A marca d’água que não prova quem escreveu

A marca d’água que a Anthropic está incorporando aos textos gerados pelo Claude não é aquela que normalmente imaginamos. Não é um logotipo invisível, uma sequência especial de caracteres nem simplesmente um metadado anexado ao arquivo.

É uma marca d’água estatística, incorporada ao próprio processo de geração do texto. A abordagem anunciada pela Anthropic utiliza o SynthID-Text, tecnologia desenvolvida pelo Google DeepMind.

Para entender como isso funciona, precisamos voltar ao básico. Um LLM↳LLMs48 conteúdosConsiderações básicas de hardware para modelos de linguagem em código aberto: Memória, Desempenho e ViabilidadeMarketing Tech · out 2025Modelos de linguagem sob ataque: o lado obscuro da IA generativaDevSecOps · mai 2025Criando um LLM – modelo de linguagem de grande escala – do zero com TransformersAI · abr 2024Ver tudo em AI → gera texto token por token. A cada etapa, calcula uma distribuição de probabilidades sobre possíveis próximos tokens. O processo de amostragem escolhe uma dessas alternativas.

No watermarking, o mecanismo de geração introduz um pequeno viés controlado nessa escolha, favorecendo determinadas alternativas entre aquelas que continuam sendo linguisticamente plausíveis.

O resultado é sutil. Nenhuma palavra isoladamente está “marcada”. O sinal emerge como um padrão estatístico distribuído ao longo da sequência. Um detector que conhece o mecanismo procura verificar se o padrão observado é significativamente mais compatível com aquele watermark do que seria esperado por acaso.

É uma aplicação interessante de estatística e teoria da informação. Mas existe uma distinção fundamental: watermark não é assinatura digital.

Uma assinatura digital estabelece criptograficamente uma relação verificável entre uma mensagem, sua integridade e uma chave privada. O watermark estatístico faz outra coisa: fornece evidência de que o texto apresenta características compatíveis com a geração ou processamento por determinado sistema.

Isso é proveniência, não autoria. Imagine uma pessoa escrevendo um artigo e utilizando Claude para traduzir alguns parágrafos. Depois, revisa, acrescenta argumentos, muda a estrutura e produz a versão final. Se o watermark sobreviver às transformações, o detector poderá encontrar evidências compatíveis com a participação do Claude. Mas não poderá responder: quanto da contribuição intelectual veio da IA? Essa é uma informação que o padrão estatístico não contém.

E aqui aparece a questão técnica da robustez. Uma edição leve pode preservar o sinal. Mas tradução, paráfrase, reescrita extensa ou passagem por outro modelo podem modificar as escolhas estatísticas originais e reduzir a evidência disponível. A própria discussão técnica sobre watermarking mostra que existe um compromisso entre robustez, detectabilidade e alteração do comportamento do modelo.

Existe ainda outro limite. O watermark precisa ser inserido sem prejudicar significativamente a qualidade do texto. Para isso, o sistema precisa ter alguma liberdade de escolha entre alternativas plausíveis.

Quando a distribuição de probabilidade é muito concentrada,  poucas continuações são realmente adequadas, existe menos espaço para introduzir um viés sem potencialmente alterar a geração. Portanto, não existe uma técnica que maximize simultaneamente detectabilidade, robustez, imperceptibilidade e qualidade em qualquer texto e sob qualquer transformação.

E talvez o maior risco esteja na interpretação. Imagine um detector indicando forte evidência de watermark. Isso não deveria significar automaticamente que “o aluno trapaceou”, e muito menos “este texto foi escrito por IA”. Uma pessoa pode ter produzido todo o raciocínio e usado IA para tradução, revisão ou reorganização. O watermark não consegue reconstruir essa história.

Essa diferença será cada vez mais importante porque a produção de conteúdo está deixando de ser binária. Um humano escreve e uma IA revisa. Outro humano modifica. E outro modelo traduz. Um editor reorganiza. Então, quem é o autor? O watermark não sabe.

Ele pode ajudar a responder se “há evidências de que determinado sistema participou da geração deste conteúdo?”, mas não consegue, sozinho, responder “quem é o autor?”.

O perigo começa quando uma evidência estatística de procedência é transformada em certeza de autoria: o watermark pode deixar de ser uma ferramenta de transparência e se tornar uma perigosa máquina de acusações infundadas.