O SynthID-Text já está ativo no Gemini e no Claude. A deteção de texto continua sem ser pública.

Os três maiores fornecedores de modelos de linguagem já aplicam marcas de água ao texto que geram, ou começaram a fazê-lo. A Google fá-lo no Gemini desde 2024. A Anthropic ativou-a no Claude a 14 de agosto de 2026. Ambas usam o mesmo método de base, o SynthID-Text, publicado na Nature pela Google DeepMind. A OpenAI seguiu-se a 5 de outubro de 2026 com um esquema próprio, o textGrain: opcional na API, e a chegar ao texto produzido pelo ChatGPT e pelo Codex na UE ao longo das semanas seguintes.

Se quiser verificar se um determinado parágrafo tem uma destas marcas de água, quase de certeza que não consegue. Não há API pública, não há portal público que aceite texto e não há nenhuma ferramenta open source que tenha as chaves. A API de deteção da Anthropic está em pré-visualização privada para as organizações que ela aprova, a OpenAI está a receber candidaturas de investigadores, e o SynthID Detector da Google, aberto a todos desde 7 de outubro de 2026, lê imagens, vídeo e áudio, mas não texto. A marca está lá, em princípio pode ser lida por uma máquina, e lê-la continua a depender da empresa que a colocou.

Essa lacuna pesa mais do que há um ano, porque o Regulamento da Inteligência Artificial da UE (AI Act) tem agora um prazo de marcação com data marcada, e há quem tenha começado a comprar ferramentas que prometem fechar a lacuna e não a fecham.

O que o SynthID-Text faz de facto

Vale a pena ser rigoroso, porque a maior parte do que se escreve sobre marcas de água em texto gerado por IA está errada exatamente da mesma maneira.

O SynthID-Text não acrescenta nada ao texto. Não há caracteres de largura zero, nem Unicode invulgar, nem marcadores invisíveis, nem pontuação reveladora, nem tokens adicionais. A Anthropic di-lo com todas as letras, e isto é verdade para o método em geral. Se alguma vez viu o conselho de remover caracteres invisíveis para anular uma marca de água de IA, esse conselho visa uma coisa que aqui não existe.

O que faz, em vez disso, é alterar a forma como o modelo escolhe as palavras.

Quando um modelo de linguagem gera texto, produz uma distribuição de probabilidades sobre o token seguinte e faz uma amostragem a partir dela. O SynthID-Text intervém nesse passo de amostragem. Uma janela deslizante com os últimos tokens, normalmente quatro, é combinada por hash com uma chave secreta de marca de água para produzir uma semente. Essa semente alimenta um conjunto de funções de pontuação pseudoaleatórias, as funções g. O algoritmo sorteia tokens candidatos e fá-los passar por uma série de camadas de torneio, em que cada camada pontua os candidatos em competição com uma função g e o vencedor avança. O token que ganha o torneio é o que é emitido.

O resultado é que, ao longo de um excerto suficientemente longo, os tokens emitidos se correlacionam com os valores g de uma forma que a escolha de palavras de um ser humano, aleatória, não produziria. A deteção é então um teste estatístico: recalcular os valores g sobre o texto e perguntar se a média é mais alta do que o acaso permitiria. Os detetores publicados existem em três variantes: uma pontuação média simples, uma média ponderada e um detetor bayesiano treinado com amostras com e sem marca de água, que é o mais forte dos três.

Deste desenho decorrem duas propriedades que explicam quase tudo o resto.

Primeiro, a deteção não exige o modelo. Não precisa de correr o Gemini para verificar texto do Gemini. É isto que torna o esquema suficientemente barato para ser implementado, e é um avanço real em relação aos classificadores a posteriori.

Segundo, a deteção exige a chave. As funções g são inicializadas por ela. Sem a chave da marca de água, os valores g que calcular não têm relação com os usados na geração, e o teste devolve ruído. Não é uma lacuna de implementação que alguém venha a fechar. É a propriedade de segurança que impede qualquer pessoa de falsificar a marca de água da Google em texto que a Google não escreveu.

Todo o problema da deteção está nesta segunda propriedade.

Quem aplica marcas de água ao texto hoje

O panorama a 10 de outubro de 2026, limitado ao que foi confirmado pelos próprios fornecedores:

Google Gemini. Com marca de água desde que o artigo da Nature descreveu a primeira implementação em grande escala, abrangendo o Gemini e o Gemini Advanced. Funcionários da Google confirmaram no fórum oficial de programadores que o texto gerado através da API do Gemini, do Google AI Studio e do Antigravity também tem marca de água. Essa resposta veio depois de uma primeira resposta, errada, em sentido contrário, o que diz bastante sobre a escassez de documentação nesta matéria.

Anthropic Claude. Ativa a nível mundial desde 14 de agosto de 2026, nos modelos Claude lançados a partir de 2 de agosto de 2026, com os modelos mais antigos a seguir-se. A Anthropic descreve-a como uma versão da abordagem do SynthID-Text e faz remontar a ideia à proposta de Scott Aaronson de 2022. A Anthropic junta também credenciais C2PA assinadas aos ficheiros de imagem gerados, o que é um mecanismo separado.

OpenAI. Uma marca de água de texto própria desde 5 de outubro de 2026. A OpenAI construiu uma em 2024, que segundo o Wall Street Journal era muito precisa, e engavetou-a por recear que resistisse mal à tradução e à reescrita global e que pudesse assinalar de forma desproporcionada quem escreve em inglês sem ser falante nativo. O novo esquema, o textGrain, é um desenho da própria OpenAI e não o SynthID-Text. Na API está desligado por omissão: os clientes de qualquer país podem ativá-lo para determinados modelos. No ChatGPT e no Codex está a ser acrescentado ao texto elegível gerado na UE ao longo das próximas semanas, e a OpenAI diz que não é uma predefinição global. A própria OpenAI avisa que uma paráfrase profunda ou uma tradução podem tornar a marca indetetável. Junta também Content Credentials C2PA às imagens geradas.

Todos os outros. Os modelos de pesos abertos não têm marca de água a menos que quem os corre a acrescente, e nada impede que a removam. É este o buraco estrutural que o próprio artigo da Nature identifica: as marcas de água só funcionam onde os fornecedores cooperam, e não há forma de obrigar os modelos abertos a cooperar.

O alinhamento das duas implementações ativas com o dia 2 de agosto de 2026 não é coincidência. Foi nessa data que o artigo 50.º do Regulamento da Inteligência Artificial passou a ser aplicável. A OpenAI aponta o mesmo motor: o seu anúncio apresenta a implementação como a sua resposta às regras da UE sobre a proveniência de texto.

As ferramentas que existem, e para que serve cada uma

É esta a parte em que vale a pena acertar, porque os resultados de pesquisa sobre o tema estão muito poluídos.

google-deepmind/synthid-text no GitHub. A implementação de referência do artigo da Nature, com licença Apache 2.0. Aplica e deteta marcas de água, e inclui o código de treino do detetor bayesiano. Suporta o Gemma e o GPT-2 através de classes mixin. O README é explícito: isto serve para a reprodutibilidade da investigação, os mixins não foram concebidos para produção e a função de hash não oferece garantias de segurança criptográfica. Útil, honesto, e não é um detetor para o texto de mais ninguém.

Hugging Face Transformers. O caminho de nível de produção que a Google indica. SynthIDTextWatermarkingConfig e SynthIDTextWatermarkLogitsProcessor permitem gerar texto com marca de água a partir de um modelo que controla, passando uma lista de chaves e um comprimento de n-grama. Se tiver as chaves, consegue detetar. É a única via pela qual uma equipa de engenharia normal consegue hoje ter marcas de água em texto a funcionar de ponta a ponta, e só abrange o texto que o seu próprio sistema gerou.

MarkLLM. Um conjunto de ferramentas académico do THU-BPM que implementa muitos algoritmos de marca de água atrás de uma única interface, incluindo o KGW, o Unigram, o EXP e o SynthID-Text, com os detetores de média, média ponderada e bayesiano. Se está a avaliar esquemas em vez de implementar um, é por aqui que deve começar.

Portal SynthID Detector. A ferramenta da Google em synthid.com, onde se carrega um conteúdo para verificação. Abriu a testadores iniciais no I/O, em maio de 2026, através de uma lista de espera para jornalistas, investigadores e profissionais dos media, e a todos, em todo o mundo e em inglês, a 7 de outubro de 2026. Verifica agora também conteúdos dos parceiros da Google OpenAI, NVIDIA e Kakao, com a Apple anunciada como a próxima. O anúncio da Google refere imagens, vídeo e áudio. O texto não está entre eles, por isso o único verificador público de marcas de água continua sem conseguir responder por um parágrafo.

Content Detection API da Google. Apresentada em pré-visualização em 2026 na plataforma Gemini Enterprise a parceiros nomeados, incluindo a Shutterstock, a Snap, a Canva e a Fox Sports. É só para imagens, em JPEG, PNG e WebP. Sem texto, sem data de disponibilidade geral, sem preços publicados.

API de deteção da Anthropic. Em pré-visualização privada desde que a Anthropic atualizou o seu anúncio, a 1 de setembro de 2026. O acesso é feito a pedido, para organizações que a Anthropic considera elegíveis ao abrigo do direito da UE: reguladores, autoridades policiais, meios de comunicação social, verificadores de factos, investigadores independentes, organizações de ensino, organizações da sociedade civil da UE e empresas que tenham de verificar marcas de água para o seu próprio cumprimento do Regulamento. A Anthropic diz que vai alargar o acesso com o tempo. Como qualquer detetor baseado em chaves, só consegue responder por texto do Claude.

Detetor de marcas de água de texto da OpenAI. As candidaturas abriram a 5 de outubro de 2026, e o acesso está por agora limitado a investigadores e organizações especializadas aprovados. A OpenAI disse que tenciona disponibilizar o textGrain em open source, sem indicar data. Até lá, também só responde pelo texto da própria OpenAI.

Content Credentials C2PA. Não é de todo uma marca de água, e complementa em vez de competir. São metadados de proveniência assinados criptograficamente: quem fez isto, com que ferramenta, quando, e se esteve envolvido um sistema de IA, registado num campo digitalSourceType. A versão 2.3 acrescentou manifestos para documentos de texto simples, o que é novo e relevante. O ponto fraco é o inverso do das marcas de água: os metadados desaparecem com um simples copiar e colar, que é exatamente a forma como o texto circula.

E depois há o que não é uma ferramenta.

Muitos sites aparecem bem posicionados para «SynthID detection API» e descrevem um produto que se ativa na Google Cloud Console, com preços por pedido e latência inferior a um segundo para texto. Nenhum produto desses aparece na documentação da Google Cloud. Pelo menos um desses sites é marketing de conteúdos para um serviço de remoção de marcas de água. À parte disso, os sites que se oferecem para verificar se um texto tem SynthID estão a correr detetores estatísticos de IA, que não leem a marca de água nem podem, porque não têm a chave. Pontuam a escrita pela previsibilidade e pelo ritmo. É outra coisa, disfarçada com a mesma palavra.

Até que ponto funciona

A resposta honesta é que funciona bem com texto longo, sem edição e de alta entropia, e degrada-se depressa fora dessas condições. Os números são públicos e não são lisonjeiros.

Comprimento. A deteção é um teste estatístico, por isso a evidência acumula-se com os tokens. Uma análise teórica do SynthID-Text publicada em 2026 situa a deteção em cerca de 0,3 de taxa de verdadeiros positivos para uma taxa de falsos positivos de 1 % em textos de 50 tokens, e faz as suas próprias experiências com sequências de 100 a 400 tokens. Um tweet, uma descrição de produto ou uma resposta do apoio ao cliente não são texto suficiente.

Entropia. A marca de água vive na liberdade de escolha do modelo. Onde há uma única resposta certa, não há espaço para codificar nada. A Anthropic di-lo diretamente: a marca é mais rarefeita em excertos factuais e em código, onde a sintaxe e a aritmética têm de ser exatas. Peça a um modelo que lhe corrija a gramática e a marca de água só pode viver no punhado de correções, que podem ser poucas demais para se registarem.

Paráfrase. É este o ponto fraco. Uma avaliação de robustez concluiu que a taxa de verdadeiros positivos do SynthID descia de 0,998 em texto limpo para 0,498 com uma paráfrase moderada. O SRI Lab da ETH Zurique registou mais de 90 % de sucesso na remoção com paráfrase normal, a subir para perto de 100 % quando assistida por roubo da marca de água, e notou que a amostragem por torneio, uma funcionalidade de segurança, torna o reforço de tokens mais sensível a reescritas e, por isso, menos robusto do que esquemas mais simples. Uma avaliação de 2026 face a critérios forenses mediu 98,3 % de remoção com paráfrases que preservam o sentido, mantendo-se a semelhança semântica em cerca de 0,83.

Falsos positivos. A mesma avaliação forense mediu uma taxa de falsos positivos de 5,4 % em texto humano limpo, com 93,6 % de instabilidade do veredicto perante pequenas alterações do limiar de deteção, e encontrou uma frase-padrão de teste de dactilografia a ultrapassar o limiar. Concluiu que nenhum dos três esquemas testados, o KGW, o Unigram e o SynthID-Text, cumpre mais de dois dos cinco fatores Daubert para a prova pericial.

Falsificação. Aqui, o SynthID-Text aguenta-se melhor do que as alternativas. O trabalho do SRI Lab indica uma taxa de sucesso de falsificação de 4 % com os parâmetros por omissão, contra 80 % ou mais nos esquemas vermelho-verde, embora o sucesso tenha subido para 15 % quando as consultas do atacante passaram de 30 000 para 90 000. O mesmo trabalho mostrou também que a presença da marca de água é, ela própria, detetável a partir de consultas de caixa negra, por isso manter a implementação em segredo não é opção.

Somando tudo: um resultado positivo num excerto longo é uma evidência com significado. Um resultado negativo não significa quase nada, porque é igualmente compatível com escrita humana, com um modelo sem marca de água, com uma amostra curta ou com uma paráfrase. Quem construir um fluxo de trabalho sobre isto tem de interiorizar essa assimetria antes de construir a interface.

O que a lei está a pedir

Há agora três regimes que exigem alguma coisa nesta área, e nenhum corresponde bem ao que está implementado.

Regulamento da Inteligência Artificial da UE, artigo 50.º, n.º 2. Os prestadores de sistemas de IA que geram áudio, imagem, vídeo ou texto sintéticos têm de marcar os resultados num formato legível por máquina, para que sejam detetáveis como gerados artificialmente. A marcação tem de ser eficaz, interoperável, robusta e fiável, na medida do tecnicamente viável. O artigo 50.º passou a ser aplicável a 2 de agosto de 2026, e com ele a obrigação de marcação para os sistemas colocados no mercado a partir dessa data. Os sistemas que já estavam no mercado antes disso têm até 2 de dezembro de 2026. O Código de Práticas final, publicado pela Comissão a 10 de junho de 2026, aponta para uma abordagem em camadas que combina metadados, marcas de água e registos. Não nomeia a C2PA, embora descreva as suas propriedades com tal proximidade que os observadores notaram que a C2PA é, atualmente, a única tecnologia implementada que se encaixa. Tratámos do panorama mais amplo do artigo 50.º no nosso guia de transparência do Regulamento da Inteligência Artificial.

Repare na palavra interoperável. Uma marca de água que só o seu autor consegue ler encaixa mal nesse requisito, e esta tensão continua por resolver.

China. As Medidas de Rotulagem de Conteúdos Sintéticos Gerados por IA entraram em vigor a 1 de setembro de 2025 e são as mais concretas das três. Exigem um rótulo explícito, visível para o utilizador, e um rótulo implícito nos metadados do ficheiro. O texto está abrangido. As plataformas têm de disponibilizar funções de rotulagem, e os utilizadores que publicam conteúdos gerados por IA têm de o declarar.

Califórnia. O AI Transparency Act, a SB 942 na redação dada pela AB 853, passou a produzir efeitos a 2 de agosto de 2026 para os fornecedores com mais de um milhão de utilizadores mensais. Exige uma ferramenta de deteção gratuita, uma divulgação visível no manifesto e uma divulgação latente incorporada com o nome do fornecedor, o nome e a versão do sistema, um carimbo temporal e um identificador único. Leia o âmbito com atenção: a obrigação de divulgação latente abrange imagem, vídeo e áudio. O texto não está incluído. A partir de 1 de janeiro de 2027, as grandes plataformas online têm de mostrar os dados de proveniência e não os podem remover conscientemente.

O padrão é o mesmo nos três. A lei pede marcas que possam ser detetadas, e as marcas de texto implementadas só podem ser lidas pelos seus autores e por quem esses autores deixarem entrar. Ou a deteção se abre, ou as obrigações relativas ao texto acabam cumpridas com metadados ao estilo da C2PA, que praticamente nunca sobrevivem a um copiar e colar.

O que isto significa se desenvolve software

A maior parte disto não é um projeto de conformidade. É um punhado de decisões de engenharia que hoje são baratas e que mais tarde saem caras de introduzir.

Não compre um detetor como se desse um veredicto. Se um fornecedor afirma detetar SynthID em qualquer texto, não consegue, e deve pedir-lhe a chave. Se já corre deteção de IA sobre os conteúdos enviados pelos utilizadores, trate a pontuação como triagem que encaminha para uma pessoa, nunca como uma conclusão. A evidência contra o uso com consequências é forte: um estudo de Stanford concluiu que os detetores classificavam como gerados por IA mais de metade dos ensaios TOEFL escritos por pessoas cujo inglês não é a língua materna, e há uma lista crescente de universidades que desativaram estas ferramentas depois de terem assinalado trabalho humano com 100 % de confiança. Construir uma política em cima disto é um passivo, não um controlo.

Deixe de remover os metadados de proveniência. É a ferida autoinfligida mais comum. Os pipelines de imagem recodificam, redimensionam e normalizam os ficheiros por rotina, e a maioria descarta pelo caminho os manifestos C2PA e os dados XMP. À luz do artigo 50.º, n.º 2, isso equivale a ser a própria empresa a remover a marcação que a lei quer preservada, e na Califórnia, a partir de janeiro de 2027, é uma obrigação das plataformas. Faça uma auditoria ao pipeline, preserve o manifesto ou volte a assinar depois da transformação. Agora que a C2PA 2.3 suporta documentos de texto simples, a mesma disciplina vai passar a aplicar-se aos conteúdos de texto.

Mantenha o seu próprio registo de proveniência. Esta é a parte que funciona mesmo. Faça a marca de água o que fizer, o seu sistema sabe que modelo gerou o quê, quando, com que prompt e quem o reviu. Guarde isso como um campo do registo. É a prova para a isenção por revisão humana do artigo 50.º, é o que entrega a um regulador ou a um cliente, e não depende de ninguém disponibilizar uma API.

Se aloja o seu próprio modelo, pode ter o ciclo completo. Uma equipa que corre o seu próprio modelo em Hugging Face Transformers consegue aplicar marcas de água na geração e detetá-las, porque tem as chaves. Se gera conteúdos em volume e precisa de reconhecer mais tarde o que produziu, isto está disponível hoje e ninguém o está a tentar vender.

Faça aos fornecedores a pergunta certa. Não «aplicam marcas de água?», a que hoje a resposta costuma ser sim e não diz nada. Pergunte se a marca é detetável pela sua empresa ou só por eles, o que lhe acontece com edição e tradução, se há metadados C2PA associados e em que formatos, e o que vão assumir contratualmente quanto ao artigo 50.º, n.º 2, depois de 2 de dezembro de 2026.

Para onde isto vai

A tecnologia é real, e o resultado publicado na Nature é uma peça de engenharia a sério: uma marca de água que custa meio por cento de latência, que resiste a uma avaliação em cerca de 20 milhões de respostas reais do Gemini sem alterar de forma mensurável a satisfação dos utilizadores, e que deteta sem tocar no modelo. Não é pouca coisa.

A implementação é também, por agora, fechada. Três fornecedores aplicam já marcas de água ao texto ou estão a começar a fazê-lo, nenhum deixa o público verificar a marca, os detetores que existem estão racionados para reguladores, investigadores e organizações aprovadas, e os modelos abertos ficam totalmente fora do sistema. A distância entre o que as regras de marcação pedem e o que uma pessoa de fora dessas empresas consegue efetivamente verificar é o problema interessante, e não é um problema técnico.

O nosso conselho aos clientes é não gastar nada em deteção e gastar alguma coisa em proveniência. Uma deteção que não consegue correr nem merece confiança não é um controlo. Um registo limpo do que os seus próprios sistemas geraram, e um pipeline de conteúdos que deixe de destruir os metadados já associados, é trabalho que controla, e é nisso que o prazo de 2 de dezembro de 2026 realmente toca. Para ver onde isto se situa no meio de tudo o que vai chegar daqui até 2028, consulte o nosso guia de conformidade digital na UE para 2026.

Integramos funcionalidades de IA em produtos de empresas que operam na Europa, o que significa que os campos de proveniência, os pipelines de conteúdos que preservam as credenciais e os registos de auditoria fazem parte da entrega normal, e não de um exercício à parte. Se quiser analisar onde os conteúdos gerados por IA entram no seu produto e o que acontece à sua proveniência à saída, escreva para office@c9group.dev.

Somos engenheiros, não juristas. Saber se uma obrigação concreta se aplica à sua empresa enquanto prestador ou enquanto responsável pela implantação é uma questão para os seus advogados. Nós garantimos que o sistema corresponde à resposta.