Es más importante y urgente que nunca poder demostrar que un modelo ha leído y usado nuestros contenidos.
El 10 de julio publiqué aquí un artículo sobre la idea de esconder una fecha imposible dentro de un texto para poder demostrar, más tarde, que una IA se había entrenado con él. Treinta y dos días después, el 11 de agosto de 2026, Anthropic confirmó que todo el texto que genera Claude sale marcado con una 'marca de agua' similar.
Al principio lo entendí como una victoria del concepto de marca de agua para los LLMs. Luego me di cuenta de que va justo a la inversa: en vez de que nosotros marquemos lo que la IA engulle, es la IA la que marca primero lo que ella crea. Y ahí está lo interesante, porque el que mejor entiende estos modelos acaba de demostrar que la técnica funciona. Falta aplicarla del otro lado.
Lo que hay que saber
- Anthropic marca el texto de Claude en todos sus productos y en todo el mundo, no solo en la Unión Europea. Los modelos lanzados a partir del 2 de agosto de 2026 salen con sistemas de marcado de fábrica.
- La marca demuestra que Claude pudo procesar ese texto. No demuestra que lo escribiera, ni que quien lo publicó hiciera uso de IA. Lo afirma así la propia Anthropic.
- La objeción más repetida, que marcar empeora la salida, tiene respuesta desde 2023: hay esquemas donde no hay tal conflicto. El límite real lo pone la entropía (ya he comentado sobre este parámetro en el pasado y parece que es un aspecto recurrente).
- Lo que la industria ha resuelto en 2026 es marcar lo que sale de un modelo. Lo que no ha resuelto es probar lo que entró. ¡Ahí entramos nosotros!
- Las dos mitades tienen puntos débiles. Un trabajo presentado en EACL 2026 ya falsifica la marca de otro modelo (¡qué desastre!). Otro de 2025 borra las marcas de agua con un 99% de éxito sin acceso al modelo (jaque mate).
- Una pequeña corrección a mi artículo de julio: escribí que una marca que aparece una sola vez es indetectable. Un paper de ICML 2025 demuestra que no, si actúas antes de publicar.
Qué ha hecho Anthropic exactamente
Conviene ser preciso porque circulan muchos titulares pensados para generar clicks. Es importante ceñirse a los hechos si queremos entender la situación y los futuros posibles.
Anthropic firmó el Código de Práctica sobre Transparencia de Contenidos Generados por IA, el instrumento que desarrolla el artículo 50(2) del Reglamento europeo de IA. La Comisión lo declaró adecuado el 8 de julio de 2026 y el Consejo de IA el 9 de julio. Las obligaciones aplican desde el 2 de agosto.
A partir de ahí, Anthropic toma tres decisiones clave.
La primera: los modelos lanzados desde el 2 de agosto de 2026 marcan todos los textos que generan, y los anteriores lo harán sin fecha anunciada. La segunda: la marca es a nivel de modelo y aplica en todo el mundo, no solo en Europa. La tercera, la marca de agua se aplica absolutamente a todas las superficies. Las aplicaciones de Claude, la API, Claude Code, Cowork, Tag, y también cuando el modelo corre dentro de AWS Bedrock, Google Cloud o Microsoft Foundry. No hay una puerta que permita tener contenidos limpios, y no se ha documentado ninguna forma de desactivarlo.
Sobre el mecanismo que se usa como marca, Anthropic ha sido escueta. Dice que la marca "forma parte del texto", que viaja con él al copiarlo y pegarlo, y que "puede sobrevivir a algunas ediciones". Para los ficheros que genera en .svg, .png y .jpg adjunta metadatos firmados con el estándar abierto C2PA (que ya explicamos en el artículo del 10 de julio). Ha anunciado documentación técnica y herramientas de detección, pero a 12 de agosto de 2026 no las ha publicado. TechCrunch preguntó cuánta edición hace falta para borrar la marca y no obtuvo respuesta (en el anterior post del blog explicábamos este fenómeno y sus limitaciones).
Lo que sí sabemos es qué tipo de marca usa, porque es el único que encaja con "forma parte del texto" y sobrevive al copiar y pegar: se interviene la elección de tokens en el momento de generar, con una clave secreta. Ahora bien, dentro de ese territorio hay dos familias muy distintas, y la diferencia entre las dos es justo lo que más se ha discutido entre los expertos en watermarking desde el anuncio de este sistema.
La primera es la lista verde que expliqué en el artículo de julio (Kirchenbauer et al., ICML 2023): la clave parte el vocabulario en cada paso y se le suma un empujón a los logits de los tokens verdes. Funciona, y tiene coste: toca la distribución de probabilidad del sistema, así que sube la perplejidad del texto. Eso no nos gusta demasiado pero no será perceptible a simple vista para muchos usuarios.
La segunda familia de marcas de agua hace lo mismo sin tocar la distribución. Son los esquemas llamados libres de distorsión: el de Scott Aaronson en OpenAI, basado en la regla de Gumbel-Softmax, y el de Christ, Gunn y Zamir, que demuestran que sin la clave nadie puede distinguir el texto marcado del normal. Es como trabaja también SynthID-Text de DeepMind.
Cuál de las dos usa Anthropic no lo han aclarado. Pero afirma que la marca no cambia la calidad ni la legibilidad de la respuesta, y esa propiedad solo está demostrada en la segunda familia. Así que, o están en la familia libre de distorsión, o su afirmación es empírica y no tiene rigor. Me inclino a pensar que usan un sistema libre de distorsión.
Esta noticia dentro del panorama general de la IA: Google firmó el mismo código el 24 de julio de 2026 y arrastró a Apple, NVIDIA, ElevenLabs, Kakao y OpenAI a adoptar SynthID.
OpenAI aplica marca y C2PA a sus imágenes desde el 19 de mayo de 2026 y a su audio, pero no a su texto. Con eso, Anthropic se convierte en el primero que marca texto a esta escala. Es el primero, pero vendrán más. ¿Cuándo vamos a marcar nosotros los contenidos? ¿no es esa tecnología de watermarking persistente en la fuente tanto o más importante para la industria y para la sociedad? Por ese motivo, en 498 Advance llevamos casi un año trabajando en este ámbito y ahora con más convicción que nunca.
El mercado sigue prometiendo soluciones sin una base científica que, evidentemente, no funcionan.
No estoy contento por tener razón, estoy muy ilusionado de que la línea de trabajo ha sido validada, el desarrollo hecho será muy útil y podemos seguir adelante. Nos creaba un gran desconcierto lo que veíamos en el mercado y las promesas de otros equipos que no nos cuadraban con la evidencia científica que conocemos. Ahora, es anecdótico pero vale la pena comentarlo.
En cuestión de días aparecieron herramientas que prometían quitar la marca de agua de Claude. Y el análisis de esas herramientas concluye que sí borran cosas, pero no es la marca: lo que limpian son caracteres invisibles, espacios de ancho cero y similares.
En el artículo de julio dediqué una sección entera a explicar por qué la tinta invisible es un mal escondite, concretamente con esta frase: un carácter invisible lo borra el sistema sin pensar, sin necesidad de entender el contexto; una fecha que no puede existir solo la borraría alguien que entienda lo que está leyendo. El mercado no opinó lo mismo y montó productos sobre este error en menos de una semana. Las empresas y usuarios pagaron por las licencias. Nadie se molestó en investigar ni en preguntar a los científicos si esa solución tenía algún fundamento.
No se trata de sacar pecho. Lo cuento porque esta anécdota explica por qué este tema es tan resbaladizo incluso para gente técnica: la intuición de todos apunta a la línea errónea. Todo el conocimiento generado durante décadas de investigación científica tiene un valor enorme que podemos y debemos usar para avanzar.
La discusión sobre la calidad, contestada en 2023
De todo lo que se ha dicho desde el 11 de agosto, la objeción que más se repite es que marcar tiene que empeorar la salida. No puedes optimizar a la vez para la mejor respuesta y para llevar una marca dentro, dice el argumento, y menos todavía si lo que generas es código. La afirmación de Anthropic de que no afecta a la calidad se ha llevado bastante leña.
La cuestión ya tiene respuesta, y es de hace tres años. En agosto de 2023, Scott Aaronson dio una charla en el Simons Institute sobre el esquema en el que trabajaba en OpenAI, y cerró con esto: la gente parecía tener la intuición de que habría inevitablemente un compromiso entre marcar y la calidad de la salida, y en realidad no lo hay. En su esquema, la elección de token se hace de forma que parece exactamente un muestreo normal para cualquiera que no tenga la clave. El texto no empeora porque, estadísticamente, es el mismo texto.
O sea que la intuición de la comunidad es correcta para la familia de la lista verde y falsa para la otra. Y esto tiene una consecuencia práctica que a mí me parece interesante: si Anthropic estuviera degradando la calidad, alguien lo mediría y se acabaría el debate. Que nadie haya publicado esa medición sugiere, de nuevo, que están en la segunda.
Eso sí, hay un límite real, y es la entropía.
Aaronson lo cuantificó: el número de tokens que necesitas para ver la marca crece como el inverso del cuadrado de la entropía media por token. Si el modelo tenía poco margen de elección (poca entropía), hay poca marca que plantar. Si le pides los cien primeros números primos, la entropía es cero y no hay forma de marcar nada, aunque tampoco importa demasiado a quién atribuir esa lista. Porque un texto sin entropía quiere decir que no ha habido generalización, seguramente son datos incontestables, no hay pensamiento o narrativa original (esto es una afirmación basada en mi intuición, no lo he estudiado a conciencia). Con unos pocos cientos de tokens suele bastar, y con unos miles la confianza es muy alta.
Por tanto, la queja sobre que la marca empeora el código no tiene base: sencillamente lo marca poco, porque en los tramos donde solo hay una manera razonable de escribir algo el modelo no tenía dónde esconder la señal. Y es la misma razón por la que la marca es poco fiable en fragmentos cortos. En cualquier otro escenario, la marca funcionará muy bien y no degrada la calidad en absoluto.
La mitad fácil está resuelta. Pero, como todo, tiene puntos débiles.
Marcar la salida de un modelo es el problema fácil. El proveedor controla el momento de generación, controla la clave y controla el detector. Por eso se ha resuelto primero y por eso el reglamento lo ha podido imponer desde el inicio de su aplicación.
Ahora bien, que esté resuelto no significa que sea robusto, y aquí es donde la literatura de 2025 y 2026 incomoda a más de uno.
El ataque más elegante se llama BIRA y evade la marca con una tasa superior al 99% en varios esquemas de watermarking, conservando el sentido del texto.
No necesita acceso al modelo ni hacerle consultas: invierte el sesgo, aplicando un empujón negativo sobre los tokens identificados por sorpresa, y la detección se desploma exponencialmente. El código está publicado y en un primer testeo informal por nuestra parte, sin protocolo ni métricas formales, funcionó de manera consistente.
El segundo va a la yugular de la idea de prueba y se basa en una idea muy divertida. Se llama DITTO, se presentó como oral en EACL 2026, y hace lo contrario de borrar: falsifica. Destilando desde un modelo marcado, un atacante roba la señal de la 'víctima' y luego emite texto que lleva la marca de otro. Es decir, se puede fabricar desinformación que parezca salida de Claude.
Fíjate en la ironía. El mecanismo que DITTO explota para falsificar es la radioactividad, exactamente el mismo fenómeno que yo defendía en julio como la vía para probar que alguien se había entrenado con tu contenido. La propiedad que convierte un watermark en prueba es la misma que lo convierte en kit de falsificación. Es lo mismo, visto desde dos lados. Nos interesa como aplicar este principio para marcar los textos originales, antes de que entren a un LLM y que la marca sea perenne incluso después de ser tokenizada o reutilizada por un segundo modelo.
Respecto a esa persistencia de la marca habla el tercer mecanismo, y por eso me afecta personalmente. En julio escribí que la cadena de destilaciones A→B→C era frontera abierta y que, que yo supiera, ningún estudio la había medido. Estaba equivocado: un trabajo de ACL 2025 la midió, y el resultado no favorece mi hipótesis: los watermarks no sobreviven a la destilación cuando el atacante quiere evitarlo. Paráfrasis dirigida antes de destilar, o neutralización en el momento de la inferencia, y la marca heredada desaparece conservando la transferencia de conocimiento. Parece que no tenemos vía de escape en este sentido, o al menos no con esta técnica: si un modelo explota a otro que usó tus contenidos (marcados para tener trazabilidad y protección), esta técnica no garantiza que puedas identificarlo. Al menos, no si el atacante quiere evitarlo.
Así pues, lo que queda en pie es lo que ya decían los estudios teóricos y que citaba hace unos meses: ninguna marca de agua fuerte es imborrable.
La parte difícil es la interesante: probar lo que entró
Los modelos nos han adelantado en la aplicación de una marca en los contenidos. La genera a partir de nuestros contenidos y luego los firma. Es una situación en desequilibrio porque aún no tenemos un sistema que identifique y proteja el contenido original y su fuente.
En 2026, la industria y el regulador han montado un sistema para que un modelo pueda demostrar lo que ha escrito. No existe nada equivalente a que un creador demuestre qué ha sido leído, ni que se ha usado para entrenar y/o para generar respuestas. Anthropic puede demostrar que Claude generó un texto. Una editorial no puede probar que Claude haya leído o procesado su catálogo.
Es la misma asimetría que hay en el propio Reglamento: el artículo 50 obliga a marcar la salida y tiene un código de práctica, un plazo y firmantes. La transparencia sobre los datos de entrenamiento existe sobre el papel, pero no hay ninguna herramienta de verificación independiente. El regulador pide una declaración y no tiene con qué comprobarla.
Este tema estaba claro desde el principio. En el turno de preguntas de aquella charla de 2023, alguien del público se lo planteó a Aaronson con estas palabras: ¿y el lado del que produce, el creador que necesita demostrar que lo escribió él? La respuesta fue que, como mucho, estás descartando una hipótesis alternativa. Es decir, ni el diseñador del esquema tenía nada que ofrecer de este lado del tablero. Y la marca de agua del proveedor, para este problema, no sirve: certifica que Claude tocó un texto, no que Claude leyera el tuyo.
STAMP cambia la situación y me obliga a rectificar
En el artículo de julio dediqué una sección a lo que llamé 'el muro de la memorización'. Mi argumento: marcar es fácil, pero detectar exige que el modelo se haya aprendido la marca, y los modelos solo aprenden lo que ven muchas veces.
Cité los números de la literatura sobre trampas de copyright: cien tokens repetidos mil veces se detectan con fiabilidad razonable, veinticinco tokens se detectan casi al azar, y noventa apariciones como umbral en un modelo gigante. Y concluí que una frase única, escondida una sola vez, no la pillaría nadie.
Esa conclusión es correcta para trampas literales, del tipo la fecha del 32 de enero. Pero no se puede generalizar, y realmente es falsa para el problema general.
Un trabajo presentado en ICML 2025, STAMP, detecta contenido que aparece una sola vez en los datos de entrenamiento y que representa menos del 0,001% del total de tokens. Generas varias reformulaciones de tu texto con marca de agua, publicas una y te guardas las demás en privado, y después comparas qué verosimilitud le asigna el modelo a la versión pública frente a las privadas. Si el modelo la ha visto, prefiere la que publicaste. Los autores lo validan en abstracts de papers y artículos de blog, que es exactamente nuestro caso de uso.
Para la tesis que escribí en julio esto es una degradación. La fecha imposible sigue siendo la única capa de marca que un ser humano puede ver: un juez, un periodista o un cliente entienden en tres segundos por qué el día 32 no puede estar ahí por casualidad. STAMP necesita un perito y un test estadístico. Son capas complementarias. Pero si lo que quieres es fuerza de detección, la técnica de la fecha imposible (la fecha era solo un ejemplo de carrier pero ilustra la idea) es la capa legible y STAMP es la capa que de verdad detecta.
O sea, por ese camino podemos encontrar una solución al problema. Es posible que la solución implique haber preparado varias versiones antes de publicar.
Por tanto, lo que nos condiciona en esta línea de trabajo es que hay que actuar antes de publicar.
STAMP no sirve para reclamar algo que publicaste hace cinco años sin marcar. Y ese es justo el problema de casi todo el sector editorial: se enteró de que era materia prima cuando los LLMs ya habían engullido y digerido todo su catálogo. Sin embargo, una editorial publica miles de nuevos textos cada año, las instituciones, los ciudadanos generan ideas originales que deberían poder firmar, el problema sigue siendo capital y necesita una solución.
No conviene confundir una marca con un detector.
Esto va a pasar.
Anthropic ha sido cuidadosa con el matiz, me remito a sus palabras:
Una marca detectada da una señal de que el contenido fue procesado por Claude, pero no es del todo concluyente. Detectar una marca de Claude te dice que el contenido pudo haber sido procesado por Claude. Por sí sola no confirma la procedencia completa del contenido. La ausencia de una marca detectada no significa que el contenido no fuera generado o procesado por IA.
Alguien pudo usar Claude para traducir, corregir o resumir material humano. Y la ausencia de marca no prueba nada tampoco: puede venir de un modelo anterior, de otro proveedor, o de un texto muy editado.
Buena parte de la preocupación general proviene precisamente de aquí. Si la marca no confirma la autoría y su ausencia tampoco descarta nada, mucha gente ha concluido que, entonces, ¿para qué sirve?
El malestar más extendido es el de la letra escarlata: usar Claude para revisar un texto propio y que aparezca marcado como si lo hubiera escrito la máquina. Pasa lo mismo con otras aplicaciones. Imagina el caso de un estudiante que escribe su trabajo y finalmente le pasa un corrector tipo Grammarly. Imagina que esta app aplica el marcaje y el profesor que finalmente evalúa el trabajo identifica la marca de un sistema de IA. El texto quedará marcado como generado por IA cuando no fue así.
Es una preocupación razonable y exactamente la que el párrafo de arriba intenta desactivar. El problema es que ese matiz está en un párrafo en un centro de ayuda enterrado entre cientos de páginas de texto y las acusaciones de uso de IA se formulan a diario en un despacho y afectan a la vida de las personas.
El problema va a ser institucional. Va a haber universidades y empresas que traten la marca como si fuera un detector de IA, y será un desastre. Un estudio de referencia sobre siete detectores comerciales encontró una tasa de falsos positivos del 61,3% en redacciones de estudiantes chinos frente al 5,1% en redacciones de nativos estadounidenses, porque los métodos basados en la perplejidad penalizan sistemáticamente el vocabulario más simple.
Que quede claro que un watermark criptográfico y un detector de perplejidad son técnicamente distintos, y que el primero es mucho más fiable. Pero el modo en que las instituciones usan una señal automatizada contra una persona no depende de la calidad de la señal. Y por eso es inevitable que alguien acabe siendo acusado de uso ilícito de la IA simplemente por haber usado Claude para revisarle la ortografía a un texto propio.
Esto tampoco es nuevo. En la charla de 2023, Aaronson enumeró las preguntas que estaban frenando el despliegue del esquema en OpenAI, y una de ellas era exactamente esta: si hay gente que debería poder usar un modelo de lenguaje sin tener que declararlo, como quien escribe en una lengua que no es la suya y lo usa para mejorar su inglés, ¿es justo que todo lo que hagan vaya marcado? Su respuesta fue que no sabía construir una herramienta de marcado que funcionara solo para los casos que a uno le parecen mal y no para los que le parecen bien.
Tres años después, la herramienta ya se ha desplegado y esa pregunta sigue sin respuesta. Aún no se ha aclarado quién tendrá acceso al detector. Anthropic ha anunciado el suyo y aún no ha dicho quién podrá usarlo.
Para variar, esto va de dinero.
El impacto de este tema en el negocio es enorme y constituye el motor del interés por el marcaje. Afortunadamente, cualquier avance en este área también nos ayudará a progresar en nuestra búsqueda de protección de la autoría y de salvaguarda de la veracidad de la información. Aquí tres cifras que ilustran el interés económico de este tema:
Primera. Anthropic acordó pagar 1.500 millones de dólares a autores y editoriales, alrededor de 3.000 dólares por obra sobre unas 500.000 obras, después de que un tribunal considerase que descargar libros de sitios pirata era una infracción aunque el entrenamiento en sí fuera uso legítimo. La distinción es la clave de todo: lo que se juzgó no fue entrenar, fue la procedencia (es un precedente muy interesante para nosotros).
Segunda: había más de 35 demandas activas por datos de entrenamiento en las principales jurisdicciones occidentales en el segundo trimestre de 2026, y la instrucción de esos casos gira precisamente en torno a la procedencia de cada libro, imagen o artículo del conjunto de datos.
La tercera mirando hacia el futuro: desde el 15 de septiembre de 2026, Cloudflare bloquea por defecto a los rastreadores de uso mixto en páginas con publicidad, y empuja un modelo de pago por uso para que las compañías de IA compensen a los editores (Cloudflare se está ganando mi simpatía cada día más).
Las tres apuntan al mismo sitio. El valor ya no está en tener el contenido, sino en documentar el uso que se le dio. Aún no he conseguido hacer ver este hecho a ningún medio, siguen empeñados en atesorar y proteger el acceso a unos contenidos. ¿De qué sirve instalar alarmas si la caja fuerte ya ha sido saqueada? Y esa capacidad la tiene el laboratorio de IA, y no la tiene quien escribió el texto.
Por qué en 498 Advance trabajamos para encontrar el mejor sistema de marcado de origen.
La trazabilidad es clave para infinidad de soluciones. Saber que un texto generado por ChatGPT proviene de determinadas fuentes nos permite adivinar cómo funciona el sistema por dentro, pero también nos ayuda a valorar qué tan fiable es esa respuesta. Nos sirve, además, para valorar el retorno de los esfuerzos para informar mejor a los LLMs.
Si invierto en generar información de gran valor sobre medicina o cuidado de animales y puedo constatar que la IA la está usando, tiene sentido seguir invirtiendo. Además de los motivos obvios de protección tanto de la información propietaria como de secretos industriales que, cada vez más, vivirán en modelos de IA locales o privados y que serán susceptibles de ser exprimidos por crawlers de entrenamiento o de búsqueda de modelos mayores.
Lo que ha hecho Anthropic, mirado sin ruido, es dotarse de una capacidad de defensa: pueden demostrar qué ha salido de su modelo, con qué cobertura y bajo qué condiciones. Es legítimo y es sensato. Lo que me parece intolerable es que esa misma capacidad no esté al alcance de un creador editorial, que es la otra parte del contrato y la que puso la materia prima.
Una editorial, un medio, un archivo fotográfico o un autor individual están en la situación contraria: fueron pasto del entrenamiento, muchos sin saberlo y casi todos enterándose a posteriori, y no tienen ninguna herramienta para ejercer la defensa que Anthropic sí ejerce. Esa asimetría no es una ley de la naturaleza. Es una carencia de producto. 498 Advance quiere generar esta solución y, al mismo tiempo, disponer de un sistema para calcular el ROI de las acciones GEO.
498A, el laboratorio de I+D de Zoopa, está trabajando en las dos capas que aún no están resueltas, pero el primer objetivo no es lanzar un producto, sino entender a fondo el sistema y sus límites formales para desarrollar un sistema de trabajo sólido. Este sistema, en última instancia, puede implementarse en diferentes productos, pero sin una base científica sólida se incurriría en el mismo error de los productos que se apresuraron a prometer borrar marcas y que ahora se han demostrado inútiles.
La primera capa que hay que resolver es la del marcado para editoriales: marcar el contenido en el momento de publicarlo, con una marca legible y otra estadística de forma simultánea, y guardar un registro con un sello de tiempo. Lo importante del sello de tiempo es que no depende de que la detección sea perfecta: prueba cuándo plantaste la marca, y esa cadena de custodia es lo que hace creíble cualquier reclamación posterior.
Hace unas semanas comenté esta solución con la máxima responsable de la mayor editorial del mundo, y la mencioné de pasada con directivos de uno de los grupos periodísticos más importantes de Latinoamérica. En ambos casos no supe transmitir la importancia estratégica del asunto y me llevé un "ya lo estamos mirando" por respuesta. Resulta preocupante que no exista una iniciativa conjunta de los grandes grupos editoriales, porque tendría un valor social y cultural enorme.
La segunda es una capa de trazabilidad vinculada al Reglamento de IA: el regulador exige transparencia sobre los datos de entrenamiento, pero no tiene con qué verificarla, y nadie debería fiarse de un laboratorio que se audita a sí mismo. Esa necesidad de un tercero neutral tiene mucho recorrido y no veo que nadie esté ocupándolo.
Con GEORadar medimos cómo te ven y te citan los modelos, para esta tarea y para poner a disposición de los crawlers de las IAs la información clave, es fundamental conocer de manera fiable el origen de los datos.
Lo que no vamos a prometer sigue siendo lo mismo que en julio, y ahora con más motivo: no vamos a cazar una marca a través de una cadena de destilaciones, porque ACL 2025 ha demostrado que un atacante decidido la borrará sin problema.
La pregunta que no me deja disfrutar de las vacaciones
En 2026 la industria ya sabe firmar lo que dice. Sigue sin haber una forma sencilla de acreditar lo que se ha leído y se está usando.
Mientras esa asimetría siga en pie, el que escribió el texto está en una situación de indefensión y el sistema no incentiva la creación de contenidos fiables y de calidad. El lado de quien menos recursos tiene es sobre el que recae el reto de demostrar su autoría.
Tanto la fecha imposible como STAMP exigen haber actuado antes de publicar. Cada artículo que sale sin marcar es una reclamación que ya no se podrá hacer en el futuro.
Así que me quedo con otra pregunta: ¿cuántos años de archivo estamos dispuestos a dar por perdidos antes de empezar a marcar nuestros próximos contenidos?
Glosario
- C2PA: estándar abierto de procedencia de contenidos. Adjunta al fichero unos metadatos firmados criptográficamente que dicen quién lo generó y cómo. Se elimina con solo reformatear o capturar la pantalla.
- Spoofing (falsificación de marca): generar texto que lleva la marca de agua de otro proveedor, para que la autoría se atribuya a quien no lo escribió.
- Sorpresa de token: medida de lo inesperado que resulta un token en su contexto. Los watermarks se esconden preferentemente en los tokens sorprendentes, y por eso los ataques los buscan ahí.
- Verosimilitud (likelihood): probabilidad que un modelo asigna a un texto concreto. Comparar la verosimilitud de dos versiones de un mismo texto permite deducir cuál ha visto antes.
- Artículo 50 del Reglamento de IA: la capa de transparencia de la norma europea. Obliga, entre otras cosas, a marcar de forma legible por máquina el contenido generado por IA. Aplica desde el 2 de agosto de 2026.
- 498 Advance: laboratorio de I+D creado por la agencia Zoopa, centrado en IA y la visibilidad en buscadores generativos.
Preguntas frecuentes
¿Todo lo que escribo con Claude va marcado? Si usas un modelo lanzado a partir del 2 de agosto de 2026, sí, y da igual la superficie: aplicación, API, Claude Code, Cowork, Tag, o el modelo corriendo dentro de AWS, Google Cloud o Microsoft Foundry. No se ha documentado forma de desactivarlo.
¿La marca demuestra que un texto lo escribió una IA? No. Demuestra que Claude pudo procesarlo. Es compatible con que tú escribieras el texto y usaras Claude para traducirlo, resumirlo o corregirlo. Lo aclara la propia Anthropic.
¿Marcar empeora las respuestas, sobre todo el código? Depende del esquema. En la familia de la lista verde sí hay un coste, porque se toca la distribución de probabilidad. En la familia libre de distorsión no lo hay, y está demostrado: sin la clave, el texto marcado es indistinguible del normal. Con el código pasa otra cosa distinta: no se degrada, se marca poco, porque donde solo hay una manera razonable de escribir algo no queda entropía donde esconder la señal.
¿Se puede quitar? Con paráfrasis fuerte, sí. Las herramientas que se vendieron los primeros días no la quitaban: limpiaban caracteres invisibles, que es otra cosa. Y en la literatura hay ataques con más del 99% de evasión sin acceso al modelo.
¿Esto me sirve para demostrar que una IA se entrenó con mi contenido? No, y es justo el punto del artículo. La marca de Anthropic va en la dirección contraria: certifica lo que sale del modelo, no lo que entró. Para lo segundo hace falta marcar tu contenido antes de publicarlo.
¿Qué puedo hacer si publiqué mi archivo sin marcar? Poco, por vía de marca de agua. Tanto la fecha imposible como STAMP exigen haber actuado antes de publicar. Sobre lo ya publicado quedan otras vías: registro con sello de tiempo de lo que se publicó y cuándo, control de rastreadores, y la vía contractual y judicial, donde la procedencia de los datos está siendo el eje de los casos.
¿Y si alguien falsifica la marca de Claude en un texto mío? Es un escenario documentado en la literatura desde EACL 2026, no una hipótesis. Por eso el matiz de que la marca indica procesamiento y no autoría es más importante de lo que parece.
Fuentes
- Anthropic. Centro de ayuda sobre marcado de contenidos, actualizado el 11 de agosto de 2026. Recogido en TechCrunch, Forbes, Fortune y Euronews
- Comisión Europea. Código de Práctica sobre Transparencia de Contenidos Generados por IA, artículo 50(2). Declarado adecuado el 8 y 9 de julio de 2026. digital-strategy.ec.europa.eu · análisis en Bird & Bird
- Aaronson, Scott. "Watermarking of Large Language Models". Simons Institute, Berkeley, 17 de agosto de 2023. simons.berkeley.edu
- Kirchenbauer, Geiping, Wen, Katz, Miers y Goldstein. "A Watermark for Large Language Models" (la lista verde). ICML 2023. proceedings.mlr.press
- Christ, Gunn y Zamir. "Undetectable Watermarks for Language Models" (familia libre de distorsión). 2023. eprint.iacr.org/2023/763
- Rastogi, Maini y Pruthi. "STAMP: Proving Dataset Membership via Watermarked Rephrasings". ICML 2025. arXiv:2504.13416
- "Can LLM Watermarks Robustly Prevent Unauthorized Knowledge Distillation?". ACL 2025 (Main). arXiv:2502.11598
- "DITTO: A Spoofing Attack Framework on Watermarked LLMs via Knowledge Distillation". EACL 2026 (oral). arXiv:2510.10987
- "LLM Watermark Evasion via Bias Inversion" (BIRA). 2025. arXiv:2509.23019
- Sander, Fernandez, Durmus, Douze y Furon. "Watermarking Makes Language Models Radioactive". NeurIPS 2024. arXiv:2402.14904
- Zhang, Edelman, Francati, Venturi, Ateniese y Barak. "Watermarks in the Sand". ICML 2024. arXiv:2311.04378
- Google. Firma del código de transparencia y expansión de SynthID, 24 de julio de 2026. gcn.com
- OpenAI. "Advancing content provenance for a safer, more transparent AI ecosystem". openai.com
- Análisis del mercado de herramientas de eliminación de la marca de Claude. Medium, agosto de 2026
- Cloudflare. Bloqueo por defecto de rastreadores de uso mixto desde el 15 de septiembre de 2026. TechCrunch
- Datos sobre falsos positivos en detectores comerciales frente a redacciones de estudiantes no nativos. Recogidos en Editage
- Ortet, Carlos. "El 32 de enero: cómo saber si una IA se ha entrenado con tu contenido". 10 de julio de 2026. carlosortet.com