見出し画像

Claude等の生成AIのテキスト透かしは、消せるなら無意味なのか── 「消す」の中身を調べたら、最後は責任の話になった

ソフエ

はじめに

前回、生成AIの文章に入る「透かし」の仕組みを、料理に例えて整理した。

その後、この技術についての評価をいくつか目にした。だいたい、こういう形にまとまる。

消し方は作った側が全部公開している。効かないと知りながら出したのだから、法律への体裁にすぎない。結果として、何も対策しない人にだけ印が残り、その人が損をする。

一次ソースを踏まえた、まっとうな指摘だと思う。事実関係で間違っているところは、たぶんない。

ただ、結論には賛成しきれなかった。引っかかったのは三点ある。

  1. 本当に、そんなに簡単に消えるのか

  2. そもそも、印が付くことは「損」なのか

  3. 損だとして、それは誰と比べての損なのか

三つ目を追いかけていたら、EU AI法の条文の中に、想像していなかった一文を見つけた。そして最後に、文章ではなくモデルの話にたどり着いた。

先に着地点を書いておく。

「消す」とは、ゼロにすることではない。ベースラインに埋め戻すことだ。

そして条文の4項には、条件が二段あった。二段目が見ているのは、責任の所在のほうだった。

1. 本当に、簡単に消えるのか

1.1 まず、判定の仕組みをもう一段だけ掘る

前回、検出は「鍵と本文だけで、偏りを数えるだけ」と書いた。ここをもう少し正確にしておかないと、この先の議論ができない。

よくある誤解から潰しておきたい。「透かしが80%検出された」「数%しか出なかった」という言い方だ。この言い方自体が成立しない。

たとえば語彙を「緑」と「赤」に分け、緑側を優遇する方式を考える。ここでは仮に、緑の比率を全語彙の25%と置く（説明のための数字であって、実際の設定値ではない）。すると何が起きるか。

透かしのない、人間が書いた文章でも、約25%のトークンはたまたま緑に入る。

これがベースラインだ。そして透かし入りの文章は、これが数ポイント上に振れる。判定しているのは、このベースラインからの上振れだけであって、100%にも80%にもならない。

この構造は、この記事の最後まで効いてくる。透かしのない文章にも、痕跡はベースラインの分だけ存在する。ゼロではない。


1.2 「たまたま合うことはないのか」

では、上振れが数ポイントしかないなら、偶然そうなることもあるのでは。

ある。短ければ。

コイン投げで考えると、一発で分かる。

  • 10回投げて6回表（60%）。何も言えない。偶然そうなる。

  • 100万回投げて51万回表（51%）。このコインは確実に細工されている。

割合は後者のほうが小さいのに、確信度は比べものにならない。同じ程度の上振れでも、観測する回数が増えるほど、偶然だけでその偏りが生じる可能性は急速に小さくなるからだ。

だから「たまたま合うのか」への答えは、

「短ければ合う。長ければ合わない」

になる。前回、「工程が3つしかないレシピでは偶然と区別がつかない」と書いたが、あれと同じ話がここでも効いている。

ついでに言うと、検出器が出す数値（p値）は「AIが書いた確率」ではない。「透かしがないのに、これほどの上振れが偶然起きる確率」だ。剽窃チェッカーの一致率のようなものとは、性質がまるで違う。


1.3 「消す」が、実は何をする作業なのか

ここまで来ると、言葉の使い方を直す必要が出てくる。

「透かしを消す」という作業に、ゼロという到達点は存在しない。

透かしのない文章にも、ベースラインの分の痕跡はある。だから作業の中身は「痕跡を消す」ではなく、「上振れを、偶然の範囲まで埋め戻す」だ。目指す先はゼロではなく、ベースライン。そして判定できなくなる地点があるだけで、そこを越えて「完全に消えた」という状態には行けない。

以下、「消す」と書くときは、この意味で使う。


1.4 手段は、いくつかある

①部分的な言い換え
単語を差し替えると、上振れは減る。しかも変えた単語だけでなく、それを文脈として使う直後の数トークンの採点も壊れるので、効率は悪くない。ただし、判定できない水準まで押し下げようとすると、結局は全文に手を入れることになる。それは事実上の再執筆だ。

②翻訳の往復
 個人的には、これがいちばん効くと考えている。翻訳は語順も語彙も総入れ替えするので、「直前の文脈→次の単語」という対応が全域で組み替わる。前回「厨房ごと変える」と書いたとおりの効き方をする。2つの言語を経由すれば、なおさらだ。

③専用ツール
作ろうと思えば作れる。文章を書き直すだけなので、技術的な難所はない。

④透かしの入らないモデルで書く
これだけは「消す」作業ではなく、そもそも印を付けない選択だ。ただし選択肢は、思っていたより狭い。 商用サービスのテキスト透かしは、Anthropicが最初ではなかったからだ。

【補足】これは新しい話ではないし、各社が同じことをしているわけでもない
記事を書きながら、自分の前提が二つ間違っていたことに気づいた。

ひとつ。Anthropicが最初ではない。 Googleは2024年5月から、Geminiのアプリ版・ウェブ版のテキスト出力にSynthIDによる透かしを入れている。LLM透かしとしては世界初の大規模な実運用で、約2,000万件の応答を対象にした比較でも、透かしの有無による利用者評価の差は確認されなかったとされる。手法はNature誌に掲載され、実装はオープンソースとしても公開されている。Anthropicより2年早い。 今回の発表を「AI透かしの幕開け」のように受け取っていたが、幕はとっくに開いていた。

ただし対象は、Geminiのアプリ版・ウェブ版とされている。APIエンドポイントについては透かしの証拠が見つからなかったという第三者の検証があり、これはDeepMind側の説明とも整合するという。同じ会社のモデルでも、経路によって扱いが違う可能性がある。

そして、経路の扱いは会社によっても違う。 Anthropicのヘルプ記事は、マーキングの対象にAPIを明示的に含めている。片方はAPIを含め、片方は含まないらしい。利用者からは、どちらがどうなのか極めて分かりにくい。

ふたつ。「AI生成物に印を付ける」と「テキストに透かしを入れる」は、別の話だ。 OpenAIは2026年5月、C2PA準拠となり、Google DeepMindのSynthIDを画像に組み込み、検証ツールも公開した。かなり踏み込んだ対応である。ただし対象は画像で、テキストへの透かしは公表されていない。

「各社が透明性に取り組んでいる」ことと、「各社がテキストに同じ方式の透かしを入れている」ことは、まったく違う。行動規範への署名も、特定の技術方式の採用を意味しない。

つまり現時点で問題になるのは「AIを使うか使わないか」ではない。どのAIを、どの経路で使うかである。そして印の付かない道は、いまも残っている。ただし「他社に乗り換えればいい」ほど単純ではない。 乗り換え先によっては、すでに入っているだ。

【この道の先行きについて】
規制は提供者一般にかかるので、AI生成物の来歴を示す仕組みを採る提供者は、今後増えていく方向にある。

ただし、それがそのままテキスト透かしの普及を意味するわけではない。規制が要求しているのは機械可読なマーキングであって、特定の技術方式ではないからだ。上で見たとおり、画像の来歴には熱心でもテキスト透かしは公表していない、という状態はあり得る。

それでも選べる先は、少しずつ狭まっていくのだろうと思う。狭まっても、ゼロにはならない。 オープンウェイトのモデルをAPIとして提供する事業者は既にあり、その場合の使い勝手は商用サービスと大きく変わらない。EU市場を相手にしていない事業者や、行動規範に署名していない事業者もある。透かしを入れるかどうかは、提供者が自分の推論設定で決めることでもある。

自分でモデルをローカルに置いて動かす道もある。ただしこちらは環境構築も計算資源も要るので、誰にでも勧められるものではない。

知っていれば選べる、という種類の道である。


1.5 ただ、機械に任せる手には、二つ問題が残る

上に挙げた手段のうち、言い換え・翻訳・専用ツールは、どれも機械に文章を通して消すやり方だ。そこに共通の問題が二つある。

ひとつ。消したつもりが、置き換わる場合がある。

ここは、機械の中身によって分かれる。

AIを通す場合。 前回「別のAIに書き直させるのは、消えるのではなく置き換わる」と書いた。これは書き換えツールにも翻訳にも同じようにかかる。 書き換えツールが中で呼んでいるのは生成AIだし、翻訳もそうだ。DeepLもGoogle翻訳もニューラル機械翻訳で、近年はLLMベースに寄っている。「翻訳を通す」は、実質的に「別の生成AIを通す」とほぼ同義になっている。

そして商用の生成AIには、順次、印が付いていく方向にある。だとすれば、Claudeの印を消すために別のAIを通した文章には、将来的にはそのAIの印が付く可能性もある。 翻訳を二回通せば、二社目の印が付くかもしれない。

AIを通さない場合。 機械による処理がすべてAIというわけではない。決まった規則で文字列を処理するだけの道具もあり、そちらを通してもAIの印は付かない。

ただし効く相手が違う。 統計的な透かしは、単語の選び方に宿っている。だから減らすには単語を選び直すしかなく、意味を保ったままそれができるのは、いまのところAIか人間だけだ。規則で処理できるのは、目に見えない文字やファイルに添えられたメタデータのような、別の経路の印である（この区別は1.7で実物を見る）。

（もっとも、規制が翻訳サービスや書き換えツールにどこまで実効的に及ぶかは、これから決まる部分だ。抜け道は当然ある。断定はできない。）

ふたつ。どちらの道でも、人間の手間が戻ってくる。

AIを通した文章は、そのままでは公開に堪えない。翻訳を往復させたものは特にそうだが、書き換えツールを通したものも同じで、直すには全文を読んで手を入れることになる。それは「元の文章を保ったまま印だけ消す」ではなく、事実上の書き直しだ。

AIを通さない道を選んだ場合は、そもそも統計的な透かしが減っていない。減らしたければ、結局は自分の手で書き直すことになる。こちらは全部が手間だ。

つまり、どちらに進んでも手間の総量は減らない。ワンクリックで済むように見えて、後工程が残る。


1.6 結論：減らせる。埋め戻すのは、思ったより難しい

どの手も、上振れを減らすことはできる。ただし、何もしていない文章と見分けがつかない地点まで押し戻すのは、思ったより難しい。

押し戻そうとするほど、ツールと人手のコストが積み上がる。そして押し戻せたとしても、通した先が別のAIなら、その印が入る。

印の付かないモデルを選ぶ道だけは別で、こちらは確実だが、長期的に安定した対策ではない。 選べる先は減っていき、減ったときに残るのは手間のかかる道のほうだ。

前回「出荷ラベル」と書いた見立ては、ここでも変わらない。剥がせないラベルなど存在しない。剥がすのに手間がかかることに意味がある。


1.7 と書いていたら、除去ツールが現れた

ここで一度、推測をやめて実物を見る。

ここまでは、公開されている方式の性質から導いた推論だった。ところが記事を書いている最中に、実物が出てきた。

GitHubに、watermarks-removerという除去ツールが公開されている。複数ベンダー対応で、テキストの透かしもファイルのメタデータも扱う。

まず、速さが目を引く。 最初のバージョンが公開されたのは、この記事を書いているわずか二日前だ。それが二日でv0.3.2まで進み、3,000を超えるスターがついている。

1.4で「専用ツールは作ろうと思えば作れる」と書いた。思っていたより早かった。

なぜこれを紹介するのか、先に書いておきたい。
使い方を勧めるためではない。この記事は除去の手順を扱わない立場で書いている。

紹介する理由はひとつで、除去する側が、自分で限界を書いているからだ。これは推論ではなく、実装した人が実際に手を動かして得た結論である。1.6までに書いたことの、いちばん強い裏づけになっている。

除去ツール自身が言っていること

READMEの免責事項を読むと、こちらが1章で書いたことと、ほぼ同じ結論が並んでいる。

除去とは、並べ替えではなく書き換えだ。 段落の入れ替えや見出しの変更、軽い手直しでは信号はほとんど動かない。統計的な印を剥がすには、章単位ではなく文単位で、相当な割合を書き直す必要がある——そう書かれている。

書き換えれば、文章の質は落ちる。 元の語彙が書き換えモデルの語彙に置き換わるので、トーンも精度も平板になる。出来上がりは、書き換えに使ったモデルの上限を超えられない。

元のモデルで書き直すのは避けろ、とも警告している。押し直しになるからだ。1.5で「消したつもりが、置き換わる」と書いた話が、そのまま運用上の注意として書かれている。

そして、検出器と鍵が公開されていない以上、「公式の判定を通る」と保証できるツールは存在しないとも明記されている。2章で書くことになる話が、ここでも出てくる。

極めつけが、READMEが自ら投げかけている問いだ。

どうせ安いモデルで書き直すのなら、最初から高いモデルを使う意味はあるのか。

最初から安いモデルで書けば、単純で、安上がりで、同じかそれ以上の結果になる。READMEはそう続けている。

除去ツールが、除去の割に合わなさを説明している。 1.6で「押し戻すほどコストが積み上がる」と書いたが、コストは手間だけではなかった。払うのは、そもそも良い文章を得るために選んだはずの品質のほうだった。

そしてこの問いは、1.4に戻ってくる。

書き換え役には、元のモデルを使えない。押し直しになるからだ。だから透かしを入れていない別のモデル——READMEはローカルで動かすオープンウェイトのモデルを挙げている——を持ってくることになる。すると出来上がりの上限は、その書き換え役のモデルの能力で決まる。

なら、最初からそのモデルで書けばいい。

印を避けたいなら、消すのではなく、最初から印の付かないモデルで書けばいい。 商用AIで書いてから消す、という順序には、あまり意味がない。

もっとも、READMEはこれを「オープンウェイトを使え」という推奨として書いているわけではない。品質が大事なら、統計的な透かしを消そうとするなという話だ。文章に手を入れずに済む範囲（目に見えない文字の除去と、ファイルのメタデータ除去）に留めて、元の文章はそのまま残すほうがいい、と書かれている。

ついでに、自分が見落としていた経路

このツールは、消す対象を三つに分けている。統計的な透かし（この記事がずっと追ってきたもの）、ファイルに添えられたメタデータ（おまけ2の図でいう「メタデータ・署名」）、そしてもう一つ。

目に見えない文字を、文章に紛れ込ませる方式だ。

画面に何も表示されない文字というものが存在する。幅ゼロの空白などがそれで、コピーしても貼り付けても付いてくるのに、読んでいる人には見えない。それを一定の規則で埋め込んでおけば、印になる。

こちらは統計的な透かしとは性質が違って、確定的に見つけられるし、確定的に消せる。「あるかないか」で判定できるので、確率の話にならない。実際このツールでも、統計的な透かしのほうは「最善を尽くす」としか書かれていないのに対し、こちらは検証可能な除去として扱われている。

この経路は、この記事でも前回の記事でも扱っていなかった。おまけ2の図に、もう一本の枝が要ることになる。

ただし念のため書いておくと、これは方式の分類として挙げられているだけだ。特定のAIがこれを使っていると確認できたわけではない。「そういう別の経路もある」という以上のことは、自分には言えない。

2. そもそも、印が付くと損なのか

2.1 何が起きるのかが、はっきりしない

次に引っかかったのが、ここだ。

「損をする」と言うには、印が付くことで具体的に何が起きるのかが要る。ところが、その中身がはっきりしない。

現時点では、読める人がいない。 Claudeの透かしを検出する手段は、2026年8月13日時点で公開されていない。Anthropicは「今後のドキュメントで詳細を共有する」としているだけだ。誰も読めない印で、どうやって損をするのか。

そして、これはAnthropicに限った話ではない。 画像のほうは事情が違っていて、OpenAIは2026年5月に誰でも使える検証ツールを公開したし、Googleも検証ポータルを持っている。ところがテキストの検証手段は、どこも一般公開していない。Geminiのテキスト透かしも、2024年から入っているのに、外部から確かめる方法がない。

画像には読み方が用意され、テキストには用意されていない。 印を付けるのは同じでも、確かめられるかどうかが違う。

将来公開されたとして、印が言えることは狭い。 前回の「おまけ」でも書いたが、Claudeを校正に使っても、翻訳に使っても、同じ印が付く。中身のアイデアが別のところから来ていても付く。つまり印は、著者性について何も主張していない。

創造性を否定してもいないし、手抜きの証拠でもない。示しているのは「その工場を通ったかどうか」だけだ。


2.2 損があるとすれば、どこか

とはいえ、ここは半分だけにしておきたい。損が生じる筋は、ちゃんと残っている。

印が付くこと自体ではなく、それを受け取る側が過剰解釈することが、損の正体になる。

「Claude検出 = AIが書いた = 手抜き」と読む採用担当や教員がいれば、実害は出る。技術が損を作るのではなく、印の意味を誤読する運用が損を作る。

そして、誤読しにくい形で公開できるかどうかは、印を付けた側にかかっている。 判定結果に「これは著者性を示すものではない」と併記するのか。検出器を誰に開くのか——無制限に開けば晒し行為に使われ、閉じれば誰も検証できない。規約で用途を制限するのか。

前回「窓口はまだ開いていない」と書いた。開けるときに何を一緒に添えるかのほうが、たぶん重要だ。

3. 損だとして、誰と比べての損なのか

3.1 まず、集合を書き出してみる

三点目。ここがいちばん大きく、そして条文を読んで考えが変わったところだ。

「印が残るのは何も対策しない人だけだ」という言い方には、比較の相手が隠れている。書き出してみると、話が整理される。

いまの状態。

  • 透かしを入れているサービスを使い、出力をそのまま使う人 → 印が付く

  • 同じサービスを使い、印を減らそうとする人 → コストを払って、判定されにくくする

  • 透かしを入れていないサービスを使う人 → 印が付かない

たしかに、この状態は不当だ。同じことをしているのに、使ったサービスによって印の有無が決まる。 しかも1.4で見たとおり、どのサービスが入れているかは利用者からは分かりにくい。選んだつもりのない差である。

これからの状態。 EU AI法50条が義務を課しているのは特定の企業ではなく、提供者一般だ。Anthropicが署名した行動規範に、他社も同様の枠組みで対応していく方向にある。すると、こうなる。

  • 商用AIを使う人 → 印が付く

  • 印を減らそうとする人 → コストを払って、判定されにくくする（通した先が別のAIなら、その印が入る）

  • 透かしのないモデルを自分で用意する人 → 印は付かない


3.2 「差は消える」とは言えない

前の版で、自分はここを「差は消える」と書こうとしていた。それは間違いだった。

少なくとも、透かしの入らないモデルが存在する限り、印の付く人と付かない人がいる状態はなくならない。

変わるのは、差そのものではなく、差の性質のほうだ。

いまの差は、使ったサービスによって、本人の選択とほぼ無関係に決まる。同じことをしているのに片方だけ印が付く。これは不当だと思う。

これからの差は、印を避ける手段を選んだかどうかで決まる。

ここで、当初は「コストを払ったかどうかの差だから、不公平ではあっても不当ではない」と書こうとしていた。だが1.4で見たとおり、安いコストの選択肢もある。透かしを入れていないサービスを選べば済む話で、技術力は要らない。

だとすれば、差を生むのは資力でも技術力でもなくなる。知っているかどうかだ。そして1.4で自分がまさに間違えたように、どのサービスが入れているのかを正確に把握している人は、そう多くない。

印が残るのは「対策しない人」ではない。 「そういう選択肢があると知らない人」だ。

これは、前の状態より公平だとは言い切れない。使ったサービスで決まる差が、知識の有無で決まる差に置き換わるだけとも言える。不当さの質が変わるだけで、なくなるわけではない。

そして正直に言えば、知らないまま印が残る構図のほうが、たちが悪いかもしれない。 自分で選んだ結果ではないからだ。


3.3 ……と、ここまで書いて、条文を読んだ

そうしたら、もうひとつ前提が足りていなかったことが分かった。

EU AI法50条には、二つの別々の義務が入っている。

50条2項 ── 提供者への義務。出てきた文章や画像に、機械が読み取れる印を入れること。相手はAnthropicなどのAI提供企業。

50条4項 ── 導入者への義務。AIが生成した文章を世に出すとき、それがAI製だと表示すること。相手は、記事を出す私たちのほうだ。

ここまでの話は、ほぼ2項だった。ここからは4項の話になる。

4項の第1文は、こうだ。

公共の利益に関する事項について公衆に知らせる目的で公開される文章を、AIシステムで生成または改変した導入者は、その文章が人工的に生成または改変されたものであることを開示しなければならない。

「この記事は生成AIを使って作成しました」に相当する一文を、記事に付けろ、ということになる。ここまでは知っていた。

驚いたのは、そのすぐ後ろに続く第2文だった。

この義務は、（中略）AI生成コンテンツが人によるレビューもしくは編集上の管理のプロセスを経ており、かつ自然人または法人がそのコンテンツの公開について編集責任を負う場合には、適用されない。

人が責任を持って読んだ文章は、表示しなくていい。

条文に、そう書いてある。

ただし、これは「人間が一度目を通せばいい」という意味ではない。 求められている水準はかなり高く、しかも条件は二つある。次で見る。


3.4 4項には、条件が二段ある

ここは正確に書いておきたい。「AIを使ったかどうかは関係ない」という話ではない。AI利用は、依然として義務の入口条件だ。

構造はこうなっている。

一段目（入口）。 欧州委員会のFAQによれば、対象になるには三つの基準を満たす必要がある。公開されていること。公衆に知らせる目的であること。公共の利益に関する事項であること。しかも判定の引き金になるのは主題そのものではなく、公開者の目的だとされている。

さらに、純粋に個人的・非職業的な活動は、そもそもAI法の対象外だ。ただしこの免除は狭く、個人的かつ非職業的の両方に該当する必要があるとされている。

二段目（免除）。 一段目を通った文章について、次の二つを両方満たせば、表示義務は適用されない。

  • 人によるレビュー。 その主題について関連する知識を持つ人が、事実確認を含め、内容の実質を意図的に精査すること。誤字脱字のチェックや文法の修正といった表面的・形式的な確認は、これに当たらない。

  • 編集責任。 特定の自然人または法人が、そのコンテンツの公開について最終的な法的責任を負っていること。

そして、手続きは存在しない。 申請も登録も届出もない。これは免除の申請制度ではなく、条件文である。満たしていれば義務が発生せず、満たしていなければ発生する。それだけだ。

裏返すと厳しい面もある。争いになったとき、条件を満たしていたことを示す責任はこちら側にある。だから実務的には、記録を残すことが実質的な手続きになる。

結果として、記事は三種類に分かれる。

  1. そもそも対象外 → 何もしなくてよい（おそらく大多数）

  2. 対象だが、免除条件を満たす → 表示不要

  3. 対象で、条件を満たさない → AI生成である旨の表示が必要


3.5 二段目が見ているもの

整理して、腑に落ちたのはここだった。

AIを使ったかどうかは、義務の入口を決める。だが、義務の有無を最終的に決めるのは、そこではない。

一段目を通った文章について、表示するかしないかを分けるのは、内容を判断できる人間が実際に判断し、名前を出して責任を負っているかどうかである。

そう読むと、「印が残るのは何も対策しない人だけだ」という言い方が、少しずれて見えてくる。印は残る。 そのうえで4項が区別しているのは、

印の有無ではなく、責任の所在

のほうだからだ。


3.6 【注意】免除されるのは「表示」であって、「透かし」ではない

ここは誤解が広がりそうなので、はっきり書いておきたい。自分も最初、取り違えた。

「人が読めば免除」という一文だけを見ると、丁寧にレビューすれば透かしが入らない、と読めてしまう。そうではない。全然違う。

免除がかかるのは50条4項の表示義務だけだ。50条2項のマーキング義務は提供者側にあるので、こちらは私たちの作業とは無関係に働く。

どれだけ丁寧に精査し、名前を出して責任を負っても、テキストに入った透かしは消えない。 消えるのは「これはAIが生成した文章です」と書く義務のほうである。

同じ条文の中に並んでいるので混ざりやすいが、義務を負う相手が違う。表にすると、こうなる。

透かしの列は、全部同じである。

ここが言いたかったことだ。

書き手の行動で変わるのは右の列だけで、左の列は最初から最後まで動かない。透かしを実装しているAIを通した時点で、印は入っている。

（なお、これは透かしを実装しているモデルを使った場合の話だ。1.4のコラムで書いたとおり、印の入らないモデルを選べば左の列も変わる。ただしその場合も、4項の表示義務はAIを使った以上そのまま残る。印がないことと、義務がないことは別である。）

【コラム】透かしは、企業同士の監視にも使えるかもしれない

ここまでは、一枚の文章の話をしてきた。最後にひとつ、まったく違う角度の話を置いておきたい。本筋からは外れるので、コラムとした。

4.1 問いが変わる

こういう問いがある。

「あるAI企業は、他社のAIの出力を使って、自社のモデルを訓練したのか」

現実に賭け金の高い問いだ。主要なAI提供各社は、自社の出力を競合モデルの学習に使うことを規約で禁じている。ところが、この種の利用を直接立証する決定的な技術的証拠を得るのは難しかった。この種の争いは、これまで状況証拠と口論に終始してきた。

そして、透かしがここで効く可能性がある。


4.2 学習後のモデルにも、条件次第で痕跡が残り得る

Watermarking Makes Language Models Radioactive（Meta FAIRとInriaの研究、NeurIPS 2024）という論文がある。透かし入りテキストを学習データに使ってモデルを訓練すると、訓練後のモデルの出力にも痕跡が残る場合がある、という内容だ。

最初は意味が分からなかった。学習を通せば消えそうなものではないか。

理由は、こうだった。透かしが宿っている場所と、学習が吸収する対象が、同じものなのだ。

透かしは、文章に貼り付けられた印ではない。「直前の文脈がこうなら、次はこちらを選ぶ」という規則だった。そしてAIの学習とは、まさに「直前の文脈から次の単語を予測する」規則を学ぶことである。

同じものを学んでいるのだから、
何らかの痕跡が移っても不思議ではない。

料理の比喩に乗せると、こうなる。

これは、弟子入りだ。
弟子はシェフのレシピを何千枚も読んで修行する。すると、意味も理由も知らないまま、シェフの癖まで身につけてしまう。「玉ねぎの後には金時」。なぜそうするのかは分からない。でも手が覚えている。

だから弟子の書くレシピにも、同じ癖が出る。検査員は自分の鍵で、その癖を数えるだけでいい。


4.3 1章と矛盾しない。違うのは規模だ

「言い換えれば減るのに、学習では残るのか」と思われるかもしれない。

矛盾しない。どちらも薄まっている。

訓練後のモデルの出力に残る上振れは、元の文章よりずっと薄い。学習を通しても、痕跡は減っている。

違うのは、数えられる量のほうだ。

  • 一枚の記事は、数千トークンしかない。薄まれば、判定の材料が足りなくなる。

  • モデルは違う。調べる側は、疑わしいモデルにいくらでも文章を吐き出させられる。同じだけ薄まっていても、数百万トークン分を数えれば判定できる。

1.2のコイン投げが、そのまま効く。上振れが小さくても、投げる回数を増やせば確信度は上がる。 文章は回数を増やせない。モデルは増やせる。

同じ薄まり方でも、規模が結論を変える。


4.4 ただし、条件は重い

これを「効かないと言われた技術が、実は効く」という話にすると、事実を超えてしまう。

論文自身が書いているが、素朴なやり方では検出できない。残留信号が弱すぎるからだ。著者らは専用の手順を設計している。また、検出しやすさは条件によって大きく変わり、疑わしいモデルの中身が読める場合がもっとも高感度だとされる。論文には防御策の検討も含まれていて、攻防の余地は残っている。

そして最大の但し書き。これはMeta FAIRとInriaの研究であって、Anthropicが「だから透かしを入れている」と述べたわけではない。


4.5 それでも、見え方は変わる

条件付きではあるが、この可能性は無視できない。

出荷ラベルは、消費者に読ませるためだけのものではない。 別の工場が、うちの製品を原料に使っていないかを確かめるためでもある。

前回、透かしを「出荷ラベル」と呼んだ。弱点の言い換えのつもりだったのだが、もう一人の読者を想定すると、機能の説明に変わる。

この仕組みが相手にしているのは、必ずしも文章を書く個人ではないのかもしれない。そう考えると、「誰が損をするのか」という問いの立て方自体が、少しずれていたことになる。

まとめ

三つの引っかかりから出てきたことと、条文の一文と、ひとつの可能性。

ひとつ。 「消す」にゼロという到達点はない。透かしのない文章にもベースラインの分の痕跡はあり、作業の中身は上振れをそこまで埋め戻すことだ。減らすことはできる。ただし、何もしていない文章と見分けがつかない地点まで押し戻すのは難しく、押し戻すほどコストが積み上がる。 そして通した先が別のAIなら、その印が入る。実際に除去ツールを作った人も、同じ結論に達していた。払うコストは手間だけでなく、文章の質そのものだった。

ふたつ。 印が付くこと自体は、たぶん損ではない。検出器はまだ公開されていないし、公開されても印が示すのは「そのAIを通ったか」だけで、誰が考えたかについては何も言わない。損があるとすれば、印の意味を誤読する運用のほうにある。

みっつ。 印の付く人と付かない人がいる状態は、なくならない。変わるのは差の性質のほうだ。そして透かしの入らないモデルを使うコストが思ったほど高くない以上、差を決めるのは資力ではなく知識になる。印を負うのは「対策しない人」ではなく、「そういう選択肢があると知らない人」だと思う。

よっつ。 条文の4項には条件が二段あり、二段目が見ているのは責任の所在のほうだった。ただし。 免除されるのは表示義務だけで、透かしは入り続ける。ここは分けて理解しておきたい。

そして、コラムの話。 一枚の文章では薄めれば判定できなくなるが、モデルは大量に吐き出させて数えられる。同じ薄まり方でも、規模が結論を変える。 ラベルを読むのは、私たちだけではないのかもしれない。

前回は比喩が途中で壊れた。今回は、「消す」という言葉の中身が思っていたものと違い、探していた線が思っていない場所に引かれていた。掘ってみるものだと思う。

◆注意◆ 本記事は筆者の個人的な整理です。技術の仕組み・制度に関する記述は出典に基づきますが、評価や見通しの部分は筆者の解釈です。

筆者は弁護士ではありません。 EU AI法に関する記述は、条文および欧州委員会が公表している解説の紹介であって、法的助言ではありません。実際の適用については専門家にご確認ください。

また、Anthropicの透かし検出器は本記事の執筆時点で公開されていません。本記事の技術的な議論は、公開されている複数の方式に共通する性質から導いた推論であって、実物で検証されたものではありません。透かし方式は実装ごとに細部が異なり、Anthropicは自社のアルゴリズムを公開していません。「25%」は説明のための例であって、実際の設定値ではありません。

本記事は、透かしやメタデータを除去する具体的な手順を扱うものではありません。なぜ減るのかという性質の説明であって、消し方の推奨ではないことをお断りしておきます。

各社の透かし導入状況は変化します。本記事の記述は2026年8月13日時点で確認できたものです。執筆中にも、自分の前提が二つ間違っていたことが分かりました（1.4の補足を参照）。読まれている時点では、また変わっているかもしれません。

なお、この記事もClaudeとの共同作業で書いています。

出典・参考

いいなと思ったら応援しよう！