見出し画像

Claudeの「電子透かし」は何を証明するのか? EU AI Act、LLMテキスト透かしの技術、理論的限界、社会での使い方

E.C.

最終確認日：2026年8月12日

執筆・情報更新に関する注記
本記事は、ChatGPT上のGPT-5.6 Proを用いて、構成整理、原典の確認、文章校正を行いながら執筆した。論点の選択、引用元との照合、最終的な記述と責任は筆者にある。内容は2026年8月12日時点で確認できたEU法令、欧州委員会およびAnthropicの公式情報、原著論文に基づく。Claudeの技術仕様やEUの運用資料は今後更新される可能性があるため、最新情報は本文中のリンク先で確認されたい。

注意事項

私は、論文の内容や主張は自分で書き、最後の英文校正や表現の確認にLLMを使っている。Claudeが生成テキストへの電子透かし導入を発表したとき、最初に浮かんだ疑問は単純だった。自分で書いた文章をClaudeで校正した場合、その文章は「AI生成」とみなされるのだろうか。

調べてみると、LLMの文章に人間には見えない印を埋め込む技術は、すでに大規模サービスで運用できる段階に達している。一方、透かしから直接分かるのは、特定のAIシステムが生成や編集に関与した可能性であり、誰が知的内容を作ったのか、AI利用が規則違反だったのかまでは分からない。

本稿では、EU AI ActとClaudeの発表を起点に、代表的なテキスト透かし研究を整理する。そのうえで、ICML 2024で示された理論的限界と、教育・学術出版を含む社会運用上の課題を考える。先に結論を示せば、透かしの検出、AIへの帰属、著者性、不正利用は、それぞれ別の問題である。

EU AI Actで区別すべき二つの義務

現行のEU AI Act（Regulation (EU) 2024/1689、2026年7月27日統合版）のArticle 50には、AIシステムの提供者と導入者に対する複数の透明性義務が定められている。本稿の論点に直接関係するのは、次の二つである。

第一に、Article 50(2)は、合成されたテキスト・画像・音声・動画を生成するAIシステムの提供者に対し、出力を機械可読な形式でマーキングし、AIによって生成または操作されたものとして検出できるようにすることを求めている。技術的な解決策には有効性、相互運用性、頑健性、信頼性が求められるが、その水準は、コンテンツの特性、技術的限界、実装コスト、一般に認められた技術水準を踏まえた「技術的に可能な範囲」とされている。通常の編集を補助する機能や、入力データまたはその意味を実質的に変更しない処理は、この義務の対象外である。

第二に、Article 50(4)は、一定のコンテンツを公表する導入者に、人が認識できる形でAI生成・操作の事実を表示するよう求めている。対象はディープフェイクと、公共の関心事項について公衆へ情報を提供する目的で公開されるAI生成・操作テキストである。後者は、内容に関する人間のレビューまたは編集管理が行われ、自然人または法人が編集責任を負う場合には表示義務の対象外となる。欧州委員会は、綴りや文法だけを確認する表面的な校正は、この「人間によるレビュー」には当たらないと説明している。

この二つは同じではない。提供者が埋め込む機械可読なマークは、専用の技術で読み取るためのシグナルである。導入者が行う表示は、一般の人が特別な道具を使わず認識できるラベルであり、機械可読なマークだけでは代替できない。この区別は、欧州委員会のArticle 50 Q&Aにも明記されている。

Article 50は2026年8月2日から適用されている。2026年8月2日より前に市場投入された対象システムには、Article 50(2)のマーキング・検出義務に限り、2026年12月2日までの経過措置がある。Article 50違反の行政罰金は最大1,500万ユーロであり、違反者が企業である場合は、前会計年度の世界年間総売上高の3％とのいずれか高い方が上限となる。中小企業とスタートアップには、金額と割合のいずれか低い方を上限とする規定がある。

「Code of Practice on Transparency of AI-generated Content」への参加は任意である。一方、Article 50の透明性義務そのものは法的義務である。コードは、署名した事業者が法令遵守を示すための共通枠組みとして位置付けられている。

したがって、EU AI Actが求めているのは、どのような編集にも耐える「消せない著者証明」ではない。目的は、技術的に可能な範囲でAI生成・操作コンテンツの透明性を高めることである。

Claudeは何を導入するのか

AnthropicはArticle 50(2)に関する透明性コードに署名し、「How Claude marks AI-generated content」で実装方針を公表した。EUで2026年8月2日以降に提供開始される新しいClaudeモデルは、提供開始時から機械可読なマーキングに対応する。対応モデルのマークは、Claude本体、Claude Platform（API）、Claude Code、Claude Coworkなどに加え、クラウド事業者経由の利用を含め、Claudeが提供される地域の出力に適用される。既存モデルについても対応作業が進められている。

Claudeは、テキストとファイルで異なる方式を使う。対応モデルが生成するテキストには、人間には知覚できない透かしを文章そのものに埋め込む。SVG、PNG、JPEGなどの対応ファイルには、C2PA規格に基づく署名付き来歴メタデータを付与する。後者は、ファイルがClaudeによって処理されたことを示し、署名後の改変を検知するための仕組みである。

Anthropicは、テキスト透かしについて「文章の意味、品質、可読性を変えない」「コピー＆ペースト後も文章とともに移動し、一部の編集後にも残る」と説明している。現時点では、これはAnthropicによる製品説明である。透かしのアルゴリズム、検出方法、必要な文章長、偽陽性率、偽陰性率、言語別性能、品質評価の詳細は公開されていない。一般利用者や第三者が使える検出手順についても、Anthropicは今後技術文書とともに案内するとしている。

したがって、Claudeが後述するKirchenbauer方式やSynthID-Textと同じ方式を採用したとは断定できない。既存研究は、Claudeの方式そのものを説明する資料ではなく、この種のテキスト透かしを実現する代表的な原理を理解するための手掛かりである。

Claudeの公式説明は、マークの意味も限定している。マークが検出された場合、それが示すのは「そのコンテンツがClaudeによって処理された可能性」であり、完全な来歴や原著者を証明するものではない。校正、翻訳、要約、ファイル変換にClaudeを使った場合も、出力にはマークが付与され得る。反対に、強い編集、言い換え、翻訳、他の文章との混合、短い文章、非対応モデルや非対応機能の利用によって、Claudeが関与していてもマークを検出できない場合がある。

この仕様から、次の二点が導かれる。

  • Claudeのマークがあることは、Claudeが原文や知的内容を書いたことを意味しない。

  • Claudeのマークがないことは、Claudeや他のAIが使われていないことを意味しない。

EU AI Actは通常の編集をArticle 50(2)の義務から除外している。一方、Anthropicは、対応モデルが生成するテキストにはモデルレベルで透かしを適用すると説明している。少なくとも公式説明上、Claudeのマーキングは、法令上マーキングが必須となる場面だけに限定されていない。これは法令との矛盾ではないが、検出されたマークを「AIによる執筆」の証拠として扱えない理由の一つになる。

LLMの文章に統計的な透かしを入れる仕組み

以下では、生成時のテキスト透かしを提案した代表的な二つの研究と、複数方式を体系的に評価した一つの研究を取り上げる。代表的な生成時透かしは、特殊なUnicode文字や決まったフレーズを挿入する方式ではない。LLMが文章を生成するときの次トークン選択に、秘密鍵と文脈に基づく統計的な信号を埋め込む。

自然な候補の中から、秘密の規則に合うトークンをわずかに選ばれやすくし、その操作を文章全体で繰り返す。人間には通常の文章に見えても、秘密の規則を知る検出器には、偶然では説明しにくい統計的な偏りが現れる。これは「統計的に特徴的なフレーズを散りばめる」のではなく、トークン選択の系列全体に統計的な指紋を残す方法である。

Kirchenbauerら：green listを用いる代表的方式

ICML 2023のA Watermark for Large Language Modelsは、生成時テキスト透かしの代表的な研究である。各トークンを生成する直前に、語彙の一部を秘密の規則で「green list」に割り当て、green list側のトークンのlogitを少し高くする。特定の単語を強制するのではなく、LLMがもともと生成し得る候補の中でgreen listを緩やかに優遇する。

同じ単語が常に透かし用トークンになるわけではない。直前の文脈に応じてgreen listが変わるため、ある位置で透かしに寄与するトークンが、別の位置では寄与しない場合がある。検出時には、文章中のgreen token数が偶然の期待値をどれだけ上回るかをz-scoreやp値で評価する。検出には、元のモデルのAPIやパラメータへのアクセスを必要としない。

論文は、OPT系列の大規模言語モデルを用いた実験で、文章品質への影響を小さく保ちながら、比較的短いトークン列から透かしを検出できると報告した。一方、green listへの優遇を強めるほど検出しやすくなるが、元の生成分布からのずれも大きくなる。透かし強度、検出性能、文章品質の調整にはトレードオフがある。

SynthID-Text：大規模運用を検証した方式

Google DeepMindのNature 2024論文、Scalable Watermarking for Identifying Large Language Model Outputsは、SynthID-Textを報告している。SynthID-Textも学習済みモデルのパラメータを変更せず、生成時のサンプリング過程に介入する。中心となるTournament samplingでは、LLM本来の分布から複数の候補トークンを取り出し、秘密鍵と文脈から生成した擬似乱数スコアで候補を競わせ、最終的なトークンを選ぶ。

SynthID-Textには、分布保存を重視する非歪曲型（non-distortionary）と、品質との交換で検出性能を強める歪曲型（distortionary）がある。ここでいう「非歪曲」は、定められた条件の下で生成分布を保存するという数学的性質を指し、あらゆる側面で出力が完全に不変であるという意味ではない。

非歪曲型について、研究チームはGeminiの実運用環境で、透かしあり・なしを合わせた約2,000万件の応答を比較した。高評価率の差は0.01％、低評価率の差は0.02％で、いずれも統計的に有意ではなかった。さらに、Gemma 7B-ITに3,000件のELI5質問を与えた人手評価でも、文法・一貫性、関連性、正確性、有用性、総合品質の五項目で有意差は確認されていない。論文の評価条件では、個々の応答の品質を保ちながら大規模サービスへ導入できることが示された。

一方、非歪曲型でも、同じ質問に対する回答間の多様性は低下する場合がある。論文は、LLMによる言い換えを含む編集で透かしが弱まることも限界として挙げている。SynthID-TextはAI文章検出の完全な解決策ではなく、他の検出手法を補完する技術として位置付けられている。

Mark My Words：品質・必要長・改変耐性を同じ枠組みで測る

SaTML 2025で発表されたPietらのMark My Words: Analyzing and Evaluating Language Model Watermarksは、新しい透かし方式ではなく、既存方式を体系的に評価するためのベンチマーク研究である。主な評価軸は、文章品質（Quality）、検出に必要なトークン数（Size）、編集後にも検出できるかを表す改変耐性（Tamper resistance）の三つである。

同研究は、Kirchenbauerらの方式について、Llama 2 7B-chatとMistral-7B-Instructを使った自然言語タスクでは、論文の評価指標上、知覚可能な品質低下を生じさせず、条件によっては100トークン未満で検出でき、単純な改変にも一定の耐性を持つと報告した。一方、コード生成では効率的な透かしの埋め込みが難しい。結果は対象モデル、タスク、検出閾値、品質評価法に依存するが、透かしの実用性を「埋め込めるか」だけでなく、品質、必要長、改変耐性の組み合わせとして評価した点に意義がある。

三つの研究を並べると、生成時透かしの発展が見える。Kirchenbauerらは統計的な透かしの基本原理を示し、SynthID-Textは大規模な実運用環境で品質への影響と運用可能性を検証し、Mark My Wordsは複数方式を比較する評価軸を整備した。ここまでの研究から、LLMテキスト透かしは、限定された用途と条件の下では実用的な技術だといえる。

「消せない透かし」の理論的限界

ICML 2024のWatermarks in the Sand: Impossibility of Strong Watermarking for Language Modelsは、透かしの根本的な限界を扱う。同論文が定義する「強い透かし（strong watermark）」とは、計算能力に限界のある攻撃者が、出力品質を大きく落とさずに透かしを除去できない方式である。Zhangらは、明示した仮定の下で、この意味の強い透かしを一般には実現できないことを理論的に示した。攻撃者は秘密鍵を知る必要がなく、使われている透かし方式を特定する必要もない。

攻撃に必要なのは二つの機能である。一つは、候補出力が元のプロンプトに対して十分に高品質かを評価する品質評価器（quality oracle）。もう一つは、出力を少し変更し、一定の確率で品質を維持した候補を作る**改変器（perturbation oracle）**である。攻撃者は、出力を少し変更し、品質が基準を満たせば採用する操作を繰り返す。これにより、高品質な出力の集合上をランダムウォークする。

このランダムウォークが高品質出力空間上で効率よく混合し、定常分布へ十分近づくとする。また、その分布に対して透かし検出器の偽陽性率が低いなら、十分な反復後の出力は高い確率で「透かしなし」と判定される。Zhangらは三つの既存方式に攻撃を実装し、小さな品質低下で透かしを除去できたと報告している。

この定理を理解するうえで最も重要なのは、攻撃後の文章が元の文章と同じ意味である必要はないことである。必要なのは、同じプロンプトに対して同程度に高品質な回答であることだけだ。例えば「あるテーマについてエッセイを書け」という課題なら、元の文章を忠実に言い換える必要はなく、同じ課題を満たす別の良いエッセイへ移ってもよい。

したがって、この定理は自由度の高い文章生成に対して強い結果を与える一方、著者が書いた論旨、数値、引用、専門用語、法的表現を正確に保つ必要がある校正作業で、透かしを容易に消せることまで直接証明するものではない。そのような用途では、許される改変空間と品質評価の条件を個別に検証する必要がある。

この理論の核心は、自然言語の表現自由度にある。同じ目的を満たす高品質な文章が複数存在するため、生成側は自然な候補から秘密の規則に合うトークンを選び、透かしを埋め込める。同じ自由度が、攻撃側には別の高品質な文章へ移動する経路を与える。言い換えれば、透かしを埋め込める自由度は、透かしから逃れる自由度にもなる。

この論文は、あらゆる透かしが無意味だと証明したものではない。一度の言い換えで必ず消えるとも述べていない。品質評価器と改変器が十分に機能し、高品質出力空間上のランダムウォークが効率よく混合するという条件の下で、決意のある攻撃者にも除去できない強い透かしを一般に保証できない、という結果である。無加工の転載、低コストの回避、AI生成データの意図しない混入を検出するような「弱い透かし」には、なお実用的な価値がある。

理論上の攻撃と現実の攻撃は同じではない

ACL 2025のSandcastles in the Storm: Revisiting the (Im)possibility of Strong Watermarkingは、ICML 2024の仮定が現実の攻撃でどの程度成立するかを再検証した。実験では、数百回の編集後もすべての文章に出発点の痕跡が残り、ランダムウォークの混合は遅かった。品質評価器の正解率は77％にとどまり、自動ランダムウォークによる透かし除去の成功率は26％、人間が品質を確認した条件では10％だった。

この結果は、ICML 2024の定理を否定するものではない。定理が置いた「効率的な混合」と「十分に信頼できる品質評価」という条件が、検証された実装では成立しにくかったことを示している。強い透かしの一般的保証には理論上の限界がある一方、現実の除去が常に容易だともいえない。

法制度と理論研究は矛盾していない

EU AI Actが機械可読なマーキングを求め、ICML 2024が強い透かしの不可能性を示したことは、直接の矛盾ではない。EU AI Actは、技術的に可能な範囲で透明性を高めるシグナルを要求している。ICML 2024は、あらゆる高品質な書き換えに耐える絶対的な保証を否定している。法令が求めるのは前者であり、後者ではない。

問題は、そのシグナルが社会の中で本来の意味を超えて使われることである。機械可読なマークが示すのは、特定の生成・処理系に由来する信号である。そこから直接、誰が知的内容を作ったのか、AIがどの程度寄与したのか、その利用が規則違反だったのかを判断することはできない。

検出（Detection）≠ 帰属（Attribution）≠ 著者性（Authorship）≠ 不正（Misconduct）

検出器が100％正確に「この文章はClaudeによって処理された」と判定できたとしても、Claudeが研究内容や主張を書いたとは限らない。英文校正だけに使われた可能性もある。不正かどうかは、AIが担った役割、利用者の開示、適用される大学・学会・出版社・企業の規則によって決まる。これは検出精度の問題ではなく、検出している対象と社会が判断したい対象が異なるという問題である。

透かしを不正判定に使うと何が起こるか

透かしを不正判定へ直結させると、次のケースを区別できなくなる。

  • 人間が本文を書き、Claudeで英文校正した文章には、Claudeのマークが付与され得る。しかし、それはClaudeによる代筆や知的内容の生成を意味しない。

  • 対応するAIが全文を生成し、そのまま提出した文章では、マークが検出され得る。しかし、その利用が不正かどうかは適用規則で決まる。

  • AIが全文を生成した後、別のLLMや人間が大幅に書き換えた文章では、マークが弱まる可能性がある。しかし、マークが消えたことは、AIの知的寄与が小さくなったことを意味しない。

  • マークが検出されない文章についても、人間だけで書かれたとは証明できない。非対応モデル、別のAI、短い文章、強い編集など複数の理由がある。

Claudeの公式説明と既存研究の限界を組み合わせると、社会運用上の逆インセンティブも予想される。自分で書いた文章を校正目的でClaudeに通し、利用を隠そうとしない人にはマークが残る一方、AIに大部分を書かせた後で検出回避を目的に強い書き換えを行う人は、マークを弱められる可能性がある。透かし単独で不正を判定すれば、誠実な利用者ほど検出され、意図的な回避者ほど検出されにくい制度になり得る。

公平性の問題もある。英語を第一言語としない研究者や学生は、翻訳や英文校正を利用する合理的な理由を持つ。AI関与のシグナルを不正利用の代理変数にすると、言語支援を多く必要とする集団に不利益が偏る可能性がある。これは、透かしアルゴリズム自体に言語的偏りがあるという主張ではない。中立に見える検出結果を、不適切な判断規則へ接続したときに生じる構造的な問題である。

関連する先例として、LiangらのGPT Detectors Are Biased against Non-native English Writersは、文章表現の特徴からAI生成を推定する事後検出器が、非英語母語話者の文章をAI生成と誤判定しやすいと報告した。この研究の対象は、秘密鍵に基づく透かし検出ではない。事後検出器の誤判定率を、そのままClaudeの透かしへ当てはめることはできない。それでも、AI検出結果を教育・評価・出版上の処分へ直結させる危険を示す事例として重要である。

透かしを社会で正しく使うための原則

テキスト透かしは、透明性と来歴確認を支える補助技術として使うべきであり、単独の不正判定器として使うべきではない。社会実装には、少なくとも次の原則が必要である。

  • マークを確定的証拠ではなくシグナルとして扱う。 検出結果が直接示すのは、対応するAIシステムが生成・処理に関与した可能性である。原著者、知的貢献の割合、規則違反までは示さない。

  • 重大な不利益を伴う判断をマークだけで行わない。 論文の不採択、学生への懲戒、採用判断、契約解除には、原稿履歴、研究過程、利用目的、本人の説明、適用規則を含む人間の審査が必要である。

  • 「AIを使ったか」ではなく「どこで何に使ったか」を確認する。 研究課題の設定、実験設計、結果解釈、初稿作成、翻訳、英文校正では、AIの役割が異なる。すべてを一つの二値判定に圧縮してはならない。

  • 検出性能と判定不能条件を公開する。 偽陽性率、偽陰性率、必要な文章長、言語別性能、校正・翻訳・要約・言い換え後の性能、人間文とAI文を混合した場合の性能、判定を保留する条件が必要である。

  • 異議申立てと再審査を制度化する。 検出結果によって不利益を受ける人には、判定根拠を確認し、作成履歴を提出し、人間による再審査を受ける機会を保障する必要がある。

透かしから作成履歴へ

現在のテキスト透かしが示す情報は粗い。マークがあっても、どの部分をAIが変更したか、元の文章を書いたのは誰か、AIが知的内容へどの程度寄与したか、何の目的でAIを使ったかは分からない。この情報量のまま著者性や不正を判断することはできない。

必要なのは、AI関与の有無だけを示す仕組みではなく、人間とAIの共同作業を記録する来歴管理である。例えば、次のような履歴が署名付きで残れば、判断に必要な文脈が得られる。

  • 研究課題の設定：人間

  • 実験設計と実施：人間

  • 初稿作成：人間

  • 英文校正：Claude

  • 科学的内容の再確認：人間

  • 最終承認：人間

C2PAは、画像やファイルに署名付きの来歴情報を付与する枠組みとして、この方向の一部を先行している。テキストでも、単一の透かし検出から、版管理、編集主体、処理内容、最終責任を含む作成履歴へ進む必要がある。現在のClaudeのテキスト透かしは、その将来像の一部にはなり得るが、現時点で「作成履歴ID」や「著者証明」と呼べるものではない。

技術として有用だからこそ、意味を限定して使う

LLMテキスト透かしは、生成時のトークン選択に統計的な信号を埋め込み、品質への影響を抑えながら大規模サービスで運用できるところまで発展している。無加工の転載や軽微な編集を含む一定範囲で、AI生成物の透明性を高める技術として有用である。

同時に、十分な表現自由度と書き換え能力がある環境では、品質を維持したまま絶対に除去できない強い透かしを一般に保証できない。透かしがある文章を「AIが知的内容を書いた」と判断することも、透かしがない文章を「人間だけで書いた」と証明することもできない。

XAIの観点から重要なのは、検出器がスコアを返せるかどうかだけではない。そのスコアが何を表し、何を表さず、どの判断まで利用できるのかを説明できることである。AI関与の検出、AIへの帰属、著者性、不正利用を区別する知識を、透かし技術の導入と同時に社会へ共有しなければならない。

主な参照資料

法令・EU公式資料

Claude公式資料

主要研究

いいなと思ったら応援しよう！

E.C. よろしければ応援お願いします。いただいたチップはクリエイターとしての活動費に使わせていただきます。何卒よろしくお願いいたします。

この記事は noteマネー にピックアップされました

noteマネーのバナー