapen.

Hvem vannmerker tekst i dag

Bildet i august 2026, begrenset til det leverandørene selv bekrefter:

Google Gemini. Vannmerket siden Nature-artikkelen som beskrev den første utrullingen i stor skala, for Gemini og Gemini Advanced. Google-ansatte bekreftet på det offisielle utviklerforumet at tekst generert via Gemini API, Google AI Studio og Antigravity også er vannmerket. Det svaret kom etter et første, feilaktig svar i motsatt retning, noe som er et rimelig mål på hvor tynt dette er dokumentert.

Anthropic Claude. Aktivt globalt fra 14. august 2026 på Claude-modeller lansert 2. august 2026 eller senere, med eldre modeller som følger. Anthropic beskriver det som en versjon av SynthID-Text-tilnærmingen og fører idéen tilbake til Scott Aaronsons forslag fra 2022. Anthropic legger dessuten signerte C2PA-legitimasjoner på genererte bildefiler, som er en egen mekanisme.

OpenAI. Ingen tekstvannmerking. OpenAI bygde en, ifølge Wall Street Journal i 2024 svært treffsikker, og lot den ligge i skuffen. De oppgitte innvendingene var at den tålte oversettelse og gjennomgripende omskriving dårlig, og at den kunne ramme skjevt for dem som ikke har engelsk som morsmål. OpenAI legger derimot C2PA Content Credentials på genererte bilder.

Alle andre. Modeller med åpne vekter bærer ingen vannmerking med mindre den som kjører dem legger den på, og ingenting hindrer vedkommende i å fjerne den. Dette er det strukturelle hullet Nature-artikkelen selv setter navn på: vannmerking virker bare der leverandørene samarbeider, og åpne modeller kan ikke tvinges til å samarbeide.

At begge utrullingene faller sammen med 2. august 2026 er ingen tilfeldighet. Det er datoen artikkel 50 i AI-forordningen ble gjeldende.

Verktøyene som finnes, og hva hvert av dem duger til

Denne delen er verdt å få riktig, for søkeresultatene på temaet er sterkt forurenset.

google-deepmind/synthid-text på GitHub. Referanseimplementasjonen fra Nature-artikkelen, Apache 2.0. Den vannmerker og oppdager, og inneholder treningskoden for den bayesianske detektoren. Den støtter Gemma og GPT-2 gjennom mixin-klasser. README sier uttrykkelig at dette er for reproduserbarhet i forskning, at mixinene ikke er laget for produksjon, og at hashfunksjonen ikke gir noen kryptografiske sikkerhetsgarantier. Nyttig, ærlig, og ingen detektor for andres tekst.

Hugging Face Transformers. Den produksjonsegnede veien Google peker på. SynthIDTextWatermarkingConfig og SynthIDTextWatermarkLogitsProcessor lar deg generere vannmerket tekst fra en modell du selv styrer, ved å sende med en liste nøkler og en n-gramlengde. Har du nøklene, kan du oppdage. Dette er den eneste veien et vanlig utviklingsteam i dag får vannmerking av tekst til å virke hele veien, og den dekker bare tekst ditt eget system har generert.

MarkLLM. Et akademisk verktøysett fra THU-BPM som implementerer mange vannmerkealgoritmer bak ett grensesnitt, blant dem KGW, Unigram, EXP og SynthID-Text med detektorene gjennomsnitt, vektet gjennomsnitt og bayesiansk. Vurderer du ordninger i stedet for å rulle ut én, starter du her.

SynthID Detector-portalen. Googles last opp og sjekk-verktøy, åpnet for tidlige testere under I/O i mai 2026 gjennom en venteliste for journalister, forskere og folk i media. Googles egen hjelpedokumentasjon om verifisering nevner bilder, video og lyd. Tekst står ikke på listen, og forumtråden om vannmerking via API sier rett ut at portalen ikke tar imot den.

Googles Content Detection API. I forhåndsvisning i 2026 på Gemini Enterprise-plattformen for navngitte partnere, blant dem Shutterstock, Snap, Canva og Fox Sports. Bare bilder, JPEG, PNG og WebP. Ingen tekst, ingen dato for generell tilgjengelighet, ingen publiserte priser.

Anthropics deteksjons-API. Kunngjort som på vei, uten tidsplan og uten implementasjonsdetaljer. Når den kommer, vil den trolig svare for Claude-tekst og ingenting annet.

C2PA Content Credentials. Ikke et vannmerke i det hele tatt, og et supplement snarere enn en konkurrent. Det er kryptografisk signerte opphavsmetadata: hvem laget dette, med hvilket verktøy, når, og var et AI-system involvert, ført inn i feltet digitalSourceType. Versjon 2.3 la til manifester for rene tekstdokumenter, som er nytt og relevant. Svakheten er speilbildet av vannmerkets: metadata forsvinner ved kopier og lim inn, og det er nøyaktig slik tekst beveger seg.

Og så er det det som ikke er et verktøy.

Et stort antall nettsteder rangerer på «SynthID detection API» og beskriver et produkt du slår på i Google Cloud Console, med pris per forespørsel og tekstlatens under ett sekund. Et slikt produkt finnes ikke i Google Clouds dokumentasjon. Minst ett av disse nettstedene er innholdsmarkedsføring for en tjeneste som fjerner vannmerker. Utover det: nettsteder som tilbyr å sjekke tekst for SynthID, kjører statistiske AI-detektorer, som ikke leser vannmerket og ikke kan det, fordi de mangler nøkkelen. De vurderer skriving etter forutsigbarhet og rytme. Det er noe annet i samme ord.

Hvor godt virker det

Det ærlige svaret er at det virker godt på lang, urørt tekst med høy entropi, og forringes raskt utenfor de betingelsene. Tallene er offentlige, og de er ikke smigrende.

Lengde. Deteksjon er en statistisk test, så bevisene hoper seg opp med antall tokens. En teoretisk analyse av SynthID-Text publisert i 2026 setter deteksjonen til rundt 0,3 sann positiv-rate ved 1 prosent falsk positiv-rate på tekster på 50 tokens, og kjører sine egne forsøk på sekvenser på 100 til 400 tokens. Et innlegg i sosiale medier, en produktbeskrivelse eller et supportsvar er ikke nok tekst.

Entropi. Vannmerket lever av modellens frihet til å velge. Der det bare finnes ett riktig svar, er det ingen plass til å kode noe. Anthropic sier det rett ut: merket er tynnere i faktatunge avsnitt og i kode, der syntaks og aritmetikk må være eksakte. Ber du en modell rette grammatikken din, kan vannmerket bare bo i den håndfullen rettelser, og det kan være for lite til å slå ut.

Omskriving. Dette er det svake punktet. En robusthetsvurdering fant at SynthIDs sann positiv-rate falt fra 0,998 på ren tekst til 0,498 ved moderat parafrasering. SRI Lab ved ETH Zürich rapporterer over 90 prosent suksess med fjerning ved vanlig parafrasering, opp mot 100 prosent med hjelp fra tyveri av vannmerket, og bemerker at turneringssampling, tenkt som et sikkerhetstiltak, gjør tokenforsterkningen mer følsom for omskrivinger og dermed mindre robust enn enklere ordninger. En vurdering fra 2026 mot rettstekniske standarder målte 98,3 prosent fjerning ved parafrasering som bevarer meningen, mens den semantiske likheten holdt seg rundt 0,83.

Falske positive. Samme rettstekniske vurdering målte en falsk positiv-rate på 5,4 prosent på ren menneskeskrevet tekst, med 93,6 prosent ustabilitet i avgjørelsen ved små endringer i deteksjonsterskelen, og fant en standardsetning fra en skrivetest som passerte terskelen. Konklusjonen: ingen av de tre undersøkte metodene, KGW, Unigram og SynthID-Text, oppfyller mer enn to av de fem Daubert-faktorene for sakkyndig bevis.

Forfalskning. Her holder SynthID-Text bedre enn alternativene. Arbeidet fra SRI Lab rapporterer 4 prosent suksess med forfalskning ved standardparametere mot 80 prosent eller mer for rød-grønne ordninger, selv om suksessen steg til 15 prosent da angriperens forespørsler gikk fra 30 000 til 90 000. Samme arbeid viste også at selve tilstedeværelsen av vannmerket kan avdekkes med black box-forespørsler, så å holde utrullingen hemmelig er ikke et alternativ.

Samlet: et positivt resultat på et langt stykke er et meningsfullt bevis. Et negativt resultat betyr nesten ingenting, for det passer like godt med menneskeskrevet tekst, med en modell uten vannmerke, med en kort prøve eller med en parafrase. Bygger man en arbeidsflyt på dette, må den asymmetrien sitte før man tegner grensesnittet.

Hva loven ber om

Tre regelverk krever nå noe på dette området, og ingen av dem passer helt til det som er rullet ut.

AI-forordningen, artikkel 50 nr. 2. Leverandører av AI-systemer som genererer syntetisk lyd, bilde, video eller tekst, må merke utdataene i et maskinlesbart format slik at de kan oppdages som kunstig generert. Merkingen skal være effektiv, interoperabel, robust og pålitelig så langt det er teknisk gjennomførbart. Artikkel 50 ble gjeldende 2. august 2026, og merke- og etikettkravene lander 2. desember 2026, samme dag som overgangsperioden går ut for systemer som allerede var på markedet før 2. august 2026. Atferdsnormen peker på en lagdelt tilnærming som kombinerer metadata, vannmerking og logging. Den nevner ikke C2PA ved navn, men beskriver standardens egenskaper så tett at observatører har merket seg at C2PA i dag er den eneste utrullede teknologien som passer. Det bredere bildet av artikkel 50 tok vi i vår guide til AI-forordningens åpenhetskrav.

Legg merke til ordet interoperabel. Et vannmerke bare opphavspersonen kan lese, passer underlig til det kravet, og den spenningen er uavklart.

Kina. Reglene om merking av AI-generert syntetisk innhold trådte i kraft 1. september 2025 og er de mest konkrete av de tre. De krever både en eksplisitt merking, synlig for brukeren, og en implisitt merking i filens metadata. Tekst er omfattet. Plattformer må tilby merkefunksjoner, og brukere som publiserer AI-generert innhold, må opplyse om det.

California. AI Transparency Act, SB 942 som endret ved AB 853, gjelder fra 2. august 2026 for leverandører med over en million månedlige brukere. Den krever et gratis deteksjonsverktøy, en synlig opplysning og en innebygd latent opplysning med leverandørens navn, systemets navn og versjon, tidsstempel og en unik identifikator. Les virkeområdet nøye: plikten til latent opplysning gjelder bilde, video og lyd. Tekst er ikke med. Fra 1. januar 2027 må store nettplattformer vise opphavsdata og kan ikke bevisst fjerne dem.

Mønsteret er det samme alle tre stedene. Loven ber om merker som kan oppdages, og de utrullede tekstmerkene kan bare oppdages av dem som satte dem. Enten åpner deteksjonen seg, eller så blir tekstpliktene oppfylt med C2PA-lignende metadata som nesten aldri overlever en kopiering.

Hva dette betyr hvis du bygger programvare

Det meste av dette er ikke et etterlevelsesprosjekt. Det er en håndfull tekniske beslutninger som er billige nå og dyre å ettermontere.

Ikke kjøp en detektor som en dom. Hevder en leverandør å oppdage SynthID i vilkårlig tekst, kan de det ikke, og du bør be om nøkkelen. Kjører du allerede AI-deteksjon på det brukerne sender inn, behandle skåren som triage som sender saken til et menneske, aldri som en konstatering. Bevisene mot inngripende bruk er sterke: en Stanford-studie fant at detektorer feilklassifiserte mer enn halvparten av TOEFL-essayene fra skribenter uten engelsk som morsmål som AI-generert, og en voksende liste universiteter har slått av verktøyene etter at de merket menneskeskrevet arbeid med 100 prosent sikkerhet. Å bygge en policy oppå det er en risiko, ikke en kontroll.

Slutt å fjerne opphavsmetadata. Dette er det vanligste selvpåførte såret. Bildepipelines omkoder, skalerer og normaliserer rutinemessig, og de fleste kaster C2PA-manifester og XMP underveis. Etter artikkel 50 nr. 2 er det du som fjerner merkingen loven vil ha bevart, og fra januar 2027 er det en plattformplikt i California. Gå gjennom pipelinen, bevar manifestet eller signer på nytt etter transformasjonen. Nå som C2PA 2.3 støtter rene tekstdokumenter, er den samme disiplinen på vei til å gjelde tekst.

Før din egen opphavsregistrering. Dette er delen som faktisk virker. Uansett hva vannmerket gjør, vet systemet ditt hvilken modell som genererte hva, når, med hvilken prompt, og hvem som gikk gjennom det. Lagre det som et felt på posten. Det er dokumentasjonen for artikkel 50-unntaket om menneskelig gjennomgang, det er det du rekker en tilsynsmyndighet eller en kunde, og det avhenger ikke av at noen slipper et API.

Hoster du selv, har du hele sløyfen. Et team som kjører sin egen modell på Hugging Face Transformers, kan vannmerke ved generering og oppdage etterpå, fordi det har nøklene. Genererer du innhold i stort omfang og må kjenne igjen ditt eget utdata senere, finnes dette i dag, og ingen selger det til deg.

Still leverandøren det riktige spørsmålet. Ikke «vannmerker dere», som nå oftest besvares med ja og ikke sier noe. Spør om merket kan leses av deg eller bare av dem, hva som skjer med det ved redigering og oversettelse, om det følger med C2PA-metadata og til hvilke formater, og hva de vil binde seg til kontraktsmessig om artikkel 50 nr. 2 etter 2. desember 2026.

Hvor dette går

Teknologien er ekte, og Nature-resultatet er skikkelig ingeniørarbeid: et vannmerke som koster en halv prosent i latens, tåler en vurdering over rundt 20 millioner ekte Gemini-svar uten målbart å endre brukertilfredsheten, og som oppdages uten å røre modellen. Det er ikke ingenting.

Utrullingen er foreløpig også lukket. To leverandører vannmerker tekst, ingen av dem lar andre lese merket, den tredje bygde ett og la det bort, og åpne modeller står helt utenfor systemet. Avstanden mellom det merkereglene ber om, og det en person utenfor de selskapene faktisk kan verifisere, er det interessante problemet, og det er ikke et teknisk et.

Rådet vårt til kunder er å bruke null på deteksjon og noe på opphav. En deteksjon du verken kan kjøre eller stole på, er ikke en kontroll. En ryddig registrering av hva dine egne systemer har generert, og en pipeline som slutter å ødelegge metadataene som allerede ligger der, er arbeid du selv styrer, og det er dét fristen 2. desember 2026 faktisk berører. For hvor dette ligger blant alt annet frem mot 2028, se vår guide til EUs digitale etterlevelse 2026.

Vi bygger AI-funksjoner inn i produkter for selskaper som opererer i Europa, noe som betyr at opphavsfelt, pipelines som bevarer legitimasjon, og revisjonsspor er en del av vanlig leveranse og ikke en egen øvelse. Vil du se hvor AI-generert innhold kommer inn i produktet ditt, og hva som skjer med opphavet på vei ut, skriv til office@c9group.dev.

Vi er ingeniører, ikke jurister. Om en konkret plikt treffer deg som leverandør eller som ibruktaker, hører hjemme hos advokaten din. Vi sørger for at systemet stemmer med svaret.