Anthropic が Claude の文章に電子透かしを入れ始めた — そして 1,922 件の判決が示す限界

2026年8月11日、Anthropic は Claude が書く文章に電子透かしを入れ始め、その3日後に仕組みを平易に説明した FAQ を公開しました。きっかけは特に謎めいていません。生成システムの出力を機械可読な形で表示するよう求める EU AI 法第50条が、8月2日から適用され始めたからです。

実際に動く機能がひとつ届いた、ということです。いま流通している AI 作成テキストのかなりの部分が、条件さえ整えばそれを生成したモデルまで遡れる信号を帯びるようになりました。

ここからが噛みしめるべき部分です。その印が出荷された同じ日、AI のハルシネーションを含む内容を扱った世界各地の判決を集めた公開データベースは 1,922 件 を記録していました。そのうち電子透かしの失敗は一件もありません。すべてが 検証 の失敗でした。誰かがモデルの出力をそのまま提出し、掲載し、請求書を出しながら、そこに書かれたものが実在するかを確認しなかったのです。電子透かしはその全件を検出したでしょうし、一件も防げなかったでしょう。この記事はまさにその隔たりについての話です。この印が平易に言ってどう働くのか、検出結果が実際に何を証明するのか、そしてどれだけ技術が良くなっても証明できないものは何か。

要点

• テキストに何かを付け足しているわけではありません。 モデルが同じくらい適切な複数の次単語のどれを選ぶかを、秘密鍵で偏らせているだけです。隠し文字もメタデータも、速度やコストの負担もありません。そして世界中のすべての利用者に適用されます。
• 検出成功は弱い証拠であり、検出失敗はほとんど何の証拠でもありません。 Anthropic 自身が、この印では「Claude が書いた」と「Claude が大幅に手を入れた」を区別できず、短い文章・コード・事実の羅列では弱く、書き直せば消えると述べています。2024年には研究者が、50ドル未満でこの印を消すことも、人間が書いた文章に偽装して付けることも可能だと示しました。
• 来歴は検証ではありません。 印はどのモデルがこの文章を通ったかを教えます。そこに書かれた判例や引用、書籍が実在するかは決して教えてくれません。

画像: Jon Rawlinson, Wikimedia Commons, CC BY 2.0. 真正性の印で埋まった一ページ。スタンプの一つひとつが国境を越えた事実を証明します。そのどれも、この旅行者が真実を語ったかについては一言も述べていません。

Anthropic が実際に変えたもの、変えなかったもの

まず仕組みから見ていきます。その後の誤解のほとんどが、ここを取り違えることから始まるからです。

言語モデルが文章を書くとき、単語は一つずつ出てきますが、大半の位置では正解は一つではありません。「会議は 生産的だった」も「会議は 有益だった」も問題ありません。モデルは受け入れられる次単語のリストを持ち、ランダムな抽選で一つを選びます。同じプロンプトを二度入れると少しずつ違う答えが返るのはこのためです。

テキスト電子透かしは、その抽選を秘密鍵で駆動する 疑似 ランダムな抽選に置き換えます。モデルは依然として自分が同等に良いと判断した単語の中からしか選ばないので、品質はそのままです。しかし数百語が積み重なると、毎回どの単語が選ばれたかのパターンはもはや偶然に見えなくなり、鍵を持つ側はそれを測定できます。

Anthropic 自身の説明は、最もありがちな二つの誤解を先回りして潰しています。「テキストに追加されるものはなく、隠された文字もありません」 と。見えない Unicode も、ゼロ幅スペースも、テキストエディタに貼り付ければ剥がれるメタデータの塊もありません。コストや速度の変化もありません。そして全世界に一律で適用されます。Anthropic は地域ごとにこの挙動を安定して切り分ける方法をまだ持っていないと述べています。サンパウロの利用者もストックホルムの利用者も同じ扱いです。

新しい科学ではありません。Scott Aaronson が2022年にこの手法を提案し、Kirchenbauer らが2023年の ICML で動作する方式を発表し、Google DeepMind が2024年10月に Nature で SynthID-Text を公開しました。Anthropic の実装はその一種です。Google は2024年から Gemini でこれを動かしており、約2,000万件の実応答で品質の差は検出されなかったと報告し、その後100億点以上のコンテンツに電子透かしを入れたと主張しています。

ここで、まだ出荷されて いない ものが浮かび上がります。Anthropic は検出 API が「近く」出ると言っています。まだありません。価格も、誤検知率も、どのモデルまで対象になるのかも、すべて 未公開 です。2025年5月に発表された Google の一般向け SynthID 検出ポータルも、いまだに順番待ちリストで運用されています。印は数十億の文書に入っているのに、それを確かめる手段は、この記事を読むほぼすべての人にとってまだ約束にすぎません。

印はコピー＆ペーストには耐える。書き直しには耐えない。

信号は どの単語が選ばれたか に宿ります。ですから単語の選択を保つ操作は印も保ち、単語を入れ替える操作は印を壊します。Anthropic は上限をはっきり述べています。「すべての単語を置き換える完全な書き直しは」 これを除去する、と。ただし、多くの人が引っかかる例外が二つあります。

短い文章と事実中心の文章はほとんど何も担えません。 電子透かしには隠れる選択肢が必要です。一、二文では模様を成すだけの決定が集まりませんし、事実中心の内容ではそもそも選択の余地がないこともあります。Anthropic が挙げる例が分かりやすい。「ニュートンの プリンキピア」の次に来る単語は「マテマティカ」しかありえず、どんな鍵にも口を挟む余地がありません。同じ理屈で、構文が大半のトークンを決めてしまうコードも弱く、モデルが触る単語が少なすぎる校正作業も同様です。

翻訳は完全な電子透かしを帯びます。 これは直感に反します。Claude に文書を日本語へ訳させると、その日本語は Claude が普段どおりの選択の自由をもって一語ずつ 新たに生成した ものです。ですから元が印のない人間の文章でも、出力にはしっかり印が入ります。これは DeepMind の研究者が Nature で述べている内容、つまり印の付いたテキストを別の言語に訳すと検出信頼度が大きく下がるという話と正反対に見えます。どちらも本当です。状況が違うからです。印の付いたテキストを 外部で 訳せば印は洗い流され、モデル自身に 訳させれば 新しい印が押されます。

2026年8月14日の Anthropic の FAQ と、2024年10月 Nature 掲載の SynthID-Text 論文著者らの記述に基づく。

検出成功は弱い証拠。検出失敗はほとんど何の証拠でもない。

誰かが文書に検出器をかけ、結果を得ました。その人は何を知ったのでしょうか。

陽性だった場合、分かるのは、このテキストの一部がその事業者のモデルを通ったということ。それだけです。Anthropic はこの印では 「Claude が書いた」と「Claude が大幅に手を入れた」を区別できない と明記しており、中身のどの主張が真かについては何も語らず、別の AI が書いた文章は認識できません。自分の鍵しか知らないからです。

陰性だった場合、分かることはほとんどありません。きれいな結果は、大きく言い換えた文章、短い抜粋、コードブロック、競合他社のモデル、そして何の印も付けずに誰かのノートパソコンで動いているオープンウェイトモデルからも、まったく同じように出ます。

ここにあるセルはすべて、事業者自身が公表した限界です。出典: Anthropic の電子透かし FAQ（2026年8月14日）、Dathathri et al., Nature（2024年10月）、Jovanović・Staab・Vechev, ICML 2024。

誰も備えていない攻撃は、向きが逆である

除去は誰もが思い浮かべるリスクです。誰かが AI テキストを洗浄して出自を隠す。それはそうでしょう。しかし矢印が逆を向いた二つ目の攻撃があり、本当に心配すべきなのはこちらです。

なりすまし とは、人間 が書いた文章に他人の電子透かしを載せることです。何かを隠すのではなく、植え付けるのです。標的になるのは、AI を使ったと疑われることになる人か、作った覚えのない出力の責任を負わされる事業者です。

2024年の ICML で Jovanović、Staab、Vechev の三氏は、最新方式を相手に両方の攻撃を 50ドル未満の計算コストで80%を超える成功率 で実演しました。DeepMind の著者らも自らの Nature 論文で同じ地点を認めています。電子透かしは 「完全な解決策を提供するものではなく」、存在するにはモデル提供者の協力が必要で、誰でもそのまま動かせるオープンウェイトモデルには強制できず、「窃取・なりすまし・除去の攻撃に対して脆弱である」と。最後の一節がこの議論のすべてです。しかもその技術を作った当人たちが書いています。

「AI を見つけ出す」実験はすでに行われた。見当違いの学生が引っかかった。

検出ツールはすでに存在します。そしてそれは、被害の記録が残る別の技術です。電子透かし は、モデルの所有者が生成時に鍵を使って埋め込むもの。分類器 は、第三者が事後に文章そのものの特徴から推測するものです。単語の選択がどれだけ予測可能か、語彙がどれだけ多様か、といった特徴から。前者は何かを知っています。後者は文体をパターンマッチしているだけです。測定とプロファイリングの違いです。

OpenAI は2023年1月31日に AI テキスト分類器を公開し、同じ年の7月20日に 「精度が低いため」 取り下げました。自社の数字では、AI テキストの26%しか捕まえられず、人間の文章の9%を誤って表示していました。

そして2023年7月、Liang らが Patterns に、この分野を終わらせるべきだった結果を発表します。英語を母語としない人が書いた TOEFL エッセイに検出器7種をかけたところ、平均誤検知率は 61.3%。ある検出器はそのうち97.8%を機械が書いたものと判定しました。ところが同じエッセイをより豊かな語彙で書き直させると、誤検知率は11.6%まで下がりました。検出器は最初から著者性を測っていなかったのです。流暢さを測り、英語が素朴な人を罰していました。

機関側は計算をしました。2023年8月16日 — ちょうど3年前の今日 — ヴァンダービルト大学は Turnitin の AI 検出器を停止しました。主張されていた誤検知率1%を年間75,000本の論文に当てはめれば、毎年およそ 750人の学生が濡れ衣を着せられる という計算です。

電子透かしはこれより確実に優れています。推測ではないからです。しかし何が引き継がれたかを見てください。検出システムの失敗の形は、きれいな「不明」ではありません。特定の個人に向けられた確信に満ちた答えです。電子透かしは陽性の精度を高めます。なりすましまで考えれば、冤罪をなくすというより、それを量産できるようにする側に近いのです。

規制は道具より先に到着した

これらが2週間のうちに重なったのは、立法が先に動いたからです。

EU AI 法は義務を二つに分けます。第50条2項 は提供者を縛ります。生成システムを作った側は、テキストを含む出力を機械可読な形で表示しなければなりません。第50条4項 は利用する側を縛ります。「公共の利益に関する事項について公衆に情報を提供する」 AI 生成テキストを公開する導入者は、その旨を開示しなければなりません。

そしてこの二つ目には、多くの読者にとってこの制度の実質的な核心である免除規定が付いています。当該コンテンツが 人間によるレビューまたは編集上の管理を経ており、それについて編集責任を負う者がいる場合 には適用されません。二度読んでください。AI 生成テキストに対するヨーロッパの答えは検出器ではありません。それをレビューし、責任を負う、名前のある人間です。

表示義務は予定どおり到着しましたが、使える検出手段はそうではありませんでした。出典: EU AI 法とその適用日程、EU 透明性実践規範（2026年7月）、中国の表示措置と GB 45438-2025、韓国の AI 基本法、Anthropic の発表。

残りの日程は短い。EU の透明性実践規範は2026年7月8〜9日に適切と認められ、Anthropic、Google、Meta、Microsoft、Mistral、OpenAI を含む約190者が署名しました。2026年12月2日に猶予が終わり、表示義務は8月2日より前に市場に出たシステムにも及びます。2027年2月2日には検出の相互運用性が求められます。中国の表示措置は2025年9月1日に発効し、規格 GB 45438-2025 のもとで目に見える表示と埋め込み表示の両方を求め、第10条は表示の除去や偽造を禁じています。韓国の AI 基本法は2026年1月22日に施行され、表示義務と最大3,000万ウォンの過料を定めています。米国には連邦レベルのテキスト表示義務がまったくありません。これははっきり述べておく価値があります。市場のかなりの部分が無視する規則は、世界的な規則ではないからです。

もう一つ、ここに置くべき不在があります。ウォール・ストリート・ジャーナル は2024年、OpenAI が社内で精度およそ99.9%と説明していたテキスト電子透かし手法を作っていたと報じました。これは事実ではなく報道として扱うべきものです。その数字は独立に検証されたことがなく、OpenAI はテキストへの表示を出荷したことがありません。2026年6月11日の EU 対応に関する自社の投稿でも扱っているのは画像の来歴だけで、一般的な限界は自らの言葉で認めています。「メタデータは削除されうるし、電子透かしは劣化しうる」 と。

これらのすべてが電子透かし検査は通っていたはずだ

Damien Charlotin 氏は、裁判官が AI のハルシネーションを含む内容に対処せざるをえなかった世界各地の判決を、公開データベースとして管理しています。2026年8月16日に取得した時点で 1,922 件 でした。推移はこうです。2025年半ばに約200件、2026年1月に719件、4月に1,227件、6月9日に1,598件、そして今日1,922件。直近10週間だけで324件増えています。

この曲線上のすべての点が、有効な電子透かしを帯びていたはずです。出典: Damien Charlotin 氏の AI ハルシネーション事例データベース、2026年8月16日取得。

原型は2023年6月22日にニューヨーク南部地区連邦地方裁判所が下した Mata v. Avianca です。存在しない判例を6件引用した準備書面と、5,000ドルの制裁金。

しかし最も重く受け止めるべき事例は Anthropic 自身のものです。2025年5月、Concord Music v. Anthropic において、同社の弁護団は Claude が捏造した研究を引用した専門家宣誓書を提出しました。手作業の確認はそれを見逃し、弁護人は法廷で謝罪しました。いまテキスト電子透かしを出荷しているその会社が、自社モデルの出力を無批判に引用したことで、自社の訴訟で、自社の弁護士のレビューを経て、痛い目を見たのです。その宣誓書に電子透かしがあれば、きれいで確信に満ちた陽性が返り、何も変わらなかったでしょう。

法廷の外にも広がります。Deloitte Australia は2025年10月、存在しない参考文献と判決文からの捏造引用を含む44万豪ドルの政府報告書について、一部返金に合意しました。2025年5月18日には シカゴ・サンタイムズ と フィラデルフィア・インクワイアラー が夏の推薦図書リストを配信で掲載しましたが、15冊のうち実在したのは5冊だけでした。Liang らは arXiv:2404.01268 で論文950,965本を分析し、LLM が手を入れた内容がコンピュータ科学の抄録で最大17.5%に達する一方、数学と Nature 系列では6.3%以下にとどまることを示しました。

量の問題にも、煽る数字ではなく正直な数字が要ります。2025年10月公開の Graphite による Common Crawl 分析は、2025年5月の新規記事サンプルの約51.7%が AI 作成だったとしています。そしてこれを報じた Axios が付けた但し書きが重要です。その比率は上がり続けているのではなく、半分あたりで頭打ちになっている というのです。洪水ではありません。新しい常態です。

ここが要点です。この一覧のどれ一つとして電子透かしの失敗ではありません。どの事例でも来歴は最初から争点ではありませんでした。モデルが関わったことは皆が知っていたか、言われれば即座に受け入れたでしょう。失敗したのは、誰もその引用を開いて、その判例が、その研究が、その書籍が実在するかを確かめなかったことです。

結論: 来歴は検証ではない

これを 消印の錯覚 と呼びましょう。消印はどの郵便局がその手紙を扱ったかを証明します。手紙の中身が真実かどうかについては、一度も意見を持ったことがありません。私たちはいま相当な工学的努力を注いで非常に優れた消印を作ったところで、世間の議論の一部はそれをファクトチェッカーと取り違えようとしています。

三つのことを同時に握っておいてください。陽性の検出は弱い証拠です。経路を示すだけで、著者を示さず、事実などなおさら示しません。陰性の検出はほとんど何の証拠でもありません。そしてカバー範囲は設計上、構造的に不完全です。事業者ごとの自発的な参加に依存し、事業者ごとに自分の鍵を持ち、誰でもダウンロードしてそのまま動かせるオープンウェイトモデルはどこにも参加していません。しかも今のところ、確かめる手段すら手元にありません。順番待ちリストと「近く」の向こう側です。

本当に検証に耐えるのは、出力に押された印ではありません。源から辿り直せる記録です。いまも残っている録音、いつでもその瞬間に戻れるタイムスタンプ付きの文字起こし、実際にそれを言った人に帰属された一行、直接開ける一次資料まで辿れる根拠。私たちは 流暢な出力より見直せるノートが大切なリアルタイム翻訳 について、また 誰かが異議を唱えたときに記録が持ちこたえねばならない警察の取調べの文字起こし について、同じことを述べてきました。電子透かしの時代はその主張を変えるのではなく、鋭くします。表示が普遍化すれば「AI が関わった」という言葉は何も区別しなくなるからです。

電子透かしは、テキストがどこから来たかに答えます。それが真実かに答えるものは、まだ誰も作っていません。それは検出器ではないからです。戻って確かめられる源です。

---

Telli.sh の立ち位置: 私たちは、戻って確かめられる源を作っています。Telli.sh は会議を録音し、話者が区別されたタイムスタンプ付きの文字起こしを作り、要約をその元になった音声につなぎ止めます。だからノートのどの一行も、数か月後に誰かがそう言ったその瞬間まで辿れます。これは AI を検出するという主張ではありません。問題のもう半分です。要約が何かを主張したとき、その一文を信じる代わりに録音と照らし合わせられる、ということ。

リアルタイム AI ノートを始める

出典

• Anthropic, "How Claude's text watermark works"（2026年8月）
• Dathathri et al., "Scalable watermarking for identifying large language model outputs," Nature（2024年10月）
• Kirchenbauer et al., "A Watermark for Large Language Models," ICML 2023
• Jovanović, Staab & Vechev, "Watermark Stealing in Large Language Models," ICML 2024
• Liang et al., "GPT detectors are biased against non-native English writers," Patterns（2023年7月）
• Liang et al., "Mapping the Increasing Use of LLMs in Scientific Papers," arXiv:2404.01268
• Damien Charlotin, AI Hallucination Cases データベース
• EU AI 法 第50条 — 透明性義務
• Wikimedia Commons 画像ページ