Cómo las marcas de agua ocultas delatan textos escritos por IA

Un texto no tiene píxeles donde esconder información ni metadatos que sobrevivan a un copiar y pegar. Sin embargo, empresas de inteligencia artificial ya lograron marcar digitalmente los textos que generan sus modelos, de forma invisible para el lector pero detectable con la clave correcta.

Google aplica esta técnica desde 2024 en Gemini (aunque su API queda exceptuada, según la documentación disponible). Anthropic sumó la función en agosto de 2026: los nuevos modelos de Claude marcan el texto a nivel del propio modelo, y la compañía anunció que los modelos anteriores recibirán la misma capacidad más adelante.

Dónde se esconde la marca

Cuando un modelo de lenguaje genera una respuesta, no elige una única palabra posible para continuar la oración: maneja una lista de candidatas igualmente válidas, similar a un sistema de autocompletado. La marca de agua no toca el contenido del texto: se esconde en cuál de esas opciones equivalentes termina eligiendo el modelo.

Una clave secreta divide en cada uno de esos puntos las palabras candidatas en dos grupos, arbitrariamente llamados "verde" y "rojo", y el sistema inclina levemente la probabilidad a favor de las verdes. La inclinación es leve —una palabra roja igual puede ganar— y el color de cada palabra no es fijo: depende de las palabras que la preceden, según el esquema descripto originalmente por Kirchenbauer y otros investigadores en 2023.

El sistema SynthID de Google, ya en producción, llega a un resultado similar con un método distinto: en lugar de inclinar los dados, arma una especie de torneo entre candidatas para que, en promedio, las probabilidades originales del modelo se mantengan intactas. Un esquema alternativo, desarrollado por Scott Aaronson en OpenAI, deriva directamente de la clave el proceso aleatorio de elección de palabras.

Cómo se detecta y qué la borra

Para detectar la marca no hace falta leer ni evaluar el estilo del texto: un algoritmo recorre el texto aplicando la misma clave secreta y cuenta cuántas palabras "verdes" aparecen. Sin marca, la proporción debería rondar el 50%, como una moneda al aire. Cuanto más largo el texto, más fácil resulta distinguir si hubo intervención: en pruebas de demostración, un documento de 1.500 palabras con una inclinación leve solo alcanzaría un 55% de palabras verdes, lo que vuelve difícil detectar la marca en textos cortos.

La marca depende de que se conserven tramos cortos de la redacción original, ya que el color de cada palabra se calcula a partir de las palabras inmediatamente anteriores. Por eso, cualquier edición rompe la marca justo en el punto donde cambia el texto, y no en el resto.

Pruebas con implementaciones abiertas (los esquemas KGW y EXP sobre un modelo de código abierto) muestran que:

• Tras una reescritura completa, solo sobrevive intacto cerca del 0,5% de los fragmentos de texto originales.
• La precisión de detección cae de un nivel casi certero a un resultado equivalente al azar.
• Un parafraseo leve o de una sola pasada diluye la marca sin eliminarla del todo: según los experimentos de Kirchenbauer y su equipo, el detector puede recuperar la marca si el texto es lo suficientemente largo, incluso detectando parafraseo humano después de unos 800 tokens (aproximadamente 600 palabras).

Lo que realmente elimina la marca es una reescritura que no comparte ningún tramo de redacción con el texto original, es decir, una recomposición basada en el significado y no en la copia parcial de frases.

Un límite importante: estos datos surgen de mediciones sobre implementaciones abiertas. El esquema que usa Anthropic en producción no fue revelado públicamente, por lo que nadie fuera de la compañía puede todavía comprobar de forma independiente cómo responde la marca de Claude ante intentos de reescritura.

La detección de estas marcas, en cualquier caso, es un proceso privado y probabilístico: permite estimar si un texto fue procesado por un modelo determinado, pero no identifica quién lo escribió ni certifica autoría humana o artificial de manera absoluta.