OpenAI beginnt mit dem Rollout eines Textwasserzeichens – doch was der Nachweis belegt, ist begrenzt

OpenAI kündigte textGrain am 5. Oktober an. Das unsichtbare Wasserzeichen verändert das statistische Muster der Wörter, die seine Modelle auswählen. Nach Angaben des Unternehmens beginnt die schrittweise Einführung als Reaktion auf EU-Regeln zur Textprovenienz. Ein passender Detektor kann in einer Textpassage nach diesem Muster suchen; das Ergebnis ist jedoch nur ein begrenzter Hinweis darauf, ob ein OpenAI-System den Text erzeugt oder verarbeitet hat.

Die große Veränderung

• Was sich ändert: OpenAI geht von der Erforschung der Textprovenienz zu einer begrenzten Einführung über. Geeignete ChatGPT- und Codex-Ausgaben in der EU erhalten in den kommenden Wochen ein Wasserzeichen; ausgewählte API-Kunden können es weltweit bereits jetzt aktivieren.
• Warum das wichtig ist: Organisationen, die KI-Texte bewerten, könnten künftig ein direkt in die Formulierung eingebettetes Signal erhalten. Die veröffentlichten Ergebnisse von OpenAI zeigen, warum ein Detektorergebnis Kontext braucht: Kurze oder stark eingeschränkte Passagen und bearbeitete Texte können der Erkennung entgehen; auch falsch positive Ergebnisse bleiben möglich.
• Worauf es jetzt ankommt: Zunächst muss sich zeigen, wie zuverlässig das Signal bei normaler Nutzung über unterschiedliche Textlängen, Themen und Sprachen hinweg erhalten bleibt. Während OpenAI diese Grenzen untersucht, beschränkt das Unternehmen den Detektorzugang auf zugelassene Forschende und Fachorganisationen.

Zwei Einführungen, unterschiedliche Zugänge

OpenAI zufolge wird textGrain in den kommenden Wochen bei ChatGPT- und Codex-Textausgaben ergänzt, die die Voraussetzungen erfüllen, und zwar für alle Tarife in der Europäischen Union. Das ist eine geplante regionale Einführung und keine Behauptung, dass heute jede Antwort in der EU ein Wasserzeichen trägt. Für die API können Kunden weltweit ab dem 5. Oktober bei ausgewählten Modellen freiwillig Wasserzeichen aktivieren; standardmäßig sind sie ausgeschaltet. Laut OpenAI können Kunden die Funktion in den Projekt- oder Organisationseinstellungen aktivieren und unterstützte Modelle auswählen. Die Liste geeigneter Modelle wird in diesen Einstellungen angezeigt und kann sich ändern.

TextGrain nutzt die Auswahl des Modells aus möglichen Wörtern oder Wortteilen, sogenannten Tokens. Laut OpenAI steuert ein geheimer Schlüssel während der Generierung kleine Änderungen an diesen Entscheidungen. Anschließend prüft ein Detektor mit passendem Schlüssel und passenden Einstellungen, ob eine Passage das daraus entstehende statistische Muster enthält. Das Wasserzeichen fügt keine verborgenen Zeichen, Leerzeichen oder sichtbaren Satzzeichen hinzu. Beim Kopieren des Textes müssen daher keine separaten Metadaten mitgeführt werden; unveränderte Wörter garantieren jedoch nicht, dass das Signal erkennbar bleibt.

Diese Unterscheidung begrenzt auch, wer eine Passage prüfen kann. OpenAI nimmt Anträge für den Textdetektor entgegen, zunächst von zugelassenen Forschenden und Fachorganisationen. Zum Start wird der Detektor nicht öffentlich zugänglich sein. Die öffentlichen Prüfwerkzeuge für unterstützte Bilder und Audiodateien sind davon getrennt; sie ermöglichen keine frei zugängliche Prüfung von textGrain.

Ein Signal kann übersehen oder fälschlich erkannt werden

OpenAI nennt Erkennungsraten bei einer angestrebten Falsch-Positiv-Rate von 1 % in einer Untersuchung. Bei psychologischen Textpassagen fand der Detektor das Wasserzeichen in rund 80 % der 200-Token-Stichproben und in etwa 95 % der 400-Token-Stichproben. Bei Mathematiktexten war die Erkennungsrate laut Unternehmen deutlich geringer, weil die Formulierungsfreiheit kleiner ist. Das sind Ergebnisse einer Unternehmensbewertung unter festgelegten Bedingungen, keine gemessene Erfolgsquote für Texte aus dem Alltag.

In einem weiteren Unternehmenstest mit 400-Token-Passagen schwächten Änderungen das Signal: Wurden 10 % der Wörter durch Synonyme ersetzt, sank die Erkennung von rund 92 % auf 66 %; bei 25 % Ersatz fiel sie auf 17 %. Laut OpenAI-Dokumentation sind auch Übersetzungen, umfangreiche Umformulierungen, kurze Antworten und Code schwieriger zu erkennen. Das Unternehmen weist darauf hin, dass die Erkennung je nach Sprache variiert. Ein negatives Ergebnis beweist daher nicht, dass ein Mensch den Text geschrieben hat. Die Passage könnte zu kurz oder verändert sein, vor der Einführung entstanden oder von einem Modell beziehungsweise Produkt außerhalb der Wasserzeichenabdeckung erzeugt worden sein.

Auch ein positives Ergebnis hat Grenzen. Ein Detektor kann fälschlich ein Wasserzeichen melden. Findet er ein Signal, ist das laut OpenAI ein Hinweis darauf, dass das eigene System wahrscheinlich zumindest einen Teil der Passage erzeugt oder verarbeitet hat. Das Ergebnis misst weder den Beitrag einer Person noch identifiziert es ein Konto oder einen Prompt; ebenso wenig klärt es, wer den Text verfasst oder besitzt oder dafür verantwortlich ist. Die Richtigkeit der Passage kann es nicht überprüfen. Allein anhand des Ergebnisses lässt sich nicht feststellen, wer ein Werkzeug verwendet hat.

OpenAI plant weitere Untersuchungen und will textGrain nach eigenen Angaben als Open-Source-Technologie veröffentlichen. Die praktische Änderung ist vorerst enger begrenzt: Einige neu erzeugte OpenAI-Texte werden ein maschinenlesbares Signal enthalten, während die Prüfmethoden und die daraus ableitbaren Schlussfolgerungen eingeschränkt bleiben. Dieser Bericht stützt sich auf die Ankündigung und Hilfedokumentation von OpenAI; BIG CHANGE hat weder wasserzeichenbehaftete Texte erzeugt noch den Detektor ausgeführt.