OpenAI aplicará una marca de agua al texto de ChatGPT en la UE. Sus propios números muestran lo frágil que es

El 5 de octubre, OpenAI dijo que añadirá una marca de agua invisible al texto producido por ChatGPT y Codex en la Unión Europea, con un despliegue durante las próximas semanas para los usuarios elegibles de todos los planes. El método, llamado textGrain, no inserta un símbolo visible ni un carácter oculto que se pueda eliminar con buscar y reemplazar. Moldea sutilmente las elecciones de siguiente palabra del modelo mediante una clave secreta, acumulando cientos de empujes estadísticos que un detector puede recuperar después solo a partir del texto. Como el patrón vive en la redacción, sobrevive al copiar y pegar.

El detonante es la regulación. El artículo 50 de la Ley de IA de la UE exige que los proveedores de sistemas generativos marquen su resultado en un formato legible por máquina. Esas obligaciones de transparencia entraron en vigor el 2 de agosto de 2026, y la Comisión Europea ha confirmado que los sistemas que ya estaban en el mercado antes de esa fecha tienen hasta el 2 de diciembre de 2026. La Comisión publicó en junio un Código de Prácticas sobre el marcado y etiquetado de contenido generado por IA, y unas 190 organizaciones lo habían firmado a finales de julio. Anthropic dijo en agosto que aplicaría una marca de agua al texto de Claude en todo el mundo; Google tiene SynthID para texto. OpenAI llega a tiempo para un plazo que pasó dos años evitando.

La empresa publicó su propia curva de fallos

La parte más útil del anuncio es la lista de cifras que OpenAI colocó junto a él. Con una tasa objetivo de falsos positivos del 1 %, en texto en inglés extraído del conjunto de datos ELI5, el detector identificó la marca de agua en alrededor del 80 % de los pasajes de 200 tokens y en cerca del 95 % de los pasajes de 400 tokens. Matemáticas obtuvo una puntuación bastante menor, porque el modelo tiene menos libertad para elegir palabras. Si se reemplaza el 10 % de las palabras por sinónimos en un pasaje de 400 tokens, la detección cae de aproximadamente el 92 % al 66 %. Si se reemplaza el 25 %, baja a alrededor del 17 %.

Si se leen esas filas en orden, el panorama queda claro. El detector funciona mejor con prosa larga y poco restringida. Un correo breve se acerca más a 200 tokens que a 400. El código y las matemáticas dejan poco espacio para ocultar una señal. Una pasada ligera por cualquier herramienta de paráfrasis lleva la detección hacia un cara o cruz.

OpenAI enumera cinco límites, y vale la pena citarlos en cualquier documento de políticas que redacte este trimestre. La marca de agua no mide la contribución humana. No establece propiedad ni responsabilidad. No identifica al usuario, ya que ninguna cuenta, instrucción ni conversación está vinculada al texto. No verifica la exactitud, y un pasaje con marca de agua puede ser falso. Por último, la ausencia de una marca de agua no prueba que un humano escribiera el texto, porque el pasaje puede ser demasiado corto, haber sido editado o traducido, proceder de un modelo no compatible o de antes del despliegue, o simplemente venir de la herramienta de otra empresa.

Ese último punto es el que causará daño real en la práctica. Alguien pondrá el ensayo de un estudiante o la carta de presentación de un candidato en un detector, no obtendrá coincidencia y tratará el resultado como prueba de trabajo honesto. O obtendrá una coincidencia y la tratará como prueba de trampa. Ninguna de las dos conclusiones se sigue, y OpenAI dice exactamente eso en su propia publicación.

Por qué el detector no es público

El acceso a la herramienta de detección está limitado en su lanzamiento a investigadores aprobados y organizaciones expertas, concedido caso por caso. Esa cautela es defendible, ya que una herramienta con una tasa de detección del 66 % después de cambiar sinónimos es fácil de usar mal. También significa que la verificación independiente es difícil mientras el sistema se despliega, lo cual es un punto incómodo para que empiece una función de cumplimiento.

Aquí hay antecedentes. En agosto de 2024, OpenAI se negó a aplicar una marca de agua a ChatGPT después de que una encuesta interna descubriera que casi el 30 % de los usuarios reduciría su uso si lo hiciera. El acuerdo actual es un compromiso: solo en la UE al principio, desactivado de forma predeterminada para los clientes de API en todo el mundo, que pueden optar por activarlo en modelos seleccionados. A nivel global, la marca de agua en texto no es la opción predeterminada.

Qué cambia esto para cualquiera que publique texto

Para los equipos en la UE, el cambio práctico es menor de lo que sugiere el titular. El resultado del personal llevará una señal que nadie puede ver. No los identifica, no degrada la calidad del modelo según las mediciones de OpenAI y acompaña al texto en cualquier documento o correo de cliente en el que se pegue. Si alguien con acceso al detector inspecciona después ese texto, es posible que pueda marcarlo. Nada del flujo de trabajo necesita cambiar.

El riesgo real está más abajo en la cadena, en cualquier proceso que trate la detección de procedencia como un veredicto. La contratación, las admisiones, la verificación en salas de redacción y los sistemas de integridad académica son los candidatos obvios, y cada uno contiene a una persona que se sentirá tentada a leer un resultado de detección como evidencia. Los propios números de OpenAI argumentan en contra de eso. Una marca que la paráfrasis rutinaria puede eliminar puede satisfacer la letra del artículo 50 mientras fracasa en la tarea para la que se escribió el artículo.

La aplicación de la ley le da fuerza al plazo: una infracción puede costar hasta 15 millones de euros o el 3 % de los ingresos anuales globales, lo que sea mayor. Por eso se está produciendo el despliegue. Pero la pregunta más interesante es si una marca de agua que se desvanece con una edición ligera puede soportar el peso que los reguladores le están dando. El plazo del 2 de diciembre para los sistemas heredados, la eventual publicación pública del detector y cualquier orientación de la Comisión sobre umbrales de detección aceptables son los hitos que hay que seguir.

Por ahora, la regla más segura para cualquier equipo es la que OpenAI escribió en su propia publicación: una marca de agua ausente no prueba que un humano sea el autor de un texto, y una presente no prueba que el modelo lo escribiera todo. Las marcas de agua pueden indicar que un sistema tocó un pasaje. No pueden decirte cuánto del pensamiento fue de una persona.

Cómo funciona realmente la marca de agua en texto

Ayuda ver por qué la señal es tan fácil de perder. Una marca de agua convencional es una marca adjunta a un archivo, y eliminarla es cuestión de encontrar el campo correcto. textGrain toma una ruta diferente. Durante la generación, una clave secreta sesga la elección del modelo entre palabras siguientes casi equivalentes, inclinándolo hacia un subconjunto que un detector que posea la misma clave puede reconocer. A lo largo de cientos de tales elecciones, el patrón se vuelve estadísticamente visible. Como el sesgo vive en la redacción, la marca viaja con el texto al copiar y pegar, a través de un editor diferente y a través de una aplicación diferente.

La fragilidad se deriva del mismo diseño. Cualquier proceso que reescriba las palabras, ya sea una herramienta de paráfrasis, una traducción o una edición humana intensa, altera el patrón que busca el detector. Esa es la disyuntiva en el centro de toda marca de agua de texto: una marca lo bastante fuerte para sobrevivir a una edición ligera también es visiblemente diferente de la escritura ordinaria, lo que anula su propósito. OpenAI eligió una marca sutil y publicó la curva de detección resultante, lo cual es más honesto de lo que serían la mayoría de los proveedores.

La comparación entre laboratorios es instructiva. Anthropic dijo en agosto que aplicaría una marca de agua a la salida de Claude en todo el mundo, y su movimiento generó rechazo de usuarios que argumentaban que las instrucciones, el contexto y las decisiones provienen de la persona, y que el modelo actúa como herramienta. SynthID de Google hace algo similar con su propio texto. Los tres enfoques equivalen a una convergencia de la industria en la misma idea, con los mismos límites, lo que sugiere que la técnica está cerca del techo de lo que actualmente es posible para el texto.

Mientras tanto, el problema más difícil permanece intacto. Marcar texto es comparativamente fácil porque un pasaje contiene cientos de elecciones de palabras para codificar una señal. Las imágenes y el audio tienen el mismo tipo de margen estadístico, y OpenAI ya ofrece verificación para ellos. Pero ninguna de estas marcas responde a la pregunta que una sala de redacción o una escuela realmente necesita responder: si una afirmación concreta es verdadera y quién la respalda. La procedencia y la exactitud son problemas separados, y la marca de agua solo aborda el primero.