Anthropic znakuje teksty Claude'a — a 1922 sprawy sądowe pokazują, czego to nie naprawi

11 sierpnia 2026 roku Anthropic zaczął umieszczać znak wodny w tekście, który pisze Claude, a trzy dni później opublikował przystępne FAQ wyjaśniające, jak to działa. Powód nie jest tajemniczy: artykuł 50 unijnego aktu o sztucznej inteligencji, który nakazuje dostawcom oznaczać maszynowo generowane treści w formie czytelnej maszynowo, zaczął obowiązywać 2 sierpnia.

Pojawiła się więc realna funkcja. Znaczna część tekstu napisanego przez AI, która dziś krąży w obiegu, niesie sygnał dający się w odpowiednich warunkach prześledzić aż do modelu, który go wytworzył.

I tu część, przy której warto się zatrzymać. Tego samego dnia, w którym ten znak wszedł do użycia, publiczna baza orzeczeń sądowych dotyczących treści z halucynacjami AI wskazywała 1922 sprawy. Ani jedna nie była porażką znaku wodnego. Każda była porażką weryfikacji: ktoś złożył w sądzie, opublikował albo wystawił fakturę za wynik modelu, nie sprawdzając, czy to, co on twierdzi, w ogóle istnieje. Znak wodny wykryłby je wszystkie i nie zapobiegłby żadnej. Ten tekst jest o tej luce: jak działa znakowanie w prostych słowach, co wynik wykrycia naprawdę dowodzi i czego nie dowiedzie, choćby był nie wiem jak dobry.

W skrócie:

• Do tekstu nic nie jest dodawane. Model jedynie przechyla, za pomocą tajnego klucza, wybór między kilkoma równie dobrymi kolejnymi słowami. Żadnych ukrytych znaków, żadnych metadanych, żadnej kary w szybkości ani koszcie — i działa to dla wszystkich, wszędzie.
• Trafienie to słaby dowód, a brak trafienia prawie żaden. Sam Anthropic pisze, że znak nie odróżnia "Claude to napisał" od "Claude to mocno przeredagował", jest słaby przy krótkich tekstach, kodzie i czysto faktograficznych fragmentach, a przepisanie go kasuje. W 2024 roku badacze pokazali, że za mniej niż 50 dolarów można takie znaki zarówno usunąć, jak i podrobić na tekście napisanym przez człowieka.
• Pochodzenie to nie weryfikacja. Znak mówi, przez który model przeszedł tekst. Nigdy nie mówi, czy wymienione w nim orzeczenie, cytat albo książka istnieją.

Zdjęcie: Jon Rawlinson, Wikimedia Commons, CC BY 2.0. Strona pełna znaków autentyczności. Każdy dowodzi, że przekroczono granicę. Żaden nie mówi ani słowa o tym, czy podróżny mówił prawdę.

Co Anthropic naprawdę zmienił, a czego nie

Zacznijmy od mechanizmu, bo niemal każde późniejsze nieporozumienie bierze się z pomyłki właśnie tutaj.

Kiedy model językowy pisze, wypuszcza po jednym słowie, a w większości miejsc nie ma jednego poprawnego wyboru. "Spotkanie było produktywne" i "Spotkanie było przydatne" są równie dobre. Model trzyma listę dopuszczalnych następnych słów i wybiera jedno losowaniem. Dlatego to samo polecenie dwa razy daje nieco inne odpowiedzi.

Znak wodny w tekście zastępuje to losowanie pseudolosowaniem sterowanym tajnym kluczem. Model nadal wybiera wyłącznie spośród słów, które sam uznał za równie dobre, więc jakość pozostaje nietknięta. Ale na przestrzeni kilkuset słów wzór tego, które dopuszczalne słowo wygrywało za każdym razem, przestaje wyglądać na przypadek, a kto ma klucz, może go zmierzyć.

Własne sformułowanie Anthropic rozbraja dwa najczęstsze nieporozumienia: "do tekstu nic nie jest dodawane, nie ma ukrytych znaków". Żadnego niewidzialnego Unicode'u, żadnych spacji o zerowej szerokości, żadnego bloku metadanych, który odpadłby po wklejeniu do edytora tekstu. Bez zmiany kosztu ani szybkości. I działa globalnie: Anthropic twierdzi, że nie ma jeszcze trwałego sposobu ograniczenia tego zachowania regionalnie, więc użytkownik w São Paulo dostaje to samo co użytkownik w Sztokholmie.

Nic z tego nie jest nową nauką. Scott Aaronson zaproponował to podejście w 2022 roku, Kirchenbauer i współpracownicy opublikowali działający schemat na ICML w 2023, a Google DeepMind opublikował SynthID-Text w Nature w październiku 2024 — wdrożenie Anthropic jest jego odmianą. Google prowadzi to w Gemini od 2024 roku, raportując około 20 milionów rzeczywistych odpowiedzi bez wykrywalnej różnicy w jakości, i deklaruje od tamtej pory ponad 10 miliardów oznaczonych treści.

Co prowadzi do tego, czego nie dostarczono. Anthropic mówi, że API do wykrywania będzie "wkrótce". Nie ma go. Ceny, odsetek fałszywych trafień i to, które modele są objęte, są jeszcze nieopublikowane, a publiczny portal wykrywania SynthID od Google, ogłoszony w maju 2025 roku, nadal działa na liście oczekujących. Znak jest w miliardach dokumentów, a możliwość sprawdzenia choćby jednego z nich pozostaje dla praktycznie każdego czytelnika obietnicą.

Znak przetrwa kopiuj-wklej. Nie przetrwa przepisania.

Sygnał żyje w tym, które słowa zostały wybrane. Wszystko, co zachowuje te wybory, zachowuje więc znak, a wszystko, co je zastępuje, znak niszczy. Anthropic stawia granicę bez ogródek: "całkowite przepisanie, w którym każde słowo zostaje zastąpione" go usunie. Dwa przypadki łamią ten schemat w sposób, który wielu zaskakuje.

Tekst krótki i faktograficzny prawie nic nie unosi. Znak wodny potrzebuje wyborów, w których może się ukryć. Jedno czy dwa zdania nie dają dość decyzji, by powstał wzór, a treść mocno faktograficzna może nie dawać żadnego realnego wyboru — przykład Anthropic jest wymowny: po "Principia Newtona" następnym słowem będzie "Mathematica", i żaden klucz nie ma tu głosu. Ta sama logika osłabia kod, gdzie składnia narzuca większość tokenów, oraz korektę, przy której model zmienia zbyt mało słów, by zostawić sygnał.

Tłumaczenie niesie pełny znak wodny. To idzie wbrew intuicji. Poproś Claude'a o przetłumaczenie dokumentu na japoński, a ten japoński tekst jest na nowo wygenerowany przez Claude'a, słowo po słowie, ze zwykłą swobodą wyboru — wychodzi więc w pełni oznaczony, choć myśli pochodziły z nieoznaczonego ludzkiego oryginału. To odwrotność tego, co badacze DeepMind opisują w Nature, gdzie przetłumaczenie oznaczonego tekstu na inny język mocno obniża pewność wykrycia. Oba twierdzenia są prawdziwe, bo to różne scenariusze: przetłumaczenie oznaczonego tekstu gdzie indziej wypłukuje znak, a kazanie tłumaczyć samemu modelowi odciska nowy.

Zachowanie zgodnie z opisem Anthropic w FAQ z 14 sierpnia 2026 roku oraz autorów SynthID-Text w Nature, październik 2024.

Trafienie to słaby dowód. Brak trafienia prawie żaden.

Ktoś przepuszcza dokument przez detektor i dostaje wynik. Czego się dowiedział?

Jeśli wynik jest pozytywny: że część tego tekstu przeszła przez model tego dostawcy. Tyle. Anthropic wprost stwierdza, że znak nie odróżnia "Claude to napisał" od "Claude to mocno przeredagował", nic nie mówi o prawdziwości żadnego twierdzenia w środku i nie rozpoznaje tekstu innej AI, bo zna tylko własny klucz.

Jeśli wynik jest negatywny, nie dowiedział się prawie niczego. Czysty odczyt to dokładnie to samo, co dostaniesz z głębokiej parafrazy, krótkiego fragmentu, bloku kodu, modelu konkurencji albo modelu o otwartych wagach działającego na czyimś laptopie zupełnie bez znakowania.

Każda komórka to ograniczenie, które dostawcy opublikowali sami. Źródła: FAQ Anthropic o znaku wodnym (14 sierpnia 2026); Dathathri i in., Nature (październik 2024); Jovanović, Staab i Vechev, ICML 2024.

Atak, na który nikt nie planuje budżetu, biegnie w drugą stronę

Usuwanie to ryzyko, które wyobraża sobie każdy: ktoś pierze tekst AI, żeby ukryć pochodzenie. Zgoda. Ale istnieje drugi atak ze strzałką w odwrotną stronę i to on powinien niepokoić.

Podszywanie polega na sprawieniu, by tekst napisany przez człowieka niósł cudzy znak wodny. Nikt niczego nie ukrywa, tylko podrzuca. Celem jest osoba, która zostanie potem oskarżona o użycie AI, albo dostawca obwiniony o treści, których nigdy nie wyprodukował.

Na ICML w 2024 roku Jovanović, Staab i Vechev pokazali oba ataki przeciwko najnowocześniejszym schematom ze skutecznością powyżej 80% i za mniej niż 50 dolarów mocy obliczeniowej. Autorzy z DeepMind przyznają to samo we własnym artykule w Nature: znaki wodne "nie oferują pełnego rozwiązania", do samego istnienia wymagają współpracy dostawcy modelu, są niewyegzekwowalne wobec modeli o otwartych wagach, które każdy może uruchomić bez zmian, i są "podatne na ataki kradzieży, podszywania i usuwania". To ostatnie zdanie to cały argument, spisany przez zespół, który tę technologię zbudował.

Eksperyment "wykryjmy AI" już przeprowadzono. Oblał nie tych studentów.

Narzędzia wykrywające już istnieją i są inną technologią z udokumentowaną historią szkód. Znak wodny umieszcza właściciel modelu w chwili generowania, za pomocą klucza. Klasyfikator zgaduje po fakcie, na podstawie cech samego tekstu: jak przewidywalne są wybory słów, jak zróżnicowane jest słownictwo. Pierwszy coś wie. Drugi dopasowuje wzorce stylu. To różnica między mierzeniem a profilowaniem.

OpenAI uruchomiło AI Text Classifier 31 stycznia 2023 roku i wyłączyło go 20 lipca tego samego roku "z powodu niskiej trafności". Własne liczby: wychwycił 26% tekstu AI i błędnie oznaczył 9% tekstu ludzkiego.

Potem Liang ze współpracownikami opublikowali w Patterns w lipcu 2023 roku wynik, który powinien był zamknąć całą kategorię. Na siedmiu detektorach zastosowanych do esejów TOEFL pisanych przez osoby, dla których angielski nie jest językiem ojczystym, średni odsetek fałszywych trafień wyniósł 61,3%; jeden detektor oznaczył 97,8% z nich. Gdy poproszono o przeredagowanie tych samych esejów z bogatszym słownictwem, odsetek spadł do 11,6%. Detektory nigdy nie mierzyły autorstwa: mierzyły płynność i karały każdego, kto pisał prostszą angielszczyzną.

Instytucje policzyły. 16 sierpnia 2023 roku — dokładnie trzy lata temu — Uniwersytet Vanderbilta wyłączył detektor AI w Turnitin, rozumując, że deklarowany 1% fałszywych trafień przy 75 000 prac rocznie oznacza około 750 niesłusznie oskarżonych studentów każdego roku.

Znaki wodne są od tego wyraźnie lepsze, bo nie zgadują. Ale zauważ, co przeszło dalej. Tryb awarii systemu wykrywania nigdy nie jest czystym "nie wiem" — jest pewną siebie odpowiedzią o konkretnej osobie. Znaki wodne poprawiają trafność wyników pozytywnych. Wobec podszywania nie eliminują fałszywego oskarżenia, lecz uprzemysławiają zdolność do jego wytworzenia.

Regulacje przyszły przed narzędziami

To wszystko kumuluje się w dwa tygodnie, bo ustawodawcy ruszyli pierwsi.

Unijny akt o AI dzieli obowiązek na dwie części. Artykuł 50 ust. 2 wiąże dostawców: kto buduje system generatywny, musi oznaczać jego wyniki w formie czytelnej maszynowo, łącznie z tekstem. Artykuł 50 ust. 4 wiąże ciebie: podmiot stosujący, który publikuje tekst wygenerowany przez AI "informujący opinię publiczną o sprawach leżących w interesie publicznym", musi to ujawnić.

A ten drugi przepis niesie wyłączenie, które dla większości czytelników jest praktycznym sercem całego reżimu. Obowiązek nie ma zastosowania, gdy treść przeszła weryfikację przez człowieka lub kontrolę redakcyjną i istnieje osoba ponosząca za nią odpowiedzialność redakcyjną. Przeczytaj to dwa razy. Europejska odpowiedź na tekst generowany przez AI to nie detektor. To wskazany z nazwiska człowiek, który to przejrzał i za to odpowiada.

Obowiązki oznaczania przyszły zgodnie z harmonogramem, użyteczne wykrywanie nie. Źródła: unijny akt o AI i daty jego stosowania, europejski kodeks postępowania w sprawie przejrzystości (lipiec 2026), chińskie przepisy o oznaczaniu i norma GB 45438-2025, koreańska ustawa ramowa o AI oraz ogłoszenie Anthropic.

Reszta kalendarza jest krótka. Europejski kodeks postępowania w sprawie przejrzystości uznano za adekwatny 8–9 lipca 2026 roku i podpisało go około 190 podmiotów, w tym Anthropic, Google, Meta, Microsoft, Mistral i OpenAI. 2 grudnia 2026 kończy się okres przejściowy i obowiązek oznaczania obejmuje systemy wprowadzone na rynek przed 2 sierpnia; 2 lutego 2027 przypada termin interoperacyjności wykrywania. Chińskie przepisy o oznaczaniu obowiązują od 1 września 2025 roku i wymagają zarówno widocznych, jak i wbudowanych oznaczeń zgodnie z normą GB 45438-2025, a artykuł 10 zakazuje usuwania i fałszowania oznaczeń. Koreańska ustawa ramowa o AI weszła w życie 22 stycznia 2026 roku, z obowiązkami oznaczania i karami do 30 milionów wonów. Stany Zjednoczone nie mają żadnego federalnego nakazu oznaczania tekstu — warto powiedzieć to wprost, bo reguła, którą ignoruje spora część modeli na rynku, nie jest regułą globalną.

Tu miejsce na jeszcze jedną nieobecność. Wall Street Journal doniósł w 2024 roku, że OpenAI zbudowało metodę znakowania tekstu opisywaną wewnętrznie jako trafną w około 99,9%. Traktuj to jako doniesienie, nie fakt: liczba nigdy nie została niezależnie zweryfikowana, a OpenAI nigdy nie wdrożyło znakowania tekstu. Jego własny wpis z 11 czerwca 2026 roku o zgodności z przepisami UE dokumentuje wyłącznie pochodzenie obrazów i przyznaje ogólne ograniczenie własnymi słowami: "metadane można usunąć, znaki wodne mogą ulegać degradacji".

Każda z tych spraw przeszłaby kontrolę znaku wodnego

Damien Charlotin prowadzi publiczną bazę orzeczeń sądowych z całego świata, w których sąd musiał zająć się treścią wygenerowaną przez AI zawierającą halucynacje. Pobrana 16 sierpnia 2026 roku wskazywała 1922 orzeczenia. Przebieg: około 200 w połowie 2025 roku, 719 w styczniu 2026, 1227 w kwietniu, 1598 na 9 czerwca i 1922 dzisiaj — 324 dołożone w samych ostatnich dziesięciu tygodniach.

Każdy punkt na tej krzywej niósłby ważny znak wodny. Źródło: baza spraw halucynacji AI Damiena Charlotina, pobrana 16 sierpnia 2026 roku.

Archetypem jest Mata v. Avianca, rozstrzygnięta w Południowym Dystrykcie Nowego Jorku 22 czerwca 2023 roku: pismo procesowe powołujące sześć nieistniejących orzeczeń i kara 5000 dolarów.

Ale przykład, który powinien ważyć najwięcej, należy do Anthropic. W maju 2025 roku w sprawie Concord Music v. Anthropic prawnicy samej firmy złożyli opinię biegłego z przypisem do badania, które Claude zmyślił. Ręczna kontrola tego nie wychwyciła, a pełnomocnik przeprosił sąd. Firma, która dziś wypuszcza znak wodny w tekście, sama sparzyła się na bezkrytycznym cytowaniu — wyniku własnego modelu, we własnym procesie, przy weryfikacji przez własnych prawników. Znak wodny na tej opinii zwróciłby czysty, pewny wynik pozytywny i nie zmieniłby niczego.

To wykracza poza sądy. Deloitte Australia zgodziło się w październiku 2025 roku częściowo zwrócić wynagrodzenie za rządowy raport wart 440 000 dolarów australijskich, zawierający nieistniejące odnośniki i zmyślony cytat z wyroku. 18 maja 2025 roku Chicago Sun-Times i Philadelphia Inquirer opublikowały rozsyłaną w syndykacie listę lektur na lato, w której z piętnastu książek istniało pięć. Liang ze współpracownikami, analizując 950 965 artykułów w arXiv:2404.01268, znaleźli treści zmodyfikowane przez LLM sięgające 17,5% abstraktów z informatyki wobec 6,3% lub mniej w matematyce i w portfolio Nature.

Kwestia skali też zasługuje na liczbę uczciwą, a nie alarmującą. Analiza Common Crawl wykonana przez Graphite i opublikowana w październiku 2025 roku wykazała, że około 51,7% badanych nowych artykułów było napisanych przez AI w maju 2025 roku — a Axios, relacjonując to, dodał istotne zastrzeżenie: udział ten wypłaszczył się blisko połowy, zamiast dalej rosnąć. To nie potop. To nowa normalność.

I tu sedno. Nic na tej liście nie jest porażką znaku wodnego. W każdej z tych spraw pochodzenie nigdy nie było sporne: wszyscy wiedzieli, że w grę wchodził model, albo przyjęliby to od razu. Zawiodło to, że nikt nie otworzył przypisu i nie sprawdził, czy ta sprawa, to badanie, ta książka istnieją.

Konkluzja: pochodzenie to nie weryfikacja

Nazwijmy to błędem stempla pocztowego. Stempel dowodzi, który urząd obsłużył list. Nigdy nie miał zdania o tym, czy list mówi prawdę. Właśnie włożyliśmy sporo inżynierii w zbudowanie bardzo dobrego stempla, a część debaty publicznej zaraz weźmie go za weryfikatora faktów.

Trzymaj trzy rzeczy naraz. Wynik pozytywny to słaby dowód: ustala trasę, nie autorstwo, a już na pewno nie fakt. Wynik negatywny to prawie żaden dowód. A zasięg jest z założenia strukturalnie niepełny: zależy od dobrowolnego udziału każdego dostawcy, każdy trzyma własny klucz, a modele o otwartych wagach, które każdy może pobrać i uruchomić bez zmian, nie uczestniczą w niczym. Na dodatek możliwość sprawdzenia nie jest nawet w twoich rękach: siedzi za listą oczekujących i słowem "wkrótce".

To, co naprawdę wytrzymuje kontrolę, to nie znak na wyniku, lecz zapis, który da się wyprowadzić od źródła: nagranie, które wciąż istnieje, transkrypcja ze znacznikami czasu, do której można wrócić w konkretnym momencie, zdanie przypisane osobie, która je rzeczywiście wypowiedziała, twierdzenie prowadzące do dokumentu źródłowego, który można otworzyć. Pisaliśmy już o tym przy tłumaczeniu na żywo, gdzie sprawdzalna notatka waży więcej niż płynny wynik i przy transkrypcji przesłuchań policyjnych, gdzie zapis musi się obronić, gdy ktoś go podważa. Epoka znaków wodnych nie zmienia tego argumentu, lecz go zaostrza: gdy znakowanie stanie się powszechne, zdanie "brała w tym udział AI" przestanie cokolwiek rozróżniać.

Znaki wodne odpowiadają na pytanie, skąd wziął się tekst. Tego, co odpowiada, czy jest prawdziwy, nikt jeszcze nie zbudował, bo to nie jest detektor. To źródło, do którego można wrócić.

---

Gdzie w tym Telli.sh: budujemy właśnie to źródło, do którego można wrócić. Telli.sh nagrywa spotkanie, tworzy transkrypcję ze znacznikami czasu i przypisanymi mówcami, a podsumowanie trzyma zakotwiczone w nagraniu, z którego powstało — dzięki czemu każdą linijkę notatek da się po miesiącach prześledzić do sekundy, w której ktoś to powiedział. To nie jest obietnica wykrywania AI. To druga połowa problemu: gdy podsumowanie coś twierdzi, możesz to sprawdzić w nagraniu, zamiast wierzyć zdaniu.

Rozpocznij notatkę AI na żywo

Źródła

• Anthropic, "How Claude's text watermark works" (sierpień 2026)
• Dathathri et al., "Scalable watermarking for identifying large language model outputs," Nature (październik 2024)
• Kirchenbauer et al., "A Watermark for Large Language Models," ICML 2023
• Jovanović, Staab & Vechev, "Watermark Stealing in Large Language Models," ICML 2024
• Liang et al., "GPT detectors are biased against non-native English writers," Patterns (lipiec 2023)
• Liang et al., "Mapping the Increasing Use of LLMs in Scientific Papers," arXiv:2404.01268
• Damien Charlotin, baza spraw halucynacji AI
• Unijny akt o AI, artykuł 50 — obowiązki w zakresie przejrzystości
• Strona zdjęcia w Wikimedia Commons