テキストAIの透かし・ウォーターマークは技術的に困難な上に簡単に削除できる

2026年8月より欧州連合(EU)でAI法が施行され、EU域内ではAIによって生成されたコンテンツであることを検出可能にする義務が課されるようになり、EU域内で事業を行う大規模言語モデル(LLM)プロバイダーに対してAI生成物であることを示す「ウォーターマーク」の適用が事実上義務付けられるようになりました。しかしながら、テキストに対するAIウォーターマーク技術には技術的な難しさに加えて実効性に関する課題があると言われています。ソフトウェアエンジニアのショーン・グーデッケ氏は自身のブログにて、テキストにウォーターマークを人間に気付かれない形で埋め込むことの困難さと、せっかく埋め込んだウォーターマークが簡単に削除できてしまうことについて解説しています。

Text AI watermarks will always be trivial to remove
https://www.seangoedecke.com/text-ai-watermarks/

EUの「AI法」は2024年5月に成立した法律です。2026年8月2日からはLLMプロバイダーに対してAI生成コンテンツに関するラベル表示が義務化され、AI生成のテキストについてウォーターマークを埋め込むことが事実上義務付けられています。

EUの「AI法」によりAI生成コンテンツにラベル表示が義務付け - GIGAZINE

一般的にウォーターマークと聞いて思い浮かぶのは画像に仕込まれたものです。しかし画像とは異なりテキストは情報が高度に圧縮されたメディアであるという側面があり、人間の目に気づかれないような微細な変更を加えることは極めて困難です。わずかな変更でも出力の質を低下させたり、AIモデルの推論時間を消費したりする可能性があるため、「気付かれないよう埋め込む」という課題を解決するのは容易ではありません。

記事作成時点でAI生成コンテンツの検出・ウォーターマーク技術として注目されているのがGoogleが開発しAnthropicも採用している「SynthID」です。SynthIDはLLMがテキストを生成する際に各トークン(単語や単語の断片)に確率的な重み付けを行い、重み付けに特定のパターンを埋め込むことで人間には識別できない数学的関係性に基づいたウォーターマークを付与します。AI生成物か否かを判定するには生成されたテキストのSynthIDスコアを集計すればわかるという仕組みです。SynthIDを使用するメリットには検出コストが低いという点があります。

一方、OpenAIやAnthropicといった企業はUnicodeの特殊文字(ホモグリフ)を利用したウォーターマーク技術を用いている可能性が指摘されています。ホモグリフを利用する場合、通常のスペース文字を「見た目は同じでも異なるUnicodeコードを持つ文字」に置き換えることで、検出可能なパターンとして埋め込みます。ホモグリフを利用する方法はSynthIDよりも適用コストが低くクライアント側だけでも実装可能ですが、Unicodeホモグリフの置換は再置換することにより容易に復元できてしまうという問題があります。

EUのAI法はウォーターマークが「コンテンツから分離することが困難な方法で埋め込まれる」ことを求めていますが、テキストウォーターマークは容易に除去できるという根本的な問題に直面しています。SynthIDのようなウォーターマークは文言の言い換えで、ホモグリフを用いたウォーターマークも元の文字への置換で、それぞれ容易に除去できてしまいます。さらにAI法が求める「相互運用性」、すなわちウォーターマーク技術のプロセス公開・標準化は「隠蔽によるセキュリティ」に依存するテキストウォーターマーク技術との両立を難しくしています。

AI法では「デジタル署名付きメタデータ」にも言及されており、C2PA(Coalition for Content Provenance and Authenticity)のコンテンツクレデンシャルが該当するのですが、C2PAはファイルにメタデータを付与し改ざんできないように署名することでコンテンツの出所を証明する技術です。つまりC2PAは主にファイル形式のコンテンツに対して適用されるものであり、ChatGPTのようなチャットツールのプレーンテキストには不向きであるといえます。

今後の展望としては多くのAIプロバイダーがEU域内ユーザー向けにSynthIDのようなウォーターマーク技術を導入する可能性が高いと予測されています。EUによるウォーターマーク検出ページが設置される可能性も示唆されています。UnicodeホモグリフベースのウォーターマークはAI法に準拠しないと見なされる可能性があるものの、一部プロバイダーが採用する可能性も考えられます。しかしいずれの技術も技術的なユーザーや専用ツールによって容易に除去されるだろうというのがグーデッケ氏の見解です。

AI法はAI生成コンテンツの検出義務化という要件を課していますが、記事作成時点ではテキストウォーターマーク技術には根本的な脆弱性があると言わざるを得ず、実効性については今後の動向を注目しておく必要がありそうです。