SynthID-Text działa w Gemini i w Claude. API do wykrywania nadal nie ma.

Dwaj z trzech największych dostawców modeli językowych znakują już tekst, który generują. Google robi to w Gemini od 2024 roku. Anthropic włączył znakowanie w Claude 14 sierpnia 2026 roku. Obaj używają tej samej metody, SynthID-Text, opublikowanej w Nature przez Google DeepMind.

Jeśli chcesz sprawdzić, czy dany akapit niesie któryś z tych znaków, nie możesz. Ani przez API, ani przez portal, ani narzędziem open source. Znak tam jest, w zasadzie jest odczytywalny maszynowo, a jedyne maszyny zdolne go odczytać należą do dwóch firm, które go umieściły.

Ta luka waży dziś więcej niż rok temu, bo akt o sztucznej inteligencji ma już termin oznaczania z konkretną datą, a sporo osób zaczęło kupować narzędzia, które rzekomo tę lukę zamykają, a nie zamykają.

Co SynthID-Text naprawdę robi

Precyzja się tu opłaca, bo większość tego, co pisze się o znakach wodnych w tekście AI, myli się w ten sam sposób.

SynthID-Text niczego do tekstu nie dodaje. Żadnych znaków o zerowej szerokości, żadnego dziwnego Unicode, żadnych niewidocznych markerów, żadnej zdradzieckiej interpunkcji, żadnych dodatkowych tokenów. Anthropic mówi to wprost i dotyczy to metody w ogóle. Jeśli spotkałeś kiedyś radę, by usunąć niewidoczne znaki i tak obejść znak wodny AI, ta rada celuje w coś, czego tu nie ma.

To, co metoda robi, to zmiana sposobu, w jaki model wybiera słowa.

Kiedy model językowy generuje tekst, tworzy rozkład prawdopodobieństwa nad kolejnym tokenem i losuje z niego. SynthID-Text wkracza dokładnie na tym kroku. Przesuwne okno kilku ostatnich tokenów, zwykle czterech, jest haszowane razem z tajnym kluczem znakowania i daje ziarno losowe. To ziarno napędza zestaw pseudolosowych funkcji punktujących, funkcji g. Algorytm losuje tokeny kandydujące i przepuszcza je przez kolejne warstwy turnieju: każda warstwa ocenia konkurujące kandydatki funkcją g, a zwycięzca idzie dalej. Token, który wygrywa turniej, jest tym, który zostaje wypisany.

W efekcie na dostatecznie długim fragmencie wypisane tokeny korelują z wartościami g w sposób, którego ludzki dobór słów by nie wytworzył. Wykrywanie jest wtedy testem statystycznym: przelicza się wartości g na tekście i pyta, czy średnia jest wyższa, niż pozwoliłby przypadek. Opublikowane detektory występują w trzech wariantach: zwykłej średniej, średniej ważonej i detektora bayesowskiego trenowanego na próbkach znakowanych i nieznakowanych, najmocniejszego z trójki.

Z tej konstrukcji wynikają dwie własności, które tłumaczą niemal całą resztę.

Po pierwsze, wykrywanie nie wymaga modelu. Nie trzeba uruchamiać Gemini, by sprawdzić tekst z Gemini. To sprawia, że schemat jest dość tani, by go wdrożyć, i jest realnym postępem wobec klasyfikatorów działających po fakcie.

Po drugie, wykrywanie wymaga klucza. To on zasiewa funkcje g. Bez klucza znakowania wartości g, które policzysz, nie mają związku z tymi użytymi przy generowaniu, a test zwraca szum. To nie jest luka implementacyjna, którą ktoś kiedyś domknie. To własność bezpieczeństwa, która nie pozwala nikomu podrobić znaku Google na tekście, którego Google nie napisało.

Cały problem wykrywania mieści się w tej drugiej własności.

Kto dziś znakuje tekst

Stan na sierpień 2026, ograniczony do tego, co dostawcy potwierdzają sami:

Google Gemini. Znakowany od publikacji w Nature, która opisywała pierwsze wdrożenie na dużą skalę, w Gemini i Gemini Advanced. Pracownicy Google potwierdzili na oficjalnym forum deweloperskim, że tekst generowany przez Gemini API, Google AI Studio i Antigravity także jest znakowany. Ta odpowiedź padła po wcześniejszej, błędnej odpowiedzi przeciwnej, co dobrze pokazuje, jak cienka jest tu dokumentacja.

Anthropic Claude. Aktywne globalnie od 14 sierpnia 2026, w modelach Claude wydanych 2 sierpnia 2026 lub później, starsze modele mają dołączyć. Anthropic opisuje to jako wersję podejścia SynthID-Text i wywodzi pomysł z propozycji Scotta Aaronsona z 2022 roku. Anthropic dołącza też podpisane poświadczenia C2PA do generowanych plików graficznych, co jest osobnym mechanizmem.

OpenAI. Bez znaku wodnego w tekście. OpenAI zbudowało taki mechanizm, według Wall Street Journal z 2024 roku bardzo dokładny, i odłożyło go do szuflady. Podane zastrzeżenia: słabo znosił tłumaczenie i całościowe przepisanie oraz mógł nieproporcjonalnie oznaczać osoby, dla których angielski nie jest językiem ojczystym. OpenAI dołącza natomiast Content Credentials C2PA do generowanych obrazów.

Wszyscy pozostali. Modele o otwartych wagach nie niosą żadnego znaku, chyba że doda go ten, kto je uruchamia, i nic nie stoi na przeszkodzie, by go usunął. To ta strukturalna dziura, którą nazywa sam artykuł w Nature: znakowanie działa tylko tam, gdzie dostawcy współpracują, a modeli otwartych nie da się do współpracy zmusić.

To, że oba wdrożenia celują w 2 sierpnia 2026, nie jest przypadkiem. Tego dnia zaczął obowiązywać artykuł 50 aktu o sztucznej inteligencji.

Narzędzia, które istnieją, i do czego każde służy

Ten fragment warto zrobić dokładnie, bo wyniki wyszukiwania na ten temat są mocno zaśmiecone.

google-deepmind/synthid-text na GitHubie. Implementacja referencyjna z artykułu w Nature, na licencji Apache 2.0. Znakuje i wykrywa, zawiera też kod treningu detektora bayesowskiego. Obsługuje Gemmę i GPT-2 przez klasy mixin. README mówi wprost, że służy to odtwarzalności badań, że mixiny nie są projektowane do produkcji i że funkcja haszująca nie daje żadnych gwarancji bezpieczeństwa kryptograficznego. Użyteczne, uczciwe i nie jest detektorem cudzego tekstu.

Hugging Face Transformers. Produkcyjna ścieżka, na którą wskazuje Google. SynthIDTextWatermarkingConfig i SynthIDTextWatermarkLogitsProcessor pozwalają generować znakowany tekst z modelu, który kontrolujesz, przekazując listę kluczy i długość n-gramu. Kto ma klucze, ten wykrywa. To jedyna droga, którą zwykły zespół inżynierski dostaje dziś działające znakowanie tekstu od początku do końca, i obejmuje wyłącznie tekst wygenerowany przez własny system.

MarkLLM. Akademicki zestaw narzędzi z THU-BPM, który implementuje wiele algorytmów znakowania za jednym interfejsem, w tym KGW, Unigram, EXP i SynthID-Text z detektorami średniej, średniej ważonej i bayesowskim. Jeśli porównujesz schematy, zamiast wdrażać jeden, zaczynasz tutaj.

Portal SynthID Detector. Narzędzie Google typu wgraj i sprawdź, otwarte dla wczesnych testerów podczas I/O w maju 2026 przez listę oczekujących dla dziennikarzy, badaczy i osób z mediów. Własna dokumentacja pomocy Google dotycząca weryfikacji wymienia obrazy, wideo i audio. Tekstu na tej liście nie ma, a wątek na forum deweloperskim o znakowaniu przez API stwierdza wprost, że portal go nie przyjmuje.

Content Detection API od Google. W 2026 roku w wersji zapoznawczej na platformie Gemini Enterprise dla wskazanych partnerów, w tym Shutterstock, Snap, Canva i Fox Sports. Tylko obrazy, JPEG, PNG i WebP. Bez tekstu, bez daty ogólnej dostępności, bez opublikowanych cen.

API wykrywania od Anthropic. Zapowiedziane, bez harmonogramu i bez szczegółów wdrożenia. Kiedy się pojawi, odpowie zapewne za tekst z Claude i za nic więcej.

Content Credentials C2PA. To w ogóle nie znak wodny i raczej uzupełnienie niż konkurencja. To kryptograficznie podpisane metadane pochodzenia: kto to zrobił, jakim narzędziem, kiedy i czy brał w tym udział system AI, zapisane w polu digitalSourceType. Wersja 2.3 dodała manifesty dla dokumentów tekstowych, co jest nowe i istotne. Słabość jest lustrzanym odbiciem słabości znaku wodnego: metadane znikają przy kopiuj-wklej, a tekst podróżuje dokładnie w ten sposób.

I jest jeszcze to, co narzędziem nie jest.

Sporo stron pozycjonuje się na „SynthID detection API" i opisuje produkt, który rzekomo włącza się w konsoli Google Cloud, z ceną za żądanie i opóźnieniem poniżej sekundy dla tekstu. Takiego produktu nie ma w dokumentacji Google Cloud. Co najmniej jedna z tych stron to content marketing usługi usuwającej znaki wodne. Osobno: strony proponujące sprawdzenie tekstu pod kątem SynthID uruchamiają statystyczne detektory AI, które znaku wodnego nie czytają i czytać nie mogą, bo nie mają klucza. Oceniają pisanie po przewidywalności i rytmie. To co innego w tym samym słowie.

Jak dobrze to działa

Uczciwa odpowiedź brzmi: działa dobrze na długim, nietkniętym tekście o wysokiej entropii, a poza tymi warunkami szybko się psuje. Liczby są publiczne i nie są pochlebne.

Długość. Wykrywanie jest testem statystycznym, więc dowody kumulują się wraz z tokenami. Analiza teoretyczna SynthID-Text opublikowana w 2026 roku szacuje wykrywalność na około 0,3 wskaźnika prawdziwie pozytywnych przy 1 procent fałszywie pozytywnych dla tekstów 50-tokenowych, a własne eksperymenty prowadzi na sekwencjach od 100 do 400 tokenów. Wpis w mediach społecznościowych, opis produktu albo odpowiedź wsparcia to za mało tekstu.

Entropia. Znak wodny żyje ze swobody wyboru modelu. Tam, gdzie poprawna odpowiedź jest jedna, nie ma miejsca, by cokolwiek zakodować. Anthropic mówi to wprost: znak jest rzadszy w partiach faktograficznych i w kodzie, gdzie składnia i arytmetyka muszą się zgadzać co do joty. Niech model poprawi ci gramatykę, a znak wodny zmieści się tylko w garstce poprawek, co bywa zbyt małe, by się zarejestrować.

Parafraza. To słaby punkt. Ocena odporności wykazała spadek wskaźnika prawdziwie pozytywnych SynthID z 0,998 na czystym tekście do 0,498 przy umiarkowanej parafrazie. SRI Lab z ETH w Zurychu podaje ponad 90 procent skuteczności usuwania zwykłą parafrazą i blisko 100 procent przy wsparciu kradzieży znaku wodnego, a także zauważa, że próbkowanie turniejowe, pomyślane jako zabezpieczenie, czyni wzmacnianie tokenów wrażliwszym na przepisywanie, a więc mniej odpornym niż prostsze schematy. Ocena z 2026 roku pod kątem standardów kryminalistycznych zmierzyła 98,3 procent usunięć przy parafrazie zachowującej sens, przy podobieństwie semantycznym utrzymującym się około 0,83.

Fałszywie pozytywne. Ta sama ocena kryminalistyczna zmierzyła 5,4 procent fałszywie pozytywnych na czystym tekście ludzkim, z 93,6 procent niestabilności werdyktu przy drobnych zmianach progu wykrywania, i znalazła standardowe zdanie z testu maszynopisania przekraczające próg. Wniosek: żadna z trzech badanych metod, KGW, Unigram i SynthID-Text, nie spełnia więcej niż dwóch z pięciu kryteriów Dauberta dla dowodu z opinii biegłego.

Podszywanie. Tu SynthID-Text broni się lepiej niż alternatywy. Praca SRI Lab podaje 4 procent skuteczności podszywania przy parametrach domyślnych wobec 80 procent i więcej dla schematów czerwono-zielonych, choć skuteczność rosła do 15 procent, gdy liczba zapytań atakującego szła z 30 000 na 90 000. Ta sama praca pokazała też, że samą obecność znaku wodnego da się wykryć zapytaniami typu czarna skrzynka, więc utrzymanie wdrożenia w tajemnicy nie wchodzi w grę.

Razem: wynik pozytywny na długim fragmencie jest znaczącym dowodem. Wynik negatywny nie znaczy prawie nic, bo równie dobrze pasuje do pisania ludzkiego, do modelu bez znaku, do krótkiej próbki albo do parafrazy. Kto buduje na tym proces, musi tę asymetrię rozumieć, zanim narysuje interfejs.

Czego wymaga prawo

Trzy reżimy czegoś już w tym obszarze żądają i żaden nie pasuje dokładnie do tego, co wdrożono.

Akt o sztucznej inteligencji, artykuł 50 ustęp 2. Dostawcy systemów AI generujących syntetyczne treści dźwiękowe, obrazowe, wideo lub tekstowe muszą oznaczać wyniki w formacie odczytywalnym maszynowo, pozwalającym wykryć, że są wygenerowane sztucznie. Oznaczenie ma być skuteczne, interoperacyjne, solidne i niezawodne w zakresie technicznie wykonalnym. Artykuł 50 zaczął obowiązywać 2 sierpnia 2026, a wymogi oznaczania i etykietowania wchodzą 2 grudnia 2026, i tego samego dnia wygasa okres przejściowy dla systemów wprowadzonych do obrotu przed 2 sierpnia 2026. Kodeks postępowania wskazuje na podejście warstwowe łączące metadane, znakowanie i rejestrowanie. Nie wymienia C2PA z nazwy, ale opisuje jego cechy na tyle blisko, że obserwatorzy zauważają, iż C2PA jest obecnie jedyną wdrożoną technologią, która pasuje. Szerszy obraz artykułu 50 opisaliśmy w naszym przewodniku po obowiązkach przejrzystości aktu o AI.

Zwróć uwagę na słowo interoperacyjne. Znak wodny, który potrafi odczytać wyłącznie jego autor, dziwnie pasuje do tego wymogu i to napięcie pozostaje nierozstrzygnięte.

Chiny. Środki dotyczące oznaczania treści syntetycznych generowanych przez AI obowiązują od 1 września 2025 roku i są najkonkretniejsze z całej trójki. Wymagają zarówno etykiety jawnej, widocznej dla użytkownika, jak i etykiety ukrytej w metadanych pliku. Tekst jest objęty zakresem. Platformy muszą udostępniać funkcje etykietowania, a publikujący treści generowane przez AI muszą to zadeklarować.

Kalifornia. AI Transparency Act, SB 942 w brzmieniu nadanym przez AB 853, obowiązuje od 2 sierpnia 2026 dostawców z ponad milionem użytkowników miesięcznie. Wymaga bezpłatnego narzędzia wykrywającego, widocznego oznaczenia oraz wbudowanego oznaczenia ukrytego z nazwą dostawcy, nazwą i wersją systemu, znacznikiem czasu i unikalnym identyfikatorem. Przeczytaj zakres uważnie: obowiązek ukrytego oznaczenia dotyczy obrazu, wideo i dźwięku. Tekstu w nim nie ma. Od 1 stycznia 2027 duże platformy internetowe będą musiały pokazywać dane o pochodzeniu i nie będą mogły ich świadomie usuwać.

Wzorzec wszędzie jest ten sam. Prawo żąda znaków, które da się wykryć, a wdrożone znaki tekstowe potrafią wykryć wyłącznie ich autorzy. Albo wykrywanie się otworzy, albo obowiązki dotyczące tekstu zostaną spełnione metadanymi w stylu C2PA, które kopiuj-wklej przeżywają praktycznie nigdy.

Co to znaczy, jeśli budujesz oprogramowanie

Większość z tego nie jest projektem zgodności. To garść decyzji inżynierskich, tanich dziś i drogich do nadrobienia później.

Nie kupuj detektora jako werdyktu. Jeśli dostawca twierdzi, że wykrywa SynthID w dowolnym tekście, to nie potrafi, i warto poprosić go o klucz. Jeśli już stosujesz wykrywanie AI wobec tego, co przysyłają użytkownicy, traktuj wynik jako triaż kierujący do człowieka, nigdy jako ustalenie. Dowody przeciw używaniu tego do decyzji o konsekwencjach są mocne: badanie ze Stanfordu wykazało, że detektory błędnie zaklasyfikowały jako wygenerowane przez AI ponad połowę esejów TOEFL autorów, dla których angielski nie jest językiem ojczystym, a rosnąca lista uczelni wyłączyła te narzędzia po tym, jak oznaczały prace ludzkie ze stuprocentową pewnością. Budowanie na tym polityki to ryzyko odpowiedzialności, nie mechanizm kontroli.

Przestań usuwać metadane pochodzenia. To najczęstsza rana zadana sobie samemu. Potoki obróbki obrazów rutynowo przekodowują, skalują i normalizują, a większość wyrzuca po drodze manifesty C2PA i XMP. W świetle artykułu 50 ustęp 2 to ty usuwasz oznaczenie, które prawo chce zachować, a od stycznia 2027 w Kalifornii jest to obowiązek platformy. Przejrzyj potok, zachowaj manifest albo podpisz ponownie po przekształceniu. Skoro C2PA 2.3 obsługuje już dokumenty tekstowe, ta sama dyscyplina zaraz obejmie tekst.

Prowadź własny rejestr pochodzenia. To ta część, która naprawdę działa. Cokolwiek robi znak wodny, twój system wie, jaki model co wygenerował, kiedy, jakim promptem i kto to sprawdził. Zapisuj to jako pole rekordu. To dowód na wyjątek dotyczący przeglądu przez człowieka z artykułu 50, to jest to, co przedkładasz organowi albo klientowi, i nie zależy od tego, czy ktokolwiek wypuści API.

Kto hostuje u siebie, ma pełną pętlę. Zespół uruchamiający własny model na Hugging Face Transformers może znakować przy generowaniu i wykrywać później, bo trzyma klucze. Jeśli generujesz treści masowo i musisz później rozpoznawać własne wyniki, to jest dostępne dziś i nikt ci tego nie sprzedaje.

Zadaj dostawcom właściwe pytanie. Nie „czy znakujecie", bo odpowiedź brzmi dziś zwykle tak i niczego nie wnosi. Pytaj, czy znak jest odczytywalny przez ciebie, czy tylko przez nich, co się z nim dzieje przy edycji i tłumaczeniu, czy dołączane są metadane C2PA i do jakich formatów, oraz co są gotowi zapisać w umowie o artykule 50 ustęp 2 po 2 grudnia 2026.

Dokąd to zmierza

Technologia jest prawdziwa, a wynik z Nature to solidna inżynieria: znak wodny kosztujący pół procenta opóźnienia, który przechodzi ocenę na około 20 milionach rzeczywistych odpowiedzi Gemini bez mierzalnej zmiany zadowolenia użytkowników i który wykrywa się bez sięgania po model. To nie jest nic.

Wdrożenie jest na razie także zamknięte. Dwaj dostawcy znakują tekst, żaden nie pozwala nikomu innemu odczytać znaku, trzeci zbudował własny i odłożył, a modele otwarte stoją całkiem poza systemem. Luka między tym, czego żądają przepisy o oznaczaniu, a tym, co osoba spoza tych firm może faktycznie zweryfikować, jest tu ciekawym problemem i nie jest problemem technicznym.

Klientom radzimy nie wydawać nic na wykrywanie i coś na pochodzenie. Wykrywanie, którego nie da się uruchomić ani mu zaufać, nie jest mechanizmem kontroli. Czysty zapis tego, co wygenerowały własne systemy, i potok zasobów, który przestaje niszczyć już dołączone metadane, to praca pod twoją kontrolą i to właśnie jej dotyczy termin 2 grudnia 2026. Gdzie to leży pośród wszystkiego, co nadchodzi do 2028 roku, opisuje nasz przewodnik po zgodności cyfrowej UE 2026.

Wbudowujemy funkcje AI w produkty firm działających w Europie, co znaczy, że pola pochodzenia, potoki zasobów zachowujące poświadczenia i ślady audytowe są częścią normalnej realizacji, a nie osobnym ćwiczeniem. Jeśli chcesz zobaczyć, którędy treści generowane przez AI wchodzą do twojego produktu i co dzieje się z ich pochodzeniem po drodze na zewnątrz, napisz na office@c9group.dev.

Jesteśmy inżynierami, nie prawnikami. To, czy konkretny obowiązek dotyczy cię jako dostawcy, czy jako podmiotu stosującego, należy do twojego radcy prawnego. My dbamy o to, by system odpowiadał tej odpowiedzi.