És més important i urgent que mai poder demostrar que un model ha llegit i ha fet servir els nostres continguts.
El 10 de juliol vaig publicar aquí un article sobre la idea d'amagar una data impossible dins d'un text per poder demostrar, més endavant, que una IA s'hi havia entrenat. Trenta-dos dies després, l'11 d'agost de 2026, Anthropic va confirmar que tot el text que genera Claude surt marcat amb una marca d'aigua semblant.
Al principi ho vaig entendre com una victòria del concepte de marca d'aigua per als LLM. Després em vaig adonar que va just a la inversa: en comptes que nosaltres marquem el que la IA engoleix, és la IA la que marca primer el que ella crea. I aquí és on es posa interessant, perquè qui millor entén aquests models acaba de demostrar que la tècnica funciona. Falta aplicar-la a l'altre costat.
El que cal saber
- Anthropic marca el text de Claude a tots els seus productes i a tot el món, no només a la Unió Europea. Els models llançats a partir del 2 d'agost de 2026 surten amb sistemes de marcatge de fàbrica.
- La marca demostra que Claude va poder processar aquell text. No demostra que l'escrivís, ni que qui el va publicar fes servir IA. Ho afirma així la mateixa Anthropic.
- L'objecció més repetida, que marcar empitjora la sortida, té resposta des de 2023: hi ha esquemes on no hi ha aquest conflicte. El límit real el posa l'entropia (ja he comentat aquest paràmetre en el passat i sembla que és un aspecte recurrent).
- El que la indústria ha resolt el 2026 és marcar el que surt d'un model. El que no ha resolt és provar què hi va entrar. Aquí hi entrem nosaltres.
- Les dues meitats tenen punts febles. Un treball presentat a EACL 2026 ja falsifica la marca d'un altre model (quin desastre). Un altre de 2025 esborra les marques d'aigua amb un 99% d'èxit sense accés al model (escac i mat).
- Una petita correcció al meu article de juliol: vaig escriure que una marca que apareix una sola vegada és indetectable. Un paper d'ICML 2025 demostra que no, si actues abans de publicar.
Què ha fet exactament Anthropic
Convé ser precís perquè circulen molts titulars pensats per generar clics. És important cenyir-se als fets si volem entendre la situació i els futurs possibles.
Anthropic va signar el Codi de Pràctica sobre Transparència de Continguts Generats per IA, l'instrument que desenvolupa l'article 50(2) del Reglament europeu d'IA. La Comissió el va declarar adequat el 8 de juliol de 2026 i el Consell d'IA el 9 de juliol. Les obligacions apliquen des del 2 d'agost.
A partir d'aquí, Anthropic pren tres decisions clau.
La primera: els models llançats des del 2 d'agost de 2026 marquen tots els textos que generen, i els anteriors ho faran sense data anunciada. La segona: la marca és a nivell de model i aplica a tot el món, no només a Europa. La tercera: la marca d'aigua s'aplica absolutament a totes les superfícies. Les aplicacions de Claude, l'API, Claude Code, Cowork, Tag, i també quan el model corre dins d'AWS Bedrock, Google Cloud o Microsoft Foundry. No hi ha cap porta que permeti tenir continguts nets, i no s'ha documentat cap manera de desactivar-ho.
Sobre el mecanisme que es fa servir com a marca, Anthropic ha estat escarransida. Diu que la marca "forma part del text", que viatja amb ell en copiar-lo i enganxar-lo, i que "pot sobreviure a algunes edicions". Per als fitxers que genera en .svg, .png i .jpg hi adjunta metadades signades amb l'estàndard obert C2PA (que ja vam explicar a l'article del 10 de juliol). Ha anunciat documentació tècnica i eines de detecció, però a 12 d'agost de 2026 no les ha publicades. TechCrunch va preguntar quanta edició cal per esborrar la marca i no va obtenir resposta (a l'anterior post del blog explicàvem aquest fenomen i les seves limitacions).
El que sí que sabem és quin tipus de marca fa servir, perquè és l'únic que encaixa amb "forma part del text" i sobreviu al copiar i enganxar: s'intervé l'elecció de tokens en el moment de generar, amb una clau secreta. Ara bé, dins d'aquest territori hi ha dues famílies molt diferents, i la diferència entre les dues és justament el que més s'ha discutit entre els experts en watermarking des de l'anunci d'aquest sistema.
La primera és la llista verda que vaig explicar a l'article de juliol (Kirchenbauer et al., ICML 2023): la clau parteix el vocabulari a cada pas i se li suma una empenta als logits dels tokens verds. Funciona, i té cost: toca la distribució de probabilitat del sistema, així que puja la perplexitat del text. Això no ens agrada gaire, però no serà perceptible a simple vista per a molts usuaris.
La segona família de marques d'aigua fa el mateix sense tocar la distribució. Són els esquemes anomenats lliures de distorsió: el de Scott Aaronson a OpenAI, basat en la regla de Gumbel-Softmax, i el de Christ, Gunn i Zamir, que demostren que sense la clau ningú no pot distingir el text marcat del normal. És com treballa també SynthID-Text de DeepMind.
Quina de les dues fa servir Anthropic no ho han aclarit. Però afirma que la marca no canvia la qualitat ni la llegibilitat de la resposta, i aquesta propietat només està demostrada a la segona família. Així que, o són a la família lliure de distorsió, o la seva afirmació és empírica i no té rigor. M'inclino a pensar que fan servir un sistema lliure de distorsió.
Aquesta notícia dins del panorama general de la IA: Google va signar el mateix codi el 24 de juliol de 2026 i va arrossegar Apple, NVIDIA, ElevenLabs, Kakao i OpenAI a adoptar SynthID.
OpenAI aplica marca i C2PA a les seves imatges des del 19 de maig de 2026 i al seu àudio, però no al seu text. Amb això, Anthropic es converteix en el primer que marca text a aquesta escala. És el primer, però en vindran més. Quan marcarem nosaltres els continguts? No és aquesta tecnologia de watermarking persistent en la font tant o més important per a la indústria i per a la societat? Per aquest motiu, a 498 Advance fa gairebé un any que hi treballem, i ara amb més convicció que mai.
El mercat continua prometent solucions sense una base científica que, evidentment, no funcionen.
No estic content per tenir raó, estic molt il·lusionat que la línia de treball s'hagi validat, que el desenvolupament fet serà molt útil i que podem tirar endavant. Ens creava un gran desconcert el que vèiem al mercat i les promeses d'altres equips que no ens quadraven amb l'evidència científica que coneixem. Ara, és anecdòtic però val la pena comentar-ho.
En qüestió de dies van aparèixer eines que prometien treure la marca d'aigua de Claude. I l'anàlisi d'aquestes eines conclou que sí que esborren coses, però no és la marca: el que netegen són caràcters invisibles, espais d'amplada zero i similars.
A l'article de juliol vaig dedicar una secció sencera a explicar per què la tinta invisible és un mal amagatall, concretament amb aquesta frase: un caràcter invisible l'esborra el sistema sense pensar, sense necessitat d'entendre el context; una data que no pot existir només l'esborraria algú que entengui què està llegint. El mercat no va opinar el mateix i va muntar productes sobre aquest error en menys d'una setmana. Les empreses i els usuaris van pagar per les llicències. Ningú no es va molestar a investigar ni a preguntar als científics si aquella solució tenia cap fonament.
No es tracta de treure pit. Ho explico perquè aquesta anècdota explica per què aquest tema és tan relliscós fins i tot per a gent tècnica: la intuïció de tothom apunta a la línia errònia. Tot el coneixement generat durant dècades de recerca científica té un valor enorme que podem i hem de fer servir per avançar.
La discussió sobre la qualitat, contestada el 2023
De tot el que s'ha dit des de l'11 d'agost, l'objecció que més es repeteix és que marcar ha d'empitjorar la sortida. No pots optimitzar alhora per a la millor resposta i per portar una marca a dins, diu l'argument, i encara menys si el que generes és codi. L'afirmació d'Anthropic que no afecta la qualitat s'ha endut força llenya.
La qüestió ja té resposta, i és de fa tres anys. L'agost de 2023, Scott Aaronson va fer una xerrada al Simons Institute sobre l'esquema en què treballava a OpenAI, i va tancar amb això: la gent semblava tenir la intuïció que hi hauria inevitablement un compromís entre marcar i la qualitat de la sortida, i en realitat no n'hi ha. Al seu esquema, l'elecció de token es fa de manera que sembla exactament un mostreig normal per a qualsevol que no tingui la clau. El text no empitjora perquè, estadísticament, és el mateix text.
O sigui que la intuïció de la comunitat és correcta per a la família de la llista verda i falsa per a l'altra. I això té una conseqüència pràctica que em sembla interessant: si Anthropic estigués degradant la qualitat, algú ho mesuraria i s'acabaria el debat. Que ningú no hagi publicat aquesta mesura suggereix, de nou, que són a la segona.
Això sí, hi ha un límit real, i és l'entropia.
Aaronson ho va quantificar: el nombre de tokens que necessites per veure la marca creix com l'invers del quadrat de l'entropia mitjana per token. Si el model tenia poc marge d'elecció (poca entropia), hi ha poca marca per plantar. Si li demanes els cent primers nombres primers, l'entropia és zero i no hi ha manera de marcar res, encara que tampoc no importa gaire a qui atribuir aquesta llista. Perquè un text sense entropia vol dir que no hi ha hagut generalització, segurament són dades incontestables, no hi ha pensament ni narrativa original (això és una afirmació basada en la meva intuïció, no ho he estudiat a consciència). Amb uns pocs centenars de tokens sol n'hi haver prou, i amb uns milers la confiança és molt alta.
Per tant, la queixa sobre que la marca empitjora el codi no té base: senzillament el marca poc, perquè als trams on només hi ha una manera raonable d'escriure alguna cosa el model no tenia on amagar el senyal. I és la mateixa raó per la qual la marca és poc fiable en fragments curts. En qualsevol altre escenari, la marca funcionarà molt bé i no degrada la qualitat en absolut.
La meitat fàcil està resolta. Però, com tot, té punts febles.
Marcar la sortida d'un model és el problema fàcil. El proveïdor controla el moment de generació, controla la clau i controla el detector. Per això s'ha resolt primer i per això el reglament ho ha pogut imposar des de l'inici de la seva aplicació.
Ara bé, que estigui resolt no vol dir que sigui robust, i aquí és on la literatura de 2025 i 2026 incomoda a més d'un.
L'atac més elegant es diu BIRA i evadeix la marca amb una taxa superior al 99% en diversos esquemes de watermarking, conservant el sentit del text.
No necessita accés al model ni fer-li consultes: inverteix el biaix, aplicant una empenta negativa sobre els tokens identificats per sorpresa, i la detecció s'esfondra exponencialment. El codi està publicat i, en un primer test informal per part nostra, sense protocol ni mètriques formals, va funcionar de manera consistent.
El segon va a la jugular de la idea de prova i es basa en una idea molt divertida. Es diu DITTO, es va presentar com a oral a EACL 2026, i fa el contrari d'esborrar: falsifica. Destil·lant des d'un model marcat, un atacant roba el senyal de la víctima i després emet text que porta la marca d'un altre. És a dir, es pot fabricar desinformació que sembli sortida de Claude.
Fixa't en la ironia. El mecanisme que DITTO explota per falsificar és la radioactivitat, exactament el mateix fenomen que jo defensava al juliol com la via per provar que algú s'havia entrenat amb el teu contingut. La propietat que converteix un watermark en prova és la mateixa que el converteix en kit de falsificació. És el mateix, vist des de dos costats. Ens interessa com aplicar aquest principi per marcar els textos originals, abans que entrin a un LLM, i que la marca sigui perenne fins i tot després de ser tokenitzada o reutilitzada per un segon model.
Sobre aquesta persistència de la marca parla el tercer mecanisme, i per això m'afecta personalment. Al juliol vaig escriure que la cadena de destil·lacions A→B→C era frontera oberta i que, que jo sabés, cap estudi no l'havia mesurat. Estava equivocat: un treball d'ACL 2025 la va mesurar, i el resultat no afavoreix la meva hipòtesi: els watermarks no sobreviuen a la destil·lació quan l'atacant vol evitar-ho. Paràfrasi dirigida abans de destil·lar, o neutralització en el moment de la inferència, i la marca heretada desapareix conservant la transferència de coneixement. Sembla que no tenim via d'escapament en aquest sentit, o almenys no amb aquesta tècnica: si un model explota un altre que va fer servir els teus continguts (marcats per tenir traçabilitat i protecció), aquesta tècnica no garanteix que puguis identificar-lo. Almenys, no si l'atacant vol evitar-ho.
Així doncs, el que queda dret és el que ja deien els estudis teòrics que citava fa uns mesos: cap marca d'aigua forta no és inesborrable.
La part difícil és la interessant: provar què hi va entrar
Els models ens han avançat en l'aplicació d'una marca als continguts. La generen a partir dels nostres continguts i després els signen. És una situació en desequilibri perquè encara no tenim un sistema que identifiqui i protegeixi el contingut original i la seva font.
El 2026, la indústria i el regulador han muntat un sistema perquè un model pugui demostrar què ha escrit. No existeix res equivalent perquè un creador demostri què li han llegit, ni que s'ha fet servir per entrenar o per generar respostes. Anthropic pot demostrar que Claude va generar un text. Una editorial no pot provar que Claude hagi llegit o processat el seu catàleg.
És la mateixa asimetria que hi ha al mateix Reglament: l'article 50 obliga a marcar la sortida i té un codi de pràctica, un termini i signants. La transparència sobre les dades d'entrenament existeix sobre el paper, però no hi ha cap eina de verificació independent. El regulador demana una declaració i no té amb què comprovar-la.
Aquest tema estava clar des del principi. Al torn de preguntes d'aquella xerrada de 2023, algú del públic li ho va plantejar a Aaronson amb aquestes paraules: i el costat del que produeix, el creador que necessita demostrar que ho va escriure ell? La resposta va ser que, com a molt, estàs descartant una hipòtesi alternativa. És a dir, ni el dissenyador de l'esquema tenia res a oferir d'aquest costat del tauler. I la marca d'aigua del proveïdor, per a aquest problema, no serveix: certifica que Claude va tocar un text, no que Claude llegís el teu.
STAMP canvia la situació i m'obliga a rectificar
A l'article de juliol vaig dedicar una secció al que vaig anomenar el mur de la memorització. El meu argument: marcar és fàcil, però detectar exigeix que el model s'hagi après la marca, i els models només aprenen el que veuen moltes vegades.
Vaig citar els números de la literatura sobre paranys de copyright: cent tokens repetits mil vegades es detecten amb fiabilitat raonable, vint-i-cinc tokens es detecten gairebé a l'atzar, i noranta aparicions com a llindar en un model gegant. I vaig concloure que una frase única, amagada una sola vegada, no la pescaria ningú.
Aquesta conclusió és correcta per a paranys literals, del tipus de la data del 32 de gener. Però no es pot generalitzar, i realment és falsa per al problema general.
Un treball presentat a ICML 2025, STAMP, detecta contingut que apareix una sola vegada a les dades d'entrenament i que representa menys del 0,001% del total de tokens. Generes diverses reformulacions del teu text amb marca d'aigua, en publiques una i et guardes les altres en privat, i després compares quina versemblança li assigna el model a la versió pública davant de les privades. Si el model l'ha vista, prefereix la que vas publicar. Els autors ho validen en abstracts de papers i articles de blog, que és exactament el nostre cas d'ús.
Per a la tesi que vaig escriure al juliol això és una degradació. La data impossible continua sent l'única capa de marca que un ésser humà pot veure: un jutge, un periodista o un client entenen en tres segons per què el dia 32 no pot ser-hi per casualitat. STAMP necessita un perit i un test estadístic. Són capes complementàries. Però si el que vols és força de detecció, la tècnica de la data impossible (la data era només un exemple de carrier, però il·lustra la idea) és la capa llegible i STAMP és la capa que de debò detecta.
O sigui, per aquest camí podem trobar una solució al problema. És possible que la solució impliqui haver preparat diverses versions abans de publicar.
Per tant, el que ens condiciona en aquesta línia de treball és que cal actuar abans de publicar.
STAMP no serveix per reclamar una cosa que vas publicar fa cinc anys sense marcar. I aquest és justament el problema de gairebé tot el sector editorial: es va assabentar que era matèria primera quan els LLM ja havien engolit i digerit tot el seu catàleg. Tanmateix, una editorial publica milers de textos nous cada any, les institucions i els ciutadans generen idees originals que haurien de poder signar, i el problema continua sent capital i necessita una solució.
No convé confondre una marca amb un detector.
Això passarà.
Anthropic ha estat curosa amb el matís, em remeto a les seves paraules:
Una marca detectada dona un senyal que el contingut va ser processat per Claude, però no és del tot concloent. Detectar una marca de Claude et diu que el contingut podria haver estat processat per Claude. Per si sola no confirma la procedència completa del contingut. L'absència d'una marca detectada no vol dir que el contingut no fos generat o processat per IA.
Algú va poder fer servir Claude per traduir, corregir o resumir material humà. I l'absència de marca no prova res tampoc: pot venir d'un model anterior, d'un altre proveïdor, o d'un text molt editat.
Bona part de la preocupació general prové precisament d'aquí. Si la marca no confirma l'autoria i la seva absència tampoc no descarta res, molta gent ha conclòs que, aleshores, per a què serveix?
El malestar més estès és el de la lletra escarlata: fer servir Claude per revisar un text propi i que aparegui marcat com si l'hagués escrit la màquina. Passa el mateix amb altres aplicacions. Imagina el cas d'un estudiant que escriu el seu treball i finalment li passa un corrector tipus Grammarly. Imagina que aquesta app aplica el marcatge i el professor que finalment avalua el treball identifica la marca d'un sistema d'IA. El text quedarà marcat com a generat per IA quan no va ser així.
És una preocupació raonable i exactament la que el paràgraf de dalt intenta desactivar. El problema és que aquest matís està en un paràgraf en un centre d'ajuda enterrat entre centenars de pàgines de text, i les acusacions d'ús d'IA es formulen cada dia en un despatx i afecten la vida de les persones.
El problema serà institucional. Hi haurà universitats i empreses que tractin la marca com si fos un detector d'IA, i serà un desastre. Un estudi de referència sobre set detectors comercials va trobar una taxa de falsos positius del 61,3% en redaccions d'estudiants xinesos davant del 5,1% en redaccions de nadius estatunidencs, perquè els mètodes basats en la perplexitat penalitzen sistemàticament el vocabulari més simple.
Que quedi clar que un watermark criptogràfic i un detector de perplexitat són tècnicament diferents, i que el primer és molt més fiable. Però la manera com les institucions fan servir un senyal automatitzat contra una persona no depèn de la qualitat del senyal. I per això és inevitable que algú acabi sent acusat d'ús il·lícit de la IA simplement per haver fet servir Claude per revisar-li l'ortografia a un text propi.
Això tampoc no és nou. A la xerrada de 2023, Aaronson va enumerar les preguntes que estaven frenant el desplegament de l'esquema a OpenAI, i una d'elles era exactament aquesta: si hi ha gent que hauria de poder fer servir un model de llenguatge sense haver-ho de declarar, com qui escriu en una llengua que no és la seva i el fa servir per millorar el seu anglès, és just que tot el que facin vagi marcat? La seva resposta va ser que no sabia construir una eina de marcatge que funcionés només per als casos que a un li semblen malament i no per als que li semblen bé.
Tres anys després, l'eina ja s'ha desplegat i aquesta pregunta continua sense resposta. Encara no s'ha aclarit qui tindrà accés al detector. Anthropic ha anunciat el seu i encara no ha dit qui el podrà fer servir.
Per variar, això va de diners.
L'impacte d'aquest tema en el negoci és enorme i constitueix el motor de l'interès pel marcatge. Afortunadament, qualsevol avenç en aquesta àrea també ens ajudarà a progressar en la nostra recerca de protecció de l'autoria i de salvaguarda de la veracitat de la informació. Aquí van tres xifres que il·lustren l'interès econòmic del tema:
Primera. Anthropic va acordar pagar 1.500 milions de dòlars a autors i editorials, al voltant de 3.000 dòlars per obra sobre unes 500.000 obres, després que un tribunal considerés que descarregar llibres de llocs pirates era una infracció encara que l'entrenament en si fos ús legítim. La distinció és la clau de tot: el que es va jutjar no va ser entrenar, va ser la procedència (és un precedent molt interessant per a nosaltres).
Segona: hi havia més de 35 demandes actives per dades d'entrenament a les principals jurisdiccions occidentals al segon trimestre de 2026, i la instrucció d'aquests casos gira precisament entorn de la procedència de cada llibre, imatge o article del conjunt de dades.
La tercera mirant cap al futur: des del 15 de setembre de 2026, Cloudflare bloqueja per defecte els rastrejadors d'ús mixt en pàgines amb publicitat, i empeny un model de pagament per ús perquè les companyies d'IA compensin els editors (Cloudflare es va guanyant la meva simpatia cada dia més).
Les tres apunten al mateix lloc. El valor ja no és tenir el contingut, sinó documentar l'ús que se li va donar. Encara no he aconseguit fer veure aquest fet a cap mitjà, continuen entestats a atresorar i protegir l'accés a uns continguts. De què serveix instal·lar alarmes si la caixa forta ja ha estat saquejada? I aquesta capacitat la té el laboratori d'IA, i no la té qui va escriure el text.
Per què a 498 Advance treballem per trobar el millor sistema de marcatge d'origen.
La traçabilitat és clau per a infinitat de solucions. Saber que un text generat per ChatGPT prové de determinades fonts ens permet endevinar com funciona el sistema per dins, però també ens ajuda a valorar com de fiable és aquesta resposta. Ens serveix, a més, per valorar el retorn dels esforços per informar millor els LLM.
Si inverteixo a generar informació de gran valor sobre medicina o cura d'animals i puc constatar que la IA la està fent servir, té sentit continuar invertint. A més dels motius obvis de protecció tant de la informació propietària com de secrets industrials que, cada vegada més, viuran en models d'IA locals o privats i que seran susceptibles de ser espremuts per crawlers d'entrenament o de cerca de models més grans.
El que ha fet Anthropic, mirat sense soroll, és dotar-se d'una capacitat de defensa: poden demostrar què ha sortit del seu model, amb quina cobertura i sota quines condicions. És legítim i és assenyat. El que em sembla intolerable és que aquesta mateixa capacitat no estigui a l'abast d'un creador editorial, que és l'altra part del contracte i la que va posar la matèria primera.
Una editorial, un mitjà, un arxiu fotogràfic o un autor individual estan a la situació contrària: van ser pastura de l'entrenament, molts sense saber-ho i gairebé tots assabentant-se'n a posteriori, i no tenen cap eina per exercir la defensa que Anthropic sí que exerceix. Aquesta asimetria no és una llei de la natura. És una mancança de producte. 498 Advance vol generar aquesta solució i, alhora, disposar d'un sistema per calcular el ROI de les accions GEO.
498A, el laboratori de R+D de Zoopa, està treballant en les dues capes que encara no estan resoltes, però el primer objectiu no és llançar un producte, sinó entendre a fons el sistema i els seus límits formals per desenvolupar un sistema de treball sòlid. Aquest sistema, en última instància, pot implementar-se en diferents productes, però sense una base científica sòlida s'incorreria en el mateix error dels productes que es van apressar a prometre esborrar marques i que ara s'han demostrat inútils.
La primera capa que cal resoldre és la del marcatge per a editorials: marcar el contingut en el moment de publicar-lo, amb una marca llegible i una altra d'estadística de forma simultània, i guardar un registre amb un segell de temps. L'important del segell de temps és que no depèn que la detecció sigui perfecta: prova quan vas plantar la marca, i aquesta cadena de custòdia és el que fa creïble qualsevol reclamació posterior.
Fa unes setmanes vaig comentar aquesta solució amb la màxima responsable de la major editorial del món, i la vaig mencionar de passada amb directius d'un dels grups periodístics més importants de Llatinoamèrica. En tots dos casos no vaig saber transmetre la importància estratègica de l'assumpte i em vaig endur un "ja ho estem mirant" per resposta. Resulta preocupant que no existeixi una iniciativa conjunta dels grans grups editorials, perquè tindria un valor social i cultural enorme.
La segona és una capa de traçabilitat vinculada al Reglament d'IA: el regulador exigeix transparència sobre les dades d'entrenament, però no té amb què verificar-la, i ningú no s'hauria de fiar d'un laboratori que s'audita a si mateix. Aquesta necessitat d'un tercer neutral té molt recorregut i no veig que ningú l'estigui ocupant.
Amb GEORadar mesurem com et veuen i et citen els models. Per a aquesta tasca, i per posar a disposició dels crawlers de les IA la informació clau, és fonamental conèixer de manera fiable l'origen de les dades.
El que no prometrem continua sent el mateix que al juliol, i ara amb més motiu: no anirem a caçar una marca a través d'una cadena de destil·lacions, perquè ACL 2025 ha demostrat que un atacant decidit l'esborrarà sense problema.
La pregunta que no em deixa gaudir de les vacances
El 2026 la indústria ja sap signar el que diu. Continua sense haver-hi una forma senzilla d'acreditar què s'ha llegit i s'està fent servir.
Mentre aquesta asimetria segueixi dreta, qui va escriure el text està en una situació d'indefensió i el sistema no incentiva la creació de continguts fiables i de qualitat. El costat de qui menys recursos té és sobre el qual recau el repte de demostrar la seva autoria.
Tant la data impossible com STAMP exigeixen haver actuat abans de publicar. Cada article que surt sense marcar és una reclamació que ja no es podrà fer en el futur.
Així que em quedo amb una altra pregunta: quants anys d'arxiu estem disposats a donar per perduts abans de començar a marcar els nostres propers continguts?
Glossari
- C2PA: estàndard obert de procedència de continguts. Adjunta al fitxer unes metadades signades criptogràficament que diuen qui el va generar i com. S'elimina només reformatant o capturant la pantalla.
- Spoofing (falsificació de marca): generar text que porta la marca d'aigua d'un altre proveïdor, perquè l'autoria s'atribueixi a qui no l'ha escrit.
- Sorpresa de token: mesura del que resulta inesperat un token en el seu context. Els watermarks s'amaguen preferentment als tokens sorprenents, i per això els atacs els hi busquen.
- Versemblança (likelihood): probabilitat que un model assigna a un text concret. Comparar la versemblança de dues versions d'un mateix text permet deduir quina ha vist abans.
- Article 50 del Reglament d'IA: la capa de transparència de la norma europea. Obliga, entre altres coses, a marcar de manera llegible per màquina el contingut generat per IA. Aplica des del 2 d'agost de 2026.
- 498 Advance: laboratori de R+D creat per l'agència Zoopa, centrat en IA i la visibilitat en cercadors generatius.
Preguntes freqüents
Tot el que escric amb Claude va marcat? Si fas servir un model llançat a partir del 2 d'agost de 2026, sí, i tant se val la superfície: aplicació, API, Claude Code, Cowork, Tag, o el model corrent dins d'AWS, Google Cloud o Microsoft Foundry. No s'ha documentat manera de desactivar-ho.
La marca demostra que un text l'ha escrit una IA? No. Demostra que Claude el va poder processar. És compatible amb que tu escrivissis el text i fessis servir Claude per traduir-lo, resumir-lo o corregir-lo. Ho aclareix la mateixa Anthropic.
Marcar empitjora les respostes, sobretot el codi? Depèn de l'esquema. A la família de la llista verda sí que hi ha un cost, perquè es toca la distribució de probabilitat. A la família lliure de distorsió no n'hi ha, i està demostrat: sense la clau, el text marcat és indistingible del normal. Amb el codi passa una altra cosa: no es degrada, es marca poc, perquè on només hi ha una manera raonable d'escriure alguna cosa no queda entropia on amagar el senyal.
Es pot treure? Amb paràfrasi forta, sí. Les eines que es van vendre els primers dies no la treien: netejaven caràcters invisibles, que és una altra cosa. I a la literatura hi ha atacs amb més del 99% d'evasió sense accés al model.
Això em serveix per demostrar que una IA es va entrenar amb el meu contingut? No, i és justament el punt de l'article. La marca d'Anthropic va en la direcció contrària: certifica el que surt del model, no el que hi va entrar. Per al segon cal marcar el teu contingut abans de publicar-lo.
Què puc fer si vaig publicar el meu arxiu sense marcar? Poc, per via de marca d'aigua. Tant la data impossible com STAMP exigeixen haver actuat abans de publicar. Sobre el que ja està publicat queden altres vies: registre amb segell de temps del que es va publicar i quan, control de rastrejadors, i la via contractual i judicial, on la procedència de les dades està sent l'eix dels casos.
I si algú falsifica la marca de Claude en un text meu? És un escenari documentat a la literatura des d'EACL 2026, no una hipòtesi. Per això el matís que la marca indica processament i no autoria és més important del que sembla.
Fonts
- Anthropic. Centre d'ajuda sobre marcatge de continguts, actualitzat l'11 d'agost de 2026. Recollit a TechCrunch, Forbes, Fortune i Euronews
- Comissió Europea. Codi de Pràctica sobre Transparència de Continguts Generats per IA, article 50(2). Declarat adequat el 8 i 9 de juliol de 2026. digital-strategy.ec.europa.eu · anàlisi a Bird & Bird
- Aaronson, Scott. "Watermarking of Large Language Models". Simons Institute, Berkeley, 17 d'agost de 2023. simons.berkeley.edu
- Kirchenbauer, Geiping, Wen, Katz, Miers i Goldstein. "A Watermark for Large Language Models" (la llista verda). ICML 2023. proceedings.mlr.press
- Christ, Gunn i Zamir. "Undetectable Watermarks for Language Models" (família lliure de distorsió). 2023. eprint.iacr.org/2023/763
- Rastogi, Maini i Pruthi. "STAMP: Proving Dataset Membership via Watermarked Rephrasings". ICML 2025. arXiv:2504.13416
- "Can LLM Watermarks Robustly Prevent Unauthorized Knowledge Distillation?". ACL 2025 (Main). arXiv:2502.11598
- "DITTO: A Spoofing Attack Framework on Watermarked LLMs via Knowledge Distillation". EACL 2026 (oral). arXiv:2510.10987
- "LLM Watermark Evasion via Bias Inversion" (BIRA). 2025. arXiv:2509.23019
- Sander, Fernandez, Durmus, Douze i Furon. "Watermarking Makes Language Models Radioactive". NeurIPS 2024. arXiv:2402.14904
- Zhang, Edelman, Francati, Venturi, Ateniese i Barak. "Watermarks in the Sand". ICML 2024. arXiv:2311.04378
- Google. Signatura del codi de transparència i expansió de SynthID, 24 de juliol de 2026. gcn.com
- OpenAI. "Advancing content provenance for a safer, more transparent AI ecosystem". openai.com
- Anàlisi del mercat d'eines d'eliminació de la marca de Claude. Medium, agost de 2026
- Cloudflare. Bloqueig per defecte de rastrejadors d'ús mixt des del 15 de setembre de 2026. TechCrunch
- Dades sobre falsos positius en detectors comercials davant de redaccions d'estudiants no nadius. Recollides a Editage
- Ortet, Carlos. "El 32 de gener: com saber si una IA s'ha entrenat amb el teu contingut". 10 de juliol de 2026. carlosortet.com