見出し画像

Claude等の生成テキストに入る「透かし」は、消せるのに、なぜ入れるのか── ちゃんと、ざっくりと理解したい人へ

ソフエ

生成AIが書いた文章に、目に見えない「透かし」を埋め込む。AnthropicがClaudeの生成テキストへの透かし埋め込みを発表し、EUではこの8月から、一定のAI生成物に機械が読み取れる印を付けることが提供者に義務づけられた。急に現実の話になってきたテーマだ。

AIで書いたことを見破るための技術だろう、と思って調べ始めた。

実は、少し違った。名前の印象と実態が、かなりズレている。

しかも前提も違っていた。Googleは2024年5月から、Geminiのアプリ版・ウェブ版のテキストに透かしを入れている。 幕は2年前に開いていた。

この記事で分かるのは、次の4つだ。

① 何が仕込まれるのか … 文章の意味ではなく、単語の選ばれ方に生じる小さな偏り

② どうやって見つけるのか … 秘密鍵と本文だけ。AI本体は要らない

③ 消せるのか … 減らせる。ただし「ゼロにする」ことはできない

④ 結局、何が分かるのか … 「誰が考えたか」ではなく「そのAIを通ったかどうか」だけ

なお、この記事では、埋め込む仕組みそのものを「透かし」、そこから残るしるしを「印」と呼ぶ（印には画像に付ける電子署名なども含む）。終盤の「ラベル」は比喩だ。

1. 仕組み：意味に触れず、選択の余地だけを使う

AIによる文章生成は、実はとても単純な作業の繰り返しでできている。「ここまで書いた文章の、次に来る単語は何か」を選ぶ。それだけを、何千回と続けている。

そして、その多くの場面には、どちらを選んでも意味が変わらない余地がある。透かしは、この余地だけを使う。

やり方は三段階だ。

① 線を引く。 「直前に選ばれた単語」と「提供者だけが持つ秘密鍵」を関数に通し、その結果で全語彙を二つの組に分ける。ここではまだ何も選ばれていない。しかもこの線引きは、単語1個ごとに引き直される。

② わずかに重みを乗せる。 片方の組の単語に、少しだけ下駄を履かせる。

③ AIが選ぶ。 そのうえで、AIがいつもどおり文脈に従って選ぶ。強制ではない。 「エッフェル塔があるのは__」の答えは、鍵が何と言おうとパリのままだ。

効くのは、候補が僅差の場面だけだ。「ボールを投げた」と「ボールを放った」のように、どちらでも意味が通る場面でだけ、順位が入れ替わる。

意味には手を出さず、意味に影響しない選択にだけ手を出す。 だから品質を落とさずに情報を埋め込める。ここがこの技術の核心だと思う。

2. 検出：鍵と本文だけで、数えるだけ

ここが個人的にいちばん意外だった。「AIの思考を再現して照合するのだろう」と思っていたのだが、違った。

必要なのは「直前の単語」と「秘密鍵」の二つだけ。この二つがあれば、その時点でどちらの組が優遇されていたかを計算できる。あとは、実際に使われた単語が優遇側に入っている割合を数える。それだけだ。代表的な方式では、検出にモデル本体を動かす必要がない。

そして、これがテキスト特有の技術である理由もここにある。計算に必要なのは「直前に何が来たか」なので、並び順が保存される媒体でないと成立しない。完成したカレーから調味料の投入順は分からないが、文章は書かれた順番がそのまま残っている。

3. 消せるのか：ゼロではなく、ベースラインへ

「言い換えれば消える」とよく言われる。ここは、その前に潰しておくべき誤解がある。

【重要】0%か100%か、ではない

線引きは単語の意味と無関係なので、人間が書いた文章でも、一定割合はたまたま優遇側に入る。誰が書いても同じだ。これがベースライン——何も仕掛けていない文章でも普通に出る割合——である。

透かし入りの文章は、これが数ポイント上に振れる。判定しているのは、この上振れだけだ。100%にも80%にもならないし、長く書いたからといって比率が上がるわけでもない。

印はもともと薄い。そして薄いことは、技術の弱さではなく設計である。 濃くすれば検出は簡単になるが、それは適切でない単語を無理に選ぶということで、文章が壊れる。

では、偶然そこまで振れることはないのか。短ければ、ある。

  • 10回投げて6回表（60%）→ 何も言えない

  • 100万回投げて51万回表（51%）→ このコインは確実に細工されている

割合は後者のほうが小さいのに、確信度は比べものにならない。長いほど、偶然では説明しにくくなる。 だから短文では判定できず、コードや定型的な事実の記述のように言い換えの余地が少ない文章にも効きにくい。

そして、ここから重要な帰結が出る。

「透かしを消す」という作業に、ゼロという到達点は存在しない。 透かしのない文章にも、ベースラインの分は最初からあるからだ。作業の中身は「痕跡を消す」ではなく、「上振れを、偶然の範囲まで埋め戻す」ことになる。

埋め戻すには、別のコストがかかる

言い換え、翻訳の往復、専用ツール。どれも上振れを減らせる。ただし、

  • 消したつもりが、置き換わる。 書き換えツールも翻訳も、中で生成AIが動いていれば、消えるのではなくそちらの透かしに入れ替わる（AIを使わない道具では、手を入れられる範囲が狭く、押し下げる量が限定される）。

  • 手間が戻ってくる。 判定できない水準まで押し下げるには、結局は全文に手を入れることになる。それは事実上の再執筆だ。

  • 文章の質が落ちる。 元の語彙が、書き換えに使ったモデルの語彙に置き換わる。

実際にGitHubで公開された除去ツールは、READMEでこう自問している。「どうせ安いモデルで書き直すのなら、最初から高いモデルを使う意味はあるのか」——除去する側が、除去の割に合わなさを説明しているのが面白い。

なお、世の中で「AI検出ツール」と呼ばれているものの多くは、透かしとは別系統の分類器型だ。文章の癖や統計的な特徴から「AIっぽさ」を推測するもので、鍵も透かしも要らない。透かしを薄めた文章でも、こちらには引っかかりうる。

もっとも、そのスコアを下げるためのツールもまた存在する。どの壁も、手間と金をかければ越えられる。

注意
「透かしが入っているか」と「AIが書いたように見えるか」は、
別々に判定される。

4. 印が付くと、誰に分かるのか

まず、印が付いていても、誰でも読み取れるわけではない。 Claudeの透かしを検出する手段は公開されていない（2026年8月13日時点）。GoogleのSynthID Textも、仕組みや研究は公開されているのに、一般の利用者が任意の文章を貼り付けて「Geminiの透かし入りか」を確かめられる公開検出器はない。画像のほうはOpenAIが誰でも使える検証ツールを公開しているのに、である。

「印が入っている」ことと、
「第三者がそれを読める」ことは、
別の話だ。

そして、将来公開されたとしても、印が言えることは狭い。公式ドキュメントによれば、校正や翻訳や要約に使っただけでも印は付く。中身のアイデアが別のところから来ていても付く。

つまり、アイデアごと丸投げした文章と、自分で書いて清書だけ頼んだ文章に、まったく同じ印が付く。

印が付いている＝AIが書いた、ではない。

印は、この二つを区別しない。だから受け取った側は、清書だけの文章を丸投げだと誤解することもあるし、実際に丸投げであることもある。どちらなのかを知っているのは、書いた本人だけだ。

逆もまた成り立たない。印が見つからなくても、人間が書いた証明にはならない。 透かしのないモデルを使えば付かないし、言い換えれば薄まる。検出側が言えるのは「この鍵の痕跡は見つからなかった」までである。

だとすれば、損が生じるとしたら印そのものではなく、それを受け取る側の解釈のほうにある。ただし、解釈する側を責めても仕方がない。区別するための材料が、印の側にないからだ。

印が残るのは、誰か

「印が残るのは対策しない人だけだ」という言い方も聞く。ただ、透かしのないサービスを選ぶのに技術力も資力も要らない。しかも、どのサービスがどの経路で入れているのかは、利用者からは極めて分かりにくい。

印が残るのは「対策しない人」ではない。「そういう選択肢があると知らない人」だ。

5. 制度：義務は二つある。混ぜないこと

EU AI法第50条の透明性義務が、2026年8月2日から適用開始になった。ここで大事なのは、性質の違う義務が二つ入っていることだ。

免除の条件は決して緩くない。内容が分かる人が実質を精査すること（誤字チェックでは足りない）、そして誰かが公開の法的責任を負うこと。両方が要る。

ここで取り違えやすいのが、免除されるのは表示義務だけだという点だ。

どれだけ丁寧に精査し、名前を出して責任を負っても、透かしは消えない。
消えるのは「これはAIが生成した文章です」と書く義務のほうである。

つまり4項が区別しているのは、印の有無ではなく責任の所在のほうだった。

6. ラベルを読むのは、私たちだけではない

ここまでは、人間が透かしを読む話だった。ところが、読み手は人間だけとは限らない。

「あるAI企業が、他社のAI出力で自社モデルを訓練したのか」——賭け金の高い問いだが、直接立証するのは難しかった。ところがある研究によれば、透かし入りテキストで訓練したモデルの出力にも、条件次第で痕跡が残るという。透かしが宿る場所と、学習が吸収する対象が、同じものだからだ。

面白いのは、3章と矛盾しないことだ。どちらも薄まっている。違うのは、数えられる量のほうである。 一枚の記事は数千語で打ち止めだが、疑わしいモデルにはいくらでも文章を吐き出させられる。コイン投げの話がそのまま効く。

同じ薄まり方でも、規模が結論を変える。

（ただし論文は専用の手順が要ると述べており、Anthropicが「だから透かしを入れている」と説明したわけでもない。）

まとめ：じゃあ、なぜ入れるのか

消せる。短い文章には効かない。検証には鍵が要る。弱点だらけに見える。

それでも実装されているのは、この技術が「見抜くため」の道具ではないからだ。

先に触れた分類器型は、鍵が要らないので誰でも使える。ただし推測である以上、外す。人間の文章をAI判定してしまう誤検知が実際に問題になってきた。透かし型の値打ちは、「よく当たること」ではなく「人間の文章を誤ってAI判定してしまう確率を、あらかじめ低く抑えられること」のほうにある。

完璧な検出器だから入れているのではない。消せないラベルだからでもない。そのAIを通ったという事実を、後から確かめられるようにするためだ。だから破られやすいこと自体は、そこまで致命的ではないのだと思う（ここは筆者の見立て）。

ラベルは、中身の著者を保証しない。
その工場を通ったことだけを示す。

Claudeの印も同じだ。中身を誰が考えたかは示さないし、示せない。ただ、Claude工場を通ったというだけ。Designed by Claude, ではない。

もっと詳しく知りたい方へ

この記事は「結局、透かしとは何なのか」を一本にまとめた地図です。

  • 前編：どういう仕組みなのか — レストランの厨房に例えて理解を試みました。ただしその比喩は途中で一度きれいに壊れます。 そして壊れた場所に、いちばん大事な性質が埋まっていました。

  • 後編：消せるなら、無意味なのか — 「消す」の中身を掘り、EU AI法の条文を読み、最後は責任の話にたどり着きました。

◆注意◆
本記事は筆者の個人的な整理です。位置づけの評価は筆者の解釈です。筆者は弁護士ではありません。 EU AI法に関する記述は条文および欧州委員会の解説の紹介であって、法的助言ではありません。

透かし方式は実装ごとに異なり、本記事は公開されている複数の方式に共通する骨格を扱っています。Anthropicは自社のアルゴリズムを公開しておらず、検出器も執筆時点で未公開です。本記事は除去の具体的手順を扱うものではありません。

各社の導入状況は変化します。記述は2026年8月13日時点のものです。なお、この記事もClaudeとの共同作業で書いています。

出典・参考

いいなと思ったら応援しよう！